Apri lo spazio

Guida · Legge statale degli USA

Florida Digital Bill of Rights spiegato a chi vive di annunci

La legge sulla privacy della Florida è in vigore dal 1° luglio 2024, ma la maggior parte delle regole riguarda solo aziende giganti. In questa guida capisci questo ambito ristretto, la regola sui dati sensibili che vale per molte più aziende e cosa fa Google con l'opt-out di chi visita il tuo sito dalla Florida.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul testo delle Florida Statutes, sezioni da 501.701 a 501.722
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
1 mld USDdi ricavi lordi annui globali: la soglia per essere titolare del trattamento secondo la legge
50%o più dei ricavi proviene dalla vendita di annunci online: una delle tre porte d'ingresso
50.000 USDdi sanzione civile massima per violazione, che in certi casi può essere triplicata
45 giorniper rispondere alle richieste dei consumatori, con una proroga di 15 giorni

Che cos'è

Una legge sulla privacy fatta per le più grandi aziende tecnologiche

Il Florida Digital Bill of Rights, o FDBR, è la legge sulla privacy della Florida. È stata firmata il 6 giugno 2023 ed è entrata in vigore il 1° luglio 2024. La legge si trova nella parte V del capitolo 501 delle Florida Statutes, alle sezioni da 501.701 a 501.722.

I diritti concessi al consumatore sono simili a quelli di altri stati: accesso, rettifica, cancellazione, portabilità e rifiuto di pubblicità mirata, vendita e profilazione automatizzata. La Florida aggiunge diritti propri, come rifiutare la raccolta di dati tramite riconoscimento vocale o facciale.

Ciò che rende diversa la legge è l'ambito. La maggior parte degli obblighi vale solo per i titolari con ricavi globali superiori a 1 miliardo di USD che rientrano anche in uno di tre profili molto specifici. In pratica, mira alle grandi piattaforme pubblicitarie, agli assistenti vocali e agli app store.

Anche così, il sito piccolo non dovrebbe ignorare la legge. Una regola sulla vendita di dati sensibili vale per qualsiasi azienda a scopo di lucro che fa affari in Florida e raccoglie dati. E i partner pubblicitari che ricevono dati dal tuo sito potrebbero rientrare nella legge.

Checklist

Cosa devi rispettare

La maggior parte della legge vale solo per i titolari giganti, ma la regola sui dati sensibili raggiunge molti più siti.

  1. Non vendere dati sensibili senza consenso

    La regola vale per le aziende a scopo di lucro che fanno affari in Florida e raccolgono dati, senza la soglia di 1 miliardo di dollari. La vendita di dati sensibili richiede il consenso preventivo.

    Esempio

    Prima di condividere dati sulla salute con un partner, chiedi il permesso con le opzioni Consenti e Non consentire.

  2. Pubblicare la frase esatta se vendi dati sensibili

    Chi vende dati sensibili deve pubblicare un avviso con testo fisso, in inglese.

    Esempio

    NOTICE: This website may sell your sensitive personal data.

  3. Occuparsi dei dati sensibili dei minori

    Se il dato sensibile è di un minore noto tra 13 e 18 anni, la vendita richiede la sua autorizzazione. Sotto i 13 anni vale la legge federale COPPA, con il consenso dei genitori.

  4. Se sei titolare: avviso rivisto ogni anno

    L'avviso deve essere chiaro ed elencare dati, finalità, terzi, diritti, ricorso e canali di richiesta. Va aggiornato almeno una volta l'anno.

  5. Se sei titolare: frase per i dati biometrici

    Chi vende dati biometrici pubblica anche un avviso con testo fisso, in inglese.

    Esempio

    NOTICE: This website may sell your biometric personal data.

  6. Se sei titolare: spiegare come rifiutare

    Chi vende dati o fa pubblicità mirata deve dirlo in modo chiaro e visibile e spiegare come rifiutare.

    Esempio

    Link nel footer: Do Not Sell or Share My Personal Information.

  7. Portare il rifiuto fino a Google

    Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. La Florida ha una sezione propria nel GPP, e Google accetta quella sezione.

    Esempio

    AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag. La Florida è uno dei pochi stati con una sezione propria nel GPP accettata da Google.

