阿拉巴马州个人数据保护法 (APDPA)

阿拉巴马州个人数据保护法（APDPA）已正式签署成为法律，将于 2027 年 5 月 1 日生效。阿拉巴马州由此加入了越来越多制定全面消费者数据隐私立法的美国州份行列。

什么是 APDPA？

APDPA 赋予阿拉巴马州居民对其个人数据的权利，并对收集或处理这些数据的企业设定了义务。该法律针对一般个人数据采用选择退出（opt-out）模式，并要求在处理敏感数据前获得选择同意（opt-in）。

APDPA 适用于哪些主体？

APDPA 适用于在阿拉巴马州开展业务或向阿拉巴马州居民提供产品或服务的企业，且在上一自然年度内满足以下任一条件：

• 控制或处理了超过 25,000 名消费者的个人数据（不包括仅为完成支付交易而处理的数据）；或
• 从出售个人数据中获得的总收入超过 25%。

该法律为小企业设有豁免条款。员工人数少于 500 人且不出售个人数据的企业一般可获豁免，员工人数少于 100 人且不出售个人数据的非营利组织同样如此。

APDPA 下的消费者权利

阿拉巴马州居民享有以下权利：

• 确认权：确认企业是否正在处理其个人数据
• 访问权：请求获取企业持有的其个人数据副本
• 更正权：请求更正不准确的个人数据
• 删除权：请求删除其个人数据
• 数据可携权：以易于使用的格式获得其个人数据的可携版本
• 选择退出权：选择退出定向广告、个人数据出售以及用于做出重大决策的自动化画像
• 申诉权：对企业驳回权利请求的决定提出申诉

企业必须在 45 天内响应经验证的消费者请求，在合理必要的情况下可延长 45 天。

敏感数据

处理敏感数据需要获得消费者的选择同意（opt-in）。APDPA 下的敏感数据包括：

• 种族或民族出身
• 宗教信仰
• 精神或身体健康状况或诊断结果
• 性取向或性别认同
• 用于唯一识别个人身份而处理的生物识别数据
• 精确地理位置数据（1,750 英尺范围内）
• 已知未满 13 岁消费者的个人数据（采用与 COPPA 一致的已知儿童标准）

执法

阿拉巴马州总检察长拥有执行 APDPA 的专属权力，法律不设私人诉讼权。企业在收到违规通知后享有 45 天的整改期，之后总检察长方可提起诉讼。对于未在该期限内完成整改的违规行为，每项违规可处以最高 15,000 美元的民事罚款。

APDPA 的显著特点

与其他类似州法律相比，APDPA 具有以下几个显著特点：

• 与弗吉尼亚州、科罗拉多州和康涅狄格州不同，APDPA 不要求进行数据保护影响评估（DPIA）
• "出售"定义较为狭窄，要求控制者获得实质性利益且接收方可不受限制地后续使用数据，这可能将部分分析和营销服务安排排除在外
• 敏感数据选择同意要求的儿童年龄门槛为 13 岁，低于其他一些州所采用的 16 岁或 18 岁门槛；此外，APDPA 要求在出售 13 至 15 岁消费者的个人数据或将其用于定向广告之前，须获得选择同意
• 相比许多同类州法律，提供更宽松的小企业豁免

UniConsent 如何助力 APDPA 合规

UniConsent 提供企业满足 APDPA 要求所需的工具：

• 可按州配置的选择退出与选择同意同意横幅
• 全球隐私控制（GPC）信号识别
• 消费者权利请求管理
• 敏感数据同意工作流程
• 与网站、移动应用及标签管理器的集成

立即开始使用 UniConsent 或 探索我们的功能。

其他美国州隐私法律

• CCPA：加州消费者隐私法案，了解更多请访问 CCPA
• CPRA：加州隐私权利法案，了解更多请访问 CPRA
• CPA：科罗拉多州隐私法案，了解更多请访问 CPA
• VCDPA：弗吉尼亚州消费者数据保护法，了解更多请访问 VCDPA
• UCPA：犹他州消费者隐私法，了解更多请访问 UCPA
• CTDPA：康涅狄格州数据保护法，了解更多请访问 CTDPA
• TDPSA：德克萨斯州数据隐私与安全法，了解更多请访问 TDPSA
• DPDPA：特拉华州个人数据隐私法，了解更多请访问 DPDPA
• NHPA：新罕布什尔州隐私法，了解更多请访问 NHPA
• MTCDPA：蒙大拿州消费者数据隐私法，了解更多请访问 MTCDPA
• FDBR：佛罗里达州数字权利法案，了解更多请访问 FDBR
• NJDPA：新泽西州数据保护法，了解更多请访问 NJDPA
• INCDPA：印第安纳州消费者数据保护法，了解更多请访问 INCDPA
• KCDPA：肯塔基州消费者数据保护法，了解更多请访问 KCDPA

比较不同的美国州隐私法律