Apri lo spazio

Guida · Legge statale degli USA

CCPA e CPRA spiegate a chi vive di pubblicità

La California ha la legge sulla privacy più dettagliata degli Stati Uniti e quella che applica più multe. In questa guida capisci quando vale per il tuo sito, perché gli annunci personalizzati contano come vendita o condivisione di dati e cosa deve comparire nella pagina perché il visitatore possa dire no.

Fai l'audit del mio sito per la CaliforniaLeggi la guida
  • ✓Basato sul testo della legge, sulle regole dell'agenzia e sugli accordi pubblici
  • ✓Esempi pensati per siti con AdSense e Ad Manager
  • ✓Audit in sola lettura, senza modificare il sito
100 milaconsumatori o nuclei familiari della California all'anno: una delle soglie che fanno rientrare l'azienda nella legge
7.988 USDmulta massima per violazione intenzionale o che coinvolga minori di 16 anni, valore adeguato nel 2025
16età sotto la quale vendere o condividere i dati richiede un'autorizzazione preventiva
2026anno in cui sono entrate in vigore le nuove regole su valutazioni del rischio, decisioni automatizzate e audit

Che cos'è

La legge che ha dato al visitatore il diritto di dire no alla vendita dei suoi dati

La California Consumer Privacy Act, o CCPA, è stata approvata nel 2018 e ha iniziato a valere il 1° gennaio 2020. Dà ai residenti della California il diritto di sapere quali dati un'azienda raccoglie, di chiederne la cancellazione e di impedire che vengano venduti.

A novembre 2020, gli elettori hanno approvato la California Privacy Rights Act, la CPRA, che ha riscritto buona parte della CCPA. Le modifiche valgono dal 1° gennaio 2023. Per questo, quando oggi si parla di CCPA, quasi sempre si parla della legge già modificata dalla CPRA.

La CPRA ha creato la California Privacy Protection Agency, un'agenzia dedicata solo alla privacy, che oggi si presenta al pubblico come CalPrivacy. Scrive le regole dettagliate, indaga sulle aziende e applica le multe. Il procuratore generale della California mantiene il potere di agire contro chi viola la legge.

Per chi ha un sito con annunci, il punto centrale è semplice: quando cookie e identificatori del visitatore vengono usati per mostrare annunci in base a ciò che ha fatto su altri siti, la legge lo tratta come condivisione di dati. E il visitatore ha il diritto di rifiutare.

Checklist

Cosa devi rispettare

Valgono per le aziende che superano una delle soglie della legge e vendono o condividono dati di residenti in California.

  1. Metti il link di rifiuto nella home page

    Chi vende o condivide dati deve avere un link chiaro nell'intestazione o nel footer della home page. Le regole accettano anche un unico link chiamato Your Privacy Choices o Your California Privacy Choices, con l'icona ufficiale accanto.

    Esempio

    Footer: Do Not Sell or Share My Personal Information

  2. Accetta il GPC come rifiuto valido

    L'ufficio del procuratore generale dice che il GPC va rispettato come richiesta valida di rifiuto. Le regole in vigore dal 2026 richiedono che il sito mostri al visitatore lo stato della sua scelta.

    Esempio

    Pannello privacy: Abbiamo ricevuto il tuo segnale GPC. Non vendiamo né condividiamo i tuoi dati.

  3. Gestisci il rifiuto in fretta

    Il rifiuto va gestito il prima possibile, entro al massimo 15 giorni lavorativi. Le richieste di conoscere, eliminare o correggere hanno 45 giorni di tempo, con altri 45 se il visitatore viene avvisato.

  4. Dai l'avviso alla raccolta e mantieni l'informativa completa

    L'avviso compare prima o al momento della raccolta dei dati e include il link all'informativa sulla privacy. L'informativa spiega i diritti del visitatore e come esercitarli.

    Esempio

    Usiamo cookie di partner pubblicitari. Secondo la legge della California, questa può essere una condivisione di dati. Per rifiutare, clicca su Do Not Sell or Share My Personal Information.

