La CCPA è la legge sulla privacy degli Stati Uniti. Se la tua attività opera in qualsiasi parte degli Stati Uniti, probabilmente hai visitatori dalla California. Se raccogli i loro dati tramite moduli, la CCPA si applica. Ma la CCPA non è l'unica legge sulla privacy. Più di una dozzina di stati americani ha ormai normative simili e altre sono in arrivo.
La CCPA e le altre leggi statali sulla privacy sono l'equivalente americano del GDPR europeo. Capire quali leggi sulla privacy si applicano ai tuoi moduli e che cosa richiede ciascuna è essenziale per restare in regola nelle diverse regioni degli Stati Uniti.
Cosa imparerai: che cos'è la CCPA e in cosa si differenzia dal GDPR, quali altri stati americani hanno leggi sulla privacy, che cosa richiedono queste leggi ai moduli, come capire quali leggi si applicano alla tua attività e come creare moduli conformi a più normative insieme.
Che cos'è la CCPA?
La CCPA (California Consumer Privacy Act) è una legge sulla privacy che si applica alle aziende a scopo di lucro che raccolgono informazioni personali da residenti in California. È entrata in vigore il 1° gennaio 2020 ed è stata poi rafforzata da regolamenti aggiuntivi.
La CCPA si applica ai tuoi moduli se:
- La tua attività raccoglie dati da persone in California
- Generi un fatturato annuo superiore a 25 milioni di dollari, oppure
- Raccogli dati da 100.000 o più residenti (o nuclei familiari), oppure
- Vendi dati dei consumatori come pratica commerciale
Anche le piccole attività spesso superano queste soglie senza accorgersene. Se hai un modulo di contatto e hai raccolto informazioni da qualche centinaio di residenti in California, probabilmente rientri nell'ambito della legge.
I requisiti chiave della CCPA per i moduli
Informazioni in un'informativa sulla privacy
Devi fornire un'informativa sulla privacy che spieghi ai visitatori californiani:
- Quali categorie di informazioni personali raccogli (nome, email, cronologia degli acquisti e così via)
- Perché le raccogli (per rispondere alle richieste, per fornire servizi, per il marketing)
- Da dove provengono i dati (direttamente dal consumatore tramite un modulo, da terze parti, dalle analisi)
- Per quanto tempo li conservi
- Con chi li condividi (fornitori di servizi, altre aziende e così via)
L'informativa sulla privacy deve essere facile da trovare. Un link nel piè di pagina o una pagina di regole nascosta non bastano. Mettila dove i visitatori la vedranno prima di compilare il modulo.
Il diritto di sapere
I residenti in California possono chiedere di sapere quali informazioni personali hai raccolto su di loro. Devi essere in grado di fornire queste informazioni entro 45 giorni. Significa che ti servono sistemi per tenere traccia dei dati che hai su ogni persona e un processo per rispondere a queste richieste.
Il diritto alla cancellazione
I residenti in California possono chiederti di cancellare le loro informazioni personali. Devi farlo, a meno che tu abbia un motivo legale per conservarle (come i registri fiscali o la prevenzione delle frodi). Vale per tutte le risposte dei moduli e per i dati dei clienti che hai su di loro.
Il diritto di rifiutare la vendita
Se vendi dati personali ad altre aziende (anche se non la consideri una "vendita"), i residenti in California possono rifiutare. Secondo la CCPA, "vendere" include condividere dati con terze parti in cambio di denaro, servizi o altri benefici di valore. Devi mettere sul tuo sito un link "Do Not Sell My Personal Information".
Il diritto di rettifica
I consumatori possono chiederti di correggere informazioni personali inesatte che li riguardano. Non sei obbligato a cambiare tutto ciò che chiedono, ma devi avere un processo per esaminare e rispondere a queste richieste.
Nessuna discriminazione
Non puoi discriminare qualcuno perché esercita i suoi diritti CCPA. Se qualcuno chiede la cancellazione dei suoi dati, non puoi rifiutarti di servirlo né fargli pagare di più i tuoi servizi.
CCPA e GDPR: le differenze principali
CCPA e GDPR proteggono entrambi i dati personali, ma hanno differenze importanti:
| Caratteristica | GDPR | CCPA | |-|-|-| | Si applica a | Dati dei residenti UE, da qualsiasi azienda | Dati dei residenti in California, da aziende più grandi | | Consenso | Opt-in esplicito richiesto (tranne per i dati essenziali) | Modello opt-out (i dati vengono raccolti a meno che si chieda di non farlo) | | Diritto all'oblio | Sì | Sì, ma con più eccezioni | | Sanzioni | Fino a 20 milioni di euro o al 4% del fatturato | Fino a 2.500 per violazione, fino a 7.500 per violazione intenzionale | | Vendita dei dati | Non consentita senza consenso | Consentita a meno che il consumatore rifiuti |La differenza chiave è che il GDPR richiede di chiedere il permesso prima di raccogliere i dati. La CCPA richiede di dire alle persone che possono rifiutare.
