CCPA vs GDPR: le differenze principali
CCPA vs GDPR a confronto: opt-in e opt-out, ambito, diritti, cookie, GPC, sanzioni e una checklist per rispettare entrambe le leggi.
CCPA vs GDPR: la risposta breve
La differenza principale tra GDPR e CCPA è il modello di consenso. Il Regolamento generale sulla protezione dei dati dell'UE (GDPR) è di tipo opt-in: serve una base giuridica, spesso il consenso, prima di trattare dati personali, e un consenso preventivo prima di installare cookie non essenziali. Il California Consumer Privacy Act (CCPA), modificato dal CPRA, è di tipo opt-out: un'azienda può raccogliere informazioni personali dopo aver fornito un'informativa, ma deve consentire ai consumatori di opporsi alla vendita o alla condivisione di tali informazioni.
Il secondo grande divario è l'ambito di applicazione. Il GDPR si applica a quasi tutte le organizzazioni che trattano dati personali di persone nell'UE, indipendentemente dalle dimensioni. Il CCPA si applica solo alle imprese a scopo di lucro che operano in California e superano una soglia di fatturato o di volume di dati.
GDPR vs CCPA: tabella comparativa
| Tema | GDPR (UE) | CCPA / CPRA (California) |
|---|---|---|
| A chi si applica | Qualsiasi titolare o responsabile del trattamento, comprese piccole imprese, enti non profit e pubbliche amministrazioni | Imprese a scopo di lucro che operano in California e superano una soglia: fatturato lordo annuo superiore a 26.625.000 $ (adeguato il 1° gennaio 2025), acquisto, vendita o condivisione di informazioni personali di 100.000 o più consumatori o nuclei familiari, oppure 50% o più del fatturato annuo derivante dalla vendita o condivisione di informazioni personali |
| Ambito territoriale | Organizzazioni stabilite nell'UE e organizzazioni extra UE che offrono beni o servizi a persone nell'UE o ne monitorano il comportamento (articolo 3) | Imprese ovunque si trovino che superano le soglie e raccolgono informazioni personali di residenti in California |
| Dati tutelati | Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile | Informazioni personali: informazioni che identificano, si riferiscono o possono ragionevolmente essere collegate a un consumatore o a un nucleo familiare; sono escluse le informazioni pubblicamente disponibili e quelle de-identificate |
| Base del trattamento | Una delle sei basi giuridiche dell'articolo 6 (consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse) | Nessuna base giuridica necessaria; informativa al momento della raccolta e uso ragionevolmente necessario e proporzionato alle finalità dichiarate |
| Modello di consenso | Opt-in | Opt-out da vendita e condivisione |
| Cookie e tracciamento | Consenso preventivo (opt-in) per i cookie non essenziali (norme ePrivacy più lo standard di consenso del GDPR) | Nessun banner opt-in richiesto per gli adulti; i cookie pubblicitari che vendono o condividono dati devono rientrare nell'opt-out |
| Minori | Articolo 8: consenso dei genitori sotto i 16 anni per i servizi online basati sul consenso; i Paesi UE possono abbassare l'età fino a 13 anni | Opt-in obbligatorio per vendere o condividere dati di consumatori di cui si sa che hanno meno di 16 anni; per i minori di 13 anni l'opt-in deve darlo un genitore o tutore |
| Dati sensibili | Le categorie particolari (articolo 9) sono vietate salvo eccezioni, come il consenso esplicito | Informazioni personali sensibili: i consumatori possono limitarne l'uso e la divulgazione |
| Diritti | Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, diritti sulle decisioni automatizzate, revoca del consenso | Sapere, cancellare, correggere, opporsi a vendita o condivisione, limitare l'uso delle informazioni sensibili, non discriminazione |
| Tempi di risposta | Un mese, prorogabile di altri due mesi | 45 giorni di calendario, prorogabili di altri 45; richieste di opt-out entro 15 giorni lavorativi |
| Responsabile della protezione dei dati | Obbligatorio in alcuni casi (articolo 37) | Non richiesto |
