Utah, Stati Uniti
Legge sulla privacy dei consumatori
UCPA dello Utah: A chi si applica e cosa devono fare i siti web
Il Consumer Privacy Act dello Utah si applica solo quando un’impresa soddisfa sia un requisito di fatturato di 25 milioni di $ sia un requisito relativo ai dati. Se si applica, il tuo sito web deve permettere di opporsi alla pubblicità mirata e alla vendita dei dati, fornire un’informativa e la possibilità di opporsi per i dati sensibili e prevedere una procedura per le richieste che ora include anche la rettifica.
In sintesi
- A chi può applicarsi
- Titolari e responsabili del trattamento che operano nello Utah o si rivolgono allo Utah, con un fatturato annuo di almeno 25 milioni di $, che trattano inoltre ogni anno dati di 100.000+ consumatori dello Utah, oppure di 25.000+ se oltre il 50% del fatturato deriva dalla vendita di dati. Le organizzazioni non profit sono esenti.
- Che cos’è
- Una legge statale sulla privacy dei consumatori: lo Utah Consumer Privacy Act (Utah Code, titolo 13, capitolo 61), in vigore dal 31 dicembre 2023, la cui applicazione spetta all’Attorney General.
- Scelte da offrire
- Possibilità di opporsi alla pubblicità mirata e alla vendita. Per i dati sensibili, un’informativa chiara e la possibilità di opporsi prima del trattamento, non un opt-in generale. I dati che sai riferirsi a bambini seguono il COPPA.
- Azioni per il sito web
- Applica il requisito di fatturato e uno dei requisiti sui dati, poi verifica le esenzioni.
- Indica chiaramente e testa come opporsi alla pubblicità mirata e alla vendita.
- Fornisci un’informativa e la possibilità di opporsi prima di trattare dati sensibili.
- Rispondi entro 45 giorni alle richieste di accesso, cancellazione, portabilità e rettifica.
- Fonti primarie
- Utah Code, titolo 13, capitolo 61: Utah Consumer Privacy Act; Utah Division of Consumer Protection: UCPA
- Ultima revisione
L’UCPA si applica alla tua azienda?
Segui questi passaggi nell’ordine. L’UCPA si applica solo se rispondi sì ai passaggi 1–3 e non si applica alcuna esenzione.
- Collegamento con lo Utah: svolgi attività nello Utah o offri un prodotto o servizio rivolto ai residenti dello Utah?
- Fatturato: il tuo fatturato annuo è pari o superiore a 25.000.000 $? Il fatturato da solo non ti fa mai rientrare nell’ambito di applicazione.
- Dati: in un anno solare, controlli o tratti dati personali di 100.000 o più consumatori dello Utah, oppure ricavi oltre il 50% del fatturato lordo dalla vendita di dati personali trattando dati di 25.000 o più consumatori?
- Esenzioni: sei un’organizzazione esente, oppure sono esenti i dati stessi?
La disposizione sull’ambito di applicazione esenta, tra gli altri, le società non profit, gli istituti di istruzione superiore, gli enti pubblici, le tribù, i soggetti disciplinati dall’HIPAA (covered entities) e i loro business associates, gli istituti finanziari soggetti al GLBA e i vettori aerei. Tra i dati esenti rientrano le informazioni sanitarie protette e i dati di dipendenti o candidati a un impiego.
Per consumatore si intende un residente dello Utah che agisce in ambito individuale o familiare. Conta i residenti dello Utah di cui tratti i dati, non le visualizzazioni di pagina, e conserva una nota datata con i dati numerici alla base della tua decisione.
Cosa deve offrire un sito web soggetto alla legge?
La tua informativa sulla privacy deve essere ragionevolmente accessibile e chiara, e indicare le categorie di dati personali, le finalità, come esercitare i diritti, le categorie di dati condivisi e quelle dei terzi che li ricevono.
Se vendi dati personali o fai pubblicità mirata, devi indicare in modo chiaro e ben visibile come i consumatori possono opporsi. Nello Utah una vendita richiede un corrispettivo in denaro, mentre la pubblicità mirata è un’attività distinta: “non vendiamo dati” non risolve quindi la questione dell’opposizione alla pubblicità mirata.
Esempio: un rivenditore soggetto alla legge usa una rete pubblicitaria per raggiungere i visitatori su siti web non collegati. Quando un cliente dello Utah si oppone alla pubblicità mirata, controlla sia il tag nel browser sia qualsiasi caricamento di audience che usa i suoi dati. L’elaborazione degli ordini può continuare.
L’UCPA non menziona i segnali di opposizione inviati dal browser come Global Privacy Control. Rispettare il GPC per i visitatori dello Utah è una tua scelta, non un obbligo dell’UCPA.
Come tratta lo Utah i dati sensibili?
Sono dati sensibili i dati che rivelano l’origine razziale o etnica, le convinzioni religiose, l’orientamento sessuale, la cittadinanza o lo status migratorio, oppure la storia clinica e le informazioni sanitarie; i dati genetici o biometrici trattati per identificare una persona; e la geolocalizzazione specifica con una precisione entro 1.750 piedi (circa 530 metri). In base agli obblighi del titolare del trattamento, prima di trattarli devi fornire un’informativa chiara e la possibilità di opporsi.