  5. Offri almeno due canali

    Chi vende o condivide dati deve avere due o più modi per rifiutare. Per le richieste di accesso o eliminazione, un'azienda solo online può offrire anche solo un indirizzo e-mail.

    Esempio

    Richieste sulla privacy: privacidade@seusite.com

  6. Mantieni le opzioni equilibrate

    Le regole richiedono simmetria nelle scelte. Un avviso che offre solo Sì e Chiedimelo dopo non è equilibrato, perché non c'è modo di rifiutare.

    Esempio

    Due pulsanti della stessa dimensione e dello stesso colore: Accetta e Rifiuta

  7. Chiedi l'autorizzazione per i minori di 16 anni

    Per vendere o condividere dati di chi sai avere meno di 16 anni serve un'autorizzazione preventiva. Sotto i 13 anni, l'autorizzazione arriva dai genitori o dai tutori.

  8. Porta il rifiuto a Google

    Nella sezione California della stringa GPP, il rifiuto di vendita o condivisione attiva l'RDP. Un'altra opzione è attivare l'RDP nel tag per chi ha cliccato sul link.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata per la California. Puoi usare il messaggio per gli stati USA di Google, una CMP che generi GPP o l'RDP nel tag. Questi sono i link ufficiali.

A chi si applica

Basta superare una di queste tre soglie

La legge vale per le aziende a scopo di lucro che fanno affari in California, raccolgono dati di residenti dello stato e raggiungono almeno una delle soglie qui sotto. Avere la sede lì non è una condizione: possono rientrare anche aziende estere che servono californiani.

Fatturato superiore a 26.625.000 USD

Ricavo lordo annuo superiore a questo valore, che era di 25 milioni di USD ed è stato adeguato all'inflazione a gennaio 2025. Il fatturato conta nel totale, non solo quello che arriva dalla California.

100 mila consumatori o nuclei familiari

Acquistare, vendere o condividere dati di 100 mila o più consumatori o nuclei familiari della California all'anno. Un portale con molto traffico californiano e annunci personalizzati può arrivarci senza accorgersene.

Metà del ricavo dai dati

Ottenere il 50% o più del ricavo annuo dalla vendita o dalla condivisione di dati personali di californiani, indipendentemente dalle dimensioni dell'azienda.

Chi resta fuori

Enti senza scopo di lucro e enti pubblici, in genere, non sono coperti. Nemmeno le aziende sotto le tre soglie, ma i partner pubblicitari possono richiedere comunque i segnali di opt-out.

Definizioni

Le parole che cambiano tutto per un sito con annunci

La CCPA usa termini propri. Capire i quattro qui sotto evita la maggior parte delle confusioni.

Informazione personale

Qualsiasi dato collegato o collegabile a una persona o a un nucleo familiare. La legge stessa include identificatori online, indirizzo IP, cronologia di navigazione e interazioni con siti e annunci.

Informazione personale sensibile

Dati come documenti, credenziali di accesso agli account, posizione precisa, origine razziale, religione, salute, vita sessuale e biometria. Il visitatore può chiedere che l'uso di questi dati sia limitato.

Vendita

Passare dati a terzi in cambio di denaro o di un altro valore. Non serve un pagamento diretto: lasciare che un partner raccolga dati in cambio di un servizio può contare come vendita.

Condivisione

Passare dati a terzi per la pubblicità comportamentale tra contesti diversi, cioè annunci scelti in base a ciò che la persona ha fatto su altri siti e app. Vale anche senza pagamento.

Diritti

Cosa può chiedere il visitatore della California

L'azienda ha 45 giorni per rispondere alle richieste, con una proroga di altri 45 quando necessario. Le richieste di opt-out devono essere gestite molto più in fretta e senza burocrazia.

Sapere e accedere

Scoprire quali dati sono stati raccolti, da dove vengono, a cosa servono e con chi sono stati venduti o condivisi.

Cancellare e correggere

Chiedere la cancellazione dei dati raccolti e la correzione di dati errati, con alcune eccezioni previste dalla legge.

