Apri lo spazio

Guida · Legge statale degli USA

MTCDPA: la legge del Montana è diventata più rigida nel 2025

La Montana Consumer Data Privacy Act vale dal 1° ottobre 2024 ed è stata rafforzata da un emendamento in vigore dal 1° ottobre 2025. In questa guida capisci le nuove soglie, la fine del termine di correzione, il segnale universale di opt-out e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul Codice del Montana e sul Dipartimento di Giustizia dello stato
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
25 milaconsumatori del Montana all'anno: la soglia dall'emendamento del 2025
15 milaconsumatori bastano se oltre il 25% del fatturato lordo deriva dalla vendita di dati
45 giorniper rispondere alle richieste, con una proroga di altri 45 giorni
7.500 USDdi multa civile massima per violazione, introdotta dall'emendamento del 2025

Che cos'è

Una legge sulla privacy che ha già avuto una riforma

La Montana Consumer Data Privacy Act, o MTCDPA, è la legge generale sulla privacy del Montana. È stata approvata nel 2023, si trova nel Titolo 30, capitolo 14, parte 28 del Codice del Montana ed è entrata in vigore il 1° ottobre 2024.

Il modello segue quello del Connecticut. Il visitatore può accedere ai propri dati, correggerli, cancellarli e portarli con sé, e può rifiutare la vendita, la pubblicità mirata e certi profili automatizzati. I dati sensibili si possono usare solo con il consenso. E il sito coperto deve accettare i segnali universali di opt-out, come il GPC.

Nel 2025, lo stato ha approvato l'emendamento SB 297, firmato a maggio 2025 e in vigore dal 1° ottobre 2025. Ha abbassato le soglie di applicazione, eliminato il termine di correzione prima del controllo, fissato una multa fino a 7.500 USD per violazione e creato nuove regole per i minori di 18 anni.

Per un sito con visitatori dagli Stati Uniti, il Montana è diventato uno stato da tenere d'occhio. Con 25 mila consumatori all'anno si può già rientrare nella legge, e non c'è più un preavviso garantito prima di un'azione del procuratore generale.

Checklist

Cosa devi rispettare

Se il sito supera le soglie della MTCDPA, questa è la lista di base, dal più urgente al meno urgente.

  1. Collegare l'informativa nella home page con la parola privacy

    L'informativa sulla privacy ha bisogno di un link visibile nella home page che usi la parola privacy.

    Esempio

    Footer della home page: Privacy Policy.

  2. Avere un percorso di rifiuto fuori dall'informativa

    Chi vende dati o fa pubblicità mirata deve avere un percorso di rifiuto chiaro fuori dall'informativa sulla privacy.

    Esempio

    Link nel footer: Your Opt-Out Rights o Your Privacy Rights.

  3. Accettare il segnale di preferenza del browser

    Dal 1º gennaio 2025, il sito deve accettare il rifiuto inviato da un segnale di preferenza. Se il segnale contraddice una scelta precedente, vale il segnale.

    Esempio

    Visitatore con GPC attivo: interrompi vendita e annunci mirati per lui.

  4. Chiedere il consenso per dati sensibili e adolescenti

    Dati sensibili solo con il consenso. Se l'azienda sa, o ignora di proposito, che il visitatore ha tra 13 e 15 anni, anche annunci mirati e vendita richiedono il consenso.

  5. Mantenere l'informativa completa e aggiornata

    L'informativa elenca dati, finalità, terzi, diritti e un'e-mail attiva, con la data dell'ultimo aggiornamento. Deve esistere in ogni lingua in cui il sito offre il servizio.

    Esempio

    In cima all'informativa: Ultimo aggiornamento il 3 novembre 2026.

  6. Non richiedere un account e facilitare la revoca

    Il visitatore non può essere obbligato a creare un nuovo account per esercitare i diritti. Revocare il consenso deve essere facile quanto darlo.

  7. Fare la valutazione della protezione dei dati

    Annunci mirati, vendita, profili a rischio e dati sensibili richiedono una valutazione registrata, che il procuratore generale può richiedere.

