Apri lo spazio

Guida · Legge statale degli USA

NDPA: la legge del Nebraska che non ha soglie di volume

La Nebraska Data Privacy Act vale dal 1° gennaio 2025 e non usa soglie di ricavi né di numero di consumatori. In questa guida capisci chi deve rispettarla, la regola che arriva anche alle piccole imprese, l'opt-out tramite impostazione del browser e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sulla legge LB 1074 e sul sito del procuratore generale del Nebraska
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
30 giorniper correggere l'errore dopo l'avviso del procuratore generale
7.500 USDdi multa civile massima per violazione
45 giorniper rispondere alle richieste, con una proroga di altri 45 giorni
60 giorniper rispondere al ricorso di un consumatore a cui è stata negata la richiesta

Che cos'è

Una legge statale che sostituisce i numeri con le dimensioni dell'azienda

La Nebraska Data Privacy Act, o NDPA, è la legge generale sulla privacy del Nebraska. È stata approvata nel 2024 con il progetto LB 1074, si trova nelle sezioni da 87-1101 a 87-1130 delle leggi dello stato e vale dal 1° gennaio 2025.

Il testo segue il modello del Texas. Invece di contare i consumatori o guardare i ricavi, la legge vale per chi fa affari in Nebraska o offre prodotti e servizi consumati nello stato, tratta o vende dati personali e non è una piccola impresa secondo la definizione federale americana.

I diritti del visitatore sono gli stessi delle leggi più complete: accesso, correzione, cancellazione, portabilità e rifiuto della pubblicità mirata, della vendita e della profilazione automatizzata. I dati sensibili richiedono il consenso.

Per un sito con visitatori dagli Stati Uniti, questo significa che il volume di traffico dal Nebraska non è la domanda giusta. La domanda è la dimensione dell'azienda. E anche una piccola impresa ha bisogno del consenso per vendere dati sensibili.

Checklist

Cosa devi rispettare

Se la tua azienda non è piccola secondo la legge federale e ha visitatori del Nebraska, questa è la lista di base.

  1. Pubblicare un'informativa completa sulla privacy

    L'avviso deve essere chiaro e facile da trovare. Elenca i dati trattati, le finalità, come esercitare i diritti e fare ricorso, i dati condivisi e le categorie di terzi.

    Esempio

    Link Informativa sulla privacy nel footer di tutte le pagine, che porta all'informativa completa.

  2. Dire che c'è pubblicità mirata e come rifiutare

    Chi vende dati o fa pubblicità mirata deve dirlo in modo chiaro e visibile e spiegare come rifiutare.

    Esempio

    Link nel footer: Do Not Sell or Share My Personal Information.

  3. Chiedere il consenso per i dati sensibili

    Dati sensibili solo con il consenso. Anche la piccola azienda ha bisogno del consenso prima di vendere questi dati. I dati sensibili dei bambini seguono la COPPA.

  4. Accettare il rifiuto inviato dal browser

    Il visitatore può rifiutare tramite un agente autorizzato, comprese le impostazioni globali del dispositivo. Rispondi quando è possibile verificare la richiesta. L'impostazione non può essere attiva per impostazione predefinita.

    Esempio

    Visitatore con GPC attivo: trattalo come se avesse cliccato su rifiuta.

  5. Ricevere richieste senza chiedere un nuovo account

    Offri due o più canali sicuri e non chiedere un nuovo account. Rispondi entro 45 giorni e rispondi al ricorso per iscritto entro 60 giorni.

  6. Fare la valutazione della protezione dei dati

    Annunci mirati, vendita di dati e dati sensibili richiedono una valutazione registrata. È riservata, ma il procuratore generale può richiederla.

  7. Portare il rifiuto fino a Google

    Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. Con il GPP, Google legge la sezione US National per il Nebraska.

    Esempio

    AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag.

Chi deve rispettarla

Nessuna soglia di ricavi e nessun numero minimo di consumatori

La legge vale per chi soddisfa le tre condizioni qui sotto, contemporaneamente. Non importa quanti visitatori del Nebraska riceve il sito.

Attività legate al Nebraska

Fa affari in Nebraska o produce un prodotto o servizio consumato da residenti dello stato. Un sito con pubblico americano di solito rientra qui.

Tratta o vende dati

Tratta dati personali o partecipa alla vendita di tali dati. Cookie e identificatori pubblicitari contano come dati personali.

Non è una piccola impresa

Non è una piccola impresa secondo la legge federale americana sulle piccole imprese, nella versione del 1° gennaio 2024. I criteri di questa legge variano per settore.

Anche la piccola impresa ha una regola

Anche la piccola impresa non può vendere dati sensibili senza il consenso preventivo del consumatore, e può essere multata se lo fa.

Definizioni

Le parole della legge, nel linguaggio di chi ha un sito

Le definizioni si trovano nella sezione 2 della LB 1074 e seguono le leggi del Texas e della Virginia.

