Requisiti di gestione del consenso previsti dal CCPA

Aggiornato: 22 nov 2019: l'IAB Tech Lab ha rilasciato la versione finale dell'IAB CCPA Compliance Framework (v1) e UniConsent ha iniziato a supportare questo Framework.

Il California Consumer Privacy Act (CCPA) entra in vigore il 1° gennaio 2020 e potrebbe influire sul modo in cui il tuo sito web è autorizzato a gestire le informazioni personali dei residenti in California.

Il CCPA è una normativa simile al Regolamento generale sulla protezione dei dati europeo.

Secondo Adexchanger, l'ufficio del Procuratore Generale della California ha recentemente pubblicato la prima bozza dei regolamenti di attuazione del California Consumer Privacy Act.

Ha dichiarato il Procuratore Generale della California Xavier Becerra: "I nostri dati personali sono ciò che alimenta l'attuale economia basata sui dati e la ricchezza che essa genera. È ora di avere il controllo sull'uso dei nostri dati personali, il che include mantenerli privati."

Secondo il CCPA, il trasferimento di informazioni personali a una terza parte conta sempre come una vendita

Esiste una differenza tra terze parti e fornitori di servizi. I fornitori di servizi non devono gestire le richieste di accesso e di cancellazione dei dati.

Il principio fondamentale del CCPA è che i consumatori hanno il diritto di opporsi (opt-out) alla vendita delle proprie informazioni personali.

Per vendita ai sensi del CCPA si intende: vendere, noleggiare, divulgare, diffondere, rendere disponibili, trasferire o comunicare in altro modo, oralmente, per iscritto o con mezzi elettronici o di altro tipo, le informazioni personali di un consumatore a un'altra azienda o a una terza parte in cambio di denaro o di altro corrispettivo di valore.

Termini del CCPA: Household (nucleo): una persona o un gruppo di persone; Terze parti: qualsiasi soggetto che non raccoglie informazioni personali direttamente dai consumatori.

Le informazioni personali nel CCPA

• Identificatori come cookie, beacon, pixel tag, numeri di telefono, indirizzi IP, nomi account.
• Dati biometrici come volto, retina, impronte digitali, DNA, registrazioni vocali, dati sanitari.
• Dati di geolocalizzazione, come la cronologia delle posizioni tramite dispositivi.
• Attività su Internet, come la cronologia di navigazione.
• Oltre ai dati relativi a caratteristiche personali, comportamento, convinzioni religiose o politiche, preferenze sessuali e così via.

Come le aziende dovrebbero prepararsi al CCPA e ai requisiti di gestione del consenso del CCPA

1. Fornire un'informativa

Le aziende sono tenute a informare i consumatori, al momento della raccolta o prima di essa, su quali categorie di dati personali verranno raccolte e su come verranno utilizzati i dati.

2. Pulsante di opt-out chiaro

Le aziende che vendono informazioni personali devono inserire, in ogni pagina web che raccoglie dati personali, un pulsante intitolato "Do Not Sell My Personal Information" o "Do Not Sell My Info" che rimandi all'informativa.

3. Aggiornamento dell'informativa sulla privacy

Le aziende devono aggiornare la propria informativa sulla privacy, includendo informazioni scritte in modo chiaro sui diritti del consumatore ai sensi del CCPA, un elenco delle informazioni personali che l'azienda ha raccolto sui consumatori nei 12 mesi precedenti e indicazioni sul fatto che tali informazioni vengano vendute o meno.

4. Richieste di opt-out e di cancellazione

Le aziende dovrebbero prevedere una procedura in due fasi per le richieste di cancellazione online, in cui i consumatori devono confermare separatamente di voler davvero cancellare i propri dati.

Le aziende possono dare seguito alle richieste di cancellazione eliminando "in modo permanente e completo" le informazioni personali dai propri sistemi esistenti, de-identificando i dati o aggregandoli in modo che non siano più riconducibili a un individuo.

Le aziende dovrebbero configurare un sistema di gestione del consenso CCPA, come un consent manager GDPR, per prepararsi alla legge in arrivo.