Guida alla conformità al CCPA: requisiti e normative
Le aziende di oggi fanno immancabilmente affidamento sui dati dei consumatori per comprendere meglio chi sono i loro clienti e ottenere un vantaggio competitivo. Questi dati, che possono includere qualsiasi informazione, dai dati demografici di base ai comportamenti di navigazione online, vengono spesso utilizzati per migliorare la personalizzazione delle proprietà web e delle app e per sviluppare prodotti e servizi pertinenti. I dati dei consumatori sono particolarmente preziosi anche per i professionisti del marketing, che li utilizzano per la pubblicità mirata. Tuttavia, man mano che i consumatori sono diventati più consapevoli della quantità di dati raccolti che li riguarda, si sono comprensibilmente preoccupati del modo in cui tali informazioni vengono utilizzate, condivise e protette.
- Presentazione
- Che cos'è la conformità al CCPA?
- Quali informazioni personali disciplina il CCPA?
- Principali diritti dei consumatori ai sensi del CCPA
- Chi deve rispettare il California Consumer Privacy Act (CCPA)?
- Come conseguire la conformità al CCPA: 6 requisiti
- Sanzioni per la mancata conformità al CCPA
- CCPA e GDPR: qual è la differenza?
- Conclusione
- Domande frequenti sulla conformità al CCPA
- Risorse
Presentazione
Le aziende di oggi fanno immancabilmente affidamento sui dati dei consumatori per comprendere meglio chi sono i loro clienti e ottenere un vantaggio competitivo. Questi dati, che possono includere qualsiasi informazione, dai dati demografici di base ai comportamenti di navigazione online, vengono spesso utilizzati per migliorare la personalizzazione delle proprietà web e delle app e per sviluppare prodotti e servizi pertinenti. I dati dei consumatori sono particolarmente preziosi anche per i professionisti del marketing, che li utilizzano per la pubblicità mirata. Tuttavia, man mano che i consumatori sono diventati più consapevoli della quantità di dati raccolti che li riguarda, si sono comprensibilmente preoccupati del modo in cui tali informazioni vengono utilizzate, condivise e protette.
Nel 2018, la California è diventata il primo Stato degli Stati Uniti a introdurre una policy completa sulla privacy dei dati, il California Consumer Privacy Act (CCPA), concepita per proteggere e far rispettare i diritti dei residenti della California in merito alla privacy delle loro informazioni personali. Oggi 20 Stati dispongono di leggi simili sulla privacy dei dati, ma il CCPA rimane quella più degna di nota, in parte a causa dell'elevata popolazione dello Stato.
L'impatto del CCPA sulle aziende è in crescita. Proteggere i dati dei consumatori non è solo un obbligo di legge, ma in genere fa sentire i clienti più sicuri, ne rafforza la fedeltà e tutela il tuo brand e la tua reputazione. In questo articolo esamineremo più in dettaglio le normative stabilite dal CCPA, chi è tenuto a rispettarle e perché sono essenziali sia per i consumatori sia per le aziende.
Che cos'è la conformità al CCPA?
Il California Consumer Privacy Act è entrato in vigore nel gennaio 2020 e impone alle organizzazioni di rispettare una serie di normative che tutelano i diritti alla privacy dei dati dei residenti della California. Istituito dall'organo legislativo della California, il CCPA impone alle organizzazioni di garantire trasparenza sulle modalità di raccolta e utilizzo dei dati dei consumatori. Impone inoltre di predisporre misure di sicurezza più rigorose nella posizione appropriata per tutelare i dati dei consumatori e implementare processi per gestire le richieste dei consumatori relative alle loro informazioni personali.
Il CCPA riconosce alle persone il diritto di sapere come vengono utilizzate le loro informazioni personali, il diritto di opporsi alla vendita di tali informazioni, il diritto di eliminarle e il diritto di non subire discriminazioni per aver esercitato tali diritti.
Quali informazioni personali disciplina il CCPA?