Dato personale

Informazione collegata o ragionevolmente collegabile a una persona identificata o identificabile, compresi i dati sensibili. Nel sito rientrano cookie, identificatori del dispositivo, IP ed e-mail.

Dato sensibile

Origine razziale o etnica, credo religioso, diagnosi di salute, orientamento sessuale, status migratorio, dati genetici o biometrici che identificano la persona, dati di minori noti e geolocalizzazione precisa.

Vendita

Lo scambio di dati personali con denaro o con un'altra contropartita di valore a un terzo. I trasferimenti a responsabili del trattamento e ad aziende dello stesso gruppo restano esclusi.

Pubblicità mirata

Annuncio scelto con dati sull'attività del visitatore su siti e app di altre aziende. Gli annunci basati sul contesto della ricerca o della visita corrente non rientrano.

Diritti delle persone

Cosa può chiedere il residente del Nebraska

La risposta deve arrivare entro 45 giorni, con una proroga di altri 45 se comunicata entro il termine iniziale. Il ricorso contro un rifiuto deve essere deciso entro 60 giorni.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e avere accesso a quei dati.

Correggi

Chiedere la correzione di dati errati.

Cancellare

Chiedere la cancellazione dei dati personali.

Portabilità

Ricevere una copia dei dati in un formato portabile.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti, anche tramite un agente autorizzato.

Rifiutare la profilazione automatizzata

Rifiutare profili che portano a decisioni con effetti giuridici o di impatto simile.

Obblighi del sito

Cosa deve avere in funzione l'azienda coperta

  1. Informativa sulla privacyL'informativa deve contenere le categorie di dati trattati, le finalità, come esercitare i diritti e fare ricorso, le categorie di dati condivisi con terzi e le categorie di questi terzi.
  2. Dichiarare vendita e annunci miratiSe il sito vende dati o fa pubblicità mirata, deve dirlo in modo chiaro e visibile e spiegare come il visitatore può rifiutare.
  3. Consenso per i dati sensibiliDati sensibili solo con il consenso. Per la piccola impresa, la regola vale per la vendita di tali dati.
  4. Valutazione della protezione dei datiPubblicità mirata, vendita, profili rischiosi, dati sensibili e altri trattamenti ad alto rischio richiedono una valutazione registrata. È riservata, ma il procuratore generale può richiederla.
  5. Accettare l'agente autorizzatoIl consumatore può indicare un agente per rifiutare annunci mirati e vendita, anche tramite impostazione del browser. L'azienda deve dare seguito quando riesce a verificare la richiesta con uno sforzo commercialmente ragionevole.
  6. Contratti con i responsabili del trattamentoI fornitori che trattano dati per conto dell'azienda seguono le sue istruzioni, in base a un contratto con le regole del trattamento.

Controlli e sanzioni

Chi controlla e quanto costa sbagliare

Solo il procuratore generale del Nebraska controlla la legge. Il consumatore può presentare reclamo tramite i canali del procuratore generale, ma non può fare causa all'azienda in base alla NDPA.

30 giorni per correggere

Prima di avviare un'azione, il procuratore generale invia un avviso scritto e concede 30 giorni per correggere. La legge non prevede una data di scadenza per questo termine.

Dichiarazione scritta

Per chiudere il caso, l'azienda deve correggere, inviare una dichiarazione scritta e documenti che dimostrino la correzione.

Fino a 7.500 USD per violazione

Se l'errore non viene corretto entro il termine, o se l'azienda non rispetta la dichiarazione di correzione, la multa civile può arrivare a 7.500 USD per violazione.

Canali di reclamo

Il procuratore generale riceve reclami sulla privacy tramite modulo online, e-mail, posta e telefono.

Cronologia

Le date della NDPA

Il Nebraska ha approvato la legge e ha concesso pochi mesi di preparazione.

  1. 2024

    Legge approvata

    L'Assemblea del Nebraska approva il progetto LB 1074, che crea la Data Privacy Act.

  2. 1° gennaio 2024

    Riferimento per la piccola impresa

    La legge usa la definizione federale di piccola impresa com'era in questa data.

  3. 1° gennaio 2025

    Entrata in vigore

    La legge inizia a valere, con il controllo del procuratore generale e un termine di correzione di 30 giorni.

  4. Settembre 2025

    Google aggiorna il GPP

    Google inizia ad accettare la versione 2 della sezione US National del GPP, la strada che legge per l'opt-out di stati come il Nebraska.

Siti con AdSense e Ad Manager

Opt-out tramite browser e il percorso fino a Google

Il Nebraska tratta il segnale universale in modo proprio. Il consumatore può indicare un agente autorizzato per rifiutare annunci mirati e vendita usando una tecnologia, come un link, un'impostazione o estensione del browser o un'impostazione generale del dispositivo. La tecnologia non può essere attiva per impostazione predefinita e richiede una scelta attiva del consumatore.