| Valutazioni del rischio | DPIA per i trattamenti ad alto rischio (articolo 35) | Valutazioni del rischio e audit di cybersicurezza previsti dai regolamenti CPPA in vigore dal 1° gennaio 2026, introdotti gradualmente nell'arco di diversi anni |
| Trasferimenti internazionali | Limitati: decisione di adeguatezza, clausole contrattuali standard o altro strumento del capo V | Nessuna limitazione ai trasferimenti; contratti obbligatori con fornitori di servizi, contraenti e terzi |
| Notifica delle violazioni | Notifica all'autorità di controllo entro 72 ore quando richiesto | Disciplinata da un'altra legge californiana; i consumatori possono agire in giudizio per alcune violazioni |
| Applicazione | Autorità nazionali per la protezione dei dati di ciascun Paese UE | California Privacy Protection Agency (CPPA) e Attorney General della California |
| Sanzioni massime | Fino a 20 milioni di EUR o al 4% del fatturato mondiale annuo, se superiore | 2.663 $ per violazione e 7.988 $ per violazione intenzionale o riguardante minori di 16 anni (dal 1° gennaio 2025) |
| Azione privata | Gli interessati possono chiedere il risarcimento del danno | Solo per alcune violazioni di dati: da 107 $ a 799 $ per consumatore e per incidente, oppure il danno effettivo se maggiore |
Le differenze principali spiegate
1. Chi deve adeguarsi
Il GDPR non prevede soglie dimensionali. Un negozio online di due persone a Berlino e un'app statunitense con utenti in Francia sono entrambi soggetti. Il CCPA si rivolge alle imprese più grandi o con un uso intensivo di dati. La soglia di fatturato viene adeguata all'inflazione ogni due anni; la California Privacy Protection Agency l'ha portata da 25.000.000 $ a 26.625.000 $ il 1° gennaio 2025. Dal 2023 il CCPA copre anche i dati dei dipendenti e i dati B2B, quindi non riguarda solo i visitatori del sito web.
2. Opt-in e opt-out
Con il GDPR serve una base giuridica prima di iniziare il trattamento. Per i cookie e i tracker simili non strettamente necessari, il diritto UE richiede prima il consenso: il banner dei cookie deve quindi bloccare i tag finché il visitatore non accetta, e rifiutare deve essere facile quanto accettare.
Con il CCPA si informano le persone al momento della raccolta o prima, e poi si rispettano le loro scelte. Se vendete informazioni personali o le condividete per pubblicità comportamentale cross-context, dovete offrire un link "Do Not Sell or Share My Personal Information" (o il link alternativo "Your Privacy Choices") e interrompere la vendita o la condivisione quando un consumatore esercita l'opt-out.
3. Global Privacy Control
I regolamenti CCPA obbligano le imprese a trattare il segnale Global Privacy Control (GPC) come una richiesta valida di opt-out da vendita e condivisione. L'Attorney General della California indica un controllo globale della privacy attivato dall'utente tra i metodi di opt-out che le imprese devono rispettare. Il GDPR non prevede un obbligo equivalente per i segnali, anche se il visitatore può sempre revocare il consenso.
4. Diritti e scadenze
Entrambe le leggi danno il diritto di accesso e di cancellazione, ma i dettagli cambiano. Le richieste GDPR vanno evase entro un mese. Le richieste CCPA di conoscere, cancellare e correggere entro 45 giorni di calendario, quelle di opt-out entro 15 giorni lavorativi. Un portale privacy aiuta a raccogliere e gestire le richieste degli interessati con entrambe le scadenze.
5. Sanzioni e applicazione
Le sanzioni GDPR possono arrivare a 20 milioni di EUR o al 4% del fatturato mondiale annuo. Le sanzioni CCPA si calcolano per violazione e quindi crescono rapidamente quando sono coinvolti molti consumatori: 2.663 $ per violazione e 7.988 $ per violazione intenzionale o riguardante un minore di 16 anni. Dopo alcune violazioni di dati, i consumatori possono anche promuovere azioni collettive, con risarcimenti previsti dalla legge da 107 $ a 799 $ per consumatore e per incidente.
