Apri lo spazio

Guida · Legge statale degli USA

DPDPA: la legge del Delaware che arriva anche ai siti medi

La Delaware Personal Data Privacy Act vale dal 1° gennaio 2025 e ha una delle soglie più basse del paese. In questa guida capisci chi deve rispettarla, perché rientrano anche gli enti senza scopo di lucro, come funziona il segnale universale di opt-out e cosa cambia nel 2027.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul Codice del Delaware e sul portale del Dipartimento di Giustizia
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
35 milaconsumatori del Delaware all'anno: la soglia principale fino alla fine del 2026
10 milaconsumatori bastano se oltre il 20% del fatturato lordo deriva dalla vendita di dati
100 milaconsumatori: da lì in poi l'azienda deve fare valutazioni di protezione dei dati
10 mila USDdi sanzione civile massima per violazione intenzionale, secondo la legge sulle frodi ai consumatori

Che cos'è

Una legge piccola nel nome e grande nella portata

La Delaware Personal Data Privacy Act, o DPDPA, è la legge generale sulla privacy del Delaware. È stata approvata nel 2023, si trova nel Titolo 6, capitolo 12D del Codice del Delaware, ed è controllata dal Dipartimento di Giustizia dello stato dal 1° gennaio 2025.

Il modello è simile a quello del Connecticut. Il visitatore può accedere ai propri dati, correggerli, cancellarli e portarli con sé, e può rifiutare la vendita, la pubblicità mirata e certi profili automatizzati. I dati sensibili si possono usare solo con il consenso.

Quello che colpisce è la portata. Il Delaware è un piccolo stato, quindi il legislatore ha scelto soglie basse: bastano i dati di 35 mila consumatori all'anno. E, a differenza di molti stati, gli enti senza scopo di lucro non sono esenti.

Per un sito di contenuti con visitatori dagli Stati Uniti, questo cambia i conti. Un portale di notizie, un blog di finanza o un'associazione con molto traffico dal Delaware può superare la soglia senza accorgersene, perché ogni cookie pubblicitario conta come dato personale.

Checklist

Cosa devi rispettare

Se il sito supera le soglie della DPDPA, questa è la lista di base, dal più urgente al meno urgente.

  1. Avere un link di rifiuto chiaro e visibile

    Il sito ha bisogno di un link chiaro e visibile a una pagina in cui il visitatore rifiuta la pubblicità mirata e la vendita.

    Esempio

    Link nel footer: Do Not Sell or Share My Personal Information, che porta a una schermata di rifiuto.

  2. Accettare il segnale di preferenza del browser

    Dal 1º gennaio 2026, il sito deve accettare il rifiuto inviato da un segnale di preferenza, come il GPC. Il segnale non può essere attivo per impostazione predefinita.

    Esempio

    Visitatore con GPC attivo: trattalo come se avesse cliccato sul link di rifiuto.

  3. Chiedere un vero consenso per i dati sensibili

    Dati sensibili solo con il consenso. Un consenso ottenuto con un'impostazione ingannevole non vale, e revocarlo deve essere facile quanto darlo.

    Esempio

    Se il visitatore revoca il consenso, interrompi il trattamento entro 15 giorni.

  4. Proteggere gli adolescenti da 13 a 17 anni

    Se l'azienda sa, o ignora di proposito, che il visitatore ha tra 13 e 17 anni, non può usare i suoi dati per pubblicità mirata né venderli senza consenso.

  5. Pubblicare un'informativa completa sulla privacy

    L'informativa elenca i dati trattati, le finalità, come esercitare i diritti e fare ricorso, i dati condivisi e le categorie di terzi, con un contatto attivo.

    Esempio

    Includi un'e-mail attiva, come privacidade@seusite.com, in fondo all'informativa.

  6. Rispondere alle richieste senza chiedere un nuovo account

    Rispondi entro 45 giorni, con una proroga di altri 45 se avvisi. Non chiedere un nuovo account e prevedi una procedura di ricorso.

  7. Fare la valutazione della protezione dei dati

    Chi tratta dati di almeno 100 mila consumatori valuta per iscritto i rischi di pubblicità mirata, vendita e dati sensibili. Nel 2027, la soglia scende a 50 mila.

  8. Portare il rifiuto fino a Google

    Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. Con il GPP, Google legge la sezione US National per il Delaware.

