Apri lo spazio

Guida · Legge statale degli USA

ICDPA: la legge sulla privacy dell'Iowa, la più snella degli USA

La Iowa Consumer Data Protection Act è in vigore dal 1° gennaio 2025 ed è nota per dare meno diritti delle altre leggi statali. In questa guida capisci chi deve rispettarla, cosa può chiedere il visitatore, come funziona la pubblicità mirata e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul capitolo 715D del Codice dell'Iowa
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
100 milaconsumatori dell'Iowa all'anno: la soglia principale della legge
90 giorniper rispondere alle richieste, il termine più lungo tra le leggi statali
90 giorniper correggere l'errore dopo l'avviso del procuratore generale
7.500 USDdi multa civile massima per violazione

Che cos'è

Una legge sulla privacy con il minimo degli obblighi

La Iowa Consumer Data Protection Act, o ICDPA, è la legge generale sulla privacy dell'Iowa. È stata firmata nel 2023, si trova nel capitolo 715D del Codice dell'Iowa ed è entrata in vigore il 1° gennaio 2025.

La legge segue il modello della Virginia, ma ha tagliato vari pezzi. Non c'è il diritto di correggere i dati. Non c'è l'obbligo di una valutazione della protezione dei dati. Non c'è l'obbligo di accettare i segnali universali di opt-out. E i dati sensibili funzionano con avviso e rifiuto, non con il consenso preventivo.

Questo non significa che la legge sia innocua per i siti con annunci. Chi supera le soglie deve dire, in modo chiaro e visibile, se vende dati o fa pubblicità mirata, e deve spiegare come il visitatore può rifiutare queste attività.

Per chi ha visitatori di vari stati, l'Iowa raramente è lo stato più esigente. Ma conviene conoscere le differenze per non promettere nell'informativa sulla privacy diritti che il tuo processo non offre, né dimenticare ciò che la legge richiede davvero.

Checklist

Cosa devi rispettare

Se il sito supera le soglie dell'ICDPA, questa è la lista di base. L'Iowa richiede meno di altri stati.

  1. Dire che c'è vendita o pubblicità mirata

    Chi vende dati o fa pubblicità mirata deve dirlo in modo chiaro e visibile e spiegare come il visitatore rifiuta.

    Esempio

    Link nel footer: Do Not Sell or Share My Personal Information, che porta a una schermata di rifiuto.

  2. Pubblicare un'informativa completa sulla privacy

    L'avviso deve essere chiaro e facile da trovare. Elenca i dati trattati, le finalità, i diritti, come fare ricorso, i dati condivisi e le categorie di terzi.

    Esempio

    Includi nell'avviso i canali per le richieste, come un modulo e un'e-mail.

  3. Avvisare prima di usare dati sensibili

    L'Iowa non richiede il consenso per i dati sensibili. Richiede un avviso chiaro e la possibilità di rifiutare prima dell'uso. I dati sensibili dei bambini seguono la COPPA.

    Esempio

    Prima di usare la posizione precisa, mostra un avviso con l'opzione Non usare la mia posizione.

  4. Rispondere alle richieste entro 90 giorni

    Rispondi entro 90 giorni, con una proroga di altri 45 se comunichi il motivo. Non richiedere un nuovo account per la richiesta.

  5. Avere una procedura di ricorso

    Chi ha ricevuto un rifiuto può fare ricorso. Rispondi al ricorso per iscritto entro 60 giorni e, se lo respingi, indica un percorso online per contattare il procuratore generale.

  6. Mantenere la sicurezza dei dati

    La legge richiede pratiche ragionevoli di sicurezza amministrativa, tecnica e fisica per i dati personali.

  7. Portare il rifiuto fino a Google

    Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. Con il GPP, Google legge la sezione US National per l'Iowa.

    Esempio

    AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag.