Altre leggi statali sulla privacy negli Stati Uniti
Più di una dozzina di altri stati ha approvato leggi sulla privacy simili alla CCPA. Ecco le principali:
Virginia (VCDPA)
Il Virginia Consumer Data Protection Act si applica alle aziende a scopo di lucro che trattano dati personali di residenti in Virginia. Richiede diritti dei consumatori su accesso, cancellazione, rettifica e rifiuto della vendita dei dati.
Colorado (CPA)
Il Colorado Privacy Act riguarda le aziende che trattano dati di residenti in Colorado. È simile alla CCPA ma con alcune differenze di ambito e di applicazione.
Connecticut (CTDPA)
Il Connecticut Data Privacy Act, in vigore da luglio 2024. Diritti dei consumatori simili a CCPA e VCDPA.
Utah (UCPA)
L'Utah Consumer Privacy Act è notevolmente meno rigido degli altri, ma richiede comunque diritti di rifiuto per i consumatori.
Montana, Delaware, Iowa e altri
Altri stati hanno approvato o stanno valutando leggi sulla privacy. La maggior parte segue il modello CCPA dei diritti di rifiuto dei consumatori, con qualche variazione nei requisiti.
Come capire quali leggi si applicano ai tuoi moduli
Per capire con quali leggi sulla privacy devi essere in regola:
- Individua da dove arrivano i tuoi visitatori. Usa le statistiche per vedere quali stati e regioni sono rappresentati.
- Cerca la legge di ogni regione. Per gli stati americani, controlla il sito web del procuratore generale dello stato. Per gli altri paesi, informati sulle loro leggi sulla privacy.
- Controlla i requisiti di soglia. La tua azienda raggiunge le soglie dimensionali? Hai abbastanza clienti in quella regione?
- Rivolgiti a un consulente legale se hai dubbi. La legge sulla privacy è complessa e varia da regione a regione. Se la tua attività raccoglie quantità significative di dati, parla con un avvocato.
Creare moduli conformi a più leggi sulla privacy
Se i tuoi visitatori vengono da stati e paesi diversi, devi seguire le regole più severe tra quelle che si applicano.
Parti dal presupposto delle regole GDPR per tutti
Se hai visitatori dell'UE, segui le regole del GDPR. Il GDPR è tra le leggi sulla privacy più severe, quindi la conformità al GDPR spesso significa essere in regola anche con le altre leggi.
Usa il consenso esplicito per i dati sensibili
Invece di provare a seguire regole diverse per visitatori diversi, usa il consenso esplicito (lo standard GDPR) per tutto. È più pulito e più protettivo. Rendi le scelte di consenso chiare, specifiche e separate per i diversi usi dei dati.
Inserisci l'informativa sulla privacy nel modulo
Includi nella pagina del modulo un riepilogo chiaro e leggibile delle tue pratiche sui dati. Collega l'informativa completa sulla privacy. Così soddisfi insieme gli obblighi di informazione di più leggi.
Rendi facile il rifiuto
Offri un modo per annullare l'iscrizione alle email di marketing o per chiedere la cancellazione dei propri dati. Includilo in ogni email di marketing che invii (è un obbligo di legge) e sul tuo sito (è una buona pratica).
Tieni buoni registri
Documenta quali dati raccogli, perché li raccogli, per quanto tempo li conservi e chi vi ha accesso. Questo ti aiuta a rispondere in fretta alle richieste sui dati e dimostra che sei in regola se un'autorità di controllo te lo chiede.
Sanzioni e penali delle leggi sulla privacy
La CCPA e le leggi statali sulla privacy prevedono sanzioni economiche:
- CCPA (California): fino a 2.500 dollari per violazione, 7.500 dollari per violazione intenzionale. L'applicazione spetta al procuratore generale dello stato e in certi casi anche i consumatori possono fare causa.
- Virginia, Colorado, Connecticut e altri: le sanzioni vanno da 2.500 a 10.000 dollari per violazione e alcune leggi permettono anche ai consumatori di fare causa.
Anche se queste sanzioni sono inferiori a quelle del GDPR, si sommano in fretta quando le violazioni sono più d'una o quando una violazione dei dati colpisce migliaia di persone.
Che cosa fa WEMASY per la conformità alle leggi sulla privacy
I moduli WEMASY includono strumenti per aiutarti a rispettare le leggi statali e federali sulla privacy. Puoi aggiungere informative sulla privacy ai tuoi moduli, tenere traccia di quale versione dei termini di consenso ha accettato ogni visitatore e dare al tuo team processi per gestire le richieste di accesso e cancellazione dei dati. WEMASY registra anche quali dati sono salvati e quando sono stati inviati, aiutandoti a mantenere i registri che ti servono per i controlli di conformità.
Scopri quali funzioni di conformità alla privacy sono disponibili nel tuo piano nella pagina dei prezzi.