Il CCPA protegge le informazioni personali dei residenti della California, tra cui individui, nuclei familiari, candidati a un processo di selezione, dipendenti, lavoratori autonomi e altri contatti commerciali. La policy definisce le informazioni personali come “qualsiasi dato che ti identifica, ti riguarda o potrebbe essere ragionevolmente collegato a te o al tuo nucleo familiare, direttamente o indirettamente”. Tali funzionalità includono:
- Nome o soprannome
- Indirizzo email
- Cronologia degli acquisti
- Cronologia di navigazione
- Dati sulla posizione
- Dati relativi al rapporto di lavoro
- Indirizzo IP
- Profili creati dalle aziende su di te, inclusi quelli pseudonimi, come il tuo nome utente
- Altre informazioni personali sensibili, tra cui:
- Numero di previdenza sociale, passaporto, patente di guida o documento d'identità statale
- Credenziali dei conti finanziari
- Geolocalizzazione precisa del consumatore
- Origine razziale o etnica, cittadinanza o condizione di immigrato, convinzioni religiose o filosofiche oppure appartenenza sindacale
- Contenuto dei messaggi (es. email, SMS, chat), a meno che non siano indirizzati all'azienda
- Dati genetici
- Dati biometrici (es. riconoscimento facciale)
- Informazioni riguardanti la salute, l'attività sessuale o l'orientamento sessuale
Principali diritti dei consumatori ai sensi del CCPA
Per offrire ai consumatori della California un maggiore controllo sulle proprie informazioni private, il CCPA ha definito i seguenti diritti alla privacy:
- Il diritto di sapere quali dati vengono raccolti
- Il diritto di eliminare le informazioni personali
- Il diritto di opporsi alla vendita dei dati personali
- Il diritto alla non discriminazione
- Il diritto alla portabilità dei dati
Nel 2020, gli elettori della California hanno approvato un emendamento al CCPA che prevedeva ulteriori tutele, tra cui:
- Il diritto di rettificare le informazioni inesatte
- Il diritto di limitare l'uso e la divulgazione delle informazioni personali sensibili raccolte sul proprio conto
Chi deve rispettare il California Consumer Privacy Act (CCPA)?
Sebbene qualsiasi organizzazione che raccolga dati sui residenti della California debba verificare con lo Stato le specifiche normative di conformità, il CCPA si applica alle aziende a scopo di lucro che operano in California e soddisfano almeno uno dei seguenti criteri:
- Avere ricavi annui lordi di almeno 26.625.000 dollari
- Acquistare, vendere o condividere le informazioni personali di almeno 100.000 residenti, nuclei familiari o dispositivi della California
- Ottenere almeno il 50% dei ricavi annui dalla vendita delle informazioni personali dei residenti della California
È importante notare che il California Consumer Privacy Act non si applica alle organizzazioni governative o senza scopo di lucro, come enti di beneficenza e istituti di istruzione, perché ai sensi della legge non sono considerate «aziende». Tuttavia, gli enti senza scopo di lucro devono comunque rispettare il CCPA se sono:
- Affiliati a un'azienda disciplinata dal CCPA, con cui condividono informazioni personali e branding
- Parte di una partnership o joint venture in cui ciascuna azienda detiene una partecipazione di almeno il 40%
Come conseguire la conformità al CCPA: 6 requisiti
Se la tua azienda soddisfa i criteri sopra indicati, ecco alcuni dei principali requisiti da rispettare per conseguire la conformità al CCPA:
1. Aggiornare le policy sulla privacy
Crea una policy sulla privacy facilmente accessibile che indichi chiaramente quali dati vengono raccolti, lo scopo della raccolta e come i clienti possono esercitare i propri diritti sulle informazioni private.
2. Fornire meccanismi chiari di opposizione
Offri ai clienti un modo semplice per opporsi alla vendita o alla condivisione dei loro dati.
3. Consentire le richieste di accesso ai dati e di eliminazione
Fornisci ai clienti un modo chiaro e semplice per richiedere l'accesso ai propri dati o la loro eliminazione.
4. Formare il personale sulla conformità
Assicurati che i dipendenti ricevano una formazione sulla conformità al CCPA e sappiano gestire le richieste dei clienti relative ai loro dati.