  8. Portare il rifiuto fino a Google

    Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. Con il GPP, Google legge la sezione US National per il Montana.

    Esempio

    AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag.

Chi deve rispettarla

Le soglie dopo l'emendamento del 2025

La legge vale per chi fa affari nel Montana o offre prodotti e servizi rivolti ai residenti dello stato e supera una delle soglie qui sotto.

25 mila consumatori

Controlla o tratta dati di almeno 25 mila consumatori del Montana. I dati usati solo per completare un pagamento non contano. Prima dell'emendamento, la soglia era di 50 mila.

15 mila e vendita di dati

Controlla o tratta dati di almeno 15 mila consumatori e ricava oltre il 25% del fatturato lordo dalla vendita di dati personali. Prima erano 25 mila consumatori.

Regole sui minori senza soglia

Le regole di protezione dei minori valgono per qualsiasi azienda che fa affari nel Montana o si rivolge ai suoi residenti, senza requisiti di volume minimo.

Esenzioni più strette

L'emendamento ha limitato l'esenzione degli enti senza scopo di lucro a quelli che contrastano le frodi assicurative e ha sostituito l'ampia esenzione degli istituti finanziari con esenzioni specifiche per banche, cooperative di credito e assicuratori.

Definizioni

Le parole della legge, nel linguaggio di chi ha un sito

Le definizioni si trovano nella sezione 30-14-2802 del Codice del Montana.

Consumatore e minore

Consumatore è il residente del Montana al di fuori del contesto commerciale o lavorativo. Adulto è chi ha 18 anni o più. Minore è il consumatore con meno di 18 anni.

Dato sensibile

Origine razziale o etnica, religione, salute fisica o mentale, vita sessuale, orientamento sessuale, status migratorio, dati genetici o biometrici che identificano la persona, dati di minori noti e geolocalizzazione precisa.

Vendita

Lo scambio di dati personali con denaro o con un'altra contropartita di valore a un terzo. I trasferimenti a responsabili del trattamento, ad aziende dello stesso gruppo e in fusioni restano esclusi.

Pubblicità mirata

Annuncio scelto con dati ottenuti o dedotti dall'attività del visitatore nel tempo su siti e app di altre aziende. Gli annunci basati sul contesto della ricerca o della visita non rientrano.

Diritti delle persone

Cosa può chiedere il residente del Montana

La risposta deve arrivare entro 45 giorni, con una proroga di altri 45 se necessaria e comunicata entro il termine iniziale. Se rifiuta, l'azienda offre un ricorso e risponde per iscritto entro 60 giorni.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e avere accesso a quei dati, senza che l'azienda debba rivelare segreti commerciali.

Correggi

Chiedere la correzione di dati errati.

Cancellare

Chiedere la cancellazione dei dati personali che lo riguardano.

Portabilità

Ricevere in formato portabile i dati che ha fornito, quando il trattamento è automatizzato.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti. Può essere fatto tramite segnale universale, come il GPC.

Rifiutare la profilazione automatizzata

Rifiutare profili che portano a decisioni con effetti giuridici o di impatto simile.

Obblighi del sito

Cosa deve avere in funzione il sito coperto

  1. Informativa sulla privacy completaL'informativa deve contenere le categorie di dati trattati, le finalità, le categorie di dati venduti o condivisi, le categorie di terzi, un'e-mail attiva o un altro contatto, la spiegazione dei diritti e del ricorso, e la data dell'ultimo aggiornamento.
  2. Link con la parola privacyDopo l'emendamento, l'informativa deve essere collegata nella home page da un link visibile con la parola privacy ed essere disponibile in ogni lingua in cui il sito offre i suoi servizi.
  3. Opt-out fuori dall'informativaChi vende dati o fa pubblicità mirata deve offrire un percorso chiaro di rifiuto al di fuori dell'informativa sulla privacy, come un link chiamato your opt-out rights o your privacy rights.
  4. Consenso per dati sensibili e adolescentiDati sensibili solo con il consenso. Se l'azienda sa, o ignora volontariamente, che il visitatore ha tra 13 e 15 anni, ha bisogno del consenso anche per la pubblicità mirata e la vendita.
  5. Attenzione ai minori di 18 anniI servizi online usati da minori noti richiedono una cura ragionevole per evitare un rischio elevato di danno e valutazioni specifiche di quel rischio.
  6. Valutazione della protezione dei datiPubblicità mirata, vendita, profili rischiosi e dati sensibili richiedono una valutazione registrata, che il procuratore generale può richiedere in un'indagine.

