CCPA: legge sulla privacy in California

1) Cos'è CCPA/CPRA e a chi viene applicato

Il CCPA (California Consumer Privacy Act) è una legge per la protezione dei dati personali dei residenti in California. CPRA (California Privacy Rights Act) è un emendamento che estende il CCPA (valido con 01. 01. 2023).

• Un fatturato annuo di 25 milioni di dollari (globale, non solo dalla California);
• Trattamento dei dati di 100.000 consumatori/famiglie/dispositivi all'anno;
• Il ≥50% dei ricavi annuali derivanti dalla vendita o dalla «condivisione» dei dati personali.

Si applica alle «imprese», incluse le società controllate/controllate per il brand generale. Eccezioni: dati già regolati da HIPAA/GLBA/FRCA/COPPA (entro la loro applicazione), organizzazioni no-profit (no-profit).

2) Concetti chiave

Dati personali (PI) - qualsiasi informazione collegata o ragionevolmente collegata al consumatore/famiglia/dispositivo.
Dati personali sensibili (SPI) - numero SSN/passaporto/driver, dati finanziari con codici di accesso, geolocalizzazione con precisione, origine razziale-etnica, religione, salute/biometria/genetica, comunicazioni private, ecc.
Vendita (sale) - dare PI a terzi per valore (non necessariamente denaro).
Condivisione (sharing) - Fornire PI per la pubblicità comportamentale in contesti diversi (cross-next behavioral avertising), anche senza soldi.
Terze parti/provider di servizi/contractor sono categorie di controparti con requisiti contrattuali e restrizioni di utilizzo PI differenti.

3) Diritti dei consumatori (che è obbligatorio realizzare nel prodotto)

1. Diritto di notifica (notice at collection) - Quali sono le categorie di dati, gli obiettivi, «vendi/fai-da-te» o la durata della conservazione.
2. Accesso e portabilità: copie di categorie e dati specifici degli ultimi 12 mes.
3. Rimozione (delete) - È necessario rimuovere e notificare la catena di fornitori/terzi.
4. Correzione (correct) - Consente di modificare PI imprecisi.

• riferimenti visibili «Do Not Sell or Share My Personal Information»
• Supporto GPC (Global Privacy Control) - segnale automatico browser/estensioni
• 6. Limitazione dell'uso di SPI: solo per scopi dichiarati (ad esempio CUS/sicurezza), su richiesta del consumatore - «limit use of sensitive PI».
• 7. Non discriminazione: non si possono peggiorare i servizi per l'attuazione dei diritti (sono ammessi programmi di prezzo onesti se conformi alla legge).

4) Notifiche e regole sulla privacy

Notice at collection sul punto di raccolta: categorie PI/SPI, obiettivi, retention, stato di sale/share, collegamenti opt-out.
Privacy Policy: autorizzazioni, metodi di query (telefono/web-modulo/posta), categorie di destinatari, periodo di rettificazione, «vendi/sherit» se PI, supporto GPC, procedure di verifica/appello, data dell'ultimo aggiornamento.

5) Cookies, adtech и «sharing»

Qualsiasi pubblicità comportamentale in contesti diversi = «sharing», richiede opt-out e il rispetto della GPC.
Per i bambini <16: opt-in (fino a 13 anni solo con il consenso del genitore/tutore).
Non nascondere il rifiuto: striscione/centro di gestione delle preferenze, categorie comprensibili e pulsante unificato «Do Not Sell or Share»...
Assicurarsi che gli SDK/pixel di terze parti rispettino i divieti di riutilizzo del PI dopo l'opt-out (tramite contratti e impianti tecnici).

6) Contratti con fornitori e appaltatori

• Vietare l'uso secondario del PI non secondo le istruzioni del controllore;
• richiedere la sicurezza e la notifica degli incidenti;
• Obbligare i consumatori a supportare le richieste (delete/correct/opt-out) e a trasmetterle nella catena;
• fornire il diritto di controllo/valutazione;
• identificare i sottoprocessori e le condizioni di attrazione.

7) Dati su bambini/giovani

13-16: il proprio opt-in.
Meccanismi approvati per l'acquisizione e la conservazione delle prove di consenso, interfacce di richiamo comprensibili.

8) Sicurezza e responsabilità per gli incidenti

Obbligo di implementare misure di sicurezza intelligenti in base alla quantità/sensibilità del PI.
Il diritto privato alla causa è limitato a fuoriuscite dovute alla violazione dei requisiti di sicurezza per determinate categorie di dati: $100- $750 per utente/incidente (o danni effettivi).
Sanzioni amministrative di sorveglianza: fino a $2.500 per violazione e $7.500 per violazione intenzionale e violazione di minori.
Il «periodo di correzione» automatico non è più garantito (a discrezione del regolatore).

9) Conservazione e minimizzazione

È necessario pubblicare i tempi di conservazione in base alle categorie PI/SPI o ai criteri di definizione.
Non è consentito conservare più a lungo di quanto richiesto per gli scopi dichiarati (data minimization).
Incorporare Retention Schedule + processi di eliminazione/anonimizzazione, cascata in backap.