Chi deve rispettarla

L'ambito ristretto del titolare del trattamento in Florida

Per essere titolare del trattamento, l'azienda deve avere scopo di lucro, fare affari in Florida, raccogliere dati dei consumatori, decidere come questi dati vengono usati, avere ricavi globali superiori a 1 miliardo di USD e rientrare in almeno uno dei profili seguenti.

Ricavi da annunci

La metà o più dei ricavi lordi annui globali proviene dalla vendita di annunci online, inclusa la pubblicità mirata.

Assistente vocale

Gestisce uno smart speaker o un servizio di comando vocale con assistente virtuale collegato al cloud e attivato a mani libere. I sistemi delle case automobilistiche sono esclusi.

App store

Gestisce un app store o una piattaforma di distribuzione digitale con almeno 250.000 app diverse.

Aziende collegate

Rientrano nella definizione anche le aziende che controllano un titolare, o sono da questo controllate.

La regola sui dati sensibili vale per più persone

Il divieto di vendere dati sensibili senza consenso riguarda qualsiasi azienda a scopo di lucro che fa affari in Florida e raccoglie dati, senza la soglia di 1 miliardo di USD.

Chi è il consumatore

Residente o domiciliato in Florida che agisce come persona fisica o in contesto domestico. Chi agisce in contesto commerciale o lavorativo resta escluso.

Definizioni

Le parole della legge, nel linguaggio di chi ha un sito

Le definizioni si trovano alla sezione 501.702 e seguono da vicino il modello delle altre leggi statali.

Dato personale

Qualsiasi informazione collegata o ragionevolmente collegabile a una persona identificata o identificabile, compresi i dati pseudonimizzati quando possono essere collegati alla persona con informazioni aggiuntive. I dati anonimizzati e quelli pubblici sono esclusi.

Dato sensibile

Origine razziale o etnica, credo religioso, diagnosi di salute, orientamento sessuale, status migratorio, dati genetici o biometrici che identificano la persona, dati di minori noti e geolocalizzazione precisa.

Vendita

Condividere, divulgare o trasferire dati personali a una terza parte in cambio di denaro o di altro corrispettivo di valore. I trasferimenti a responsabili del trattamento e quelli su richiesta del consumatore sono esclusi.

Pubblicità mirata

Annuncio scelto in base all'attività del consumatore nel tempo su più siti e app. L'annuncio basato sul contesto di una ricerca sul sito stesso non rientra.

Diritti delle persone

Cosa può chiedere il consumatore della Florida

Il titolare risponde entro 45 giorni e può prorogare una sola volta di altri 15 giorni, avvisando il consumatore entro il termine iniziale. Deve inoltre offrire una via di ricorso.

Accedere

Sapere se l'azienda tratta i suoi dati e vedere quei dati.

Correggere e cancellare

Correggere dati errati e chiedere la cancellazione di una parte o di tutti i dati personali.

Portabilità

Ricevere una copia dei dati in un formato utilizzabile in un altro servizio, quando è fattibile.

Rifiutare annunci mirati, vendita e profilazione

Rifiutare la pubblicità mirata, la vendita dei dati e le profilazioni che portano a decisioni con effetti giuridici o simili.

Rifiutare i dati sensibili

Rifiutare la raccolta o il trattamento di dati sensibili, compresa la geolocalizzazione precisa.

Rifiutare voce e volto

Rifiutare la raccolta di dati tramite funzioni di riconoscimento vocale o facciale.

Obblighi

Cosa deve avere in funzione il titolare

  1. Informativa sulla privacy rivista ogni annoL'informativa deve essere accessibile e chiara ed elencare le categorie di dati trattati, anche sensibili, la finalità, come esercitare i diritti e fare ricorso, le categorie di dati condivisi, le categorie di terze parti e i canali per inviare le richieste. Deve essere aggiornata almeno una volta all'anno.
  2. Avvisi standardizzati di venditaChi vende dati sensibili deve pubblicare l'avviso NOTICE: This website may sell your sensitive personal data. Chi vende dati biometrici deve pubblicare NOTICE: This website may sell your biometric personal data.
  3. Informativa su vendita e annunci miratiSe il titolare vende dati o fa pubblicità mirata, deve dirlo in modo chiaro e visibile e spiegare come il consumatore può rifiutare.
  4. Valutazione della protezione dei datiLa legge richiede valutazioni documentate per i trattamenti a più alto rischio, come pubblicità mirata, vendita di dati, profilazioni e dati sensibili.
  5. Contratto con i responsabili del trattamentoI fornitori che trattano dati per conto del titolare seguono le sue istruzioni e hanno bisogno di un contratto con le regole del trattamento.
  6. Consenso per i dati sensibiliNessuna azienda coperta dalla regola può vendere dati sensibili senza il consenso preventivo del consumatore. Per i minori valgono regole proprie e la legge federale COPPA.

