Requisiti del banner cookie CCPA: guida alla conformità 2026

CCPA e CPRA non richiedono un banner cookie con opt-in in stile GDPR, ma impongono tre obblighi concreti che ogni sito web soggetto alla normativa deve rispettare: una Notice at Collection pubblicata al momento della raccolta dei dati o prima di essa, un link ben visibile “Do Not Sell or Share My Personal Information” sulla homepage e nel footer, e una gestione efficace dell'opt-out che includa il rispetto dei segnali Global Privacy Control (GPC). La mancata osservanza anche di uno solo di questi elementi costituisce un rischio di enforcement secondo l'attuale orientamento della California Privacy Protection Agency (CPPA).

Tre azioni che puoi intraprendere questa settimana per ridurre immediatamente tale rischio:

• Aggiungi un link “Do Not Sell or Share My Personal Information” al footer e alla homepage del tuo sito, che rimandi a un modulo interattivo di opt-out.
• Aggiorna il tuo banner cookie in modo da mostrare un'opzione “Decline All” nel primo livello, con pari rilevanza visiva rispetto a “Accept All”.
• Configura la tua piattaforma di gestione del consenso affinché rilevi e rispetti i segnali GPC come richieste valide di opt-out per il dispositivo o browser che li invia.

Il CPPA Enforcement Advisory No. 2024-02 e le CCPA March 15 regulations sono le due fonti principali che disciplinano questi requisiti. Entrambi sono citati in tutta questa guida.

Indice

• A quali aziende si applicano le regole CCPA/CPRA sui cookie?
• Cosa richiedono effettivamente CCPA/CPRA per cookie e informative?
• Come dovrebbe apparire e comportarsi il tuo banner cookie?
• Come rispettare gli opt-out: fasi di implementazione tecnica
• Come applica la CPPA le regole sui banner cookie?
• Cosa aggiornare nella privacy policy e nelle informative sui cookie
• Una tempistica di implementazione pratica e una checklist
• La tua checklist di conformità cookie CCPA/CPRA per questa settimana
• Punti chiave
• L'aspetto che la maggior parte delle guide sbaglia
• Passiro gestisce il lato tecnico così puoi concentrarti sulle decisioni
• Fonti utili per approfondire

A quali aziende si applicano le regole CCPA/CPRA sui cookie?

CCPA e CPRA si applicano alle aziende a scopo di lucro che raccolgono informazioni personali dai consumatori della California e soddisfano almeno una di tre soglie: ricavi lordi annui superiori a una soglia elevata; l'acquisto, la vendita, la ricezione o la condivisione di informazioni personali di un elevato numero di consumatori o nuclei familiari all'anno; oppure la derivazione di una parte significativa dei ricavi annui dalla vendita o condivisione di informazioni personali dei consumatori. Un'azienda non deve necessariamente essere costituita in California. Se serve residenti della California e soddisfa una soglia, la legge si applica.

Il tracciamento basato sui cookie attiva questi obblighi quando i dati raccolti tramite cookie, pixel o identificatori cross-device costituiscono “informazioni personali” ai sensi della normativa, il che include indirizzi IP, identificatori di dispositivo, cronologia di navigazione e profili inferiti. Un sito e-commerce che utilizza il tracciamento delle conversioni di Google Ads, un editore che incorpora pixel di ad network di terze parti, o una piattaforma SaaS che usa strumenti di analytics condividendo i dati di sessione con fornitori sono tutti esempi di operazioni in cui avviene la vendita o condivisione di informazioni personali tramite cookie.

Tipologie comuni di siti e i loro obblighi tipici:

• E-commerce con pubblicità mirata: la vendita o condivisione di identificatori con gli ad network attiva l'obbligo del link Do Not Sell or Share e la gestione dell'opt-out.
• Editori di contenuti con ad network: i pixel di terze parti che condividono i dati di navigazione per la pubblicità comportamentale costituiscono “condivisione” ai sensi del CPRA.
• Siti con soli analytics: se i dati di analytics non vengono venduti o condivisi con terze parti, il link Do Not Sell or Share potrebbe non essere richiesto, ma la Notice at Collection resta obbligatoria.
• Piattaforme SaaS B2B: se la piattaforma tratta informazioni personali di consumatori della California (non solo contatti aziendali), possono applicarsi gli obblighi CCPA.

