CCPA/CPRA: Guida alla legge sulla privacy californiana
Aggiornato per il 2026.
Il Consumer Privacy Rights Act (CPRA) della California è entrato in vigore nel 2023. Ha istituito la California Privacy Protection Agency (CPPA). La CPPA è il primo organo regolatore statale sulla privacy negli USA. Nel 2024, la CPPA ha emesso oltre 100 milioni di dollari in sanzioni. Si tratta di enforcement reale — non di una regola sulla carta.
Chi deve conformarsi
Tre criteri determinano se la legge si applica. Un'azienda deve soddisfarne almeno uno.
- Ricavi annui di 25 milioni di dollari o più.
- Dati personali di 100.000 o più consumatori statali.
- Oltre il 50% dei ricavi dalla vendita di informazioni personali.
Lo Stato ha 40 milioni di residenti. È la quinta economia al mondo. La maggior parte delle aziende globali soddisfa almeno uno dei criteri.
19 categorie di dati sensibili
La legge crea un livello speciale per i dati personali sensibili. Le aziende devono fornire ai consumatori un'informativa aggiuntiva e il diritto di limitarne l'uso. Le 19 categorie sono:
- Codice fiscale, patente di guida, documento d'identità statale, numeri di passaporto
- Numeri di conto finanziario o carta con codici di accesso
- Geolocalizzazione precisa (entro 1.852 metri)
- Origine razziale o etnica
- Convinzioni religiose o filosofiche
- Iscrizione sindacale
- Contenuto di email private o posta cartacea
- Informazioni genetiche
- Dati biometrici a fini identificativi
- Dati sanitari o medici
- Orientamento sessuale o vita sessuale
- Status migratorio (aggiunto nel 2024)
- Cartelle di salute mentale (aggiunto nel 2024)
- Status di cittadinanza
- Numeri di conto finanziario senza codici di accesso
- Status di disabilità
- Indicatori dello status lavorativo
- Informazioni sulle polizze assicurative
- Precedenti penali o arresti
Per ogni categoria, i consumatori possono limitare come un'azienda la usa e la condivide. Questo diritto è separato dal diritto generale di opt-out dalla vendita.
Cosa ha preso di mira la CPPA nel 2024
Le azioni della CPPA nel 2024 si sono concentrate in quattro aree.
Registrazione dei data broker. Lo Stato richiede ai data broker di registrarsi presso la CPPA. L'agenzia ha trovato centinaia di broker non registrati che vendevano profili di consumatori.
Strumenti di opt-out non funzionanti. Molte piattaforme di consenso non offrivano un reale opt-out. Il pulsante non funzionava, o l'opt-out copriva solo alcune finalità.
Decisioni AI senza informativa. Le regole AI del 2025 richiedono un'informativa quando strumenti automatizzati prendono decisioni rilevanti. Lavoro, credito e abitazione rientrano tutti in questa categoria. Diversi casi del 2024 hanno riguardato strumenti AI usati senza questa informativa.
Dati dei minori. Il California Age-Appropriate Design Code si applica a qualsiasi servizio che i minori potrebbero utilizzare. Quelle aziende devono completare una Valutazione d'impatto sulla protezione dei dati. La CPPA ha riscontrato che molte aziende non l'avevano effettuata.
Legge statale vs. GDPR: Differenze chiave
La conformità al GDPR non ti copre in California. Le leggi condividono obiettivi ma differiscono su punti essenziali.
Opt-out contro opt-in. Il GDPR richiede il consenso opt-in per la maggior parte degli usi di dati sensibili. La legge statale utilizza un modello opt-out. Il trattamento è consentito finché il consumatore non si oppone.
Diritti dei consumatori. Entrambe le leggi conferiscono diritti di accesso, cancellazione e rettifica. La legge statale aggiunge il diritto di opt-out dalle decisioni automatizzate. Anche il GDPR all'articolo 22 lo prevede, ma con ambito di applicazione più ristretto.
Dati dei dipendenti. La legge statale copre integralmente i dati personali dei dipendenti. Anche il GDPR lo fa, ma gli Stati membri UE hanno proprie norme sul lavoro. La privacy del personale in California spesso richiede un percorso di conformità dedicato.
Categorie sensibili. Le 19 categorie statali si sovrappongono parzialmente all'articolo 9 del GDPR. Lo status migratorio e i numeri di conto autonomi sono specifici della legge statale.
Consulta la guida alla conformità legale per capire come si sommano questi obblighi.
Requisiti per i fornitori AI
Le regole AI del 2025 creano obblighi precisi per le aziende che usano strumenti AI sui dati dei consumatori.
Contratti con i fornitori. I service provider devono sottoscrivere un accordo scritto. L'accordo deve coprire quattro aspetti. Primo: usare i dati solo per la finalità dichiarata. Secondo: eliminare i dati al termine del servizio. Terzo: trasferire le richieste di esercizio dei diritti dei consumatori. Quarto: mantenere un livello di sicurezza adeguato.
Informativa sulle decisioni automatizzate. Se uno strumento AI contribuisce a decisioni su credito, frodi o impiego — i consumatori devono essere informati. Devono anche avere la possibilità di effettuare l'opt-out.
Limiti sull'addestramento AI. Se i dati dei consumatori hanno addestrato un modello AI, quel modello ha dei vincoli. Non può essere usato per finalità incompatibili con il motivo originale della raccolta.
La soluzione concreta per la maggior parte dei team: rimuovere gli identificatori personali prima che i dati entrino in qualsiasi sistema AI. Questo soddisfa le regole sulle decisioni automatizzate e riduce il rischio per le categorie sensibili al tempo stesso.
Scopri come anonym.legal rimuove gli identificatori prima del trattamento AI su /security-compliance.
Punti chiave
La legge statale si applica alla maggior parte delle aziende globali con clienti in California. Introduce 19 categorie sensibili, un'agenzia di enforcement attiva e regole sull'informativa AI. La conformità al GDPR non sostituisce la conformità alla legge statale. Il passo più immediato: rimuovere gli identificatori personali prima che i dati entrino negli strumenti AI.
Leggi della minimizzazione dei dati su /docs/faq.
Fonti
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- Testo integrale del California Privacy Rights Act (CPRA). leginfo.legislature.ca.gov.
- CPPA: Regolamenti sulle tecnologie per le decisioni automatizzate 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.