Apri lo spazio

Guida · Legge statale degli USA

TIPA: la legge sulla privacy del Tennessee senza giuridichese

La Tennessee Information Protection Act vale dal 1° luglio 2025 e riguarda solo le grandi aziende. In questa guida capisci chi deve rispettarla, quali diritti ha ottenuto il visitatore, come funziona la difesa basata sul NIST e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul testo della legge e sul riepilogo del procuratore generale del Tennessee
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
25 mln USDdi ricavo annuo: sotto questa cifra l'azienda resta fuori dalla legge
175 milaconsumatori del Tennessee all'anno: la principale soglia di volume
60 giornidi termine per correggere dopo l'avviso del procuratore generale, senza data di scadenza
45 giorniper rispondere alle richieste dei consumatori, con spiegazione e ricorso in caso di rifiuto

Che cos'è

Una legge statale sulla privacy focalizzata sulle grandi aziende

La TIPA è la legge generale sulla privacy dello stato del Tennessee, negli Stati Uniti. È stata approvata nel 2023 ed è entrata in vigore il 1° luglio 2025. La legge dà ai residenti dello stato diritti sui propri dati e crea doveri per le aziende che usano tali dati.

Il modello segue quello delle leggi della Virginia e del Colorado. Il visitatore può chiedere accesso, correzione e cancellazione dei dati e può rifiutare la vendita dei dati, la pubblicità mirata e certi tipi di profilazione automatizzata. I dati sensibili si possono usare solo con il consenso.

Due cose rendono diversa la TIPA. La prima è la soglia alta: rientrano nella legge solo le aziende con ricavi annui superiori a 25 milioni di USD. La seconda è la difesa basata sul NIST: l'azienda che mantiene un programma di privacy scritto, allineato al Privacy Framework del NIST, può usarlo come difesa in un procedimento.

Per il proprietario di un sito brasiliano con visitatori negli Stati Uniti, la domanda pratica è semplice: la tua attività supera le soglie? Se sì, il sito ha bisogno di un'informativa sulla privacy completa, di un percorso chiaro per l'opt-out e di attenzione a ciò che i partner pubblicitari fanno con i dati.

Checklist

Cosa devi rispettare

Se la tua azienda supera le soglie della TIPA, questi punti devono funzionare.

  1. Percorso per rifiutare vendita e annunci

    Il residente del Tennessee può rifiutare la pubblicità mirata, la vendita dei dati e certi profili. Il sito deve offrire questo percorso e far sì che il rifiuto cambi la richiesta di annunci.

    Esempio

    Il messaggio sulle normative statali di Google mostra il link Do Not Sell or Share My Personal Information ai visitatori del Tennessee.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Informativa sulla privacy accessibile

    L'azienda ha bisogno di un'informativa sulla privacy ragionevolmente accessibile. Spiega come il visitatore esercita i diritti e come fa ricorso contro una risposta negativa.

    Esempio

    Un link Privacy nel footer di tutte le pagine, che porta all'informativa completa.

  3. Informativa con le frasi che Google richiede

    AdSense richiede che l'informativa sulla privacy avvisi dei cookie pubblicitari di Google e di altri fornitori. Deve anche dire come il visitatore rifiuta gli annunci personalizzati.

    Esempio

    Fornitori terzi, tra cui Google, usano i cookie per mostrare annunci in base alle visite precedenti al tuo sito o ad altri siti. Puoi disattivare la pubblicità personalizzata nelle Impostazioni annunci di Google.

  4. Risposta entro 45 giorni

    Le richieste di accesso, rettifica, eliminazione, portabilità e opt-out richiedono una risposta entro 45 giorni dal ricevimento.

    Esempio

    Un'e-mail per la privacy con il controllo della data di arrivo di ogni richiesta.

  5. Consenso per i dati sensibili

    I dati sensibili possono essere trattati solo con il consenso del visitatore.

    Esempio

    Un sito sulla salute chiede prima di usare l'argomento letto per scegliere gli annunci: Accetti? Sì o No.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per il Tennessee, quindi puoi usare il messaggio di Google o una CMP con GPP.

Chi deve rispettarla

Le soglie che fanno rientrare un'azienda nella TIPA

La legge vale per chi fa affari nel Tennessee o offre prodotti e servizi rivolti ai residenti dello stato. Ma solo se l'azienda supera i due filtri qui sotto.

Ricavi superiori a 25 milioni di USD

È il primo filtro ed è obbligatorio. Un'azienda con ricavi annui inferiori resta fuori dalla TIPA, anche se ha molti visitatori del Tennessee.

