CCPA: Cosa significano per il tuo sito i diritti sulla privacy in California

CCPA e CPRA: un’unica legge modificata

Gli elettori californiani hanno approvato il California Privacy Rights Act (CPRA) nel novembre 2020. Il CPRA ha modificato il CCPA, con modifiche in vigore dal 1° gennaio 2023, quindi non esiste un regime CPRA separato: valuta il tuo sito rispetto al CCPA come modificato.

Questa guida tratta l’ambito di applicazione e il percorso principale sul sito. La guida al CPRA spiega cosa hanno cambiato le modifiche, tra cui informazioni personali sensibili, rettifica, conservazione e i regolamenti del 2025.

A chi si applica il CCPA

Le soglie indicate in cima a questa pagina provengono dalle FAQ della California Privacy Protection Agency. L’importo dei ricavi viene adeguato all’inflazione ogni anno dispari: 26.625.000 $ si applicano dal 1° gennaio 2025 e il prossimo adeguamento è previsto per il 1° gennaio 2027.

Anche un’impresa con sede fuori dalla California può rientrare nella legge, così come le società affiliate che condividono il marchio e le informazioni personali di un’impresa soggetta. Alcune organizzazioni e alcuni tipi di informazioni sono esenti. Le visite al sito web non sostituiscono il criterio dei 100.000 consumatori o nuclei familiari.

Documenta perché rientri o non rientri nell’ambito di applicazione e ripeti la valutazione quando cambiano i ricavi, il modello di business o le pratiche sui dati.

Vendita, condivisione, pubblicità e fornitori di servizi

L’opt-out riguarda la vendita e la condivisione. Se uno strumento vi rientri dipende da ciò che il destinatario fa con i dati e dal contratto alla base, non dal nome dello strumento.

Definire uno strumento “di analisi”, o spostare lo stesso evento da un pixel a una connessione lato server, non cambia la valutazione.

Com’è fatto un controllo “Do Not Sell or Share” funzionante

Un’impresa che vende o condivide informazioni personali raccolte online deve offrire almeno due metodi di opt-out. Uno è il trattamento dei segnali di preferenza di opt-out come GPC. L’altro è uno dei seguenti:

• Link “Do Not Sell or Share My Personal Information” nell’intestazione o nel footer della homepage, che esegue subito l’opt-out del visitatore o porta a un modulo di opt-out.
• Link di opt-out alternativo (Alternative Opt-out Link): un unico link “Your Privacy Choices” o “Your California Privacy Choices” con l’icona ufficiale di opt-out, che copre l’opt-out e il diritto di limitare l’uso delle informazioni personali sensibili.
• Nessun link: solo se tratti i segnali senza attriti, il segnale esegue completamente l’opt-out (inclusa qualsiasi vendita o condivisione offline) e la tua informativa sulla privacy lo spiega.

Un generico banner cookie o pannello delle impostazioni dei cookie non è di per sé un metodo accettabile, perché riguarda la raccolta, non la vendita o la condivisione. Il controllo deve nominare la vendita e la condivisione, richiedere passaggi minimi e non richiedere un account (regolamenti CCPA §7013, §7015 e §7026).

Esempio: il link nel footer di un negozio online

Esempio illustrativo: un negozio online di attrezzatura outdoor usa un pixel pubblicitario e un caricamento settimanale della lista clienti per la pubblicità comportamentale cross-context. Il link nel footer “Your Privacy Choices”, con l’icona di opt-out, apre una pagina che spiega il diritto e offre due pulsanti ugualmente visibili: “Opponiti alla vendita e alla condivisione” e “Mantieni le impostazioni attuali”. Lo stato attuale è indicato a parole.

Quando il visitatore esercita l’opt-out:

• Il pixel smette di inviare alla piattaforma gli eventi di questo browser per la pubblicità comportamentale cross-context.
• L’account di un cliente che ha effettuato l’accesso viene contrassegnato ed escluso dal successivo caricamento della lista.
• I terzi che hanno ricevuto i dati dopo la richiesta, ma prima che il negozio intervenisse, vengono informati dell’opt-out.
• La pagina conferma il risultato, ad esempio “Opt-Out Request Honored”.
• Il checkout, il carrello e le analisi affidate a fornitori di servizi continuano a funzionare.

Interrompi non appena concretamente possibile ed entro 15 giorni lavorativi; i trasferimenti che puoi interrompere immediatamente, come le aste pubblicitarie in tempo reale, devono cessare subito. Poi attendi almeno 12 mesi prima di chiedere al visitatore di aderire di nuovo (opt-in).

Rispetta i segnali di preferenza di opt-out

Un’impresa soggetta alla legge che vende o condivide deve trattare un segnale idoneo, come Global Privacy Control, come una richiesta di opt-out valida per quel browser o dispositivo e per qualsiasi profilo collegato, nonché per il consumatore, se noto. Pubblicare i link di opt-out non elimina questo obbligo.

Testa una prima visita, una visita di ritorno e un account con accesso effettuato, comprese le destinazioni lato server. La guida a Global Privacy Control tratta i conflitti con scelte precedenti e il messaggio di stato richiesto.

Informative e richieste dei consumatori

Le informazioni personali includono gli identificatori dei cookie, l’attività di navigazione e i dati collegati a un nucleo familiare. Per ogni strumento, registra cosa raccoglie, perché e chi lo riceve, compresi i servizi incorporati e le integrazioni lato server.

Fornisci l’informativa al momento della raccolta o prima: le categorie, le finalità e se le informazioni vengono vendute o condivise, con un link alla tua informativa sulla privacy. Controlla i moduli di contatto, la registrazione degli account e le landing page delle campagne, oltre alla homepage. La pagina sul CCPA del Procuratore generale della California riassume questi obblighi.

Gestisci le richieste di conoscere, cancellare, rettificare e ricevere le informazioni in formato portabile, fatte salve le eccezioni, senza penalizzare chi esercita i propri diritti. Verifica l’identità in modo proporzionato per queste richieste; le richieste di opt-out non richiedono verifica. Assicurati che ogni richiesta raggiunga i sistemi e i fornitori che detengono i dati.

Checklist per il sito web

• Ambito: registra quale soglia si applica, o perché non se ne applica nessuna.
• Destinatari: classifica ogni strumento come vendita, condivisione, fornitore di servizi o appaltatore.
• Modalità di opt-out: scegli il link, il link alternativo o la gestione dei segnali senza attriti.
• Effetto: conferma che pixel, eventi lato server e caricamenti di liste si interrompono dopo un opt-out.
• Segnali: testa GPC su una nuova visita e su un account con accesso effettuato.
• Richieste: segui una richiesta di accesso, cancellazione e rettifica attraverso i sistemi collegati.

Domande frequenti