Если у вас есть веб-сайт с контактной формой, список адресов электронной почты или CRM, хранящая номера телефонов клиентов, вы собираете персональные данные. С 1 января 2026 года этот простой факт достаточен, чтобы подпасть под действие всеобъемлющего закона о конфиденциальности как минимум в одном штате США — а возможно, и в нескольких сразу, если вы продаете товары клиентам за пределами штата.
В двадцати штатах сейчас действуют всеобъемлющие законы о конфиденциальности потребителей, и три из них — Индиана, Кентукки и Род-Айленд — вступили в силу 1 января 2026 года. Техас, чей Закон о конфиденциальности и безопасности данных (TDPSA) действует с середины 2024 года, в тот же день добавил поправку, касающуюся ИИ. Долгое время владельцы малого бизнеса могли с полным основанием полагать, что эти законы — «проблема крупных компаний»: в конце концов, калифорнийский CCPA применяется только к предприятиям с выручкой 25 миллионов долларов и более. Это предположение больше не действует повсеместно. Два из трех новых законов 2026 года не имеют порога по выручке, и в Техасе его никогда и не было.
Это не чек-лист по соблюдению требований, который можно полностью передать юристу и забыть. Применимость этих законов к вашему бизнесу часто зависит от цифр, которые вы уже должны отслеживать в своем учете: сколько записей о клиентах вы храните и — что критически важно — какая доля вашей выручки поступает от продажи или передачи персональных данных. Если ваш бухгалтерский учет не может четко ответить на второй вопрос, у вас более серьезная проблема, чем закон о конфиденциальности.
Три новых закона 2026 года простым языком
Закон Индианы о защите данных потребителей (INCDPA) применяется к коммерческим предприятиям, которые:
- Контролируют или обрабатывают персональные данные 100 000+ жителей Индианы в течение календарного года, или
- Получают более 50% валовой выручки от продажи персональных данных и обрабатывают данные 25 000+ жителей Индианы.
Закон Кентукки о защите данных потребителей (KCDPA) почти полностью повторяет пороговые значения Индианы — те же 100 000 потребителей в качестве нижней границы, тот же альтернативный тест в 25 000 потребителей при доле выручки от продажи данных свыше 50%. Оба закона являются близкими родственниками закона Виргинии 2023 года, так что если вы уже выстроили систему соответствия для Виргинии или Колорадо, большая часть подготовительной работы переносится.
Закон Род-Айленда о прозрачности данных и защите конфиденциальности (RIDTPPA) устанавливает заметно более низкую планку:
- Контролирует или обрабатывает данные 35 000+ жителей Род-Айленда, или
- Контролирует или обрабатывает данные 10 000+ жителей и получает 20% или более валовой выручки от продажи персональных данных.
Род-Айленд также отказывается от 30-дневного периода устранения нарушений, который предоставляют Индиана и Кентукки — первое нарушение там может сразу перейти к судебному преследованию со стороны Генерального прокурора со штрафами до 10 000 долларов за каждое нарушение (по сравнению с 7 500 долларов в Индиане и Кентукки).
Закон Техаса о конфиденциальности и безопасности данных (TDPSA) выделяется как исключение, заслуживающее отдельного упоминания: в нем нет порогов ни по количеству потребителей, ни по выручке. Вместо этого он использует исключение для малого бизнеса, привязанное к стандартам размера Администрации малого бизнеса США (которые варьируются в зависимости от отрасли — для компании-разработчика ПО порог по численности сотрудников иной, чем для производителя). Загвоздка: это исключение аннулируется в тот момент, когда «малый» бизнес продает конфиденциальные персональные данные — информацию о здоровье, точное географическое местоположение, биометрические идентификаторы и тому подобные категории. Многие малые предприятия электронной коммерции и маркетинговых технологий неосознанно попадают в эту ловушку, поскольку «продажа данных» по этим законам определяется достаточно широко, чтобы охватить некоторые интеграции с рекламными технологиями и аналитикой, а не только буквальную передачу данных брокерам.
Почему порог по выручке — та часть, в которой ошибается большинство владельцев
Самый распространенный способ, которым малый бизнес неправильно оценивает свою подверженность риску, — это не количество потребителей, а процентное соотношение выручки. «50% валовой выручки от продажи персональных данных» звучит так, как будто это относится только к брокерам данных. Но юридическое определение «продажи» в большинстве этих законов включает передачу персональных данных за деньги или другое ценное вознаграждение — что может охватывать доли доходов от рекламных сетей, совместные маркетинговые соглашения и даже некоторые партнерские структуры, где данные о клиентах передаются вместе с транзакцией.