Il CCPA è più severo del GDPR?
Nel complesso, no. Il GDPR è più severo perché copre quasi tutte le organizzazioni, richiede una base giuridica per ogni trattamento, impone il consenso opt-in per i cookie e limita i trasferimenti fuori dall'UE. Il CCPA è più severo su alcuni aspetti: richiede un link di opt-out visibile, rende obbligatorio il rispetto del GPC e riconosce ai consumatori risarcimenti previsti dalla legge per le violazioni di dati, senza dover dimostrare un danno effettivo.
Come il CPRA ha cambiato il CCPA
Il California Privacy Rights Act (CPRA), approvato dagli elettori nel novembre 2020, ha modificato il CCPA dal 1° gennaio 2023 avvicinandolo al GDPR. Leggete la nostra guida al CPRA per tutti i dettagli. Le modifiche principali:
- Ha istituito la California Privacy Protection Agency, un'autorità dedicata alla privacy.
- Ha aggiunto la "condivisione" per la pubblicità comportamentale cross-context accanto alla "vendita".
- Ha aggiunto i diritti di correzione e di limitazione dell'uso delle informazioni personali sensibili.
- Ha introdotto regole di minimizzazione dei dati e limitazione delle finalità.
- Ha previsto valutazioni del rischio e audit di cybersicurezza, ora disciplinati dai regolamenti CPPA in vigore dal 1° gennaio 2026.
- Ha innalzato la soglia da 50.000 a 100.000 consumatori o nuclei familiari.
La California non è sola. Molti altri Stati USA hanno ormai leggi sulla privacy con modelli di opt-out simili; consultate la nostra panoramica sulle leggi sulla privacy degli Stati USA e l'elenco delle leggi sulla privacy nel mondo.
Come rispettare sia il GDPR sia il CCPA
Usate questa checklist se avete visitatori o clienti sia in Europa sia in California:
- Mappate i dati: registrate quali dati personali raccogliete, perché, dove vanno e quali fornitori li ricevono.
- Scansionate il sito: eseguite una scansione dei cookie per trovare tutti i cookie e i tracker e classificarli per categoria.
- Mostrate il banner giusto per ogni regione: un banner opt-in per i visitatori di UE, SEE e Regno Unito e un avviso di opt-out CCPA per i visitatori della California.
- Bloccate i tag prima del consenso in Europa: caricate i tag di analisi e pubblicità solo dopo il consenso GDPR.
- Aggiungete il link di opt-out per la California: inserite nel footer un link "Do Not Sell or Share My Personal Information" o "Your Privacy Choices".
- Rispettate il GPC: trattate Global Privacy Control come un opt-out valido per i visitatori della California.
- Trasmettete i segnali ai partner pubblicitari: inviate stringhe IAB TCF in Europa e stringhe IAB GPP negli Stati Uniti, insieme a Google Consent Mode v2.
- Aggiornate l'informativa privacy: includete basi giuridiche e diritti del GDPR, oltre alle categorie di informazioni personali, finalità e diritti del CCPA. Il nostro generatore di informative privacy può aiutarvi.
- Organizzate la gestione delle richieste: un unico processo con scadenza di un mese per il GDPR e di 45 giorni per il CCPA.
- Conservate le prove: archiviate i registri di consenso e opt-out e verificate i contratti con i fornitori, come gli accordi sul trattamento dei dati.
Come UniConsent applica il banner giusto in ogni regione
UniConsent è una piattaforma di gestione del consenso certificata da Google e registrata nell'IAB TCF. Con un solo tag sul vostro sito rileva la regione del visitatore e applica le regole corrette:
- Europa e Regno Unito: un banner dei cookie opt-in conforme al GDPR con pulsanti Accetta e Rifiuta, blocco preventivo dei tag, segnali IAB TCF e Google Consent Mode v2.