Rifiutare vendita e condivisione

Ordinare all'azienda di smettere di vendere o condividere i propri dati, anche per annunci personalizzati, tramite un link sul sito o un segnale automatico del browser.

Limitare i dati sensibili e non subire ritorsioni

Limitare l'uso dei dati sensibili al necessario e non essere trattato peggio, con prezzi più alti o servizio ridotto, per aver esercitato questi diritti.

Obblighi del sito

Link di opt-out, segnale GPC e informativa sulla privacy

Chi vende o condivide dati deve offrire un link chiaro con il testo Do Not Sell or Share My Personal Information, di solito nel footer di tutte le pagine. Le regole dell'agenzia permettono di sostituire questo link e quello sui dati sensibili con un unico link chiamato Your Privacy Choices, accompagnato dall'icona ufficiale. Cliccando si deve arrivare a un modo semplice per rifiutare, senza registrazione e senza richiedere documenti.

Anche il segnale automatico di opt-out è obbligatorio. L'esempio più noto è il Global Privacy Control, il GPC, un'impostazione del browser o di un'estensione che avvisa tutti i siti che la persona non vuole che i suoi dati vengano venduti o condivisi. Dal 1° gennaio 2026, le regole richiedono che il sito mostri se ha elaborato questo segnale, per esempio con un messaggio di richiesta di opt-out accolta.

Serve anche un avviso al momento della raccolta e un'informativa sulla privacy completa. Elenca le categorie di dati raccolti, le finalità, le categorie di aziende che ricevono i dati, se c'è vendita o condivisione, per quanto tempo i dati vengono conservati e come esercitare ogni diritto. Le regole dell'agenzia richiedono anche la data dell'ultimo aggiornamento.

Le regole vietano i cosiddetti schemi ingannevoli: rifiutare non può richiedere più passaggi che accettare, e chiudere un pop-up non vale come consenso. Per vendere o condividere i dati di chi l'azienda sa avere meno di 16 anni, serve un'autorizzazione preventiva. Tra 13 e 16 anni, autorizza l'adolescente stesso; sotto i 13, i genitori.

Cronologia

Come la legge della California è arrivata fin qui

Date confermate da fonti ufficiali dello stato della California.

  1. 1° gennaio 2020

    La CCPA entra in vigore

    Nasce il diritto di sapere, cancellare e rifiutare la vendita dei dati.

  2. 24 agosto 2022

    Prima multa: Sephora

    Accordo da 1,2 milioni di USD per aver venduto dati tramite tracker di terze parti e ignorato il GPC.

  3. 1° gennaio 2023

    La CPRA inizia a valere

    Entrano la condivisione per gli annunci, la correzione, il limite ai dati sensibili, e finisce il termine obbligatorio di 30 giorni per correggere prima della sanzione.

  4. 1° gennaio 2025

    Valori adeguati

    La soglia di fatturato sale a 26.625.000 USD e le multe a 2.663 USD e 7.988 USD.

  5. 1° gennaio 2026

    Nuovo pacchetto di regole

    Entrano in vigore le valutazioni del rischio per le attività a rischio significativo, la conferma visibile del segnale di opt-out e le nuove regole contro gli schemi ingannevoli.

  6. 1° gennaio 2027

    Decisioni automatizzate e browser

    Iniziano le regole sulle decisioni automatizzate per le decisioni importanti. La legge AB 566, del 2025, inizia a richiedere che i browser offrano un segnale di opt-out integrato.

  7. 1° aprile 2028

    Dichiarazioni all'agenzia

    Termine per inviare la dichiarazione e il riepilogo delle valutazioni del rischio. Le certificazioni degli audit di sicurezza iniziano a questa data per chi fattura oltre 100 milioni di USD e proseguono nel 2029 e nel 2030 per gli altri.

Controlli e sanzioni

Chi controlla e quanto costa sbagliare

L'agenzia per la privacy e il procuratore generale possono intervenire. Dal 2023 non esiste più il termine obbligatorio di 30 giorni per correggere prima della sanzione. L'agenzia può tenere conto della buona fede, ma non deve avvisare prima.