    Esempio

    AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag.

Chi deve rispettarla

Le soglie che mettono il tuo sito dentro la DPDPA

La legge vale per chi fa affari nel Delaware o offre prodotti e servizi rivolti ai residenti dello stato e, nell'anno civile precedente, ha superato una delle soglie qui sotto.

35 mila consumatori

Ha controllato o trattato dati di almeno 35 mila consumatori del Delaware. I dati usati solo per completare un pagamento non contano.

10 mila e vendita di dati

Ha controllato o trattato dati di almeno 10 mila consumatori e ha ricavato oltre il 20% del fatturato lordo dalla vendita di dati personali.

Anche senza scopo di lucro

La legge vale per le aziende e per gli enti senza scopo di lucro. L'unico ente di questo tipo esente è quello dedicato a contrastare le frodi assicurative.

Esenzioni per tipo di dato

Ci sono eccezioni per i dati finanziari e sanitari regolati da leggi federali. Lo stesso Dipartimento di Giustizia consiglia di verificare con un avvocato se ne vale qualcuna.

Soglie più basse nel 2027

Una legge approvata nel 2026, la HB 380, abbassa le soglie dal 1° gennaio 2027: 10 mila consumatori, oppure 5 mila con più del 20% del fatturato derivante dalla vendita di dati.

Terzi che acquistano dati

Sempre dal 2027, i terzi che acquisiscono dati personali da un titolare sono coperti, senza soglia numerica.

Definizioni

Le parole della legge, nel linguaggio di chi ha un sito

Le definizioni si trovano nella sezione 12D-102 e sono simili a quelle del Connecticut e dell'Oregon, con un elenco di dati sensibili più lungo.

Dato personale

Ogni dato collegato o collegabile a una persona: nome, indirizzo, e-mail, identificatori del dispositivo, posizione precisa e identificatori univoci, come quelli usati dai cookie pubblicitari.

Dato sensibile

Origine razziale o etnica, credo religioso, condizione di salute compresa la gravidanza, vita sessuale, orientamento sessuale, condizione di persona trans o non binaria, status migratorio, dati genetici e biometrici, dati di minori e geolocalizzazione precisa.

Vendita

Lo scambio di dati personali con denaro o con un'altra contropartita di valore a un terzo. I trasferimenti a responsabili del trattamento e ad aziende dello stesso gruppo restano esclusi.

Pubblicità mirata

Annuncio scelto in base a dati ottenuti o dedotti dalle attività del visitatore nel tempo su siti e app di altre aziende. L'annuncio in base al contesto di una ricerca non rientra.

Diritti delle persone

Cosa può chiedere il residente del Delaware

La risposta deve arrivare entro 45 giorni, con una proroga di altri 45 giorni se necessaria e comunicata entro il termine iniziale. L'azienda deve avere una procedura di ricorso.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e avere accesso a quei dati.

Correggere e cancellare

Correggere dati errati e chiedere la cancellazione dei dati personali.

Portabilità

Ricevere una copia dei dati in un formato facile da trasferire a un altro servizio.

Elenco dei terzi

Ricevere l'elenco delle categorie di terzi che hanno ricevuto i dati. Dal 2027, l'elenco riguarda i terzi specifici, con alcune eccezioni.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti. È il diritto che pesa di più per i siti con annunci.

Rifiutare la profilazione automatizzata

Rifiutare profili fatti solo da una macchina che portano a decisioni con effetti giuridici o di impatto simile.

Obblighi del sito

Cosa deve avere in funzione il sito coperto

  1. Informativa sulla privacy completaL'informativa deve elencare le categorie di dati trattati, le finalità, come esercitare i diritti e fare ricorso, le categorie di dati condivisi con terzi, le categorie di questi terzi e un'e-mail attiva o un altro contatto online.
  2. Dichiarare vendita e annunci miratiSe il sito vende dati o usa dati per la pubblicità mirata, deve dirlo in modo chiaro e visibile e spiegare come rifiutare.
  3. Raccogliere solo il necessarioLa raccolta deve essere adeguata, pertinente e ragionevolmente necessaria per le finalità comunicate al visitatore.
  4. Consenso per i dati sensibiliDati sensibili solo con il consenso, che il visitatore può ritirare con la stessa facilità con cui lo ha dato.
  5. Protezione degli adolescentiSe l'azienda sa, o ignora volontariamente, che il visitatore ha tra 13 e 17 anni, non può usare i suoi dati per la pubblicità mirata né venderli senza consenso.
  6. Valutazione della protezione dei datiChi controlla o tratta dati di almeno 100 mila consumatori deve valutare per iscritto i rischi di pubblicità mirata, vendita, profilazione e dati sensibili. Nel 2027 questa soglia scende a 50 mila in certi casi.