- California e altri Stati USA: un avviso di opt-out CCPA con link Do Not Sell or Share, link Your Privacy Choices, rilevamento automatico del GPC e segnali IAB GPP per i vostri partner pubblicitari.
- Ovunque: scansione dei cookie, registri di consenso e opt-out, un portale privacy per le richieste e supporto multilingue.
Create un account UniConsent gratuito e configurate in pochi minuti la conformità GDPR e CCPA su un unico sito.
Domande frequenti
Qual è la differenza principale tra GDPR e CCPA?
Il GDPR è di tipo opt-in: serve una base giuridica, spesso il consenso, prima di trattare dati personali, e un consenso preventivo per i cookie non essenziali. Il CCPA è di tipo opt-out: le imprese possono raccogliere informazioni personali dopo un'informativa, ma devono consentire ai consumatori di opporsi alla loro vendita o condivisione. Inoltre il GDPR si applica a quasi tutte le organizzazioni, mentre il CCPA solo alle imprese a scopo di lucro che superano le sue soglie.
Il CCPA è più severo del GDPR?
Nel complesso il GDPR è più severo: copre quasi tutte le organizzazioni, richiede una base giuridica per il trattamento, impone il consenso opt-in per i cookie e prevede sanzioni fino a 20 milioni di EUR o al 4% del fatturato mondiale. Il CCPA è più severo su alcuni aspetti, come il link di opt-out obbligatorio, il supporto obbligatorio di Global Privacy Control e i risarcimenti previsti dalla legge per le violazioni di dati.
Il CCPA richiede il consenso ai cookie come il GDPR?
No. Il CCPA non richiede un banner dei cookie opt-in per gli adulti. Richiede un'informativa al momento della raccolta e un modo per opporsi alla vendita o condivisione delle informazioni personali, che comprende i cookie pubblicitari usati per la pubblicità comportamentale cross-context. L'opt-in è obbligatorio solo per i consumatori di cui l'impresa sa che hanno meno di 16 anni.
Se rispetto il GDPR, sono conforme al CCPA?
Non automaticamente. La conformità al GDPR copre gran parte delle basi, ma il CCPA richiede anche un link Do Not Sell or Share o Your Privacy Choices, il supporto di Global Privacy Control, informazioni specifiche CCPA nell'informativa privacy, un processo di gestione delle richieste entro 45 giorni e il diritto di limitare l'uso delle informazioni personali sensibili.
Chi applica il GDPR e il CCPA?
Il GDPR è applicato dall'autorità nazionale per la protezione dei dati di ciascun Paese UE, con un'autorità capofila per le organizzazioni che operano in più Paesi. Il CCPA è applicato dalla California Privacy Protection Agency (CPPA) e dall'Attorney General della California.
Quali sono le sanzioni del CCPA rispetto al GDPR?
Le sanzioni GDPR possono arrivare a 20 milioni di EUR o al 4% del fatturato mondiale annuo, se superiore. Dal 1° gennaio 2025 le sanzioni CCPA arrivano a 2.663 $ per violazione e 7.988 $ per violazione intenzionale o riguardante minori di 16 anni, e i consumatori possono chiedere da 107 $ a 799 $ per incidente dopo alcune violazioni di dati.
Gestore del consenso UniConsent per GDPR e CCPA
- Banner opt-in GDPR e opt-out CCPA in base alla regione
- Banner di opt-out e link Do Not Sell or Share
- Supporto di Global Privacy Control (GPC)
- Segnali IAB TCF e IAB GPP per i vostri partner pubblicitari
- CMP certificata IAB
- Supporto per Google Consent Mode v2
- Scansione e informativa sui cookie
- Blocco dei tag JavaScript e dei cookie
- Implementazione con un solo tag
- Supporto multilingua
- Soluzione self-service semplice
- Scopri di più su Guida alla conformità al GDPR
- Scopri di più su Guida alla conformità CCPA
Rispetta le normative globali sulla privacy
Inizia a rendere il tuo sito web e la tua applicazione conformi a GDPR (UE), CPRA (USA), PIPEDA (Canada) ecc.
Registrati