Apri lo spazio

Guida · Legge statale degli USA

NJDPA: la legge del New Jersey spiegata senza giuridichese

La New Jersey Data Privacy Act vale dal 15 gennaio 2025 e richiede che il sito rispetti il GPC da luglio 2025. In questa guida capisci chi deve rispettarla, cosa conta come dato sensibile, le multe, la situazione della regolamentazione e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sulle domande frequenti della Divisione per gli affari dei consumatori
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
100 milaconsumatori del New Jersey all'anno: la soglia principale della legge
25 milaconsumatori bastano se l'azienda guadagna con la vendita di dati personali
10 mila USDdi multa massima per la prima violazione
20 mila USDdi multa massima per violazione ripetuta

Che cos'è

Una legge sulla privacy senza esenzione per chi non ha scopo di lucro

La New Jersey Data Privacy Act, o NJDPA, è la legge generale sulla privacy del New Jersey. È stata firmata a gennaio 2024 e ha iniziato a valere il 15 gennaio 2025. Le aziende coperte e i responsabili del trattamento che lavorano per loro devono rispettare la legge da quella data.

Il modello segue quello del Connecticut, con alcuni punti più rigidi. I dati finanziari e la condizione di persona trans o non binaria sono dati sensibili. Gli enti senza scopo di lucro e le piccole imprese non sono esenti se superano le soglie. E il sito deve rispettare i segnali universali di opt-out, come il GPC, dal 15 luglio 2025.

La legge incarica la Divisione per gli affari dei consumatori di creare una regolamentazione, e una proposta di regole è stata presentata per commenti pubblici. Ma l'obbligo di rispettare la legge non dipende da queste regole: aziende e responsabili del trattamento devono rispettarla dal 15 gennaio 2025. Prima di seguire qualsiasi dettaglio della regolamentazione, controlla sul sito della Divisione cosa è effettivamente in vigore.

Per un sito con visitatori dagli Stati Uniti, il New Jersey pesa per la dimensione del pubblico. Lo stato è popoloso, quindi un portale con un traffico americano rilevante può superare i 100 mila consumatori senza accorgersene.

Checklist

Cosa devi rispettare

Se il tuo sito supera le soglie della NJDPA, questi punti devono funzionare.

  1. Rispettare il GPC

    Dal 15 luglio 2025, il sito deve accettare segnali universali di opt-out, come il GPC. Chi arriva con il segnale attivo va trattato come chi ha rifiutato la vendita e gli annunci mirati.

    Esempio

    Visitatore con GPC attivo: il sito attiva il trattamento limitato dei dati di Google solo per lui, senza chiedere un altro clic.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Mostrare un percorso chiaro per rifiutare

    Chi vende dati o fa pubblicità mirata deve offrire un modo chiaro per rifiutare. L'informativa sulla privacy deve spiegare come il visitatore usa questo diritto.

    Esempio

    Il messaggio sulle normative statali di Google mostra il link Do Not Sell or Share My Personal Information.

  3. Informativa sulla privacy completa

    L'informativa dice quali dati il sito tratta, per cosa, con chi li condivide e come il visitatore chiede accesso, rettifica, eliminazione o fa ricorso.

    Esempio

    Per chiedere accesso, rettifica o eliminazione dei tuoi dati, scrivi a privacidade@seusite.com.

  4. Informativa con le frasi che Google richiede

    AdSense richiede che l'informativa sulla privacy avvisi dei cookie pubblicitari di Google e di altri fornitori. Deve anche dire come il visitatore rifiuta gli annunci personalizzati.

    Esempio

    Fornitori terzi, tra cui Google, usano i cookie per mostrare annunci in base alle visite precedenti al tuo sito o ad altri siti. Puoi disattivare la pubblicità personalizzata nelle Impostazioni annunci di Google.

  5. Consenso per i dati sensibili

    I dati sensibili possono essere trattati solo con il consenso. Nel New Jersey, l'elenco comprende le informazioni finanziarie.