È questa la principale differenza dello Utah. Altri Stati richiedono il consenso preventivo (opt-in) per lo stesso tipo di dati:
| Stato | Prima di trattare dati sensibili | Dati che sai riferirsi a bambini |
|---|---|---|
| Utah | Prima di trattare dati sensibiliInformativa chiara e possibilità di opporsi | Dati che sai riferirsi a bambiniTrattamento in linea con il COPPA |
| Virginia | Prima di trattare dati sensibiliConsenso preventivo (opt-in) | Dati che sai riferirsi a bambiniConsenso dei genitori ai sensi del COPPA |
| Colorado | Prima di trattare dati sensibiliConsenso preventivo (opt-in), anche prima di venderli | Dati che sai riferirsi a bambiniConsenso dei genitori, più regole per tutti i minori di 18 anni |
Se offri un’unica esperienza per più Stati, puoi scegliere l’opt-in per tutti. Presentalo come una tua politica, non come un obbligo dello Utah.
Quali diritti devi gestire?
I consumatori dello Utah possono:
- sapere se tratti i loro dati personali e accedervi;
- ottenere la cancellazione dei dati personali che ti hanno fornito;
- ottenere una copia portabile dei dati personali che hanno fornito in precedenza;
- chiederti di rettificare dati personali inesatti;
- opporsi alla pubblicità mirata e alla vendita dei dati personali.
Novità dal 1º luglio 2026: una modifica del 2025 all’Utah Code § 13-61-201 (Laws of Utah 2025, chapter 468) ha aggiunto il diritto di rettificare le inesattezze, tenendo conto della natura dei dati e delle finalità del trattamento. Aggiungi la rettifica alla tua informativa sulla privacy e al modulo per le richieste se riportano solo i diritti originari.
Lo Utah non prevede un diritto di opporsi alla profilazione né una procedura di ricorso obbligatoria, e la cancellazione riguarda solo i dati forniti dal consumatore. Puoi offrire di più, ma presenta i diritti aggiuntivi come una tua politica, non come obblighi dell’UCPA.
In base alle regole sulla risposta, devi dare seguito a una richiesta entro 45 giorni. Puoi prorogare il termine una sola volta di 45 giorni per richieste complesse o numerose, se lo comunichi al consumatore prima della scadenza del primo termine. Se rifiuti, comunica le tue motivazioni entro 45 giorni. La prima richiesta in un periodo di 12 mesi è gratuita.
Checklist per il sito web
- Documentazione dell’ambito: annota il tuo fatturato, il requisito sui dati che soddisfi ed eventuali esenzioni, con la data.
- Test dell’opposizione: opponiti alla pubblicità mirata come utente di prova; i tag pubblicitari e i caricamenti di audience dovrebbero fermarsi per quell’utente.
- Dati sensibili: l’informativa e la possibilità di opporsi dovrebbero comparire prima che un modulo o una funzione raccolga dati sensibili.
- Modulo per i diritti: dovrebbe offrire la rettifica insieme ad accesso, cancellazione, portabilità e opzioni per opporsi.
- Tempi di risposta: registra una richiesta di prova e verifica che riceva risposta entro 45 giorni.
Domande frequenti
L’UCPA richiede il consenso per ogni cookie?
No. Non prevede una regola generale di opt-in per i cookie. Valuta quali dati personali tratta ciascuno strumento e perché, e verifica le altre leggi che si applicano ai tuoi visitatori.
Condividere dati con un partner pubblicitario equivale a una vendita?
Solo se avviene in cambio di un corrispettivo in denaro. Lo Utah esclude inoltre le comunicazioni ai responsabili del trattamento e alle società affiliate e, tenuto conto del contesto, le comunicazioni in linea con le ragionevoli aspettative del consumatore. La pubblicità mirata va valutata separatamente.
Se un utente si oppone alla pubblicità mirata, devono sparire tutti gli annunci?
No. Gli annunci basati sull’attività sui tuoi siti o su siti affiliati, gli annunci contestuali, gli annunci mostrati in risposta a una richiesta e la sola misurazione degli annunci non sono pubblicità mirata secondo la definizione dello Utah.
Chi fa rispettare l’UCPA, ed è previsto un periodo per sanare le violazioni?
La Division of Consumer Protection gestisce i reclami e trasmette i casi all’Attorney General, l’unico che può far rispettare la legge. L’Attorney General deve prima inviare un preavviso scritto di 30 giorni e non può agire in giudizio se sani la violazione e lo confermi per iscritto. Non è previsto un diritto di azione per i privati.
E se siamo appena sotto le soglie?
L’UCPA non si applica, ma potrebbero applicarsi altre leggi, contratti e policy delle piattaforme. Rivaluta la situazione quando il fatturato o i volumi di dati crescono, o se inizi a vendere dati personali.