CCPA, CPRA e leggi sulla privacy degli Stati USA per i siti web
Cosa chiedono il CCPA, modificato dal CPRA, e le leggi degli Stati USA ai siti con cookie: informativa, opt-out da vendita e condivisione, e Global Privacy Control.
Opt-out invece di opt-in
Le leggi sulla privacy degli Stati USA funzionano soprattutto con l’opt-out: un sito può usare cookie statistici e pubblicitari, ma deve informare i visitatori e permettere loro di opporsi alla vendita delle loro informazioni personali, alla loro condivisione per pubblicità comportamentale tra contesti e, nella maggior parte degli Stati, alla pubblicità mirata. I cookie e i pixel pubblicitari di terze parti sono spesso una «vendita» o una «condivisione» secondo queste leggi.
Il California Consumer Privacy Act
Il CCPA, modificato dal CPRA (in vigore dal 2023), si applica alle imprese a scopo di lucro che operano in California e superano una di tre soglie: ricavi lordi annui oltre 25 milioni di dollari (adeguati all’inflazione), acquisto, vendita o condivisione delle informazioni personali di almeno 100.000 consumatori o famiglie, oppure almeno metà dei ricavi dalla vendita o condivisione di informazioni personali. Richiede:
- un’informativa al momento della raccolta che spieghi cosa si raccoglie e perché;
- un link «Do Not Sell or Share My Personal Information» o un link alternativo di opt-out;
- il rispetto dei segnali del browser Global Privacy Control (GPC) come opt-out valido;
- risposte alle richieste di accesso, cancellazione e rettifica entro 45 giorni.
La California Privacy Protection Agency e l’Attorney General lo fanno rispettare, con sanzioni per violazione adeguate all’inflazione e più alte per le violazioni intenzionali e quelle che riguardano minori.
Gli altri Stati
Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana e un elenco crescente di altri Stati hanno leggi generali sulla privacy con diritti di opt-out simili. Diversi di essi, tra cui Colorado, Connecticut, Texas e Oregon, richiedono di rispettare segnali universali di opt-out come GPC. Soglie, regole sui dati sensibili e scadenze variano da Stato a Stato.
Come ti aiuta Consentl
- Una regola per gli USA pronta: opt-out, con informativa e un link alle preferenze dove i visitatori possono disattivare la vendita o la condivisione dei loro dati.
- Global Privacy Control rispettato automaticamente: un segnale GPC vale come opt-out e la registrazione lo indica.
- Tag trattenuti dopo un opt-out e Google Consent Mode aggiornato.
- Un modulo di richiesta con la scadenza CCPA di 45 giorni nella dashboard, e richieste «Do Not Sell or Share» senza verifica dell’identità, come richiedono i regolamenti.
Domande frequenti
Il CCPA si applica a un sito piccolo?
Solo se l’impresa supera una delle soglie. Le leggi degli altri Stati hanno soglie proprie, spesso basate sul numero di residenti di cui tratti i dati.
Mi serve un banner cookie per il CCPA?
Il CCPA non richiede un banner opt-in, ma devi informare e offrire un opt-out semplice. Un banner con link alle preferenze è un modo comune per fare entrambe le cose.
Questa pagina offre informazioni generali, non consulenza legale. Leggi e linee guida cambiano; verifica le regole in vigore per il tuo caso.