5. Mantenere inventari dettagliati dei dati
Esegui regolarmente inventari dei dati e crea mappe dei dati per sapere esattamente quali informazioni personali possiede la tua azienda, dove sono archiviate e come vengono utilizzate.
6. Definire processi di verifica dell'identità
Assicurati di disporre di solide misure di sicurezza nella posizione appropriata per proteggere le informazioni personali e impedire accessi non autorizzati.
Sanzioni per la mancata conformità al CCPA
La raccolta e la vendita dei dati dei consumatori rappresentano un grande business. Le abitudini online dei consumatori generano dati estremamente preziosi per le aziende che desiderano ottimizzare le proprie attività di marketing e creare nuove opportunità commerciali. La California offre alle persone un maggiore controllo sui propri dati personali, anche tramite l'imposizione di sanzioni alle aziende che violano qualsiasi disposizione del CCPA.
Tra le comuni sanzioni previste dal CCPA, applicate dal Procuratore generale della California, rientrano ammende per ogni violazione, come 2663 USD per ciascuna violazione involontaria e 7988 USD per ogni violazione intenzionale, nonché per le violazioni riguardanti le informazioni personali di minori di 16 anni. Questi importi sono adeguati all'inflazione e possono cambiare ogni anno.
La taglia complessiva delle violazioni può aumentare rapidamente: Una singola violazione potrebbe consistere in una violazione dei dati riguardante una sola persona. Tuttavia, poiché le violazioni dei dati raramente riguardano una sola persona e solitamente coinvolgono migliaia di clienti, le sanzioni possono rapidamente raggiungere importi considerevoli. Oltre alle ammende, il mancato rispetto delle normative del CCPA può comportare azioni legali collettive in caso di violazione dei dati e azioni legali private con conseguenti sanzioni civili.
CCPA e GDPR: qual è la differenza?
Per quanto riguarda la protezione dei dati dei consumatori, l'UE ha agito prima degli Stati Uniti. Nel 2016, l’UE ha adottato il Regolamento generale sulla protezione dei dati (RGPD o GDPR secondo l’acronimo inglese) per proteggere le informazioni personali dei cittadini dell’Unione europea. Il GDPR e il CCPA sono simili in quanto entrambi sono concepiti per proteggere le persone e offrire loro maggiore controllo sui propri dati personali. Entrambe le leggi riconoscono ai consumatori il diritto di acconsentire o opporsi alla raccolta dei dati, il diritto di ottenerne la rettifica in caso di errori e il diritto di accedere alle proprie informazioni o eliminarle. Entrambe le leggi impongono inoltre alle organizzazioni di informare personalmente gli interessati qualora si verifichi una violazione della sicurezza.
Nonostante le analogie, il GDPR e il CCPA presentano alcune differenze fondamentali:
Requisiti di conformità
Il GDPR si applica a qualsiasi organizzazione che raccolga dati personali di residenti dell'UE, mentre il CCPA si applica solo alle aziende con ricavi annui lordi di almeno 26.625.000 dollari. Questo importo è adeguato all'inflazione e può cambiare ogni anno. Oltre che dal raggiungimento della soglia di ricavi, l'applicabilità del CCPA può essere determinata anche dal volume dei dati o dalla loro vendita. Sebbene il CCPA (California Consumer Privacy Act, aggiornato dal CPRA nel 2023) sia una normativa statunitense, la sua applicazione è extraterritoriale: si estende a qualsiasi azienda a scopo di lucro che tratti dati personali di residenti in California e superi almeno una delle seguenti soglie: ricavi annuali globali superiori a 26.625.000 dollari, trattamento dei dati di oltre 100.000 consumatori californiani all'anno, o che derivino oltre il 50% dei propri ricavi annuali dalla vendita o condivisione a scopo commerciale di dati personali di residenti in California. Questa terza condizione riguarda principalmente data broker e piattaforme adtech. Un’azienda italiana che vende prodotti o servizi online a clienti californiani e raggiunge tali soglie è pertanto soggetta al CCPA, indipendentemente dalla propria sede legale.