I segnali GPC si applicano per dispositivo e per browser. Un utente che abilita GPC su un browser mobile ha effettuato l'opt-out per quel browser; lo stesso utente su un browser desktop senza GPC non lo ha fatto. La tua pipeline di opt-out deve gestire entrambi in modo indipendente.

Consiglio pratico: Se non sei sicuro se il tuo sito raggiunga una soglia di ricavi o di volume di dati, verifica prima i contratti con i tuoi fornitori di analytics e pubblicità. Molti siti superano inconsapevolmente la soglia dei 100.000 consumatori solo attraverso la normale raccolta di dati di analytics.

Cosa richiedono effettivamente CCPA/CPRA per cookie e informative?

Notice at Collection

La Notice at Collection deve essere pubblicata al momento della raccolta delle informazioni personali o prima di essa. Per un sito web, ciò significa in genere un link sulla pagina di raccolta stessa o un banner che appare prima che si attivi qualsiasi tracker non essenziale. L'informativa deve indicare:

• Le categorie di informazioni personali raccolte (ad es. identificatori, cronologia di navigazione, geolocalizzazione).
• Le finalità per cui viene raccolta ciascuna categoria.
• Se ciascuna categoria viene venduta o condivisa con terze parti.
• Il periodo di conservazione per ciascuna categoria, o i criteri utilizzati per determinarlo.
• Un link alla Notice of Right to Opt-Out of Sale or Sharing.

Per le applicazioni mobili, l'informativa deve apparire prima o al momento della raccolta, ad esempio in una schermata di autorizzazioni o all'interno del flusso di onboarding dell'app.

Il link Do Not Sell or Share

Lo statuto del California Consumer Privacy Act richiede un link chiaro e ben visibile sulle homepage internet dell'azienda intitolato “Do Not Sell or Share My Personal Information”. Il link deve condurre a una pagina in cui i consumatori possono inviare una richiesta di opt-out. Le aziende devono fornire almeno due metodi designati per l'invio delle richieste di opt-out, uno dei quali deve essere un modulo web interattivo accessibile tramite quel link. Ulteriori metodi accettabili includono un numero di telefono verde, un indirizzo email e la posta ordinaria.

Il GPC come opt-out valido

Le aziende che raccolgono informazioni personali online devono trattare i segnali GPC come richieste valide di opt-out per lo specifico dispositivo o browser che invia il segnale. Questo non è facoltativo. Un'azienda non può richiedere a un consumatore di cliccare anche sul link Do Not Sell or Share se il GPC è già abilitato. Il segnale è di per sé sufficiente.

Obblighi di tempistica

Un'azienda deve conformarsi a una richiesta di opt-out il prima possibile e comunque non oltre 15 giorni lavorativi dalla ricezione. Se le informazioni personali vengono vendute o condivise dopo la richiesta di opt-out ma prima del completamento della conformità, l'azienda deve informare tali terze parti e indicare loro di non vendere o utilizzare le informazioni di quel consumatore.

Come dovrebbe apparire e comportarsi il tuo banner cookie?

La simmetria nella scelta è il principio guida

Il CPPA Enforcement Advisory No. 2024-02 definisce il consenso come “liberamente prestato, specifico, informato e inequivocabile” e afferma esplicitamente che un accordo ottenuto tramite dark pattern non costituisce consenso. L'implicazione pratica per il design del banner è che “Accept All” e “Decline All” devono avere pari rilevanza visiva, dimensione dei pulsanti, peso cromatico e numero di passaggi necessari per raggiungerli.

Un banner che mostra “Accept All” come pulsante primario riempito e “More Information” come link testuale secondario non è conforme. Il California Code of Regulations identifica esplicitamente questo schema come asimmetrico e vietato.

Testo di esempio per il banner di primo livello per utenti della California

Variante breve:

Variante estesa (per un secondo livello o centro preferenze):

Checklist di cosa fare e cosa evitare

Da fare:

• Mostrare “Accept All” e “Decline All” nel primo livello con pari peso visivo.
• Usare un linguaggio semplice; evitare espressioni come “migliora la tua esperienza” in sostituzione della comunicazione della condivisione dei dati.
• Trattare un utente che chiude il banner senza effettuare una scelta come né consenso né opt-out; non attivare i tracker non essenziali.
• Collegare direttamente alla Notice at Collection e alla privacy policy dal banner.