Controlli e sanzioni

Chi controlla e cosa è cambiato nel termine di correzione

Solo il Dipartimento di Giustizia del Delaware controlla la DPDPA. Il consumatore non può fare causa all'azienda in base a questa legge.

Termine obbligatorio terminato

Nel 2025, il Dipartimento doveva avvisare l'azienda e concedere 60 giorni per correggere prima di agire. Questo termine obbligatorio è terminato il 31 dicembre 2025.

Ora decide l'ente

Dal 2026, concedere o meno un termine per la correzione è una scelta del Dipartimento, che considera il numero di violazioni, le dimensioni dell'azienda, il rischio per il pubblico e se l'errore è stato umano o tecnico.

Pratica commerciale illecita

La violazione della DPDPA è trattata come pratica illecita dalla legge sulle frodi ai consumatori del Delaware, con gli strumenti di indagine di quella legge.

Fino a 10 mila USD per violazione

Se il tribunale conclude che la violazione è stata intenzionale, la sanzione civile può arrivare a 10 mila USD per violazione.

Cronologia

Le date della DPDPA

Il Delaware ha già modificato una volta la propria legge. A novembre 2026 sono in vigore le regole del 2025 e quelle del 2027 stanno arrivando.

  1. 2023

    Legge approvata

    Il Delaware approva la Personal Data Privacy Act.

  2. 1° gennaio 2025

    Inizio dei controlli

    Il Dipartimento di Giustizia inizia a controllare la legge, con un termine obbligatorio di 60 giorni per la correzione.

  3. 31 dicembre 2025

    Fine del termine obbligatorio

    Termina il periodo in cui il Dipartimento era obbligato ad avvisare e ad aspettare 60 giorni prima di agire.

  4. 1° gennaio 2026

    Segnale universale obbligatorio

    Il sito deve accettare l'opt-out dalla vendita e dalla pubblicità mirata inviato tramite un segnale di preferenza, come il GPC.

  5. 2026

    HB 380 approvata

    Il Delaware approva modifiche che abbassano le soglie, ampliano i dati sensibili e richiedono l'elenco dei terzi specifici.

  6. 1° gennaio 2027

    Entrano in vigore le nuove regole

    Entrano in vigore le soglie di 10 mila e 5 mila consumatori e le altre modifiche della HB 380.

Siti con AdSense e Ad Manager

GPC obbligatorio e il percorso dell'opt-out fino a Google

Dal 1° gennaio 2026, il sito coperto dalla DPDPA deve accettare l'opt-out inviato tramite un segnale di preferenza, con il consenso del visitatore. L'esempio più comune è il Global Privacy Control, o GPC, che alcuni browser ed estensioni inviano. Per il visitatore con GPC attivo, il sito deve comportarsi come se avesse cliccato sul link di opt-out.

Google offre in AdSense e in Ad Manager un messaggio per le normative statali degli USA, in Privacy e messaggi, e il Delaware è tra gli stati coperti. Il messaggio mostra il link Do Not Sell or Share. Quando il visitatore rifiuta, Google attiva l'elaborazione limitata dei dati, chiamata RDP, e smette di usare il comportamento precedente per scegliere gli annunci.

Sul GPC, Google dice che il partner che ha implementato il segnale può scegliere di attivare l'RDP quando riceve un GPC di opt-out. In altre parole, la decisione e la configurazione spettano al sito o alla CMP. Un modo è il tag: il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense.

Chi usa il GPP deve sapere che esiste una sezione specifica del Delaware, ma non è nell'elenco delle sezioni accettate da Google. Per Google, il percorso è la sezione US National, in cui il rifiuto di vendita, condivisione o pubblicità mirata attiva l'RDP.

