Texas Data Privacy & Security Act 合规，从 ConsentX 开始

Texas Data Privacy and Security Act (TDPSA) 是得克萨斯州的综合性消费者隐私法。它规范对消费者个人数据的收集、使用、处理与处置，并于 2024 年 7 月 1 日生效。

得克萨斯州消费者通常有权确认控制者是否正在处理其个人数据、访问其个人数据、更正其个人数据中的不准确之处、删除其提供或被收集的个人数据、获取其个人数据的可携带副本、退出定向广告、退出个人数据的出售，以及退出产生法律效果或类似重大影响的特定画像分析活动。

TDPSA 并未要求对每一类个人数据处理都取得同意。但控制者在处理敏感数据前必须取得同意，特定情形下还可能适用额外的同意要求。

敏感数据包括揭示种族或民族出身、宗教信仰、身心健康状况或诊断、性取向、公民身份或移民身份的特定信息，用于唯一识别的基因或生物识别数据，13 岁以下儿童的个人数据，以及精确地理位置数据。

是的。消费者有权退出为定向广告目的对其个人数据的处理。

可以。TDPSA 赋予消费者退出其个人数据出售的权利。

是的。消费者可以退出用于作出产生法律效果或类似重大影响之决定的画像分析。

TDPSA 规定了消费者行使退出权的具体机制，包括通过授权代理人以及符合法定要求的技术。组织应结合其他适用州隐私法的要求，一并评估其对通用或基于浏览器的隐私信号的实施方式。

TDPSA 规范的是个人数据处理，而非将 Cookie 作为一项独立技术加以规范。但 Cookie、像素、广告标签、SDK 及其他追踪技术仍可能处理个人数据，或为定向广告提供支持。因此，发现追踪技术并强制执行消费者的隐私选择，可以成为 TDPSA 合规方案的重要组成部分。

是的。控制者必须提供合理可获取且清晰的隐私告知，说明个人数据处理的相关类别与目的、适用的第三方披露情况，以及消费者行使权利的方式。

是的。控制者必须针对特定处理活动开展并记录数据保护评估，包括定向广告、个人数据出售、特定画像分析、敏感数据处理，以及对消费者存在较高损害风险的其他处理活动。

控制者通常必须在收到请求后 45 天内响应消费者请求。在合理必要的情况下，该期限可再延长 45 天，但须符合适用要求。

一般而言，控制者每年至少须两次免费提供响应消费者请求的信息。对于明显无依据、过度或重复的请求，可以在符合该法要求的前提下收取一定费用。

是的。TDPSA 为已知儿童数据提供强化保护，包括与家长同意相关的要求。该法还将 13 岁以下儿童的个人数据视为敏感数据。

得克萨斯州总检察长对 TDPSA 拥有专属执法权。该法未就违法行为设立私人诉权。

ConsentX 可以帮助落实同意管理、追踪技术发现、脚本预先拦截、消费者退出管理、权利请求工作流以及审计证据等重要隐私控制措施。但任何软件都无法单独保证法律合规。组织应对照 TDPSA 及所有其他适用法律，评估其完整的隐私合规体系。