Da evitare:

• Usare un pulsante “Accept” luminoso e riempito accanto a un'opzione “Decline” a basso contrasto o solo testuale.
• Richiedere agli utenti di navigare in un menu secondario per trovare “Decline All”.
• Usare doppie negazioni (“Non deselezionare per fare opt-out”).
• Aggiungere passaggi di conferma extra per il rifiuto che non sono presenti per l'accettazione.

Consiglio pratico: Testa il tuo banner con GPC abilitato in un browser basato su Chromium (il browser Brave abilita GPC di default) e verifica che nessun pixel di tracciamento di terze parti si attivi al caricamento della pagina. Esegui inoltre il flusso con uno screen reader per confermare che le opzioni di accettazione e rifiuto siano ugualmente raggiungibili tramite navigazione da tastiera.

Come rispettare gli opt-out: fasi di implementazione tecnica

Checklist di implementazione

1. Rileva i segnali GPC. Leggi l'header HTTP Sec-GPC: 1 e la proprietà JavaScript navigator.globalPrivacyControl a ogni caricamento di pagina. Associa il segnale al dispositivo/browser e sopprimi immediatamente tutti i tracker legati a vendita o condivisione.
2. Implementa il modulo Do Not Sell or Share. Crea o configura un modulo web interattivo accessibile dal link nel footer. Il modulo non deve richiedere la creazione di un account né informazioni superiori a quelle necessarie per elaborare la richiesta.
3. Blocca i tracker non essenziali prima che il consenso sia determinato. Utilizza il blocco automatico degli script per impedire che pixel di terze parti, tag pubblicitari e script di analytics si attivino finché la preferenza dell'utente non è nota. Ciò vale sia per le interazioni con il banner sia per il rilevamento del GPC.
4. Integra IAB TCF v2.3. Se il tuo sito utilizza fornitori registrati IAB, configura la tua piattaforma di gestione del consenso come CMP registrata IAB TCF v2.3. Questo garantisce che le stringhe di consenso a livello di fornitore vengano generate e trasmesse correttamente ai partner a valle. Per le indicazioni su design e implementazione del banner, una CMP registrata gestisce tutto questo automaticamente.
5. Integra Google Consent Mode v2. Trasmetti lo stato del consenso ai tag di Google utilizzando l'API gtag('consent', 'update', {...}) in modo che i prodotti di misurazione e pubblicità di Google rispettino la scelta dell'utente.
6. Informa le terze parti entro 15 giorni lavorativi. Se si verifica un evento di vendita o condivisione tra la ricezione di una richiesta di opt-out e la piena conformità, invia una notifica scritta a ciascuna terza parte interessata indicandole di non vendere o utilizzare i dati di quel consumatore.

Persistenza e ambito

Le preferenze di opt-out devono persistere tra le sessioni per il browser o dispositivo su cui sono state impostate. Un cookie o una voce di local storage che registra lo stato di opt-out dovrebbe avere una durata di almeno 12 mesi. Lo statuto vieta di ripresentare la richiesta a un consumatore che ha effettuato l'opt-out per almeno 12 mesi. I segnali GPC, invece, vengono rivalutati a ogni caricamento di pagina perché l'utente controlla il segnale a livello di browser; il tuo sistema non deve sovrascrivere un segnale GPC attivo con una preferenza di “opt-in” memorizzata da una sessione precedente.

Registrazione degli audit

Conserva questi record per un periodo minimo coerente con la tua politica di conservazione dei dati e con l'eventuale termine di prescrizione per le azioni di enforcement della CPPA. I regolatori si aspettano prove di un'azione tempestiva; una traccia di audit scarsa o mancante è di per sé un rischio di enforcement.

Come applica la CPPA le regole sui banner cookie?

L'orientamento di enforcement della CPPA dal 2024 si è concentrato su tre categorie di violazione: dark pattern nelle interfacce di consenso, Notice at Collection inadeguata o assente, e mancato rispetto dei segnali di opt-out, incluso il GPC.

L'Enforcement Advisory No. 2024-02 fornisce la dichiarazione più chiara di ciò che i regolatori considerano non conforme:

Tra i trigger di enforcement specifici individuati dall'advisory ci sono:

• Banner che offrono “Accept All” nel primo livello ma richiedono agli utenti di navigare a una schermata secondaria per rifiutare.
• Interfacce in cui il pulsante “sì” è visivamente dominante e l'opzione “no” è de-enfatizzata tramite colore, dimensione o posizione.
• Trattare la chiusura del banner o l'inazione come consenso implicito al trattamento dei dati.
• Nascondere il link Do Not Sell or Share in una privacy policy anziché collocarlo in modo ben visibile sulla homepage.

