Colorado Privacy Act: GPC, dati dei minori e cosa deve fare il tuo sito web

Il CPA si applica alla tua organizzazione?

Le norme generali riguardano i titolari del trattamento che operano in Colorado o si rivolgono intenzionalmente ai suoi residenti e che:

• Volume: controllano o trattano dati personali di almeno 100.000 consumatori del Colorado in un anno solare; oppure
• Vendita di dati: ottengono ricavi o sconti dalla vendita di dati personali e controllano o trattano dati di almeno 25.000 consumatori.

Non esiste una soglia di fatturato, e le indicazioni del Procuratore generale confermano che le organizzazioni non profit sono soggette alla legge, a differenza di Virginia e Utah. Le esenzioni comprendono gli istituti finanziari soggetti al GLBA, i vettori aerei, i dati disciplinati dall’HIPAA e i dati dei dipendenti.

Le norme sui minori e sui dati biometrici hanno una portata più ampia: si applicano anche ai titolari del trattamento al di sotto di queste soglie, come mostra la tabella seguente.

Cosa è cambiato da quando la legge è entrata in vigore?

Come devi gestire il GPC e gli altri segnali di opt-out?

Se vendi dati personali o li usi per la pubblicità mirata, il CPA ti impone di accettare gli opt-out inviati tramite un meccanismo universale di opt-out riconosciuto. L’elenco del Procuratore generale ne indica attualmente uno: Global Privacy Control (GPC).

In base alle CPA Rules, il GPC è un opt-out valido dalla pubblicità mirata e dalla vendita per quel browser o dispositivo e, se conosci la persona, per quel consumatore. Resta valido finché la persona non dà il consenso; una visita successiva senza il segnale non equivale a un consenso, e non puoi imporre un accesso.

Gli opt-out diretti restano importanti: indica il metodo di opt-out nella tua informativa sulla privacy e in un punto accessibile al di fuori di essa, come un link nel footer. L’informativa deve inoltre spiegare come elabori i segnali di opt-out.

Passiro gestisce il GPC in tutti i piani e tratta il segnale come opt-out; la guida al GPC spiega come verificare cosa fanno i tuoi tag e i flussi lato server con questo segnale.

Cosa si applica agli utenti minori di 18 anni?

Dal 1° ottobre 2025, la SB24-041 si applica quando offri un servizio online a una persona che sai essere minore di 18 anni, o di cui ignori deliberatamente la minore età. Devi usare una ragionevole diligenza per evitare un rischio accresciuto di danno ai minori.

Senza il consenso del minore, o di un genitore o tutore se il minore ha meno di 13 anni, non puoi:

• trattare i dati di un minore per pubblicità mirata, vendita o profilazione significativa;
• usarli oltre le finalità comunicate al momento della raccolta, o conservarli più a lungo del necessario;
• usare funzionalità di design per aumentare, mantenere o estendere in modo significativo l’uso da parte di un minore;
• raccogliere la geolocalizzazione precisa, a meno che non sia necessaria per il servizio, conservata solo per il tempo necessario e segnalata al minore per tutta la durata.

La legge non impone la verifica dell’età. Quando una funzione crea un rischio accresciuto di danno, documenta una valutazione e un piano per ridurre il rischio, e non usare richieste di consenso progettate per aggirare la scelta di un minore.

In quali altri casi serve il consenso?

Ti serve il consenso prima di trattare o vendere dati sensibili: dati che rivelano l’origine razziale o etnica, le convinzioni religiose, una condizione di salute o una diagnosi, la vita sessuale o l’orientamento sessuale o lo status di cittadinanza; dati genetici, biometrici, biologici o neurali usati per identificare una persona; i dati di un bambino di cui si conosce l’età; e la geolocalizzazione precisa entro 1.850 piedi (circa 560 metri).

Il consenso è necessario anche per usi secondari che non sono ragionevolmente necessari o compatibili rispetto alle finalità comunicate, e per la pubblicità mirata o la vendita dopo un opt-out. L’accettazione di condizioni generiche, o un assenso ottenuto tramite dark pattern, non vale come consenso.

Le CPA Rules impongono di rinnovare il consenso per i dati sensibili dopo 24 mesi senza interazioni, a meno che il consumatore non possa modificare le proprie scelte in qualsiasi momento in una pagina di impostazioni. Per gli identificatori biometrici servono inoltre una policy di conservazione pubblica e un’informativa sulla finalità e sulla conservazione prima della raccolta.

Come funzionano richieste e ricorsi?

I consumatori possono esercitare l’opt-out, accedere ai propri dati, rettificarli e cancellarli, e ricevere una copia portabile fino a due volte per anno solare. Per un’attività esclusivamente online, secondo il Procuratore generale un indirizzo email è sufficiente come metodo per le richieste.

Rispondi entro 45 giorni (prorogabili di 45). Se rifiuti, indica il motivo e come presentare ricorso. Il ricorso deve essere ben visibile e semplice quanto la richiesta; rispondi per iscritto entro 45 giorni (prorogabili di 60) e informa il consumatore che può rivolgersi al Procuratore generale.

Checklist per il sito web

• GPC attivo: visita il sito con il GPC attivato, poi di nuovo senza; i tag pubblicitari e di vendita dovrebbero restare disattivati entrambe le volte, senza accesso.
• Clienti noti: un cliente che ha esercitato l’opt-out e ha effettuato l’accesso non dovrebbe comparire nel successivo caricamento di audience o di liste clienti.
• Opt-out diretto: usa il link di opt-out nel footer come utente di prova; dovrebbe interrompere le stesse attività del GPC.
• Consenso: verifica moduli e richieste di localizzazione; i dati sensibili, compresa la posizione precisa, non dovrebbero essere trasmessi prima che il consenso venga registrato.
• Minori: per gli utenti che sai essere minori di 18 anni, pubblicità, vendita e posizione precisa dovrebbero restare disattivate senza consenso.
• Richiesta e ricorso: rifiuta una richiesta di prova e presenta ricorso; la risposta scritta dovrebbe menzionare il Procuratore generale.

Domande frequenti