Gli USA non hanno una legge federale completa sulla privacy, ma più leggi statali ora richiedono analytics in regola con la privacy. Il CCPA in California (e il suo successore, il CPRA) ha fatto da precedente. Leggi simili esistono ora in Virginia, Colorado, Connecticut, Utah, Montana e Delaware. Per i siti statunitensi, se hai visitatori in più stati, probabilmente devi rispettare più di queste leggi allo stesso tempo.
Come funzionano CCPA e CPRA
Il CCPA (California Consumer Privacy Act) si applica alle aziende a scopo di lucro che raccolgono dati di residenti in California. Richiede l'informativa sulla raccolta dei dati, la comunicazione di quali dati si raccolgono e perché, e i diritti degli utenti di accedere, cancellare e rifiutare la vendita dei dati. Il CPRA (California Privacy Rights Act), che ha modificato il CCPA, aggiunge requisiti di consenso più severi e il diritto dei consumatori di correggere dati inesatti.
Cosa fa scattare il CCPA
Il CCPA si applica se la tua azienda rispetta uno di questi criteri: 25 milioni di dollari o più di ricavi annui, acquista/vende/condivide dati di 100.000 o più persone o nuclei familiari, oppure ricava il 50% o più dei ricavi dalla vendita di dati dei consumatori. Molte aziende di medie dimensioni lo fanno scattare senza accorgersene.
Il CCPA si applica alle "informazioni personali", cioè ai dati che identificano una persona specifica, si riferiscono a lei o potrebbero essere collegati a lei. È più ampio del GDPR. Include deduzioni su preferenze, posizione, comportamento commerciale e altro. Per gli analytics, la maggior parte del tracciamento rientra.
I diritti del CCPA che devi rispettare
Diritto di sapere: gli utenti possono chiedere quali informazioni personali hai raccolto e come le hai usate. Devi rispondere entro 45 giorni (prorogabili a 90). La comunicazione deve essere completa.
Diritto di cancellazione: gli utenti possono chiedere la cancellazione delle proprie informazioni personali. Devi rispettarla entro 45 giorni. Puoi però conservare i dati per scopi aziendali legittimi (per esempio il rilevamento delle frodi) o per obblighi di legge.
Diritto di rifiutare la vendita: gli utenti possono chiederti di smettere di vendere i loro dati. Devi rispettarlo entro 15 giorni lavorativi. Nota: la "vendita" nel CCPA include la condivisione in cambio di qualsiasi cosa di valore, non solo di denaro.
Diritto di correzione: con il CPRA, gli utenti possono chiederti di correggere dati inesatti. È una novità ed è semplice: se un dato è sbagliato, correggilo.
Adesione o rifiuto
Il CCPA usa il rifiuto (opt-out) per la vendita dei dati: i dati degli utenti possono essere venduti a meno che gli utenti non rifiutino. Il CPRA e le leggi statali più recenti usano l'adesione (opt-in) per i dati sensibili: ti serve un'autorizzazione esplicita prima di raccogliere informazioni sensibili (posizione precisa, numeri di previdenza sociale, dati finanziari e così via). Per gli analytics, parti dal presupposto che con le leggi più recenti ti serva il consenso con adesione.
Altre leggi statali sulla privacy
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) e Delaware (DPDPA) hanno tutti approvato leggi complete sulla privacy. Seguono il modello CCPA/CPRA: danno agli utenti i diritti di sapere, cancellare e rifiutare. I dettagli cambiano da stato a stato, ma lo schema generale è coerente.
Devi rispettarle tutte?
Dipende dal tuo pubblico. Se servi soprattutto la California, concentrati su CCPA/CPRA. Se servi più stati, la maggior parte delle aziende usa uno standard di privacy al livello del GDPR (che supera la maggior parte dei requisiti delle leggi statali USA) e lo applica a tutti i visitatori. È più semplice che rispettare le regole stato per stato.
La realtà di più stati
La maggior parte dei siti ha visitatori da più stati. Alcuni servono tutti i 50 stati. Invece di mantenere pratiche di analytics diverse per ogni stato, la maggior parte delle aziende adotta lo standard più severo a cui è soggetta e lo applica a tutti. Riduce la complessità e ti assicura di non essere mai fuori norma.
Conformità a CCPA e CPRA in pratica
La conformità richiede: un'informativa sulla privacy che spiega quali dati raccogli e perché; meccanismi chiari di rifiuto per la vendita dei dati (se applicabile); la capacità di rispondere alle richieste di accesso ai dati entro 45 giorni; sistemi per cancellare i dati degli utenti su richiesta; e un marketing onesto sulle tue pratiche sui dati (nessuna bugia su cosa raccogli o come lo usi).
Sanzioni e applicazione del CCPA
Il Procuratore Generale della California può multare fino a 2.500 dollari per violazione (o 7.500 dollari per violazione intenzionale). I consumatori possono avviare azioni private per le violazioni dei dati (danni stabiliti dalla legge da 100 a 750 dollari per persona per incidente). Le azioni collettive sono frequenti. L'impatto pratico: una violazione del CCPA può costare facilmente da 1 a 10 milioni di dollari se tocca molti utenti.
GDPR, CCPA e leggi statali a confronto
Il GDPR è più severo sul consenso. Il CCPA è più ampio su ciò che conta come dato personale. Le leggi statali seguono il modello CCPA con alcune varianti. Se rispetti il GDPR (basato sul consenso, con la trasparenza al primo posto), sei per lo più in regola con il CCPA e con le leggi statali. Non sempre è vero il contrario: essere in regola con il CCPA può non bastare per il GDPR.