Misure di mitigazione del rischio:

• Documenta ogni decisione di design nel tuo banner e flusso di consenso, incluso il razionale per i colori dei pulsanti, la loro posizione e i testi.
• Esegui audit UX periodici con utenti reali per confermare che i percorsi di opt-out non siano più difficili da navigare rispetto a quelli di opt-in.
• Conserva i log di audit e i timestamp come descritto sopra; i regolatori possono richiedere prove di quando gli opt-out sono stati ricevuti e gestiti.
• Rispondi tempestivamente a qualsiasi richiesta della CPPA; le risposte tardive aggravano il rischio di enforcement.

I regolatori trattano l'architettura delle scelte a livello di design come una decisione di conformità. Un semplice cambiamento visivo, come rendere il pulsante “Accept” verde e il pulsante “Decline” grigio, può trasformare un banner lecito in un bersaglio di enforcement.

Cosa aggiornare nella privacy policy e nelle informative sui cookie

Checklist per la Notice at Collection

La tua Notice at Collection deve includere:

• Le categorie di informazioni personali raccolte, associate a ciascun punto di raccolta.
• La finalità specifica per ciascuna categoria.
• Una dichiarazione chiara sul fatto che ciascuna categoria venga venduta o condivisa con terze parti.
• I periodi di conservazione o i criteri utilizzati per determinarli.
• Un link alla Notice of Right to Opt-Out of Sale or Sharing.

Per il web, l'informativa può essere un link sulla pagina web di raccolta. Per il mobile, deve apparire prima o al momento della raccolta.

Contenuto obbligatorio della privacy policy

Secondo le indicazioni della CPPA, la privacy policy deve coprire:

• Le categorie di informazioni personali raccolte negli ultimi 12 mesi e le fonti di tali informazioni.
• Le finalità aziendali o commerciali della raccolta.
• Le categorie di terze parti a cui vengono comunicate le informazioni personali.
• Le istruzioni per esercitare i diritti di opt-out, incluso il link Do Not Sell or Share.
• Una spiegazione di come vengono elaborati i segnali di preferenza di opt-out, incluso il GPC.
• Il processo di verifica per le richieste di esercizio dei diritti dei consumatori.

Indicazioni per la tabella dei cookie

Etichetta ogni cookie come essenziale o non essenziale. I cookie essenziali, quelli strettamente necessari al funzionamento del sito, non richiedono la gestione dell'opt-out, ma devono comunque essere indicati nella Notice at Collection. I cookie non essenziali che vengono venduti o condivisi richiedono il meccanismo Do Not Sell or Share.

Estratto di policy di esempio per il posizionamento del link Do Not Sell or Share

Inserisci quanto segue nella tua privacy policy e nel footer della homepage:

Una tempistica di implementazione pratica e una checklist

Piano di progetto per fasi

1. Discovery (giorni 1–2): analizza tutti gli script e pixel di terze parti sul tuo sito. Individua quali costituiscono vendita o condivisione di informazioni personali. Verifica il tuo banner attuale per simmetria e gestione del GPC. Documenta le lacune.
2. Design del banner e configurazione della CMP (giorni 3–5): aggiorna o implementa una piattaforma di gestione del consenso con pulsanti Accept All e Decline All di pari rilevanza nel primo livello. Configura il geo-targeting per mostrare il banner specifico per la California ai visitatori della California. Per i siti WordPress, una CMP basata su plugin può ridurre questa fase a poche ore.
3. Blocco degli script (giorni 3–5, in parallelo): abilita il blocco automatico degli script così che i tracker non essenziali non si attivino prima che il consenso sia determinato. Testa con GPC abilitato per confermare che nessun pixel si carichi all'ingresso nella pagina.
4. Endpoint di opt-out lato server (giorni 5–10): crea o configura il modulo interattivo Do Not Sell or Share. Integra con il tuo CRM o data platform per sopprimere la vendita o condivisione per gli utenti che hanno effettuato l'opt-out. Imposta il workflow di notifica alle terze parti entro 15 giorni lavorativi.
5. Registrazione degli audit (giorni 5–10, in parallelo): implementa i campi del log descritti nella sezione tecnica sopra. Conferma che i segnali GPC, le interazioni con il banner e gli invii tramite il link nel footer vengano tutti registrati.
6. QA e lancio (giorni 10–14): simula il GPC in più browser. Verifica che nessun pixel di tracciamento si attivi prima del consenso. Convalida che le preferenze di opt-out persistano tra le sessioni. Conferma che i workflow di notifica alle terze parti si attivino correttamente.