Le multe sono state adeguate a gennaio 2025: fino a 2.663 USD per violazione e fino a 7.988 USD per violazione intenzionale o che coinvolga minori di 16 anni. Poiché ogni visitatore o ogni richiesta può contare come una violazione, il conto cresce in fretta. Il cittadino può fare causa direttamente solo in caso di violazione dei dati, con un risarcimento tra 107 USD e 799 USD per persona e per incidente.

Sephora ha pagato 1,2 milioni di USD nel 2022 per tracker e GPC. A marzo 2025, Honda ha pagato 632.500 USD all'agenzia per aver richiesto troppi dati per l'opt-out e per uno strumento che non presentava le scelte in modo equilibrato. A maggio 2025, il marchio di abbigliamento Todd Snyder ha pagato 345.178 USD perché un portale configurato male non ha elaborato le richieste di opt-out per 40 giorni.

A luglio 2025, il procuratore generale ha chiuso un accordo da 1,55 milioni di USD con il sito di salute Healthline, che non rispettava i rifiuti della pubblicità mirata, compreso il GPC. A settembre 2025, Tractor Supply ha ricevuto una multa da 1,35 milioni di USD, che include errori nella gestione del GPC. A febbraio 2026, Disney ha chiuso il più grande accordo fino a quel momento, da 2,75 milioni di USD, perché l'opt-out e il GPC valevano solo su un dispositivo o servizio.

AdSense e Ad Manager

Cosa cambia in un sito con annunci Google

Google offre l'elaborazione limitata dei dati, chiamata RDP. Quando il segnale è presente, Google non mostra annunci basati sul comportamento precedente del visitatore e invia richieste non personalizzate agli acquirenti. In questa modalità, Google agisce come fornitore di servizi, figura che la legge californiana non tratta come vendita.

Ci sono due strade. La prima è una CMP che gestisca la stringa GPP, il formato di IAB Tech Lab per i segnali di privacy. AdSense e Ad Manager leggono la sezione US National e la sezione della California. Nella sezione della California, rifiutare la vendita o la condivisione attiva l'RDP, e il rifiuto per i minori di 16 anni attiva il trattamento per i minori. La seconda strada è attivare l'RDP direttamente nel tag, per esempio con restrictDataProcessing in GPT, solo per chi ha cliccato sul link di opt-out.

Il Messaggio sulla privacy per gli stati USA, nel menu Privacy e messaggi di AdSense e Ad Manager, copre la California. Mostra il link Do Not Sell or Share My Personal Information, registra il rifiuto e salva la scelta in GPP. Google ricorda però che la responsabilità di rispettare la legge resta del sito.

Header bidding, reti video e pixel dei social network ricevono anch'essi dati. L'opt-out deve arrivare a tutti, non solo a Google.

In pratica

Cosa si può e cosa non si può fare in California

Esempi di tutti i giorni di un sito con AdSense o Ad Manager e visitatori californiani.

Consentito

  • Mostrare annunci personalizzati finché il visitatore non rifiuta, purché il link di opt-out sia visibile
  • Usare un unico link Your Privacy Choices con l'icona ufficiale nel footer
  • Leggere il GPC e segnare automaticamente il visitatore come opt-out nella stringa GPP
  • Mostrare un breve messaggio che conferma che il segnale di opt-out è stato accolto
  • Mostrare annunci non personalizzati a chi ha rifiutato
  • Usare il messaggio per gli stati USA di Google

Non consentito

  • Richiedere registrazione o documenti per registrare l'opt-out
  • Lasciare il pulsante di accettazione colorato e quello di rifiuto nascosto in grigio
  • Trattare la chiusura del pop-up come accettazione
  • Disattivare solo Google e lasciare che header bidding e pixel ricevano i dati
  • Ignorare il GPC perché il visitatore non ha cliccato sul link
  • Usare dati di chi sai avere meno di 16 anni per annunci personalizzati senza autorizzazione

Errori comuni

Errori che compaiono nei casi di controllo

Quasi tutti gli accordi pubblici riguardano opt-out che sembrano funzionare, ma non funzionano.