Вот в чем практическая проблема: если ваш план счетов объединяет «доход от рекламы», «доход от партнерской программы» и «доход от продажи продуктов» в одну недифференцированную статью доходов, вы не сможете ответить на вопрос, который задают вам эти законы. Вам нужен ваш учет, чтобы достаточно четко разделять потоки доходов и сказать с цифрой в руках, превышает ли какая-либо категория, связанная с соглашениями о передаче данных, 20% (Род-Айленд) или 50% (Индиана, Кентукки) от общего дохода. Ждать, пока этот вопрос задаст офис Генерального прокурора, — неподходящее время, чтобы обнаружить, что ваш бухучет не может предоставить такую разбивку.
Это тот случай, когда «полезно знать» и «полезно доказать» — одно и то же действие. Главная книга в виде обычного текста с контролем версий, где каждая статья доходов помечена источником — Income:Advertising, Income:AffiliateShare, Income:ProductSales — позволяет рассчитать этот процент за минуты, вместо того чтобы восстанавливать его из годового набора банковских выписок и счетов-фактур.
Практический чек-лист по соблюдению требований
Вам не нужен штатный юрисконсульт, чтобы правильно выполнить основные действия. Выполняйте их по порядку:
- Считайте свои записи, а не своих клиентов. Получите приблизительное количество уникальных лиц, чьи персональные данные вы храните или обрабатываете в течение календарного года — посетители веб-сайта с отслеживающими файлами cookie, подписчики электронной почты, контакты в CRM и записи транзакций — все это учитывается в определениях большинства штатов, а не только платящие клиенты.
- Проверьте, где живут эти люди. Эти законы применяются в зависимости от места жительства потребителя, а не от того, где находится штаб-квартира вашего бизнеса. Бизнес, зарегистрированный в Делавэре, с удаленной командой, продающий товары по всей стране, может подпадать под действие закона Индианы, даже если у него нет ни одного сотрудника в Индиане.
- Выделите доход от передачи данных. Если какая-либо часть вашего дохода связана с передачей данных клиентов рекламной сети, кооперативу данных или партнеру — даже косвенно — выделите этот доход в отдельный счет и рассчитайте его как процент от валовой выручки.
- Опубликуйте настоящее уведомление о конфиденциальности. Все четыре штата требуют четкого, доступного уведомления, описывающего, какие данные вы собираете, зачем и как потребители могут реализовать свои права (доступ, исправление, удаление и отказ от целевой рекламы или продажи данных). Общий шаблон, скопированный с другого сайта с неверной датой вступления в силу или неверным названием компании, хуже, чем его отсутствие — регуляторы особо отмечают устаревшие уведомления о конфиденциальности как легко выявляемое нарушение с первого взгляда.
- Создайте механизм отказа до того, как он понадобится. Потребители во всех трех новых штатах получают право отказаться от целевой рекламы, продажи данных и некоторых видов профилирования. Если на вашем веб-сайте нет работающей ссылки «Не продавать и не передавать мои личные данные» или эквивалентного центра предпочтений, это самое быстрое исправление в этом списке, и его, скорее всего, заметят в первую очередь.
- Используйте период устранения, если он у вас есть. Индиана и Кентукки предоставляют 30 дней на исправление нарушения после уведомления от Генерального прокурора до применения штрафов. В Род-Айленде его нет — поэтому правильное выполнение шагов 1–5 до того, как трафик с 1 января резко возрастет, там гораздо ценнее, чем в двух других штатах.
- Повторяйте расчет ежегодно. Пороговые значения оцениваются на постоянной основе, обычно за календарный год. Бизнес, который был освобожден от требований в 2025 году, потому что оставался ниже 100 000 записей, может подпасть под их действие, как только рост (или соглашение о передаче данных) выведет его за эту черту — это регулярная проверка в бухучете, а не разовый аудит.
Где малый бизнес оказывается застигнутым врасплох
В ранних руководствах по законам 2026 года регулярно упоминаются две скрытые ловушки:
- «Мы слишком маленькие» — это не универсальная защита. В Техасе нет нижнего порога вовсе, и его исключение для малого бизнеса исчезает в тот момент, когда продаются чувствительные данные — распространенная ловушка для предприятий, использующих стороннюю аналитику или рекламные пиксели без аудита того, какие данные эти инструменты на самом деле передают.
- Правоприменение осуществляется Генеральным прокурором штата, а не через частные иски (в основном). Ни один из трех новых законов 2026 года не включает широкое право на частный иск, что действительно хорошая новость — это означает, что отдельный потребитель обычно не может напрямую подать в суд на ваш бизнес за нарушение конфиденциальности. Но это также означает, что право принимать правоприменительные решения остается за офисом Генерального прокурора штата, у которого есть все основания сделать ранний, показательный пример из бизнеса, проигнорировавшего четко датированный новый закон.