    Esempio

    Un simulatore di credito chiede prima: Possiamo usare le tue risposte per mostrare offerte? Sì o No.

  6. Consenso degli adolescenti

    Se sai o dovresti sapere che il visitatore ha tra 13 e 16 anni, la Divisione dice che serve il suo consenso prima di trattare i dati personali.

  7. Valutazione della protezione dei dati

    Quando tratti dati sensibili o svolgi attività ad alto rischio, registra per iscritto una valutazione di rischi e benefici.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per il New Jersey, quindi puoi usare il messaggio di Google o una CMP con GPP.

Chi deve rispettarla

Le soglie che fanno rientrare il tuo sito nella NJDPA

La legge vale per chi fa affari nel New Jersey o offre prodotti e servizi rivolti ai residenti dello stato e, in un anno civile, supera una delle soglie qui sotto.

100 mila consumatori

Controlla o tratta dati personali di almeno 100 mila consumatori del New Jersey durante l'anno.

25 mila e vendita di dati

Controlla o tratta dati di almeno 25 mila consumatori e guadagna con la vendita di dati personali, secondo le parole della Divisione per gli affari dei consumatori.

Anche senza scopo di lucro

Gli enti senza scopo di lucro e le piccole imprese non sono esclusi. Se superano le soglie, devono rispettare la legge.

Anche i responsabili del trattamento

Anche i fornitori che trattano dati per conto di un'azienda coperta hanno doveri, come seguire le istruzioni e il contratto.

Definizioni

Le parole della legge, nel linguaggio di chi ha un sito

Le definizioni del New Jersey sono simili a quelle del Connecticut, con un elenco di dati sensibili più ampio.

Dato personale

Informazione che identifica o può identificare una persona specifica. Nel sito rientrano cookie, identificatori del dispositivo, IP ed e-mail della newsletter.

Dato sensibile

Origine razziale o etnica, credo religioso, condizione di salute, informazioni finanziarie, vita e orientamento sessuale, status migratorio, condizione di persona trans o non binaria, dati genetici o biometrici, geolocalizzazione precisa e dati di minori.

Vendita

Lo scambio di dati personali con denaro o con un'altra contropartita di valore a un terzo. I trasferimenti ai responsabili del trattamento restano esclusi.

Pubblicità mirata

Annuncio scelto con dati sull'attività del visitatore nel tempo su siti e app di altre aziende. L'annuncio basato sul contesto della pagina non rientra.

Diritti delle persone

Cosa può chiedere il residente del New Jersey

Il consumatore non può fare causa all'azienda in base a questa legge, ma può presentare reclamo alla Divisione per gli affari dei consumatori. L'azienda deve rispondere alle richieste e offrire un ricorso.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e avere accesso a quei dati.

Correggi

Chiedere la correzione di dati errati.

Cancellare

Chiedere la cancellazione dei dati personali.

Portabilità

Ricevere una copia dei dati in un formato che possa portare a un altro servizio.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti, anche tramite un segnale universale come il GPC.

Rifiutare la profilazione automatizzata

Rifiutare profili che portano a decisioni con effetti giuridici o di impatto simile.

Obblighi del sito

Cosa deve avere in funzione il sito coperto

  1. Informativa sulla privacy completaL'informativa deve spiegare quali categorie di dati vengono trattate, per cosa, come esercitare i diritti e fare ricorso, quali dati vanno a terzi e quali tipi di terzi ricevono tali dati.
  2. Opt-out chiaro e GPCChi vende dati o fa pubblicità mirata deve mostrare un percorso chiaro per rifiutare e, dal 15 luglio 2025, accettare segnali universali di opt-out, come il GPC.
  3. Consenso per i dati sensibiliI dati sensibili, comprese le informazioni finanziarie, possono essere trattati solo con il consenso del visitatore.
  4. Protezione degli adolescentiPer i consumatori da 13 a 16 anni, l'azienda ha bisogno del consenso prima di usare i dati per pubblicità mirata, vendita o profili. Per i minori di 13 anni, vale la legge federale COPPA.
  5. Valutazione della protezione dei datiPrima di trattamenti ad alto rischio, come vendita di dati, dati sensibili e profili che possano causare un trattamento ingiusto o un danno, l'azienda deve valutare per iscritto rischi e benefici.
  6. Contratti con i responsabili del trattamentoI fornitori che trattano dati per conto dell'azienda seguono le sue istruzioni, in base a un contratto con le regole del trattamento.