In pratica

Cosa si può e cosa non si può fare nel Delaware

Esempi per un sito con traffico dal Delaware che monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali a chi ha rifiutato o è arrivato con GPC attivo
  • Usare il messaggio di Google per le normative statali per offrire il link di opt-out
  • Applicare lo stesso trattamento GPC a tutto il traffico USA, per semplificare
  • Usare la sezione US National del GPP per segnalare l'opt-out a Google
  • Mantenere un'unica informativa sulla privacy per gli USA, purché contenga l'e-mail di contatto e tutto ciò che richiede il Delaware

Non consentito

  • Ignorare il GPC e continuare a richiedere annunci personalizzati per quel visitatore
  • Pensare che la tua associazione o ONG sia esclusa solo perché non ha scopo di lucro
  • Usare dati di adolescenti da 13 a 17 anni per annunci mirati senza consenso
  • Pubblicare un'informativa sulla privacy senza e-mail o modulo di contatto attivo
  • Contare su un termine automatico di 60 giorni per correggere: è finito nel 2025

Errori comuni

Dove i siti inciampano con la DPDPA

La soglia bassa fa sì che il Delaware raggiunga siti che non hanno mai pensato alle leggi statali degli USA.

Sottovalutare il volume

Il sito conta solo gli utenti registrati. Ma anche cookie e identificatori pubblicitari dei visitatori anonimi sono dati personali ed entrano nel conteggio dei 35 mila.

GPC ignorato

La CMP non legge il GPC o lo legge solo per la California. Dal 2026, anche il Delaware richiede che il segnale sia rispettato.

Opt-out che non cambia gli annunci

Il visitatore rifiuta, ma le richieste di annunci continuano senza RDP e senza opt-out nella stringa GPP.

Informativa senza elenco dei terzi

La pagina della privacy non dice quali categorie di terzi, come reti pubblicitarie e partner di misurazione, ricevono i dati.

Sezione statale che Google non legge

La CMP invia solo la sezione del Delaware nel GPP e lascia fuori la US National. Google non riceve l'opt-out.

Dimenticare il 2027

L'azienda resta sotto i 35 mila consumatori e si rilassa, ma con le nuove soglie del 2027 rientra nella legge.

In ConsentMode

Cosa controlla l'audit per il Delaware

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Attiva il segnale GPC nel browser dell'audit e confronta la pagina e le richieste di annunci con e senza il segnale.
  • Legge la stringa GPP, controlla se la sezione US National esiste e registra l'opt-out.
  • Identifica la CMP o il messaggio di Google dal codice della pagina.
  • Controlla se l'informativa sulla privacy contiene categorie di dati, finalità, terzi, diritti, ricorso ed e-mail di contatto.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Come faccio a sapere se supero i 35 mila consumatori del Delaware?

Guarda il report geografico di Analytics o di Ad Manager e conta i visitatori unici del Delaware nell'anno civile precedente. Poiché cookie e identificatori pubblicitari sono dati personali, contano anche i visitatori anonimi. I dati usati solo per i pagamenti restano esclusi.

La mia entità non ha scopo di lucro. Sono esclusa?

Non necessariamente. Nel Delaware, gli enti senza scopo di lucro devono rispettare la legge se superano le soglie. L'unica eccezione di questo tipo riguarda gli enti dedicati a contrastare le frodi assicurative.

Sono obbligato a rispettare il GPC?

Sì, se la legge si applica al tuo sito. Dal 1° gennaio 2026, l'opt-out dalla vendita e dalla pubblicità mirata inviato tramite un segnale di preferenza deve essere accettato.

Cosa cambia nel 2027?

La HB 380 abbassa le soglie a 10 mila consumatori, o 5 mila con più del 20% del fatturato derivante dalla vendita di dati, amplia l'elenco dei dati sensibili e dà al consumatore il diritto di sapere quali terzi specifici hanno ricevuto i dati.

Mi serve un banner dei cookie per il Delaware?

La legge funziona con il modello opt-out, quindi non richiede di chiedere il consenso prima degli annunci comuni. L'eccezione sono i dati sensibili e gli adolescenti da 13 a 17 anni, che richiedono il consenso.

ConsentMode rende il mio sito conforme?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con il link di opt-out, il GPC, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Verifica se il tuo sito rispetta il GPC nel Delaware

L'audit apre il sito come visitatore degli USA, con e senza GPC, e mostra cosa correggere, senza modificare nulla.

Avvia l'audit