Data and Privacy: GDPR, CCPA, and COPPA Explanation for Marketers

The majority of our online experience is supported by advertising — 86%of the time spent consuming media in the United States is funded by advertising. New to this model? Not really — newspapers, magazines, TV and radio work like this for centuries. But in the digital world, most ads are tailored to us with data, and that's what we give users. So what are the rules for collecting this dataset? In this article, we explain data privacy, the advertising ecosystem, and three key laws — GDPR, CCPA, COPPA.

This post what is marketing analytics a continuation of its guide.

Why is consumer privacy important?

İstifadəçilər şüurlu verdikləri data ilə (qeydiyyatda göstərdikləri maraqlar, demoqrafik məlumat) brauzer davranışından çıxarılan data arasında fərq qoyur. Ən çox narahatlıq ikincidəndir — yəni niyyətlə paylaşmadıqları, davranışlarından «çıxarılan» məlumatdan. Pew Research Center sorğusuna görə: amerikalıların 72%-i onlayn və ya telefonla etdiklərinin şirkətlər tərəfindən izlənildiyini hiss edir; 81%-i data toplamanın risklərinin faydalarından çox olduğunu düşünür; 79%-i isə şirkətlərin datalarını necə istifadə etməsindən narahatdır.

The result is clear: dataset access is a gift for effective marketing, but you need to balance it with user confidence. The boundary between fun, helpful, personable advertising and overly interventionist advertising is very thin.

How does the user control their data?

İstifadəçilər tamamilə gücsüz deyil — əllərində real alətlər var. Onlar sosial media və reklam platformalarının məxfilik ayarlarından datalarının necə istifadə olunduğunu məhdudlaşdıra bilir. Məsələn, Facebook-da hansı maraqların sənə aid edildiyini görmək və dəyişmək, reklam şəxsiləşdirməsini söndürmək mümkündür. Brauzer səviyyəsində kukiləri silmək, third-party kuki-ləri bloklamaq və izləməni məhdudlaşdırmaq olar. Bir marketoloq kimi bunu bilmək vacibdir: istifadəçilər getdikcə daha çox bu alətlərdən istifadə edir, ona görə yalnız izləməyə güvənən strategiyalar tədricən zəifləyir. First-party dataya və birbaşa münasibətə (razılıqla toplanan məlumata) əsaslanan yanaşma daha davamlıdır.

Who owns the dataset?

The answer is one: the owner of the dataset is always a consumer. The user can contact a publisher (s) or advertiser to allow them to use their data — with certain restrictions. How direct this permit is still separates the data into first, second, and third-party categories.

Sadə nümunə: sosial media platformasında pizza reklamına klikləyirsən. Platforma bundan sənin pizzaya marağın olduğunu çıxarır — bu, platformanın idarə etdiyi first-party datadır və burada istifadəçi ilə şirkət arasında açıq və ya gizli razılaşma var. Əgər platforma bu məlumatı etibarlı partnyoruna ötürsə, o, partnyor üçün second-party dataya çevrilir — və birinci tərəf partnyorun datanı sui-istifadə etməməsinə cavabdehdir. Üçüncü tərəf isə sənin davranışını saytlar arasında (məsələn, third-party kukilərlə) izləyib profil qura və reklamçılara sata bilər. Məhz bu sonuncu insanları ən çox narahat edir, çünki burada açıq razılaşma yoxdur. Buna görə bir çox brauzer third-party kukiləri bloklayır.

Advertising ecosystem: four players

Data-driven advertising is a complex network. It can be divided into four main groups:

1. Consumers — the most important person for the business; the real owner of the data.
2. Advertisers - the party that created the advertisement and determines to whom it will be displayed.
3. Publishers and partners — a content-producing site/apps (publisher) and ad exchanges (name exchange) and measurement providers that help them.
4. Doors and regulators (gatekeepers) — browser/device platforms, governments, and industry organizations; determine how the data may be used.

