FedEx multata per 2,975 milioni di dollari ai sensi del CCPA per tracker pubblicitari e segnali GPC ignorati

Indice

Cosa dice l'ordinanza
Cosa deve fare ora FedEx
Lezioni per il vostro sito web
Come vi aiuta UniConsent
FAQ
Riferimenti

Indice

Cosa dice l'ordinanza
Cosa deve fare ora FedEx
Lezioni per il vostro sito web
Come vi aiuta UniConsent
FAQ
Riferimenti

La California Privacy Protection Agency (CalPrivacy) ha multato Federal Express Corporation per 2,975 milioni di dollari ai sensi del CCPA. Il Board ha adottato la decisione il 6 novembre 2026 e l'agenzia l'ha annunciata il 10 novembre. Secondo l'ordinanza, FedEx utilizzava tracker pubblicitari sul proprio sito mentre dichiarava ai visitatori di non vendere né condividere i loro dati, e il sito non rispettava i segnali di opt-out come Global Privacy Control (GPC).

FedEx multata per 2,975 milioni di dollari ai sensi del CCPA per tracker pubblicitari e segnali GPC ignorati

La multa è più del doppio degli 1,35 milioni di dollari pagati da Tractor Supply nel 2025 ed è la sanzione amministrativa più alta emessa finora dal Board dell'agenzia. FedEx ha accettato l'ordinanza senza ammettere né negare i fatti accertati, e non riconosce alcuna responsabilità.

Cosa dice l'ordinanza

L'ordinanza riguarda il periodo dal 1º luglio 2023 al 27 ottobre 2025. Contiene quattro accertamenti su fedex.com.

I tracker pubblicitari contano come "condivisione"

FedEx aveva installato tecnologie di tracciamento di Meta, LinkedIn, Google, Adobe e altre società ad tech. Questi cookie e pixel mettevano identificatori univoci del dispositivo e dell'utente a disposizione di quelle società per finalità che includevano la pubblicità mirata. I dati di spedizione non erano coinvolti.

Ai sensi del CCPA, mettere informazioni personali a disposizione di un terzo per pubblicità comportamentale cross-context è "condivisione", che ci sia o meno un pagamento. L'agenzia ha anche respinto l'idea che un sito B2B sia diverso: le persone usano gli stessi dispositivi per il lavoro e per la navigazione personale, quindi gli identificatori raccolti in una visita di lavoro finiscono negli stessi profili pubblicitari.

L'informativa sulla privacy diceva il contrario

L'informativa sulla privacy di FedEx affermava: "Non 'vendiamo' né 'condividiamo' le vostre informazioni personali". Poiché i tracker condividevano dati, l'agenzia ha considerato falsa questa dichiarazione. Il sito inoltre non aveva un link "Do Not Sell or Share My Personal Information" né "Your Privacy Choices", ma solo un link "Cookie Consent" nel footer, e l'informativa non spiegava come vengono gestiti i segnali di preferenza di opt-out.

I segnali GPC non venivano rispettati

Secondo l'ordinanza, FedEx non ha configurato le proprie proprietà digitali per rilevare e rispettare correttamente i segnali di preferenza di opt-out dei consumatori. I visitatori che navigavano con GPC attivo avevano già esercitato l'opt-out, e i loro dati hanno continuato ad arrivare alle società ad tech. L'agenzia ricorda che la California obbliga le aziende a rispettare questi segnali dal 2020.

Il modulo di opt-out di FedEx dichiarava di non riguardare i cookie e rimandava al link "Cookie Consent". Quel link apriva una finestra con interruttori per i cookie "Functional", "Analytical" e "Tracking". L'ordinanza afferma che, anche dopo che un visitatore aveva disattivato gli interruttori di analisi e tracciamento, FedEx continuava a mettere le informazioni personali di alcuni visitatori a disposizione di alcune società ad tech.

La finestra inoltre non menzionava affatto la vendita o la condivisione. Uno strumento per i cookie vale come metodo di opt-out CCPA solo se spiega come le impostazioni dei cookie si applicano alla vendita e alla condivisione di informazioni personali.

