Leggi statunitensi sulla privacy dei dati 2024: principali aggiornamenti e novità

Leggi statunitensi sulla privacy dei dati 2024: principali aggiornamenti e novità

Una breve cronologia

Il 21 giugno 2022 è stato presentato l'American Data Privacy and Protection Act (ADPPA). L'ADPPA ha ottenuto un sostegno bipartisan sufficiente a generare un reale ottimismo sull'approvazione di una legge federale sulla privacy.

Tuttavia, l'ADPPA non è mai arrivato in aula alla Camera. Nel 2023 il panorama della privacy ha visto l'adozione di numerose leggi statali complete sulla privacy dei dati in diverse giurisdizioni, costringendo le aziende a valutare ogni legge singolarmente per individuarne i requisiti di conformità e i diritti dei consumatori.

Nell'aprile 2024 è stato annunciato l'American Privacy Rights Act (APRA). A luglio 2024 altri Stati avevano adottato leggi simili e, con lo sviluppo delle autorità di regolamentazione, le azioni di enforcement e gli accordi transattivi sono aumentati. Di conseguenza, le aziende hanno dovuto dare priorità alla conformità alle leggi sulla privacy dei dati.

Inoltre, l'intelligenza artificiale ha registrato una crescita significativa in termini di tecnologia, adozione, proposte normative, enforcement e di un Ordine Esecutivo del Presidente Biden, con un'ulteriore espansione delle politiche e delle normative sull'IA prevista a livello statale.

Leggi statali sulla privacy dei dati in vigore e in arrivo

Il 31 dicembre 2023 è entrato in vigore lo Utah's Consumer Privacy Act (UCPA). Questa legge si applica alle aziende con almeno 25 milioni di dollari di fatturato annuo che (a) controllano o trattano le informazioni personali di 100.000 o più consumatori dello Utah in un anno solare, oppure (b) ricavano più del 50 percento del fatturato lordo dalla vendita di informazioni personali e controllano o trattano le informazioni personali di 25.000 o più consumatori dello Utah. Nonostante il periodo di rimedio di 30 giorni previsto dalla legge, le aziende sono state incoraggiate ad adempiere ai propri obblighi di conformità prima della fine dell'anno.

Quattro nuove leggi statali sulla privacy dei consumatori entreranno in vigore nel 2024, mentre l'APRA cerca di superare l'esame in commissione.

Il 1° luglio 2024 sono entrati in vigore il Digital Bill of Rights della Florida, il Consumer Privacy Act dell'Oregon e il Data Privacy and Security Act del Texas.

Il 1° ottobre 2024 entrerà in vigore il Consumer Data Privacy Act del Montana.

Ecco la tabella che riepiloga la legislazione statale statunitense sulla privacy dei dati:

STATO	LEGGE FIRMATA	IN VIGORE DAL
CALIFORNIA	CALIFORNIA CONSUMER PRIVACY ACT	1 GEN. 2020
COLORADO	COLORADO PRIVACY ACT	1 LUG. 2023
CONNECTICUT	CONNECTICUT DATA PRIVACY ACT	1 LUG. 2023
DELAWARE	DELAWARE PERSONAL DATA PRIVACY ACT	1 GEN. 2025
INDIANA	INDIANA CONSUMER DATA PROTECTION ACT	1 GEN. 2026
IOWA	IOWA CONSUMER DATA PROTECTION ACT	1 GEN. 2025
KENTUCKY	KENTUCKY CONSUMER DATA PROTECTION ACT	1 GEN. 2026
MARYLAND	MARYLAND ONLINE DATA PRIVACY ACT	1 OTT. 2025
MINNESOTA	MINNESOTA CONSUMER DATA PRIVACY ACT	31 LUG. 2025
MONTANA	MONTANA CONSUMER DATA PRIVACY ACT	1 OTT. 2024
NEBRASKA	NEBRASKA DATA PRIVACY ACT	1 GEN. 2025
NEW HAMPSHIRE	NEW HAMPSHIRE PRIVACY ACT	1 GEN. 2025
NEW JERSEY	NEW JERSEY DATA PRIVACY ACT	15 GEN. 2025
OREGON	OREGON CONSUMER PRIVACY ACT	1 LUG. 2024
TENNESSEE	TENNESSEE INFORMATION PROTECTION ACT	1 LUG. 2025
TEXAS	TEXAS DATA PRIVACY & SECURITY ACT	1 LUG. 2024
UTAH	UTAH CONSUMER PRIVACY ACT	31 DIC. 2023
VIRGINIA	VIRGINIA CONSUMER DATA PROTECTION ACT	1 GEN. 2023

Enforcement

Dal 2023 le autorità di regolamentazione hanno avviato controlli a tappeto e indagini per garantire la conformità.