Controlli e sanzioni

Nessun termine di correzione da ottobre 2025

Solo il procuratore generale del Montana controlla la legge. Il consumatore non può fare causa all'azienda in base ad essa, ma può presentare reclamo tramite il canale del Dipartimento di Giustizia.

Fine del termine di correzione

La legge originale concedeva 60 giorni per correggere prima di un'azione. L'emendamento del 2025 ha tolto questa garanzia, che sarebbe terminata solo nel 2026.

Fino a 7.500 USD per violazione

L'emendamento ha fissato una multa civile fino a 7.500 USD per violazione. Il procuratore generale può anche chiedere un'ordinanza giudiziaria e il rimborso delle spese.

Indagine con valutazioni

In un'indagine, il procuratore generale può richiedere documenti e le valutazioni di protezione dei dati dell'azienda.

Canale di reclamo

La legge obbliga il procuratore generale a pubblicare informazioni sui doveri delle aziende e un canale online per i reclami.

Cronologia

Le date della MTCDPA

In poco più di due anni, il Montana ha approvato, messo in vigore e riformato la propria legge.

  1. 2023

    Legge approvata

    Il Montana approva la Consumer Data Privacy Act.

  2. 1° ottobre 2024

    Entrata in vigore

    La legge inizia a valere, con soglie di 50 mila consumatori, o 25 mila con vendita di dati, e un termine di correzione di 60 giorni.

  3. 1° gennaio 2025

    Segnale universale obbligatorio

    Il sito coperto deve accettare l'opt-out dalla vendita e dalla pubblicità mirata inviato tramite un segnale di preferenza, come il GPC.

  4. Maggio 2025

    Emendamento firmato

    Il governatore firma la SB 297, che riforma la legge.

  5. 1° ottobre 2025

    Emendamento in vigore

    Entrano in vigore le soglie di 25 mila e 15 mila consumatori, le regole per i minori, la multa di 7.500 USD e la fine del termine di correzione.

Siti con AdSense e Ad Manager

GPC obbligatorio e il percorso dell'opt-out fino a Google

Dal 1° gennaio 2025, il sito coperto deve accettare l'opt-out dalla vendita e dalla pubblicità mirata inviato tramite un segnale di preferenza, con il consenso del visitatore. L'esempio più noto è il Global Privacy Control, o GPC. Se il segnale è in conflitto con un'impostazione precedente del visitatore, vale il segnale.

Google offre in AdSense e in Ad Manager un messaggio per le normative statali degli USA, in Privacy e messaggi, e il Montana è tra gli stati coperti. Il messaggio mostra il link Do Not Sell or Share, e il rifiuto attiva l'elaborazione limitata dei dati, chiamata RDP, che impedisce annunci basati sul comportamento precedente.

Sul GPC, Google dice che il partner che ha implementato il segnale può scegliere di attivare l'RDP quando riceve un GPC di opt-out. La configurazione spetta al sito o alla CMP. Un modo diretto è il tag: il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense.

Nel GPP di IAB Tech Lab esiste una sezione specifica del Montana, ma non è nell'elenco delle sezioni accettate da Google. Per Google, la strada è la sezione US National, in cui il rifiuto di vendita, condivisione o pubblicità mirata attiva l'RDP.

