CCPA: che cos'è l'Opt-Out Preference Signal (OOPS)

Con un passo importante per semplificare la privacy dei consumatori, la California ha introdotto un segnale di preferenza di opt-out (OOPS) nel California Consumer Privacy Act (CCPA) (https://www.uniconsent.com/ccpa). L'AB-3048, promossa dalla California Privacy Protection Agency (CPPA), è stata approvata dal parlamento californiano nell'agosto 2024 e avrebbe consentito ai consumatori di opporsi alla vendita e alla condivisione delle proprie informazioni personali su più siti web con un'unica operazione semplice. Il governatore Newsom vi ha posto il veto nel settembre 2024 e l'obbligo per i browser è tornato con l'AB 566, il California Opt Me Out Act, firmato l'8 ottobre 2025.

California Consumer Privacy Act: Opt-Out Preference Signal

Che cosa sono gli Opt-Out Preference Signals (OOPS)?

Gli Opt-Out Preference Signals (OOPS) offrono ai consumatori un modo pratico e automatizzato per esercitare il diritto di opporsi alla vendita e alla condivisione dei propri dati personali presso tutte le aziende con cui interagiscono online. Invece di inviare singole richieste di opt-out a ciascuna azienda, gli OOPS consentono agli utenti di comunicare le proprie preferenze con un'unica azione.

Il 26 febbraio 2024 il legislatore californiano ha presentato l'AB-3048, che avrebbe richiesto a tutti i principali browser e sistemi operativi mobili di supportare gli "opt-out preference signals", come il Global Privacy Control (GPC). Questa funzionalità consente agli utenti di esprimere automaticamente le proprie preferenze sulla privacy, come l'opposizione alla vendita delle informazioni personali, tramite le impostazioni del browser. Il governatore Newsom ha posto il veto alla proposta nel settembre 2024, soprattutto a causa dell'obbligo imposto ai sistemi operativi mobili.

La legge che le è succeduta, l'AB 566, rende più semplice per i consumatori esercitare i propri diritti ai sensi del CCPA, che già impone alle aziende di rispettare questi segnali di opt-out. Le aziende che sviluppano browser come Google Chrome, Apple Safari e Microsoft Edge dovranno integrare un'impostazione OOPS, rendendo più facile per i californiani proteggere i propri dati personali durante la navigazione.

Il quadro giuridico

Firmata l'8 ottobre 2025, l'AB 566 impone alle aziende che sviluppano o gestiscono un browser web di offrire, dal 1° gennaio 2027, un'impostazione configurabile dal consumatore che invii un segnale di preferenza di opt-out, e autorizza la CPPA ad adottare regolamenti di attuazione. A differenza dell'AB 3048, non riguarda i sistemi operativi mobili. In base ai regolamenti CCPA vigenti, le aziende devono già riconoscere questi segnali come richieste valide di opt-out dalla vendita o dalla condivisione dei dati.

Questo cambiamento porterà la California all'avanguardia delle iniziative sulla privacy negli Stati Uniti, con la possibilità di influenzare misure simili a livello nazionale.

Le nuove regole di CalPrivacy sui segnali di opt-out

La California Privacy Protection Agency (CalPrivacy) sta inoltre preparando nuove regole su come le aziende devono gestire questi segnali. Ha raccolto commenti preliminari dal 6 marzo al 6 aprile 2026, ricevendo 43 commenti scritti. Nella riunione del consiglio del 6 agosto 2026, lo staff ha raccomandato di regolamentare quattro punti:

1. Citare esplicitamente il GPC come segnale di preferenza di opt-out nei regolamenti.
2. Profili pseudonimi: esempi di come un segnale si applica ai profili legati a cookie o ID dispositivo anziché a una persona nota.
3. Metriche OOPS: le aziende comunicano quanti segnali ricevono e rispettano.
4. Tempistica: esempi di come gestire le tecnologie di tracciamento che vendono o condividono dati prima che un segnale GPC venga elaborato, ad esempio i cookie che si attivano al caricamento della pagina.

Al 26 ottobre 2026 CalPrivacy non ha pubblicato alcun testo di regolamento proposto: si tratta quindi di raccomandazioni, non di regole. L'obbligo esistente è però già in vigore: secondo i regolamenti CCPA, un'azienda deve trattare un segnale di preferenza di opt-out valido come una richiesta di opt-out dalla vendita e dalla condivisione.

Prima del 1° gennaio 2027

Dal 1° gennaio 2027 i browser dovranno offrire questa impostazione, quindi molti più visitatori invieranno il segnale. Conviene fare subito tre verifiche:

• Rilevare il segnale alla prima visualizzazione di pagina. Leggete l'header Sec-GPC o navigator.globalPrivacyControl prima che si carichino i tag di marketing e pubblicità, non dopo che il visitatore ha aperto il banner. È proprio la questione di tempistica che CalPrivacy vuole chiarire.
• Trasmettere l'opt-out ai vostri partner, ad esempio tramite le sezioni USA della stringa IAB GPP.
• Applicarlo agli utenti noti. Se un visitatore che invia il segnale ha effettuato l'accesso, applicate l'opt-out al suo account, non solo al browser.

UniConsent rileva il Global Privacy Control alla prima visualizzazione di pagina, disattiva la categoria Targeting nei banner di consenso per gli Stati Uniti e imposta l'opt-out nella stringa IAB GPP letta dai vostri partner pubblicitari. Iniziate una prova gratuita per verificare come il vostro sito gestisce il segnale.

Che cosa significa per le aziende?

Le aziende dovranno adeguarsi ai nuovi requisiti, assicurandosi che i propri sistemi siano in grado di riconoscere e rispettare gli Opt-Out Preference Signals. Per le aziende non si tratta solo di conformità, ma di rafforzare la fiducia dei consumatori e di offrire pratiche sulla privacy trasparenti.

Il passaggio agli OOPS è in linea con le crescenti aspettative di operazioni orientate alla privacy nell'era digitale. Le aziende che adotteranno questo approccio si distingueranno in un mercato competitivo, dando priorità al consenso degli utenti e alla protezione dei dati.

Per maggiori dettagli su come UniConsent supporta il Global Privacy Control (GPC), contattaci oggi stesso all'indirizzo hello@uniconsent.com.

---

Informazioni su UniConsent

UniConsent fa parte della User Experience Platform orientata alla privacy di Transfon, utilizzata ogni giorno da milioni di utenti. Offriamo soluzioni semplici per aiutare editori e aziende a gestire il consenso degli utenti e a garantire la conformità a leggi sulla privacy come il GDPR e il CCPA. Per maggiori informazioni, contattaci all'indirizzo hello@uniconsent.com.

---