A livello federale, la FTC ha intrapreso azioni contro diverse aziende per questioni quali violazioni dei dati, informative scorrette e ingannevoli relative alla condivisione di dati sanitari, mancato ottenimento del consenso dei genitori per la raccolta di dati dei minori e utilizzo di dark pattern in materia di privacy dei minori.

A livello statale, il Procuratore Generale della California ha inviato richieste di informazioni ad alcuni datori di lavoro in merito al trattamento delle informazioni personali dei dipendenti, e la CPPA ha iniziato a esaminare le pratiche di privacy dei dati dei produttori di veicoli connessi e delle relative tecnologie. Analogamente, il Procuratore Generale del Colorado ha inviato richieste di informazioni a diversi soggetti in merito al trattamento di dati sensibili.

Principi fondamentali della privacy dei dati

• Diritto di accesso: i consumatori possono visualizzare i dati che un'azienda raccoglie su di loro e sapere con quali terze parti vengono condivisi.
• Diritto di rettifica: i consumatori possono chiedere la correzione di dati personali inesatti o non aggiornati.
• Diritto alla cancellazione: i consumatori possono richiedere la cancellazione dei propri dati personali.
• Diritto di limitazione del trattamento: i consumatori possono limitare il modo in cui le aziende trattano i loro dati.
• Diritto alla portabilità dei dati: i consumatori possono richiedere i propri dati in un formato di uso comune.
• Diritto di opt-out: i consumatori possono scegliere di impedire la vendita dei propri dati a terze parti.

Usa UniConsent per gestire le leggi statali sulla privacy

La Consent Management Platform (CMP) di UniConsent aiuta le organizzazioni statunitensi ad affrontare queste problematiche, trovando il giusto equilibrio tra la riduzione della complessità operativa e il mantenimento della flessibilità necessaria per ottimizzare le proprie pratiche sui dati.

Se desideri gestire queste leggi in autonomia, ecco alcuni promemoria che le aziende dovrebbero considerare alla luce del panorama statunitense della privacy dei dati in costante evoluzione:

• Esegui attività di mappatura dei dati: assicurati che le pratiche di raccolta, condivisione e trattamento dei dati siano conformi ai nuovi requisiti e rimangano coerenti.
• Rivedi le informative sulla privacy esterne: verifica che tutte le informazioni appropriate siano incluse, accurate e tengano conto dei diritti dei consumatori previsti dalle leggi applicabili.
• Implementa i segnali di preferenza di opt-out: riconosci e implementa le preferenze di opt-out per i siti web negli Stati in cui questi obblighi entreranno in vigore nel 2024, ove applicabile.
• Conduci valutazioni d'impatto sulla protezione dei dati (DPIA): esegui DPIA sul trattamento delle informazioni personali come richiesto dalle leggi applicabili, oppure assicurati che le DPIA esistenti siano conformi alle leggi pertinenti. Considera tutti i fattori rilevanti, come l'uso di informazioni sensibili e di ADMT.
• Rivedi l'uso degli strumenti di intelligenza artificiale: allineati ai framework pubblicati in materia di privacy, come l'Ordine Esecutivo sullo sviluppo e l'uso sicuro, protetto e affidabile dell'intelligenza artificiale, il Blueprint for an AI Bill of Rights della Casa Bianca e l'Artificial Intelligence Risk Management Framework del NIST. Comprendi tutti gli input e gli output dei modelli, garantisci la conformità in materia di dati e proprietà intellettuale, definisci una policy interna sull'IA per l'uso da parte dei dipendenti, verifica l'accuratezza e la trasparenza delle dichiarazioni esterne sull'IA e integra nei prodotti di IA revisioni su privacy, bias, etica e sicurezza.

Informazioni su UniConsent

UniConsent CMP è una Consent Management Platform (CMP) certificata e riconosciuta a livello globale, al servizio dei principali editori e utilizzata ogni giorno da decine di milioni di utenti. Offrendo un'esperienza di privacy senza interruzioni, UniConsent CMP aiuta le aziende ad affrontare l'era post-GDPR e a soddisfare le esigenze in continua evoluzione delle normative sulla protezione dei dati. Contattaci per saperne di più: hello@uniconsent.com