Как соотносятся четыре закона
| Индиана | Кентукки | Род-Айленд | Техас | |
|---|---|---|---|---|
| Дата вступления в силу | 1 января 2026 г. | 1 января 2026 г. | 1 января 2026 г. | Действует с 2024 г.; поправка об ИИ с 1 января 2026 г. |
| Применяется при | 100 000+ жителей, или 25 000+ с выручкой от продажи данных 50%+ | 100 000+ жителей, или 25 000+ с выручкой от продажи данных 50%+ | 35 000+ жителей, или 10 000+ с выручкой от продажи данных 20%+ | Нижнего порога нет — предприятия размером с малое по стандартам SBA освобождены, если не продают чувствительные данные |
| Период устранения | 30 дней | 30 дней | Отсутствует | 30 дней |
| Максимальный штраф | 7 500 долл./нарушение | 7 500 долл./нарушение | 10 000 долл./нарушение | До 7 500 долл./нарушение |
| Частные иски | Нет — только Генеральный прокурор | Нет — только Генеральный прокурор | Нет — только Генеральный прокурор | Нет — только Генеральный прокурор |
Закономерность, на которую стоит обратить внимание: сочетание низкого порога по количеству потребителей, низкого порога по процентной доле выручки и отсутствия периода устранения делает Род-Айленд наименее снисходительным из четырех для быстрорастущего малого бизнеса, который пересекает черту, не заметив этого. Техас представляет собой противоположный тип риска — большинство малых предприятий изначально освобождены, но единственная новая интеграция с рекламными технологиями, передающая чувствительные данные, может лишить этого освобождения в одночасье.
Часто задаваемые вопросы
Относится ли это к моему бизнесу, если я физически не нахожусь ни в одном из этих штатов? Да. Все четыре закона применяются в зависимости от того, где живут ваши клиенты или посетители веб-сайта, а не от того, где зарегистрирован ваш бизнес или находится штаб-квартира. Предприятие, не имеющее ни одного сотрудника или офиса в Индиане, все равно может подпадать под действие INCDPA, если оно обрабатывает данные 100 000+ жителей Индианы.
Я использую Google Analytics и пиксель рекламы Facebook — считается ли это «продажей» данных? Потенциально. Большинство этих законов определяют «продажу» достаточно широко, чтобы включать передачу данных за что-то ценное, а не только за прямую денежную сделку. Интеграции с рекламными технологиями, которые передают данные клиентов третьим сторонам для целевой рекламы, — это именно тот вид соглашений, который регуляторы обозначили как попадающий в сферу действия — стоит провести честный аудит того, что на самом деле передают ваши отслеживающие пиксели, вместо того чтобы предполагать, что утверждение «мы не продаем список» решает вопрос.
Что будет, если я ничего не сделаю? В Индиане и Кентукки Генеральный прокурор, как правило, должен уведомить вас и предоставить 30 дней на устранение нарушения до применения штрафов — так что добросовестный бизнес, который быстро исправляет проблемы после уведомления, имеет реальную страховочную сетку. Род-Айленд не предоставляет такого льготного периода, поэтому бездействие там — гораздо более рискованная ставка, чем в двух других штатах 2026 года.
Нужен ли мне юрист для соблюдения требований? Для простого малого бизнеса — сервисной компании, интернет-магазина, SaaS-продукта с обычным списком клиентов — приведенный выше чек-лист (уведомление о конфиденциальности, ссылка на отказ, инвентаризация данных, отслеживание источников дохода) покрывает большую часть практических рисков без необходимости индивидуальной юридической разработки. Если ваш бизнес передает данные рекламным сетям, брокерам данных или партнерам способами, которые трудно описать одним предложением, эта сложность — именно тот случай, когда услуги внешнего юриста оправдывают свою цену.
Ведите учет достаточно чисто, чтобы отвечать на сложные вопросы
Соблюдение законов о конфиденциальности и ведение финансового учета оказываются более взаимосвязанными, чем ожидает большинство владельцев: и то, и другое сводится к тому, организованы ли ваши данные — с одной стороны данные о клиентах, с другой — данные о доходах — достаточно хорошо, чтобы дать четкий ответ при проверке. Если ваш учет в настоящее время не может сказать вам, какой процент выручки поступает из конкретного источника, это стоит исправить независимо от того, какой закон о конфиденциальности штата применяется к вашему бизнесу.
Beancount.io предлагает бухгалтерский учет на основе обычного текста, который дает вам полную прозрачность и контроль над вашими финансовыми данными — каждый поток доходов промаркирован, находится под контролем версий и доступен для запросов, без программы-«черного ящика» между вами и цифрами, которые могут запросить регуляторы (или ваша собственная проверка должной осмотрительности). Начните бесплатно и узнайте, почему разработчики и владельцы бизнеса, ориентированные на финансы, переходят на бухгалтерию в виде обычного текста.