Controlli e sanzioni

Le sanzioni più alte tra le leggi statali

L'autorità di controllo è il Department of Legal Affairs, collegato al procuratore generale della Florida. La legge dice espressamente che non crea un'azione privata per il consumatore.

Fino a 50.000 USD per violazione

L'importo massimo della sanzione civile è di 50.000 USD per violazione, oltre ad altre misure previste dalla legge sulle pratiche commerciali della Florida.

Sanzione triplicata

L'importo può essere triplicato quando riguarda un minore noto, quando l'azienda non cancella o non corregge i dati dopo una richiesta valida, o quando continua a vendere dati dopo l'opt-out.

45 giorni per correggere, se l'ente lo vuole

L'ente può concedere 45 giorni all'azienda per correggere la violazione, ma è una sua decisione, non un diritto dell'azienda. Le violazioni che riguardano minori non hanno questo termine.

Relazione pubblica annuale

Ogni anno, entro il 1° febbraio, l'ente pubblica una relazione con i reclami, le azioni e le sanzioni applicate e ricevute.

Cronologia

Le date dell'FDBR

La legge ha avuto un anno di preparazione tra la firma e l'entrata in vigore.

  1. 6 giugno 2023

    Firma

    Il governatore approva il progetto SB 262, che crea il Florida Digital Bill of Rights.

  2. 1° luglio 2024

    Entrata in vigore

    La legge entra in vigore. I titolari devono rispondere alle richieste, offrire l'opt-out e pubblicare l'informativa sulla privacy.

  3. Ogni 1° febbraio

    Relazione di controllo

    Il Department of Legal Affairs pubblica sul proprio sito il bilancio annuale di reclami, azioni e sanzioni.

  4. Settembre 2025

    Google aggiorna il GPP

    Google inizia ad accettare la versione 2 della sezione US National del GPP, mantenendo tra quelle accettate anche la sezione specifica della Florida.

Siti con AdSense e Ad Manager

Come l'opt-out della Florida arriva a Google

L'FDBR non obbliga il sito a riconoscere i segnali universali di opt-out, come il Global Privacy Control, o GPC. Il visitatore deve usare il percorso offerto dal sito. Anche così, rispettare il GPC è una buona pratica e vale per gli stati in cui è obbligatorio.

Google offre un messaggio sulle normative statali degli USA in AdSense e in Ad Manager, in Privacy & messaging. La Florida è nell'elenco degli stati coperti. Il messaggio mostra il link Do Not Sell or Share e il rifiuto del visitatore attiva il trattamento limitato dei dati, detto RDP, che impedisce gli annunci basati sul comportamento precedente.

Per chi usa una CMP propria, la Florida è uno dei pochi stati con una sezione GPP propria che Google accetta. In questa sezione, il rifiuto di vendita o di pubblicità mirata attiva l'RDP. Anche la sezione US National è accettata e funziona allo stesso modo per vendita, condivisione e pubblicità mirata.

C'è anche il percorso tramite il tag stesso: il parametro restrictDataProcessing del GPT o l'attributo data-restrict-data-processing di AdSense, usati solo per chi ha chiesto l'opt-out. Qualunque sia il percorso, il test è lo stesso: la richiesta di annuncio deve cambiare dopo il rifiuto.