In pratica

Cosa si può e cosa non si può fare in Montana

Esempi per un sito con traffico dal Montana che monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali a chi ha rifiutato o è arrivato con GPC attivo
  • Usare nel footer un link chiamato your privacy rights per l'opt-out, separato dall'informativa
  • Usare la sezione US National del GPP per portare l'opt-out a Google
  • Mantenere un'unica informativa sulla privacy per gli USA, con data di aggiornamento visibile
  • Chiedere conferma al visitatore quando il GPC è in conflitto con una scelta precedente, senza smettere di applicare il segnale

Non consentito

  • Ignorare il GPC e continuare a richiedere annunci personalizzati per quel visitatore
  • Nascondere l'opt-out dentro il testo dell'informativa sulla privacy
  • Usare dati di adolescenti da 13 a 15 anni per annunci mirati senza consenso
  • Pubblicare l'informativa solo in inglese se il sito è offerto anche in un'altra lingua
  • Aspettare un avviso di 60 giorni prima di correggere: questa garanzia è finita a ottobre 2025

Errori comuni

Dove i siti inciampano con la legge del Montana

L'emendamento del 2025 ha colto di sorpresa molti siti con configurazioni fatte per la vecchia versione della legge.

Usare le vecchie soglie

Il sito si credeva fuori perché aveva meno di 50 mila consumatori del Montana. Con la nuova soglia di 25 mila, può essere dentro.

GPC ignorato

La CMP legge il GPC solo per la California. Il Montana richiede lo stesso dal gennaio 2025.

Informativa senza data

La pagina della privacy non mostra quando è stata aggiornata, un elemento che l'emendamento ha reso obbligatorio.

Link senza la parola privacy

L'informativa resta nascosta dietro un link generico come termini o legale, senza la parola privacy nella home page.

Sezione statale che Google non legge

La CMP invia solo la sezione del Montana nel GPP e lascia fuori la US National. L'opt-out non arriva a Google.

Opt-out che non cambia gli annunci

Il visitatore rifiuta, ma le richieste di annunci continuano senza RDP e senza opt-out nella stringa GPP.

In ConsentMode

Cosa controlla l'audit per il Montana

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out e il link con la parola privacy nella home page.
  • Attiva il segnale GPC nel browser dell'audit e confronta la pagina e le richieste di annunci con e senza il segnale.
  • Legge la stringa GPP, controlla se la sezione US National esiste e registra l'opt-out.
  • Identifica la CMP o il messaggio di Google per le normative statali dal codice della pagina.
  • Controlla se la pagina della privacy contiene categorie di dati, terzi, diritti, ricorso, contatto e data dell'ultimo aggiornamento.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Cosa è cambiato in Montana nel 2025?

L'emendamento SB 297, in vigore dal 1° ottobre 2025, ha abbassato le soglie a 25 mila consumatori, o 15 mila con oltre il 25% del fatturato derivante dalla vendita di dati, ha eliminato il termine di correzione, ha fissato una multa fino a 7.500 USD per violazione, ha richiesto più elementi nell'informativa sulla privacy e ha creato regole per i minori di 18 anni.

Sono obbligato a rispettare il GPC in Montana?

Sì, se la legge si applica al tuo sito. Dal 1° gennaio 2025, l'opt-out dalla vendita e dalla pubblicità mirata inviato tramite un segnale di preferenza deve essere accettato.

Ho ancora 60 giorni per correggere dopo un avviso?

No. L'emendamento ha tolto al procuratore generale l'obbligo di offrire un termine di correzione. Può agire direttamente.

Il mio sito non è per bambini. Le regole sui minori mi riguardano?

Possono riguardarti se sai, o ignori volontariamente, che un visitatore è minorenne. Per gli adolescenti da 13 a 15 anni, pubblicità mirata e vendita richiedono il consenso. Le regole sui minori valgono senza soglie di volume.

Google legge la sezione del Montana nel GPP?

L'elenco delle sezioni accettate da Google non include il Montana. Per portare l'opt-out a Google, usa la sezione US National, il messaggio di Google per le normative statali o l'RDP nel tag.

ConsentMode rende il mio sito conforme?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con l'opt-out, il GPC, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se il tuo sito è pronto per la nuova legge del Montana

L'audit apre il sito come visitatore degli USA, con e senza GPC, e mostra cosa correggere, senza modificare nulla.

Avvia l'audit