Che cos'è il CCPA
Il California Consumer Privacy Act (CCPA) è stato firmato nel giugno 2018 ed è entrato in vigore il 1° gennaio 2020. È stata la prima legge organica sulla privacy dei consumatori negli Stati Uniti. Riconosce ai residenti in California, che la legge chiama consumatori, diritti diretti sulle informazioni personali che le imprese conservano su di loro. Non serve una sede in California: un'impresa rientra nella legge se opera nello Stato e supera una soglia.
Nel novembre 2020 gli elettori californiani hanno approvato il California Privacy Rights Act (CPRA), che ha modificato e ampliato il CCPA. Ha aggiunto nuovi diritti, la categoria delle informazioni personali sensibili, regole più severe per fornitori di servizi e contraenti e limiti di minimizzazione e conservazione dei dati. Il CPRA ha anche istituito la California Privacy Protection Agency (CPPA), la prima autorità statunitense dedicata alla privacy. La CPPA emana i regolamenti attuativi e fa rispettare la legge insieme al procuratore generale della California.
A chi si applica
Il CCPA si applica alle imprese a scopo di lucro che operano in California e superano almeno una di tre soglie. Copre anche i soggetti che controllano tale impresa o ne sono controllati e ne condividono il marchio.
| Soglia | Condizione |
|---|---|
| Ricavi | Ricavi lordi annui oltre 25 milioni di dollari nell'anno solare precedente; l'importo è adeguato all'inflazione |
| Volume di dati | Acquista, vende o condivide ogni anno informazioni personali di 100 000 o più consumatori o nuclei familiari |
| Ricavi dai dati | Ricava il 50% o più dei ricavi annui dalla vendita o condivisione di informazioni personali |
Diritti dei consumatori
Il CCPA riconosce ai consumatori sette diritti. Due li ha aggiunti il CPRA: il diritto di correzione e il diritto di limitazione.
| Diritto | Che cosa significa |
|---|---|
| Di sapere | Sapere quali informazioni personali vengono raccolte, per quali finalità e se sono vendute o condivise; ricevere i dati specifici conservati |
| Di eliminazione | Ottenere che l'impresa e i suoi fornitori eliminino le informazioni personali, salvo le eccezioni di legge |
| Di correzione | Ottenere la correzione delle informazioni personali inesatte |
| Di opposizione | Fermare la vendita delle informazioni personali e la loro condivisione per la pubblicità comportamentale tra contesti; i segnali di opposizione del browser vanno rispettati |
| Di limitazione | Limitare uso e divulgazione delle informazioni sensibili alle finalità ammesse dai regolamenti |
| Alla portabilità | Ricevere i dati raccolti con mezzi automatizzati in un formato utilizzabile e trasferibile |
| Alla non discriminazione | Nessun rifiuto del servizio né prezzi diversi per aver esercitato un diritto |
Come si gestiscono le richieste
Le richieste seguono una procedura fissa con termini di legge. Il termine decorre dal giorno in cui l'impresa riceve la richiesta.
- 1
Ricevere la richiesta
Il consumatore può inviare la richiesta tramite almeno due canali designati.
- 2
Verificare il richiedente
L'impresa conferma l'identità del richiedente prima di comunicare, eliminare o correggere i dati.
- 3
Rispondere entro 45 giorni
L'impresa risponde entro 45 giorni dal ricevimento della richiesta.
- 4
Prorogare una volta se serve
Se ragionevolmente necessario, il termine si può prorogare una sola volta di altri 45 giorni. Il consumatore va informato entro i primi 45 giorni.
Obblighi delle imprese
Un'impresa soggetta alla legge deve fornire un'informativa al momento della raccolta, pubblicare una privacy policy e firmare contratti scritti che limitano l'uso delle informazioni personali da parte di fornitori di servizi e contraenti. I regolamenti della CPPA introducono gradualmente altri obblighi: valutazioni dei rischi e audit di cybersicurezza per i trattamenti a rischio più alto, e informative sul processo decisionale automatizzato.
Un'impresa che vende o condivide informazioni personali deve, di regola, inserire nella home page un link chiaro con la formula stabilita dalla legge:
Do Not Sell or Share My Personal Information
Codice civile della California, § 1798.135Vigilanza e sanzioni
La CPPA e il procuratore generale della California fanno rispettare la legge. Ogni consumatore coinvolto può contare come violazione a sé, quindi negli incidenti estesi i totali crescono in fretta. Gli importi qui sotto sono fissati dalla legge e adeguati all'inflazione.
| Caso | Chi agisce | Importo |
|---|---|---|
| Violazione | CPPA o procuratore generale | Fino a 2 500 USD per violazione |
| Violazione intenzionale o dati di minori di 16 anni | CPPA o procuratore generale | Fino a 7 500 USD per violazione |
| Violazione di dati non cifrati per mancanza di sicurezza ragionevole | Il consumatore coinvolto, in tribunale | Da 100 a 750 USD per consumatore e per incidente, o il danno effettivo se maggiore |
CCPA e GDPR
Le organizzazioni multinazionali gestiscono spesso il CCPA e il Regolamento generale sulla protezione dei dati dell'UE (GDPR) come un unico programma. Le due norme però poggiano su modelli diversi.
Per approfondire: Come posso mantenere al sicuro i miei dati personali?; Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.
| Aspetto | CCPA | GDPR |
|---|---|---|
| Chi è coperto | Imprese a scopo di lucro che superano le soglie californiane | Organizzazioni di qualsiasi dimensione stabilite nell'UE/SEE o che si rivolgono a persone che vi si trovano |
| Modello centrale | Opt-out: il trattamento è consentito finché il consumatore non rifiuta vendita o condivisione | Base giuridica: prima del trattamento serve una base, come il consenso |
| Ruoli chiave | Impresa, fornitore di servizi, contraente | Titolare, responsabile del trattamento |
| Regolatore | Procuratore generale della California e CPPA | Autorità di controllo nazionali di ciascuno Stato membro |
| Sanzioni | Sanzioni per violazione, fino a 7 500 USD | Fino a 20 milioni di euro o il 4% del fatturato annuo mondiale |