In pratica

Cosa è consentito e cosa no in Florida

Esempi per un sito che riceve visitatori dalla Florida e monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali a chi ha rifiutato la pubblicità mirata
  • Usare la sezione della Florida o la sezione US National del GPP per avvisare Google dell'opt-out
  • Usare il messaggio di Google per le normative statali per offrire il link di opt-out
  • Mantenere un'unica informativa sulla privacy per gli USA, purché contenga ciò che richiede la Florida
  • Rivedere e aggiornare la pagina della privacy almeno una volta all'anno

Non consentito

  • Vendere dati sensibili, come la geolocalizzazione precisa, senza consenso preventivo, anche se si è un'azienda piccola
  • Vendere dati sensibili senza pubblicare l'avviso standardizzato richiesto dalla legge
  • Continuare a vendere o condividere dati dopo l'opt-out, il caso che può triplicare la sanzione
  • Lasciare il link di opt-out nascosto in una pagina che nessuno trova
  • Supporre che il partner pubblicitario sia fuori dalla legge solo perché il tuo sito è piccolo

Errori comuni

Dove i siti inciampano con la legge della Florida

L'ambito ristretto della legge fa pensare a molti di non dover fare nulla. Questi sono gli errori più comuni.

Ignorare la regola sui dati sensibili

Il sito usa un SDK o uno script che raccoglie la geolocalizzazione precisa e la passa ai partner. Questa vendita richiede il consenso, anche senza la soglia di 1 miliardo di USD.

Informativa sulla privacy ferma

La pagina della privacy non cambia da anni. La legge richiede un aggiornamento almeno annuale per chi è titolare del trattamento.

Messaggio senza la Florida

Il messaggio di opt-out di Google è stato attivato solo per la California, e il traffico della Florida non vede mai il link.

Sezione statale sbagliata nel GPP

La CMP invia una sezione che Google non accetta e lascia fuori quella della Florida e la US National. L'opt-out non arriva agli annunci.

Opt-out che non ferma la vendita

Il visitatore clicca, ma le richieste di annuncio continuano ad avere dati per la personalizzazione. In Florida, questo può triplicare la sanzione.

Dimenticare i minori

Le violazioni che riguardano un minore noto non hanno termine di correzione e possono avere una sanzione triplicata.

In ConsentMode

Cosa controlla l'audit per la Florida

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Identifica la CMP o il messaggio di Google per le normative statali dal codice della pagina.
  • Legge la stringa GPP e indica se contiene la sezione della Florida o la sezione US National, e se cambia dopo l'opt-out.
  • Attiva il segnale GPC nel browser dell'audit e mostra se la pagina e le richieste di annuncio reagiscono.
  • Verifica se la pagina della privacy cita vendita, pubblicità mirata, diritti, ricorso e gli avvisi di vendita di dati sensibili quando presenti.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Il mio sito è piccolo. La legge della Florida si applica a me?

La maggior parte degli obblighi no, perché il titolare deve avere ricavi globali superiori a 1 miliardo di USD e rientrare in uno dei tre profili della legge. Ma la regola che vieta di vendere dati sensibili senza consenso vale per qualsiasi azienda a scopo di lucro che fa affari in Florida e raccoglie dati.

Perché allora preoccuparmi dell'opt-out della Florida?

Perché i partner che comprano e consegnano annunci sul tuo sito possono essere titolari ai sensi della legge, e perché altri stati con soglie più basse possono riguardare la tua attività. Offrire l'opt-out a tutto il traffico USA semplifica la gestione.

La Florida richiede di rispettare il GPC?

No. La legge non prevede segnali universali di opt-out. Anche così, molte CMP gestiscono il GPC in tutti gli stati, il che aiuta con le leggi che lo richiedono.

Google legge la sezione della Florida nel GPP?

Sì. La Florida è nell'elenco delle sezioni accettate da Google, insieme a US National, California, Colorado, Connecticut e Virginia. Il rifiuto di vendita o di pubblicità mirata in questa sezione attiva il trattamento limitato dei dati.

Cos'è l'avviso NOTICE richiesto dalla legge?

È un testo standardizzato in inglese che chi vende dati sensibili o biometrici deve pubblicare. Avvisa che il sito può vendere questo tipo di dati. La maggior parte dei siti con annunci non vende questo tipo di dati e non ha bisogno dell'avviso.

ConsentMode fa sì che il mio sito rispetti la legge della Florida?

ConsentMode non è una CMP né uno studio legale. L'audit mostra, con screenshot, cosa fa il sito con l'opt-out, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se l'opt-out della Florida arriva ai tuoi annunci

L'audit apre il sito come visitatore degli USA e mostra cosa correggere, senza modificare nulla.

Avvia l'audit