L'azienda deve dare seguito quando riesce a verificare la richiesta con uno sforzo commercialmente ragionevole. La legge elenca eccezioni, per esempio quando non è possibile confermare che il consumatore risiede in Nebraska o quando l'azienda non gestisce richieste simili di altri stati. Poiché il Global Privacy Control, o GPC, è un segnale di questo tipo, la strada più sicura è rispettarlo per il traffico degli USA.

Google offre in AdSense e in Ad Manager un messaggio per le normative statali degli USA, in Privacy e messaggi, e il Nebraska è tra gli stati coperti. Il rifiuto del visitatore attiva l'elaborazione limitata dei dati, chiamata RDP. Google dice anche che il partner può attivare l'RDP quando riceve un GPC di opt-out.

Nel GPP esiste una sezione specifica del Nebraska, ma non è nell'elenco delle sezioni accettate da Google. Per Google, la strada è la sezione US National, oppure l'RDP direttamente nel tag, con il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense.

In pratica

Cosa si può e cosa non si può fare in Nebraska

Esempi per un sito con visitatori del Nebraska che monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali a chi ha rifiutato la pubblicità mirata
  • Applicare l'opt-out quando il browser del visitatore invia GPC
  • Usare il messaggio di Google per le normative statali per offrire il link di opt-out
  • Portare l'opt-out a Google tramite la sezione US National del GPP
  • Usare valutazioni di protezione dei dati fatte per altri stati, se coprono lo stesso trattamento

Non consentito

  • Concludere di essere fuori dalla legge solo perché si ha poco traffico dal Nebraska
  • Vendere geolocalizzazione precisa o altri dati sensibili senza consenso, anche essendo una piccola impresa
  • Continuare con annunci personalizzati dopo che il visitatore ha rifiutato
  • Lasciare la pagina della privacy senza spiegare come rifiutare la pubblicità mirata
  • Ignorare il ricorso di un consumatore a cui è stata negata la richiesta

Errori comuni

Dove i siti inciampano con la legge del Nebraska

L'assenza di numeri nella legge confonde chi è abituato a contare i visitatori per stato.

Contare i visitatori invece di valutare la dimensione

Il sito ha pochi visitatori del Nebraska e si considera fuori. Ma la legge non ha soglie di volume: ciò che conta è non essere una piccola impresa.

Dimenticare la regola sui dati sensibili

L'azienda è piccola, ma usa un partner che acquista la geolocalizzazione precisa dei visitatori. Questa vendita richiede il consenso.

Opt-out che non arriva agli annunci

Il link esiste, ma le richieste a Google continuano senza RDP e senza opt-out nel GPP.

Sezione statale da sola nel GPP

La CMP invia solo la sezione del Nebraska, che Google non legge. Senza la US National, Google non riceve il rifiuto.

GPC trattato solo in California

La CMP applica il GPC solo per la California, e il segnale inviato dai visitatori del Nebraska viene ignorato.

Informativa generica

La pagina della privacy non cita categorie di dati, terzi, vendita, pubblicità mirata né come fare ricorso.

In ConsentMode

Cosa controlla l'audit per il Nebraska

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Attiva il segnale GPC nel browser dell'audit e confronta la pagina e le richieste di annunci con e senza il segnale.
  • Legge la stringa GPP, controlla se la sezione US National esiste e registra l'opt-out.
  • Identifica la CMP o il messaggio di Google per le normative statali dal codice della pagina.
  • Controlla se la pagina della privacy cita categorie di dati, terzi, vendita, pubblicità mirata, diritti e ricorso.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Quanti visitatori del Nebraska devo avere perché la legge valga?

Nessun numero minimo. La legge vale per chi fa affari nello stato o ha prodotti consumati lì, tratta o vende dati personali e non è una piccola impresa secondo la definizione federale americana.

La mia azienda è piccola. Sono libero?

Quasi. La piccola impresa resta fuori dalla maggior parte della legge, ma non può vendere dati sensibili senza il consenso preventivo del consumatore. I criteri di piccola impresa variano per settore, quindi conviene confermare con un avvocato.

Il Nebraska richiede di rispettare il GPC?

La legge permette al consumatore di usare un'impostazione del browser come agente per rifiutare annunci mirati e vendita, e l'azienda deve dare seguito quando riesce a verificare la richiesta. In pratica, rispettare il GPC è la strada più sicura.

Il termine di 30 giorni per correggere finirà?

La legge non prevede una data di fine per questo termine, a differenza di stati come il Minnesota e il New Jersey.

Google legge la sezione del Nebraska nel GPP?

L'elenco delle sezioni accettate da Google non include il Nebraska. Usa la sezione US National, il messaggio di Google per le normative statali o l'RDP nel tag.

ConsentMode rende il mio sito conforme?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con l'opt-out, il GPC, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se l'opt-out del tuo sito funziona in Nebraska

L'audit apre il sito come visitatore degli USA, con e senza GPC, e mostra cosa correggere, senza modificare nulla.

Avvia l'audit