Link che porta a un testo

Il link Do Not Sell or Share apre l'informativa sulla privacy invece di una schermata in cui il visitatore può davvero rifiutare.

GPC letto, ma senza effetto

La CMP rileva il GPC, ma i tag degli annunci si caricano prima o continuano a ricevere il segnale di non rifiutato.

Opt-out solo per Google

L'RDP viene attivato in Google, ma i partner di header bidding e i pixel di terze parti continuano a raccogliere dati.

Banner sbilanciato

Accettare tutto con un clic e rifiutare solo dopo aver aperto le impostazioni. La mancanza di equilibrio nelle scelte ha pesato nel caso Honda.

Informativa non aggiornata

Informativa senza data di aggiornamento, senza le categorie di dati o senza dire che c'è condivisione per gli annunci.

Messaggio solo per la California, senza stringa

Il banner compare, ma non viene generata nessuna stringa GPP, quindi Google e i partner non ricevono la scelta del visitatore.

In ConsentMode

Cosa controlla l'audit sulla CCPA

  • Apre il sito come visitatore dalla California e cerca il link Do Not Sell or Share o Your Privacy Choices in tutte le pagine analizzate.
  • Ripete la visita con il GPC attivo e osserva se la stringa GPP, l'RDP e il messaggio di conferma cambiano nella pagina.
  • Legge la stringa GPP nelle richieste di annunci e mostra se le sezioni US National o California indicano il rifiuto.
  • Identifica la CMP dal codice della pagina e controlla se i tag degli annunci aspettano la sua risposta.
  • Legge l'informativa sulla privacy e segnala gli elementi mancanti, come categorie di dati, condivisione per gli annunci e data di aggiornamento.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla CCPA

Il mio sito è brasiliano. La CCPA vale per me?

Può valere. La legge non richiede una sede in California. Se l'azienda serve residenti dello stato e supera una delle tre soglie, come 100 mila consumatori o nuclei familiari all'anno con dati condivisi per gli annunci, rientra. Sotto le soglie, la legge non si applica, ma Google e altri partner continuano a leggere i segnali di opt-out.

Gli annunci di AdSense contano come vendita?

Gli annunci personalizzati basati sulla navigazione su altri siti rientrano nel concetto di condivisione. Con l'RDP attivo, Google agisce come fornitore di servizi e mostra solo annunci non personalizzati a quel visitatore.

Mi serve un banner dei cookie per la California?

La CCPA funziona con l'opt-out, quindi non richiede di chiedere il permesso prima per gli adulti. Richiede l'avviso alla raccolta, il link di rifiuto e il rispetto del GPC. Per i minori di 16 anni, serve l'opt-in.

Il GPC è davvero obbligatorio?

Sì. Il procuratore generale e l'agenzia trattano il GPC come richiesta valida di opt-out, e diversi accordi, come quelli di Sephora, Tractor Supply e Disney, citano errori nel GPC. Dal 2026 il sito deve anche mostrare se ha elaborato il segnale.

La valutazione del rischio vale per un blog?

Vale per le aziende coperte dalla legge le cui attività rientrano nell'elenco di rischio significativo delle regole dell'agenzia. Chi fa annunci personalizzati dovrebbe verificare quell'elenco con un avvocato. Un blog sotto le soglie della CCPA non ne ha bisogno. Chi è sopra e rientra nell'elenco deve documentare la valutazione e inviare la dichiarazione entro il 1° aprile 2028.

ConsentMode risolve la CCPA per me?

No. ConsentMode non è una CMP e non mostra banner. Controlla il sito dall'esterno e mostra cosa correggere. La decisione giuridica spetta al tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se il tuo opt-out funziona davvero

L'audit apre il sito come visitatore dalla California, con e senza GPC, e mostra cosa correggere senza modificare nulla.

Avvia l'audit