Bir nümunə bunu canlandırır. James adlı reklamçı bizneslər üçün qəlyanaltı abunə xidməti «SnackWall»-ı reklam etmək istəyir; deməli, James reklamçıdır, hədəf auditoriya isə istehlakçıdır. James Facebook-u seçir — Facebook naşirdir və istifadəçiləri haqqındakı datadan istifadə edərək reklamı hədəf auditoriyaya çatdırır. James həm də Facebook-da olmayan istifadəçilərə çatmaq üçün reklam agentliyi ilə işləyir; agentlik ona reklam mübadiləsindən (məsələn, OpenX) istifadə edərək reklamı bir çox saytda yerləşdirməyi məsləhət görür. Reklam mübadiləsi naşirin partnyorudur. Lakin reklamlar brauzer və cihazlar vasitəsilə çatdırıldığı üçün nə qədər data toplana biləcəyinə dair məhdudiyyətlər var və bütün tərəflər öz regionlarındakı qanunlara əməl etməlidir.

User data rights

• Transparency — knowing what data is being collected.
• Consent (consent) — to allow before collecting data.
• Login and fix — view and fix dataset.
• Deletion — requesting deletion of the data.
• Data portability - to retrieve the data as a file and transfer it to another party.

Why is there a need for data protection?

Nə üçün hökumətlər ümumiyyətlə işə qarışır? Çünki data həm böyük fayda, həm də böyük risk daşıyır. Şəxsi məlumat düzgün istifadə olunanda reklam daha uyğun və faydalı olur; sui-istifadə olunanda isə insanlar üzərində gözlənilməz nəzarət, ayrı-seçkilik və zərər yarana bilər. Tarazlıq olmadan istifadəçi etimadı çökür — və etimad çökəndə bütün rəqəmsal reklam modeli təhlükəyə düşür. Məhz buna görə dünyada hökumətlər şəxsi datanın necə toplandığını və istifadə edildiyini tənzimləməyə başladı. Marketinq analitiki bu qanunları bilməlidir — həm işini qanuni qurmaq, həm də bir istehlakçı kimi öz hüquqlarını tanımaq üçün.

GDPR — Europe's data law

The GDPR (General Data Protection Regulation) is a law that protects data and online privacy in the European Union and has become a global standard. It is a fairly complex law, but the basic requirements can be separated into two blocks: (1) the data rights of European citizens, and (2) the protection obligations of the companies that collect the data.

Rights: people have the right to access, rectify, tamper with, and transfer their data portability (information as a file) to another party. Obligations:

• Companies need to protect the information they receive.
• If there's a data leak, they should notify people within 72 hours.
• To protect the dataset, they must appoint a responsible person.
• Limit data collection; do not aggregate some categories (ethnicity, sexual orientation).
• They must ask for consent (prior consent) before receiving the data.

The GDPR applies to any company with a dataset of EU residents — no matter where the business is located. In practice, this means that most digital businesses must comply with this law. Penalties are very serious: up to 4%of the company's annual revenue. Real example: In October 2020, clothing brand H&M was fined $41 million for illegally tracking its employees (keeping an extensive profile of their families, illness, and religious views).

CCPA — California consumer privacy law

The CCPA (California Consumer Privacy Act) has been in effect since 2020 and is the most stringent consumer privacy law in the United States. Very similar to GDPR — the goal is to give consumers more information and control over their data collection. It gives consumers 5 rights:

1. Know what information is collected.
2. Knowing whether and to whom their data is sold, refusing to sell.
3. Gain access to the personal information collected.
4. Requesting deletion of personal information.
5. Not being discriminated against for using these rights.

The CCPA is responsible for the California Attorney General's Office; penalties can range from $7500 for intentional violation to $2,500 for intentional violation.