Stime di tempistica per dimensione del sito

Consiglio pratico: Per le grandi piattaforme, usa i feature flag per implementare gradualmente la gestione del GPC e il blocco degli script. Distribuisci prima al 5–10% del traffico dalla California, monitora eventuali malfunzionamenti, poi espandi. Questo riduce il rischio di un'interruzione dell'intero sito a causa di una regola del tag manager mal configurata.

La tua checklist di conformità cookie CCPA/CPRA per questa settimana

Azioni ad alta priorità da completare entro i prossimi giorni:

• Aggiungi il link Do Not Sell or Share alla tua homepage e al footer del sito. Il link deve essere intitolato esattamente “Do Not Sell or Share My Personal Information” o “Your Privacy Choices” e deve aprire un modulo interattivo di opt-out.
• Aggiorna il tuo banner per mostrare “Decline All” nel primo livello con lo stesso peso visivo di “Accept All”. Rimuovi qualsiasi design che renda il rifiuto più difficile o meno visibile dell'accettazione.
• Abilita il rilevamento del GPC nella tua piattaforma di gestione del consenso o nell'implementazione personalizzata. Testa con navigator.globalPrivacyControl nella console del browser e conferma che gli script non essenziali non vengano caricati quando il GPC è attivo.
• Blocca i tracker non essenziali prima che il consenso sia determinato. Verificalo con la scheda network del tuo browser: nessuna richiesta pubblicitaria o di analytics di terze parti dovrebbe comparire al caricamento iniziale della pagina prima che venga effettuata una scelta sul banner.
• Aggiorna la tua Notice at Collection per includere categorie, finalità, stato di vendita/condivisione, conservazione e il link di opt-out.
• Aggiungi il linguaggio relativo alla gestione del GPC alla tua privacy policy.
• Testa la persistenza dell'opt-out rifiutando, chiudendo il browser, riaprendolo e confermando che nessun tracker non essenziale si attivi al ritorno.
• Avvia un log di audit che catturi timestamp, metodo, ambito e versione del banner per ogni evento di preferenza.

Per i riferimenti normativi da condividere con il tuo team legale: CPPA Enforcement Advisory No. 2024-02, le CCPA March 15 regulations e la CPPA Notice at Collection guidance.

Questo articolo fornisce informazioni generali sui requisiti CCPA/CPRA e non costituisce consulenza legale. Verifica i requisiti attuali con la California Privacy Protection Agency o con un avvocato qualificato in materia di privacy per la tua situazione specifica.

Punti chiave

CCPA e CPRA richiedono una Notice at Collection, un link Do Not Sell or Share ben visibile e una gestione efficace dell'opt-out incluso il GPC, ma non richiedono un banner di consenso con opt-in in stile GDPR.

L'aspetto che la maggior parte delle guide sbaglia

La maggior parte degli articoli sulla conformità cookie CCPA si concentra sul fatto che un banner sia tecnicamente richiesto. È la domanda sbagliata. Lo storico di enforcement della CPPA rende chiaro che l'agenzia è molto più interessata a come vengono presentate le scelte che al fatto che un banner esista o meno. Un'azienda senza banner ma con un link Do Not Sell or Share funzionante nel footer e un rilevamento GPC operativo si trova in una posizione più solida rispetto a un'azienda con un banner elaborato che nasconde l'opzione di rifiuto dietro due clic aggiuntivi.

Il requisito di simmetria dell'11 CCR § 7004(a)(2) non è una preferenza di design. È uno standard legale, e i regolatori lo applicano a livello di pixel. Un pulsante “Decline” più piccolo del 20% rispetto a “Accept”, o reso in un grigio che non rispetta gli standard di rapporto di contrasto, è il tipo di dettaglio che compare nella corrispondenza di enforcement. Gli esempi illustrativi dell'advisory non sono ipotetici; descrivono schemi di interfaccia reali che la CPPA ha segnalato.

Esiste inoltre una persistente idea errata secondo cui il GPC sia un segnale di nicchia utilizzato da un piccolo numero di utenti attenti alla privacy. I controlli sulla privacy a livello di browser stanno diventando funzionalità standard, non casi limite. Costruire la gestione del GPC come un ripensamento, anziché come input di primo piano della tua pipeline di opt-out, è un debito tecnico che si aggrava nel tempo man mano che sempre più browser abilitano il segnale di default.