Chi deve rispettarla e definizioni

Le soglie della ICDPA e le parole chiave della legge

La legge vale per chi fa affari nell'Iowa o offre prodotti e servizi rivolti ai residenti dello stato e, in un anno solare, supera una delle due soglie seguenti. Consumatore è il residente dell'Iowa che agisce come persona fisica, fuori dal contesto commerciale o lavorativo. Le definizioni si trovano alla sezione 715D.1.

100 mila consumatori

Controlla o tratta dati personali di almeno 100.000 consumatori dell'Iowa.

25 mila e vendita di dati

Controlla o tratta dati di almeno 25.000 consumatori e ricava oltre il 50% dei ricavi lordi dalla vendita di dati personali.

Dato personale

Informazione collegata o ragionevolmente collegabile a una persona fisica identificata o identificabile. I dati anonimizzati, aggregati e pubblici sono esclusi.

Dato sensibile

Origine razziale o etnica, credo religioso, diagnosi di salute, orientamento sessuale, status migratorio, dati genetici o biometrici che identificano la persona, dati di minori noti e geolocalizzazione precisa.

Vendita

Solo lo scambio di dati personali con denaro con una terza parte. Gli altri corrispettivi di valore non contano, e i trasferimenti a responsabili del trattamento, aziende dello stesso gruppo o su richiesta del consumatore sono esclusi.

Pubblicità mirata

Annuncio scelto con dati dell'attività del visitatore nel tempo su siti e app di altre aziende. Gli annunci contestuali, quelli propri e la misurazione delle prestazioni sono esclusi.

Diritti delle persone

Cosa può chiedere il residente dell'Iowa, e cosa no

L'elenco dei diritti dell'Iowa è il più breve tra le leggi statali. La risposta può richiedere fino a 90 giorni, con una proroga di altri 45 giorni se necessaria e comunicata entro il termine iniziale. Due richieste all'anno sono gratuite.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e avere accesso a quei dati.

Cancellare ciò che ha fornito

Chiedere la cancellazione dei dati che il consumatore stesso ha fornito. I dati ottenuti da altre fonti non rientrano nel testo di questo diritto.

Portabilità

Ricevere una copia dei dati che ha fornito, in un formato portabile, quando il trattamento è automatizzato.

Rifiutare la vendita

Chiedere che i dati non siano venduti. È l'unico diritto di rifiuto che compare nell'elenco dei diritti della legge.

Nessun diritto di correzione

L'Iowa non dà al consumatore il diritto di chiedere la correzione di dati errati, a differenza della maggior parte degli stati.

Ricorso

Se la richiesta viene negata, il consumatore può fare ricorso. L'azienda risponde per iscritto entro 60 giorni e, se nega di nuovo, indica come presentare reclamo al procuratore generale.

Pubblicità mirata

Non è nell'elenco dei diritti, ma l'opt-out deve esistere

Un dubbio comune sull'Iowa è se il visitatore possa rifiutare la pubblicità mirata. L'elenco dei diritti della sezione 715D.3 riporta solo il rifiuto della vendita di dati. Non c'è un diritto separato di rifiutare gli annunci mirati, come esiste in Virginia o in Colorado.

Ma la sezione 715D.4 crea un dovere per l'azienda: chi vende dati personali a terzi o fa pubblicità mirata deve dichiararlo in modo chiaro e visibile, insieme al modo in cui il consumatore può rifiutare questa attività. In pratica, il sito coperto deve mostrare il percorso di opt-out per gli annunci mirati.

I dati sensibili seguono la stessa logica di avviso e rifiuto. Prima di trattare dati sensibili per una finalità non esente, l'azienda deve dare un avviso chiaro e la possibilità di rifiutare. I dati di minori noti seguono la legge federale COPPA.

Per questo, la configurazione pratica di un sito con annunci è simile a quella di altri stati: link di opt-out visibile, pagina della privacy che spiega l'uso dei dati per gli annunci e rifiuto che disattiva davvero la personalizzazione.