10) Convalida e appello DSR

Prima di rilasciare/rimuovere i dati - Verifica del richiedente (il livello di verifica dipende dalla sensibilità).
Ci deve essere una procedura di appello contro il DSR con una spiegazione chiara.

11) Registro delle richieste, formazione e documentazione

Tenere conto dei DSR, degli indicatori SLA/risultati, conservare le giustificazioni per i guasti;

Formazione annuale del personale che lavora con PI/DSR/pubblicità;

Data map: sorgenti PI, flussi verso fornitori/terzi, obiettivi, basi legali e stati di sale/share.

12) Come CCPA/CPRA corrisponde a GDPR (brevemente)

GDPR è più ampio per entità e motivi, CCPA si concentra sui diritti del consumatore e sulle vendite/schering.
CCPA richiede un segnale GPC, un singolo opt-out per sharing (pubblicità comportamentale).
La categoria SPI (CPRA) è concettualmente più vicina alle «categorie speciali» GDPR, ma la modalità è diversa: limitazione dell'uso/discovery e riferimento/processo separato.
GDPR - DPA/controller processore e legalità globale CCPA ha contratti rigorosi service provider/contractor/third party e gestione sale/share.

13) Assegno foglio di implementazione (operativo)

Criteri e interfacce

• Aggiorna Privacy Policy e Notice at collection (categorie PI/SPI, obiettivi, retence, sale/share).
• Posiziona «Do Not Sell or Share My PI» + «Limit Use of My SPI» (se applicabile).
• Abilitare il supporto GPC; descrivere il comportamento politico.
• Processi separati per <13 e 13-16 (opt-in).

Processi DSR

• Canali di query (web modulo/telefono/posta), SLA 45 giorni, verifica, appello.
• Loging, reporting, modelli di risposta conteggio della finestra di accesso di 12 mesi.

Adtech и SDK

• Inventario dei tag/pixel/SDK di terze parti, classificazione «sale/share».
• Trasferire gli stati opt-out/GPC verso il basso nella catena; idiomi restrited data processing.
• Test: dopo opt-out nessun targeting comportamentale.

Contratti e venditori

• DPA/contratti con servizio provider/contractor/third party con le prenotazioni necessarie.
• Registro dei sottoprocessori, diritto di controllo, divieto di utilizzo secondario.

Conservazione e protezione

• Retention Schedule per categoria PI/SPI, piano di eliminazione/anonimizzazione.
• «Misure di sicurezza ragionevoli»: crittografia, RBAC/ABAC, DLP, registri, test del piano IR.
• Procedura di registrazione/indagine di incidenti e notifiche.

14) Matrice categoria, azione e interfaccia

15) Metriche e controllo qualità

DSR SLA:% chiuso in tempo; Percentile medio/95.
GPC Onore Rate - Percentuale di sessioni in cui il segnale è correttamente preso in considerazione.
Opt-out Efficacy - Percentuale di eventi adtech dopo il guasto (deve aspirare a 0).
Retention Adherence:% dei record eliminati nel grafico.
Incendente MTTR/MTTD e ripetitività.
Vendor Compliance - Risultati dei controlli/delle verifiche delle controparti.

16) Road map di implementazione (6 passi)

1. Data mapping: sorgenti, flussi, tag/SDK, categorie PI/SPI, sale/share.
2. Regole: Notice/Privacy Policy, procedure DSR, dati per bambini, GPC.
3. I collegamenti UI e tracciati sono «Do Not Sell or Share»..., «Limit SPI», banner, centro preferenze, GPC.
4. Contratti - Aggiorna gli stati delle controparti (service provider/contractor/third party), i divieti di uso secondario, i sottoprocessori.
5. Restituzione & Security: grafici di archiviazione, rimozione/anonimizzazione, playbook IR.
6. Formazione e monitoraggio: training, metriche, controlli regolari/tabelle per la guida.

17) Errori frequenti e come evitarli

Pensare che «non vendiamo dati, quindi il CCPA non riguarda noi» è ignorato dal sharing.
Ignorare GPC è una violazione, anche se hai il tuo banner.
Non è corretto classificare l'appaltatore come «service provider» consentendogli di utilizzare il PI per i propri scopi.
Non specificare retention e criteri: è necessario essere trasparenti.
Nessuna prova della verifica del richiedente e dei registri DSR.

Totale

La conformità CCPA/CPRA non è un solo banner, ma un sistema: notifiche trasparenti e UI per i diritti, supporto GPC e opt-out, contratti corretti con i fornitori, mappe dei dati retenzioni e processi DSR e sicurezza affidabili. Incorporando questi elementi nell'architettura e nelle operazioni, è possibile ridurre i rischi legali e di reputazione e mantenere la fiducia degli utenti senza perdere la velocità del prodotto.