Utah UCPA: Hvem loven omfatter, og hvad hjemmesider skal gøre

Gælder UCPA for din virksomhed?

Gå trinene igennem i rækkefølge. UCPA gælder kun, hvis du svarer ja til trin 1–3, og ingen undtagelse gælder.

1. Tilknytning til Utah: driver du virksomhed i Utah, eller tilbyder du et produkt eller en tjeneste, der er rettet mod indbyggere i Utah?
2. Omsætning: er din årlige omsætning 25.000.000 $ eller mere? Omsætningen alene bringer dig aldrig ind under loven.
3. Data: kontrollerer eller behandler du i løbet af et kalenderår personoplysninger om 100.000 eller flere forbrugere i Utah, eller får du over 50 % af din bruttoomsætning fra salg af personoplysninger, mens du håndterer data om 25.000 eller flere forbrugere?
4. Undtagelser: er du en undtaget organisation, eller er selve dataene undtaget?

Bestemmelsen om lovens anvendelsesområde undtager bl.a. nonprofitselskaber, videregående uddannelsesinstitutioner, offentlige myndigheder, stammer (tribes), HIPAA-omfattede enheder (covered entities) og deres forretningspartnere (business associates), GLBA-regulerede finansielle institutioner og luftfartsselskaber. Undtagne data omfatter beskyttede helbredsoplysninger (protected health information) og oplysninger om medarbejdere og jobansøgere.

En forbruger er en indbygger i Utah, der handler som privatperson eller som en del af en husstand. Tæl de indbyggere i Utah, hvis data du behandler, ikke sidevisninger, og gem et dateret notat med de tal, din beslutning bygger på.

Hvad skal en omfattet hjemmeside tilbyde?

Din privatlivspolitik skal være rimeligt tilgængelig og klar og dække kategorierne af personoplysninger, formålene, hvordan forbrugere udøver deres rettigheder, og de kategorier af data, der deles, samt de kategorier af tredjeparter, der modtager dem.

Hvis du sælger personoplysninger eller driver målrettet annoncering, skal du klart og tydeligt oplyse, hvordan forbrugere kan fravælge det. I Utah kræver et salg et vederlag i penge, mens målrettet annoncering er en særskilt aktivitet, så “vi sælger ikke data” afgør ikke spørgsmålet om fravalg af annoncering.

Eksempel: En omfattet detailhandler bruger et annoncenetværk til at nå besøgende på andre, urelaterede hjemmesider. Når en kunde i Utah fravælger målrettet annoncering, skal du tjekke både tagget i browseren og eventuelle målgruppeuploads, der bruger kundens data. Behandlingen af ordrer kan fortsætte.

UCPA nævner ikke browsersignaler for fravalg som Global Privacy Control. Det er dit eget valg at respektere GPC for besøgende fra Utah, ikke et krav i UCPA.

Hvordan behandler Utah følsomme oplysninger?

Følsomme oplysninger omfatter data, der afslører race eller etnisk oprindelse, religiøs overbevisning, seksuel orientering, statsborgerskab eller opholdsstatus eller sygehistorie og helbredsoplysninger; genetiske eller biometriske data, der behandles for at identificere en person; og specifik geolokation med en nøjagtighed inden for 1.750 fod (ca. 530 meter). Efter reglerne om den dataansvarliges pligter skal du give tydelig oplysning og mulighed for fravalg, før du behandler dem.

Det er den vigtigste forskel i Utah. Andre delstater kræver forudgående samtykke (opt-in) til samme type data:

Hvis du har én løsning for flere delstater, kan du vælge opt-in for alle. Beskriv det som din egen politik, ikke som et krav i Utah.

Hvilke rettigheder skal du understøtte?

Forbrugere i Utah kan:

• få bekræftet, om du behandler deres personoplysninger, og få indsigt i dem;
• få slettet personoplysninger, som de selv har givet dig;
• få en portabel kopi af personoplysninger, som de tidligere har givet;
• bede dig berigtige urigtige personoplysninger;
• fravælge målrettet annoncering og salg af personoplysninger.

Ændring fra 1. juli 2026: En ændring fra 2025 af Utah Code § 13-61-201 (Laws of Utah 2025, chapter 468) tilføjede retten til at få urigtige oplysninger berigtiget under hensyn til dataenes karakter og formålene med behandlingen. Tilføj berigtigelse i din privatlivspolitik og din anmodningsformular, hvis de kun nævner de oprindelige rettigheder.

Utah har ingen ret til at fravælge profilering og intet krav om en klageproces, og retten til sletning omfatter kun data, som forbrugeren selv har givet. Du kan tilbyde mere, men præsentér ekstra rettigheder som din egen politik, ikke som krav i UCPA.

Efter reglerne om besvarelse skal du reagere på en anmodning inden for 45 dage. Du kan forlænge fristen én gang med 45 dage ved komplekse eller talrige anmodninger, hvis du giver forbrugeren besked, før den første frist udløber. Hvis du afviser, skal du begrunde det inden for 45 dage. Den første anmodning inden for en periode på 12 måneder er gratis.

Tjekliste til hjemmesiden

• Notat om anvendelse: notér dit omsætningstal, det datakrav, du opfylder, og eventuelle undtagelser med dato.
• Test af fravalg: fravælg målrettet annoncering som testbruger; annoncetags og målgruppeuploads bør stoppe for den bruger.
• Følsomme oplysninger: oplysningen og muligheden for fravalg bør vises, før en formular eller funktion indsamler følsomme oplysninger.
• Formular til rettigheder: den bør tilbyde berigtigelse sammen med indsigt, sletning, dataportabilitet og fravalgene.
• Svarfrist: registrér en testanmodning, og bekræft, at den bliver besvaret inden for 45 dage.

Ofte stillede spørgsmål