Ambito dei dati personali coperti
Il CCPA copre i dati raccolti, direttamente o indirettamente, da qualsiasi dispositivo connesso a internet o a un altro dispositivo, compresi quelli presenti in un nucleo familiare, definito come «un gruppo, comunque identificato, di consumatori che convivono allo stesso indirizzo di residenza e condividono l'uso di dispositivi o servizi comuni»; il GDPR, invece, non li copre.
Giurisdizione geografica
Il GDPR protegge tutte le persone nell'UE, indipendentemente dalla cittadinanza, mentre il CCPA protegge esclusivamente i residenti della California.
Requisiti relativi al consenso
Il GDPR impone ai consumatori di fornire un consenso esplicito alla raccolta dei propri dati, mentre il CCPA consente agli utenti di opporsi a tale raccolta. Le aziende soggette al CCPA non necessitano del consenso iniziale per cominciare a raccogliere i dati dei consumatori.
Ammende e sanzioni
Le sanzioni previste dal CCPA per la mancata conformità consistono generalmente in ammende applicate per ogni singola violazione, mentre il GDPR prevede sanzioni molto più severe, che possono raggiungere il 4% dei ricavi globali annui del responsabile della violazione o 20 milioni di euro, a seconda di quale importo sia maggiore.
Applicazione dei diritti dei consumatori
Nell'UE, le autorità di controllo di ciascun Paese membro vigilano sulla conformità al GDPR. In California, l'ufficio del Procuratore generale dello Stato garantisce l'applicazione del CCPA.
Conclusione
In risposta alla crescita dell'intermediazione dei dati, la California è stata il primo Stato del Paese a riconoscere l'importanza di offrire ai propri residenti il controllo sulle loro informazioni personali. Dall'entrata in vigore del California Consumer Privacy Act nel 2018, altri Stati ne hanno seguito l'esempio. Oggi i consumatori della California hanno il diritto di sapere come vengono utilizzate le loro informazioni personali, il diritto di opporsi alla vendita di tali informazioni, il diritto di eliminarle e il diritto di non subire discriminazioni per aver esercitato tali diritti.
Garantire la conformità al CCPA in California non è soltanto necessario per motivi legali, ma è anche essenziale per conquistare la fiducia dei clienti. Sapere che le proprie informazioni personali sono protette contribuisce notevolmente a creare fedeltà e una predisposizione favorevole tra i clienti.
Domande frequenti sulla conformità al CCPA
Le organizzazioni possono garantire la conformità al CCPA innanzitutto aggiornando le proprie policy sulla privacy, affinché gli utenti sappiano esattamente quali dati vengono raccolti, lo scopo della raccolta e come possono esercitare i propri diritti sulle informazioni private. È inoltre importante fornire una procedura chiara di opposizione, affinché gli utenti possano scegliere di impedire la vendita o la condivisione dei propri dati. Devi inoltre fornire ai clienti un modo chiaro e semplice per richiedere l'accesso ai dati già raccolti o la loro eliminazione. Il training dei dipendenti sulla conformità al CCPA è fondamentale. I dipendenti devono comprendere i requisiti e le sanzioni, oltre a sapere come gestire le richieste dei clienti relative ai loro dati personali.
Sebbene lo Stato della California non rilasci alcuna certificazione CCPA ufficiale di carattere governativo, i fornitori terzi offrono certificazioni alle persone in grado di dimostrare una conoscenza di base del CCPA.
Il software per la conformità al CCPA è uno strumento essenziale per garantirla, poiché consente alle aziende di monitorare più facilmente le richieste relative ai dati, generare report e aggiornare le policy. Tra gli strumenti citati più comunemente figurano i software di Scytale, Ketch, OneTrust e Osano.
I database documentali sono progettati per archiviare e gestire dati semi-strutturati; JSON è quindi ideale perché è flessibile, privo di schema e consente di archiviare i dati in un «documento» autonomo. Prima di JSON, XML era il formato più diffuso per i database documentali per gli stessi motivi; JSON, tuttavia, è più semplice e leggibile rispetto alla verbosità dei tag di apertura e chiusura di XML, il che consente inoltre di ridurre le dimensioni dei file.