Controlli e sanzioni

Multe per violazione e fine del termine di correzione

La legge è controllata dalla Procura generale del New Jersey e dalla Divisione per gli affari dei consumatori, con gli strumenti della legge statale contro le frodi ai consumatori.

10 mila USD la prima volta

La multa può arrivare a 10 mila USD per la prima violazione.

20 mila USD le volte successive

Le violazioni ripetute possono costare fino a 20 mila USD ciascuna. La Procura può anche chiedere un'ordinanza giudiziaria e un risarcimento per le vittime.

Termine di correzione terminato

Fino al 1° luglio 2026, la Divisione avvisava l'azienda e concedeva 30 giorni per correggere errori sanabili. Questo periodo è terminato.

Reclamo del consumatore

Il consumatore presenta il reclamo sul sito della Divisione per gli affari dei consumatori. Non può fare causa all'azienda in base a questa legge.

Cronologia

Le date della NJDPA

A novembre 2026, la legge è in vigore, il GPC è obbligatorio, il termine di correzione è finito e la regolamentazione va ancora verificata sul sito della Divisione.

  1. Gennaio 2024

    Firma

    Il New Jersey approva la legge generale sulla privacy.

  2. 15 gennaio 2025

    Entrata in vigore

    Le aziende coperte e i responsabili del trattamento iniziano a rispettare la legge.

  3. 2025

    Proposta di regolamentazione

    La Divisione per gli affari dei consumatori presenta una proposta di regole per commenti pubblici. La legge vale già indipendentemente da essa.

  4. 15 luglio 2025

    GPC obbligatorio

    Il sito coperto deve rispettare i segnali universali di opt-out, come il Global Privacy Control.

  5. 1° luglio 2026

    Fine del termine di correzione

    Termina il periodo in cui la Divisione concedeva 30 giorni per correggere prima di agire.

Siti con AdSense e Ad Manager

GPC obbligatorio e il percorso dell'opt-out fino a Google

Dal 15 luglio 2025, il sito coperto deve rispettare i segnali universali di opt-out. Le stesse domande frequenti della Divisione citano il Global Privacy Control, o GPC, come esempio. Per il visitatore che arriva con il GPC attivo, il sito deve comportarsi come se avesse cliccato sul link di opt-out.

Google offre in AdSense e in Ad Manager un messaggio per le normative statali degli USA, in Privacy e messaggi, e il New Jersey è tra gli stati coperti. Il messaggio mostra il link Do Not Sell or Share. Il rifiuto attiva l'elaborazione limitata dei dati, chiamata RDP, e Google smette di usare il comportamento precedente per scegliere gli annunci.

Sul GPC, Google dice che il partner che ha implementato il segnale può scegliere di attivare l'RDP quando riceve un GPC di opt-out. La configurazione spetta al sito o alla CMP, e può essere fatta nel tag, con il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense.

Nel GPP esiste una sezione specifica del New Jersey, ma non è nell'elenco delle sezioni accettate da Google. Per Google, la strada è la sezione US National, in cui il rifiuto di vendita, condivisione o pubblicità mirata attiva l'RDP.