Obblighi del sito

Cosa deve avere in funzione l'azienda coperta

  1. Informativa sulla privacyL'informativa deve riportare le categorie di dati trattati, la finalità, come esercitare i diritti e fare ricorso, le categorie di dati condivisi con terzi e le categorie di tali terzi.
  2. Dichiarare vendita e annunci miratiSe il sito vende dati o fa pubblicità mirata, deve dirlo in modo chiaro e visibile e spiegare come il visitatore può rifiutare.
  3. Canale sicuro per le richiesteL'azienda deve offrire uno o più mezzi sicuri e affidabili per le richieste, senza richiedere al consumatore di creare un nuovo account.
  4. Avviso prima dei dati sensibiliTrattare dati sensibili richiede un avviso chiaro e la possibilità di rifiutare, e i dati dei minori seguono la COPPA.
  5. Sicurezza e non discriminazioneL'azienda deve mantenere pratiche di sicurezza ragionevoli e non può trattare peggio chi esercita i propri diritti.
  6. Contratti con i responsabili del trattamentoI fornitori che trattano dati per conto dell'azienda seguono le sue istruzioni, in base a un contratto con le regole del trattamento.

Controlli e sanzioni

Il termine di correzione più lungo del paese

Solo il procuratore generale dell'Iowa può far rispettare la legge. Il consumatore non può citare in giudizio l'azienda sulla base di essa.

90 giorni per correggere

Prima di qualsiasi azione, il procuratore generale invia un avviso scritto che indica le violazioni. L'azienda ha 90 giorni per correggere.

Dichiarazione scritta

Per chiudere il caso, l'azienda deve correggere e dichiarare per iscritto di aver risolto e che l'errore non si ripeterà.

Fino a 7.500 USD per violazione

Se la violazione continua, il procuratore generale può chiedere un ordine del tribunale e una sanzione civile fino a 7.500 USD per violazione.

Indagine

Il procuratore generale può richiedere documenti e informazioni all'azienda durante l'indagine.

Cronologia

Le date della ICDPA

L'Iowa ha concesso quasi due anni di preparazione tra la firma e l'entrata in vigore.

  1. 2023

    Firma

    L'Iowa diventa uno dei primi stati, dopo California, Virginia, Colorado, Utah e Connecticut, ad approvare una legge generale sulla privacy.

  2. 1° gennaio 2025

    Entrata in vigore

    La legge entra in vigore, con il controllo esclusivo del procuratore generale.

  3. Settembre 2025

    Google aggiorna il GPP

    Google inizia ad accettare la versione 2 della sezione US National del GPP, il percorso che legge per l'opt-out di stati come l'Iowa.

Siti con AdSense e Ad Manager

Come l'opt-out dell'Iowa arriva a Google

L'Iowa non obbliga il sito a riconoscere i segnali universali di opt-out, come il Global Privacy Control, o GPC. Anche così, rispettare il GPC per tutto il traffico USA è una buona pratica, perché vari stati lo richiedono e perché semplifica la configurazione della CMP.

Google offre in AdSense e in Ad Manager un messaggio sulle normative statali degli USA, in Privacy & messaging, e l'Iowa è tra gli stati coperti. Il messaggio mostra il link Do Not Sell or Share. Quando il visitatore rifiuta, Google attiva il trattamento limitato dei dati, detto RDP, e smette di usare il comportamento precedente per scegliere gli annunci.

Esiste una sezione specifica dell'Iowa nel GPP dell'IAB Tech Lab, ma non è nell'elenco delle sezioni accettate da Google. Per Google, il percorso è la sezione US National: il rifiuto di vendita, condivisione o pubblicità mirata in questa sezione attiva l'RDP.

Un'altra opzione è attivare l'RDP nel tag stesso, con il parametro restrictDataProcessing del GPT o l'attributo data-restrict-data-processing di AdSense, solo per chi ha chiesto l'opt-out. Il test finale è sempre lo stesso: la richiesta di annuncio deve cambiare dopo il rifiuto.

