Cosa ha cambiato il CPRA nella legge sulla privacy della California

Il rapporto tra CPRA e CCPA

Il CPRA ha modificato il testo del CCPA invece di aggiungere una legge parallela. Oggi esiste un unico quadro normativo californiano, il CCPA come modificato, quindi non creare esperienze di consenso separate per “CCPA” e “CPRA”.

Usa la guida al CCPA per sapere chi è soggetto alla legge, le informative, il link di opt-out e le richieste dei consumatori. Questa pagina spiega cosa è cambiato e come incide sul tuo sito web. Le date principali:

• Novembre 2020: gli elettori californiani hanno approvato la Proposition 24, il CPRA.
• 1° gennaio 2023: sono entrate in vigore le modifiche del CPRA al CCPA.
• 1° luglio 2023: è potuta iniziare l’applicazione civile e amministrativa delle disposizioni modificate, per le violazioni commesse a partire da tale data.

Cosa è cambiato per i siti web

La tabella riassume le modifiche che più spesso incidono su un sito web; le sezioni seguenti le spiegano una per una.

Condivisione per la pubblicità comportamentale cross-context

Per pubblicità comportamentale cross-context si intende la selezione degli annunci in base all’attività di una persona su siti web, app o servizi di altre aziende. Elenca gli strumenti che ricevono eventi di navigazione, identificatori, acquisti o dati sulle audience e verifica se il destinatario li usa in questo modo.

Una dichiarazione come “non vendiamo mai informazioni personali” può essere fuorviante se ignora la condivisione. Allinea la dichiarazione, il comando di opt-out e la configurazione, e verifica sia i percorsi nel browser sia quelli lato server. Un fornitore che offre pubblicità comportamentale cross-context è una terza parte, non un service provider.

Informazioni personali sensibili e diritto di limitarne l’uso

Le informazioni personali sensibili comprendono, tra le altre categorie, i numeri di identificazione rilasciati dalle autorità pubbliche, le credenziali di accesso agli account con relativa password, la geolocalizzazione precisa, le informazioni sanitarie e l’origine razziale o etnica.

La legge consente alcuni usi senza diritto di limitazione, come fornire i beni o i servizi richiesti dal consumatore. Il diritto di limitare l’uso si applica agli usi che vanno oltre. Usare le credenziali dell’account per far accedere una persona è un uso consentito; riutilizzare i dati sensibili per la profilazione potrebbe non esserlo. Se li usi solo per finalità consentite e lo dichiari nella tua informativa sulla privacy, non hai bisogno del link “Limit the Use of My Sensitive Personal Information”.

Diritto di rettifica

Un cliente può chiederti di rettificare informazioni personali inesatte, e devi compiere sforzi commercialmente ragionevoli per farlo. Individua il record di riferimento e i sistemi che ne copiano i dati.

Verifica una richiesta dalla ricezione al completamento. Se un dato corretto viene poi sovrascritto da una vecchia integrazione, il processo va ancora migliorato.

Conservazione e minimizzazione dei dati

Al momento della raccolta o prima, comunica per quanto tempo intendi conservare ciascuna categoria di informazioni personali, o i criteri che usi, e non conservarle più a lungo di quanto ragionevolmente necessario. Anche la raccolta e l’uso devono essere ragionevolmente necessari e proporzionati alle finalità che hai comunicato.

Evita un vago “per il tempo necessario” quando è possibile indicare un periodo specifico. Confronta la conservazione tra sito web, strumenti di analisi, piattaforma clienti, esportazioni pubblicitarie e backup.

Contratti e controlli sui destinatari

Vendere o condividere dati con una terza parte, oppure comunicarli a un service provider o a un contractor, richiede un accordo che limiti l’uso a finalità specificate, trasferisca gli obblighi del CCPA e ti consenta di intervenire contro gli usi non autorizzati. Una generica clausola di riservatezza non basta.

I contratti da soli non controllano i flussi di dati. Verifica che le impostazioni e l’uso effettivo di ciascun destinatario corrispondano al suo ruolo contrattuale.

Valutazioni del rischio, audit di cybersicurezza e ADMT

Il CPRA ha anche incaricato l’autorità californiana per la privacy di redigere norme su valutazioni del rischio, audit di cybersicurezza e tecnologie decisionali automatizzate (ADMT). Il Board della CPPA le ha adottate il 24 luglio 2025, l’Office of Administrative Law le ha approvate il 22 settembre 2025 e sono entrate in vigore il 1° gennaio 2026 (pagina della CPPA sul processo normativo). Le scadenze per la conformità sono scaglionate:

Fai attenzione al presupposto per la valutazione del rischio: un’azienda soggetta che condivide informazioni personali per la pubblicità comportamentale cross-context sta vendendo o condividendo, quindi l’obbligo può applicarsi anche a un normale sito web di marketing. Le valutazioni vanno aggiornate entro 45 giorni da una modifica sostanziale e riesaminate almeno ogni tre anni.

Le scadenze per gli audit di cybersicurezza dipendono dal fatturato lordo annuo: oltre 100 milioni di dollari, prima relazione entro il 1° aprile 2028; tra 50 e 100 milioni di dollari, entro il 1° aprile 2029; sotto i 50 milioni di dollari, entro il 1° aprile 2030. Valuta le tue attività rispetto a queste norme e tieni questa analisi separata dalla configurazione del banner.

Checklist operativa

Rivedi questi punti ogni volta che aggiungi un’integrazione pubblicitaria, una funzione di localizzazione o uno strumento di personalizzazione, anche se il banner resta invariato.

• Condivisione: elenca ogni strumento che riceve dati di navigazione o sulle audience, con il relativo ruolo.
• Effetto dell’opt-out: verifica che vendita e condivisione si interrompano nei flussi nel browser e lato server.
• Dati sensibili: decidi se è necessario un comando “Limit” e annota il motivo.
• Conservazione: confronta i periodi indicati nell’informativa con le impostazioni effettive di ciascun sistema.
• Rettifica: segui una richiesta attraverso tutti i sistemi collegati.
• Contratti: verifica che il contratto di ciascun destinatario corrisponda al suo uso effettivo.
• Nuovi obblighi: valuta ora se servono valutazioni del rischio, e per l’ADMT entro il 1° gennaio 2027.

Domande frequenti