COPPA — online child protection

COPPA (Children's Online Privacy Protection Act) 2000-ci ildən qüvvədədir və 13 yaşdan kiçik uşaqların şəxsi məlumatının toplanmasını və istifadəsini məhdudlaşdırır. Data toplamazdan əvvəl valideyn razılığı tələb olunur; şirkətin aydın və hərtərəfli məxfilik siyasəti olmalı, uşaq datası məxfi və təhlükəsiz saxlanmalıdır. COPPA-nı ABŞ Federal Ticarət Komissiyası (FTC) idarə edir. Cərimələr hər pozuntuya görə 40 000 dollara qədər ola bilər. Məşhur nümunə: 2019-cu ildə Google YouTube-da uşaqlardan məlumat toplayıb reklam üçün istifadə etdiyi üçün 170 milyon dollar cərimələndi.

Being a responsible advertiser

Reklam sənayesi bu qanunları təkbaşına idarə etmir. Sənaye təşkilatları — ekosistemin bütün hissələrindən (reklamçılar, naşirlər, platformalar) üzvləri olan qruplar — məxfilik qaydalarının başa düşülməsi və bütün sənaye üzrə tətbiqi üçün çalışır. Bundan əlavə, brauzer və cihaz platformaları da bir növ «qapıçı» rolunu oynayır: onların qoyduğu məhdudiyyətlər (məsələn, third-party kukilərin bloklanması) həm istifadəçilərə, həm də onlara çatmağa çalışan bütün reklamçılara təsir edir.

Penalties are not only monetary — it's also consumer trust that's lost, and it's hard to undo. As a marketing analyst, it's important to check which laws are in force in the region where you work, as there may be local regulations. Responsible marketing in practice is structured like this:

1. Add a clear cookie-bill (cookie banner) and consent mechanism to the site.
2. Prioritize first-party data — it's safer and more legal.
3. Write a clear and accessible privacy policy.
4. Collect as much data as you need for the purpose only (data minimization).
5. Allow the user to view, correct, and delete their data.

Frequently asked questions (FAQs)

Does GDPR only apply to European companies?

No. Any company that processes the data of EU residents is subject to the GDPR, regardless of where they are located.

How much can a GDPR penalty be?

Up to 4%of the company's annual revenue. For example, H&M was fined $41 million.

What age does COPPA protect?

Children under 13. They are required by parental consent to collect data.

Who owns the dataset?

Always the consumer. Companies may only use the dataset with the user's permission and with certain restrictions.

What is the main difference between GDPR, CCPA and COPPA?

GDPR is a European Union-wide law; the CCPA protects California consumers; and COPPA is specifically aimed at children under 13 and requires parental consent.

Comparison of the three laws

Üç qanunu bir-birindən ayırd etmək əvvəlcə çətin görünə bilər, ona görə əsas fərqləri yığaq. GDPR Avropa İttifaqının qanunudur, ən genişəhatəlidir və EU sakinlərinin datasını emal edən istənilən şirkətə şamil olunur; cərimə illik gəlirin 4%-nə qədərdir. CCPA Kaliforniya istehlakçılarını qoruyur, GDPR-a bənzəyir, amma ABŞ-ın yalnız bir ştatına aiddir. COPPA isə xüsusi olaraq 13 yaşdan kiçik uşaqlara yönəlib və valideyn razılığını tələb edir. Ümumi cəhətləri: hər üçü şəffaflıq, razılıq və istifadəçinin öz datası üzərində nəzarəti prinsiplərinə söykənir.

The practical conclusion for a marketer is that no matter what market they work in, following these principles both reduces legitimate risk and protects consumer confidence. Many companies voluntarily enforce these laws to build a long-term relationship, not just for fear of punishment — because trust is one of their most valuable marketing assets.

Final: data is a gift, confidence is key

The main message of this article is simple: dataset access gives the marketer great power, but this power should be used responsibly. Laws like GDPR, CCPA, and COPPA set the statutory framework for this liability, but the real goal is not simply to avoid penalties — but to establish a trustworthy, transparent relationship with the user. A brand that uses datasets correctly works legally and gains the long-term trust of its customers.

You've finished this guide! You now fully recognize the four pillars of marketing analytics — the role of analytics, data sources, measurement tools, and privacy. Practice what they've learned, and always remember a question: Do I have permission to collect this data and use it for the benefit of the user?

👉 The main guide is: what is marketing analytics