In pratica

Cosa è consentito e cosa no in Iowa

Esempi per un'azienda che supera le soglie della legge e monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali a chi ha rifiutato la vendita o la pubblicità mirata
  • Usare il messaggio di Google per le normative statali per offrire il link di opt-out
  • Rispondere alle richieste entro 90 giorni, avvisando prima se servono altri 45
  • Far pagare richieste ripetitive o chiaramente infondate, dimostrando che sono abusive
  • Applicare la stessa politica di opt-out e GPC a tutto il traffico USA

Non consentito

  • Fare pubblicità mirata senza dirlo nella pagina della privacy e senza spiegare come rifiutare
  • Richiedere la creazione di un account perché il visitatore chieda accesso o cancellazione
  • Trattare dati sensibili senza un avviso chiaro e senza la possibilità di rifiutare
  • Ignorare il ricorso di un consumatore a cui è stata negata la richiesta
  • Promettere nell'informativa diritti che l'Iowa non concede e che il tuo processo non soddisfa

Errori comuni

Dove i siti inciampano con la legge dell'Iowa

La legge più snella ha comunque le sue trappole, soprattutto per chi legge solo l'elenco dei diritti.

Pensare che non esista un opt-out dagli annunci

Poiché il diritto non compare nell'elenco, il sito non offre il rifiuto della pubblicità mirata. Ma il dovere di dichiarare e di spiegare come rifiutare esiste.

Informativa senza annunci mirati

La pagina della privacy parla di cookie in generale, ma non dice che i dati sono usati per la pubblicità mirata.

Messaggio solo per la California

Il messaggio di opt-out di Google è stato configurato solo per la California, e il traffico dell'Iowa non vede mai il link.

Sezione dell'Iowa da sola nel GPP

La CMP invia solo la sezione statale dell'Iowa, che Google non legge. Senza la US National, l'opt-out non arriva agli annunci di Google.

Link di opt-out che non cambia nulla

Il visitatore clicca, ma le richieste di annuncio restano uguali, senza RDP e senza opt-out nel GPP.

Contare male il volume

Il sito considera solo gli iscritti. Anche cookie e identificatori pubblicitari identificano le persone e rientrano nel conteggio.

In ConsentMode

Cosa controlla l'audit per l'Iowa

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Identifica la CMP o il messaggio di Google per le normative statali dal codice della pagina.
  • Legge la stringa GPP e verifica se la sezione US National esiste e registra l'opt-out dopo il clic.
  • Attiva il segnale GPC nel browser dell'audit e mostra se la pagina e le richieste di annuncio reagiscono.
  • Verifica se la pagina della privacy dice che c'è pubblicità mirata o vendita di dati e spiega come rifiutare.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

In Iowa il visitatore può rifiutare la pubblicità mirata?

L'elenco dei diritti dell'Iowa riporta solo il rifiuto della vendita. Ma la legge richiede che chi fa pubblicità mirata lo dichiari in modo chiaro e spieghi come il consumatore può rifiutare questa attività. In pratica, il sito coperto deve offrire questo percorso.

L'Iowa richiede che io rispetti il GPC?

No. La legge non prevede segnali universali di opt-out. Ma altri stati lo richiedono, e la maggior parte delle CMP gestisce il GPC per tutto il traffico USA.

Mi serve una valutazione della protezione dei dati per l'Iowa?

No. La legge dell'Iowa non richiede valutazioni della protezione dei dati. Se sei in altri stati che le richiedono, la valutazione fatta per loro resta necessaria.

Quanto tempo ho per rispondere a una richiesta?

Fino a 90 giorni, con una proroga di altri 45 giorni se necessaria e comunicata entro il termine iniziale. Due richieste all'anno per ogni consumatore devono essere gratuite.

L'Iowa richiede un banner di consenso?

No. La legge usa il modello opt-out persino per i dati sensibili, con avviso e possibilità di rifiutare. Per i minori vale la legge federale COPPA.

ConsentMode risolve la conformità con l'Iowa?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con il link di opt-out, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Verifica se l'opt-out del tuo sito funziona per l'Iowa

L'audit apre il sito come visitatore degli USA e mostra cosa correggere, senza modificare nulla.

Avvia l'audit