In pratica

Cosa si può e cosa non si può fare nel New Jersey

Esempi per un sito con traffico dal New Jersey che monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali a chi ha rifiutato o è arrivato con GPC attivo
  • Usare il messaggio di Google per le normative statali per offrire il link di opt-out
  • Portare l'opt-out a Google tramite la sezione US National del GPP
  • Applicare il GPC a tutto il traffico degli USA, per semplificare la configurazione
  • Continuare a rispettare la legge anche senza una regolamentazione adottata, in base al testo di legge

Non consentito

  • Ignorare il GPC e continuare a richiedere annunci personalizzati per quel visitatore
  • Trattare informazioni finanziarie del visitatore, come i dati di un simulatore di credito, senza consenso
  • Usare dati di adolescenti da 13 a 16 anni per annunci mirati senza consenso
  • Pensare che la tua ONG o associazione sia esclusa solo perché non ha scopo di lucro
  • Contare su 30 giorni per correggere dopo un avviso: questo periodo è terminato a luglio 2026

Errori comuni

Dove i siti inciampano con la NJDPA

Questi problemi compaiono nei siti che hanno configurato la privacy degli USA guardando solo alla California.

Dimenticare i dati finanziari

I siti di finanza raccolgono reddito o debiti in moduli e calcolatori e li trasmettono ai partner. Nel New Jersey, questi sono dati sensibili e richiedono il consenso.

GPC solo in California

La CMP applica il GPC solo per la California, e il segnale dei visitatori del New Jersey viene ignorato.

Aspettare la regolamentazione

L'azienda ha rimandato gli adeguamenti aspettando le regole finali. La legge vale dal gennaio 2025, con o senza regolamentazione.

Opt-out che non cambia gli annunci

Il visitatore rifiuta, ma le richieste di annunci continuano senza RDP e senza opt-out nella stringa GPP.

Sezione statale da sola nel GPP

La CMP invia solo la sezione del New Jersey, che Google non legge. Senza la US National, l'opt-out non arriva a Google.

Informativa senza terzi

La pagina della privacy non dice quali tipi di terzi, come reti pubblicitarie e partner di misurazione, ricevono i dati.

In ConsentMode

Cosa controlla l'audit per il New Jersey

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Attiva il segnale GPC nel browser dell'audit e confronta la pagina e le richieste di annunci con e senza il segnale.
  • Legge la stringa GPP, controlla se la sezione US National esiste e registra l'opt-out.
  • Identifica la CMP o il messaggio di Google per le normative statali dal codice della pagina.
  • Controlla se la pagina della privacy contiene categorie di dati, finalità, terzi, diritti e ricorso.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

La regolamentazione del New Jersey è già in vigore?

Una proposta di regole è stata presentata per commenti pubblici, ma controlla sul sito della Divisione per gli affari dei consumatori se ci sono regole finali in vigore prima di seguirne qualsiasi dettaglio. La legge in sé vale dal 15 gennaio 2025, con o senza regolamentazione.

Sono obbligato a rispettare il GPC?

Sì, se la legge si applica al tuo sito. Dal 15 luglio 2025, i segnali universali di opt-out, come il GPC, devono essere rispettati.

La mia associazione non ha scopo di lucro. Sono esclusa?

No. Nel New Jersey, gli enti senza scopo di lucro e le piccole imprese devono rispettare la legge se superano le soglie.

Vendere dati in piccola quantità mi mette già nella soglia dei 25 mila?

Può metterti. Secondo la Divisione per gli affari dei consumatori, la seconda soglia vale per chi tratta dati di almeno 25 mila consumatori e guadagna con la vendita di dati personali. La Divisione non cita un valore minimo di ricavo, quindi conviene confermare il tuo caso con un avvocato.

Ho ancora un termine per correggere dopo un avviso?

Il termine di 30 giorni valeva fino al 1° luglio 2026. Dopo, la Divisione può agire senza concedere questo termine.

ConsentMode rende il mio sito conforme?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con l'opt-out, il GPC, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Verifica se il tuo sito rispetta il GPC nel New Jersey

L'audit apre il sito come visitatore degli USA, con e senza GPC, e mostra cosa correggere, senza modificare nulla.

Avvia l'audit