Il CCPA si applica davvero a me? Come faccio a sapere se supero la soglia dei 25 milioni di dollari?
Il CCPA si applica se rispetti ALMENO UNA di tre condizioni: 25 milioni di dollari o più di ricavi annui, acquisto/vendita/condivisione di dati di 100.000 o più persone, oppure 50% o più dei ricavi dalla vendita di dati. La soglia dei 25 milioni è semplice (ricavi dell'anno scorso). Il criterio delle 100.000 persone è più insidioso: se il tuo fornitore di analytics tratta dati di 100.000 o più visitatori, può scattare (stai condividendo dati). Il criterio del 50% vale se la vendita di dati è la tua attività principale (raro). Per la maggior parte delle aziende di medie dimensioni, il punto critico è la soglia dei 25 milioni. Controlla: i ricavi dell'anno scorso hanno superato i 25 milioni di dollari? Se sì, il CCPA si applica.
Cosa conta come dato personale per il CCPA rispetto al GDPR? Perché il CCPA è più ampio?
GDPR: identifica la persona in modo diretto (nome, email) o indiretto (indirizzo IP). CCPA: più ampio, include tutto ciò che copre il GDPR PIÙ deduzioni e previsioni. Esempio: cinque visite a pagine di un negozio online. GDPR = dato personale (ID di sessione). CCPA = dato personale PIÙ preferenza dedotta (la deduzione che ti piace fare acquisti). Il CCPA include dati comportamentali e predittivi che il GDPR potrebbe non includere. Per gli analytics: la visualizzazione di pagina è un dato personale in entrambi i casi. La deduzione comportamentale ("interessato ai beni di lusso") è di certo un dato personale per il CCPA, forse non per il GDPR. L'ampiezza del CCPA significa che più dati fanno scattare la conformità, e per alcune aziende è più difficile del GDPR.
Quando un utente chiede la cancellazione, quali scopi legittimi mi permettono di conservare i dati?
La cancellazione secondo il CCPA ha delle eccezioni. Conserva i dati per: (1) Rilevamento delle frodi e sicurezza. (2) Obblighi di legge (tasse, contratti, cause). (3) Miglioramento dei prodotti (solo se anonimizzati o aggregati). (4) Analytics interni (solo se anonimizzati). (5) Mantenere le aspettative dell'utente (se hai promesso di conservarli). Per gli analytics: violazione della sicurezza = conserva. Blocco legale = conserva. "Potrebbe servire un giorno" = cancella. Prova: potresti spiegarlo a un'autorità e reggere? Se sì, conserva. Se è solo ipotetico, cancella.
Perché la scadenza per il rifiuto è di 15 giorni mentre quella per l'accesso è di 45 giorni?
La complessità è diversa. Il rifiuto della vendita dei dati è semplice: aggiungi l'utente a un elenco di "non vendere" (una modifica di configurazione, giorni di lavoro). 15 giorni lavorativi (3 settimane) sono ragionevoli. Le richieste di accesso sono più difficili: recuperare tutti i dati da tutti i sistemi, compilarli, formattarli in modo leggibile, consegnarli. Richiede di interrogare più database, segnalare i dati sensibili, creare un documento leggibile. 45 giorni (9 settimane) sono realistici per questo lavoro. La legge riconosce la differenza di complessità. Per gli analytics: il rifiuto richiede 2-3 giorni (aggiunta a un elenco di esclusione). La richiesta di accesso richiede più di 30 giorni (estrazione da analytics, CRM, assistenza e così via).
Il diritto di azione privata è di 100-750 dollari a persona: come si calcola?
Danni stabiliti dalla legge: un importo fisso per persona per incidente, non basato sul danno reale. Esempio: una violazione colpisce 10.000 persone. 10.000 × 100 dollari minimi = 1 milione di dollari di danni stabiliti dalla legge. Chiedendo 750 dollari a persona = 7,5 milioni. Il convenuto patteggia a metà strada. "Per incidente" significa che una violazione = un incidente (non 10.000). Più violazioni sommano i danni. La realtà: una violazione che colpisce 10.000 persone costa facilmente da 1 a 10 milioni di dollari di danni stabiliti dalla legge, più le spese legali. I convenuti patteggiano le azioni collettive al 50-70% dei danni richiesti. Per questo la prevenzione è fondamentale: i danni stabiliti dalla legge scattano in automatico una volta provata la violazione.
Per essere in regola in più stati, devo applicare regole specifiche per stato o usare lo standard GDPR?
Usa lo standard GDPR per tutti. Il GDPR è più severo di tutte le leggi statali USA. Se sei in regola con il GDPR, superi in automatico la maggior parte dei requisiti statali. Le regole per singolo stato sono complesse da gestire (banner, conservazione e rifiuti diversi per ogni stato). Lo standard GDPR è più semplice: un solo insieme di regole copre tutti gli stati. Eccezione: se servi solo uno o due stati, ottimizza per quelli. Ma per 5 o più stati, o per tutti i 50, lo standard GDPR è più facile. Strategia: costruisci secondo il GDPR, aggiungi un'interfaccia specifica per la California (link di rifiuto), configura gli analytics come se il GDPR valesse per tutti gli stati. Sarai più che in regola per la maggior parte degli stati, e meglio così che il contrario.