La posizione di conformità più durevole è quella costruita sulla documentazione: registra ogni decisione di design, ogni evento di opt-out e ogni notifica alle terze parti. I regolatori non si aspettano la perfezione; si aspettano prove di un'azione tempestiva e in buona fede.

Passiro gestisce il lato tecnico così puoi concentrarti sulle decisioni

Implementare correttamente i meccanismi di informativa e opt-out CCPA/CPRA richiede una piattaforma di gestione del consenso che gestisca il rilevamento del GPC, il blocco automatico degli script e la registrazione degli audit senza richiedere sviluppo personalizzato per ogni sito. Passiro è una CMP registrata IAB TCF v2.3 (CMP ID 499) con integrazione Google Consent Mode v2, un database di oltre 4.900 tracker aggiornato quotidianamente da EasyPrivacy e banner geo-targettizzati che mostrano automaticamente le informative specifiche per la California ai visitatori della California.

Il piano gratuito copre domini illimitati e traffico illimitato, senza limiti di pagine né scadenze. Il designer visuale ti permette di configurare pulsanti Accept All e Decline All di pari rilevanza senza scrivere CSS, e il supporto a 25 lingue gestisce siti multi-regione da un unico account. Due limitazioni da segnalare: Passiro non include l'automazione delle DSAR (Data Subject Access Request) e non offre funzionalità di gestione del rischio dei fornitori. Per queste funzioni è necessario uno strumento dedicato alle operazioni di privacy accanto alla CMP.

Per i siti WordPress, il plugin Passiro per WordPress si installa in pochi minuti e gestisce il blocco degli script, il rilevamento del GPC e la registrazione del consenso da subito. Gli utenti di website builder su Wix, Squarespace o Webflow possono effettuare il deploy tramite l'integrazione per website builder. Il piano gratuito è permanente, non una prova.

Fonti utili per approfondire

I seguenti documenti primari sono i riferimenti autorevoli per i requisiti CCPA/CPRA su cookie e consenso. Condividi i riferimenti normativi con il tuo team legale e usa l'advisory della CPPA per la revisione UX.

• CPPA Enforcement Advisory No. 2024-02 (Consent): la fonte principale per i divieti sui dark pattern, il requisito di simmetria nella scelta e la definizione di consenso valido. Usalo per la revisione del design del banner e l'approvazione legale.
• CCPA March 15 Regulations (OAG): il testo definitivo del regolamento che copre i metodi di opt-out, la gestione del GPC, la finestra di conformità di 15 giorni lavorativi e i requisiti di notifica alle terze parti. Usalo per la QA tecnica e la progettazione della pipeline di opt-out.
• CPPA Notice at Collection Guidance: specifica il contenuto e il posizionamento richiesti per la Notice at Collection e la privacy policy. Usalo per la redazione delle policy e la costruzione della tabella dei cookie.
• California Consumer Privacy Act Statute (CPPA): il testo statutario completo di CCPA e CPRA, inclusi i requisiti del link Do Not Sell or Share ai sensi del Civil Code § 1798.135. Usalo per la revisione legale dell'ambito e delle soglie di applicabilità.
• California Code of Regulations, 11 CCR § 7004 (Westlaw): il testo regolamentare sui metodi di invio delle richieste e di ottenimento del consenso, inclusi gli esempi illustrativi di interfacce asimmetriche vietate. Usalo per la documentazione di conformità UX.
• CPPA Announcements (cppa.ca.gov): annunci e aggiornamenti di enforcement attuali dell'agenzia. Monitora questa pagina per nuovi advisory e attività di rulemaking.
• OAG CCPA Overview (oag.ca.gov): la panoramica del Procuratore Generale della California sui diritti CCPA e sugli obblighi delle aziende. Utile come riferimento in linguaggio semplice per gli stakeholder non legali.

Consigliati

• Banner cookie – Guida a design, implementazione e conformità | Passiro
• Cookie Disclaimer: guida alla conformità 2026 per i proprietari di siti web | Passiro
• Cookie Compliance – La tua guida completa al consenso cookie e alle normative sulla privacy | Passiro
• Checklist di conformità cookie – Verifica in 25 punti per il tuo sito web | Passiro