Cosa deve fare ora FedEx

Oltre alla multa, l'ordinanza stabilisce obblighi che valgono per tre anni:

Scansionare siti web e app almeno ogni trimestre e mantenere un inventario aggiornato dei tracker che vendono o condividono informazioni personali
Mantenere contratti conformi al CCPA con ogni terzo a cui vende o con cui condivide dati, e verificare i nuovi terzi prima di aggiungerli
Configurare siti e app per dare piena efficacia agli opt-out, che arrivino tramite GPC o con un altro metodo
Testare questa configurazione in staging e in produzione almeno ogni trimestre, e ogni volta che viene aggiunto un nuovo tracker
Fornire un link "Do Not Sell or Share My Personal Information" o "Your Privacy Choices", senza passaggi inutili
Fare in modo che ogni strumento per i cookie usato per gli opt-out indichi come si applica a vendita e condivisione
Pubblicare ogni anno sul proprio sito le metriche sulle richieste CCPA

Lezioni per il vostro sito web

Se usate pixel pubblicitari, probabilmente "condividete"

Bastano un Meta Pixel, un LinkedIn Insight Tag o un tag Google Ads che supporti il targeting pubblicitario. Se questi tag sono sul vostro sito, un'informativa che dice "non vendiamo né condividiamo" è un rischio. Controllate prima i tag, poi scrivete l'informativa di conseguenza.

GPC deve cambiare ciò che la pagina carica

Rilevare il segnale non basta. Quando un visitatore arriva con GPC attivo, i tag pubblicitari che condividono dati non devono essere eseguiti per quel visitatore. Nell'annuncio dell'agenzia, la vicedirettrice ad interim per l'enforcement ha affermato che il tempo per implementare informative e funzionalità adeguate per i segnali di preferenza di opt-out è scaduto da molto. Dal 2027, l'Opt Me Out Act della California impone inoltre ai browser di offrire un segnale di opt-out integrato, quindi più visitatori ne invieranno uno.

FedEx aveva uno strumento per le preferenze sui cookie, e non è bastato. Lo strumento deve dire che controlla vendita e condivisione, deve fermare i tracker quando il visitatore esercita l'opt-out, e il sito ha comunque bisogno del link di opt-out. La class action contro Coca-Cola solleva lo stesso problema dal lato degli attori: un controllo che non cambia ciò che fanno i tag.

Testate ogni trimestre e dopo ogni nuovo tag

L'ordinanza richiede scansioni e test trimestrali, più un test ogni volta che si aggiunge un tracker. È uno standard ragionevole per qualsiasi sito. Per controllare il vostro, attivate GPC in Firefox o Brave, caricate le pagine e guardate la scheda di rete. Le richieste verso fornitori pubblicitari con GPC attivo sono ciò che l'agenzia ha trovato su fedex.com.

I siti B2B sono inclusi

FedEx è usata soprattutto per spedizioni aziendali, e questo non l'ha aiutata. Se la vostra azienda supera le soglie del CCPA e il vostro sito ha tracker pubblicitari, le regole si applicano anche se i vostri clienti sono altre aziende.

Come vi aiuta UniConsent

UniConsent rileva GPC nel browser del visitatore e applica automaticamente l'opt-out, senza che debba aprire l'avviso. I tag pubblicitari come il Meta Pixel, il LinkedIn Insight Tag e i tag Google vengono bloccati per i visitatori che hanno esercitato l'opt-out, e l'opt-out viene trasmesso ai vostri partner pubblicitari tramite IAB GPP. Si configura dalla dashboard con il Tags Loader, senza modificare il codice del sito.

UniConsent aggiunge inoltre al footer il link "Do Not Sell or Share My Personal Information" per le leggi sulla privacy degli stati USA, scansiona il sito ogni giorno alla ricerca di nuovi cookie e conserva un registro di ogni scelta.

FAQ

FedEx ha ammesso di aver violato la legge? No. FedEx ha accettato l'ordinanza ma non ammette né nega i fatti accertati, e non riconosce alcuna responsabilità.

Non vendiamo dati in cambio di denaro. Vale anche per noi? Sì. Ai sensi del CCPA, mettere informazioni personali a disposizione di una società ad tech per pubblicità comportamentale cross-context è "condivisione", anche se non viene pagato nulla.

Come verifico se il mio sito rispetta GPC? Aprite il sito in un browser con GPC attivo e controllate navigator.globalPrivacyControl nella console. Poi osservate nella scheda di rete le richieste verso fornitori pubblicitari. Se partono ancora, il segnale non viene rispettato.

GPC è obbligatorio solo in California? No. Anche altri stati, tra cui Colorado, Connecticut e Texas, impongono ai siti web di rispettarlo. Consultate la nostra guida alla privacy negli USA.

Registrati e configura GPC e gli opt-out USA sul tuo sito in pochi minuti.