175 mila consumatori

Oltre ai ricavi, l'azienda deve controllare o trattare dati di almeno 175 mila consumatori del Tennessee in un anno civile.

Oppure 25 mila e vendita di dati

L'altra porta d'ingresso: dati di almeno 25 mila consumatori e metà o più del fatturato lordo derivante dalla vendita di informazioni personali.

Chi resta fuori

Enti pubblici, istituti finanziari, enti sanitari coperti dalla HIPAA, organizzazioni senza scopo di lucro e istituti di istruzione superiore sono esenti.

Definizioni

Le parole della legge, nel linguaggio di chi ha un sito

La TIPA usa il termine informazione personale al posto di dato personale. Il significato è lo stesso delle altre leggi statali, con una differenza importante nella definizione di vendita.

Informazione personale

Qualsiasi informazione collegata o collegabile a una persona identificata o identificabile. Nella vita quotidiana di un sito, include cookie, identificatori pubblicitari, indirizzo IP ed e-mail della newsletter.

Informazione sensibile

Origine razziale o etnica, credo religioso, diagnosi di salute, orientamento sessuale, status migratorio, dati genetici e biometrici, dati di minori e geolocalizzazione precisa, entro un raggio di 1.750 piedi.

Vendita

Nella TIPA, la vendita è lo scambio di informazioni personali con denaro a un terzo. La legge non parla di un'altra contropartita di valore, come fanno stati come il Delaware e il Montana.

Pubblicità mirata

Annuncio scelto in base al comportamento del visitatore nel tempo su siti e app di altre aziende. L'annuncio basato sul contesto della pagina non rientra in questa definizione.

Diritti delle persone

Cosa può chiedere al tuo sito il residente del Tennessee

Le richieste devono ricevere risposta entro 45 giorni. Se l'azienda rifiuta, deve spiegare il motivo e offrire un percorso di ricorso.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e ricevere accesso a tali dati.

Correggi

Chiedere la correzione di dati errati, tenendo conto del tipo di dato e della finalità dell'uso.

Cancellare

Chiedere che i dati forniti da lui o ottenuti su di lui siano cancellati. I dati aggregati o deidentificati restano esclusi.

Portabilità

Ricevere una copia dei dati in un formato che possa essere portato a un altro servizio, quando tecnicamente possibile.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti. È il diritto che incide di più sui siti con annunci.

Rifiutare la profilazione automatizzata

Rifiutare l'uso dei dati in profili che portano a decisioni con effetti giuridici o di impatto simile, come credito, abitazione o lavoro.

Obblighi del sito

Cosa deve avere in funzione l'azienda coperta

  1. Informativa sulla privacy completaL'informativa deve dire a cosa servono i dati, quali categorie vengono trattate, quali categorie vengono vendute a terzi, come esercitare i diritti e come fare ricorso contro un rifiuto. Deve anche spiegare il diritto di rifiutare la vendita.
  2. Raccogliere solo il necessarioLa raccolta deve limitarsi a ciò che è ragionevolmente necessario per le finalità comunicate. Usare i dati per un'altra finalità richiede il consenso.
  3. Consenso per i dati sensibiliI dati sensibili possono essere trattati solo con il consenso. I dati di minori di 13 anni seguono le regole della legge federale COPPA.
  4. Valutazione della protezione dei datiPrima di usare i dati per pubblicità mirata, vendita, profili rischiosi o dati sensibili, l'azienda deve registrare una valutazione di rischi e benefici. La regola vale per le attività create o generate dal 1° luglio 2024.
  5. Contratti con i responsabili del trattamentoI fornitori che trattano dati per conto dell'azienda hanno bisogno di un contratto scritto con riservatezza, restituzione o cancellazione dei dati, aiuto nelle valutazioni e le stesse regole per i subappaltatori.
  6. Sicurezza ragionevoleL'azienda deve mantenere pratiche di sicurezza adeguate al volume e alla sensibilità dei dati, e non può trattare i dati in modo da violare le leggi contro la discriminazione.

Controllo e difesa basata sul NIST

Chi controlla, il termine di correzione e il programma che può servire da difesa

Solo il procuratore generale del Tennessee può controllare la TIPA, e il consumatore non può fare causa all'azienda in base a questa legge. Prima di avviare un'azione, il procuratore generale deve inviare un avviso scritto e concedere 60 giorni all'azienda per correggere. Se l'azienda corregge e lo comunica per iscritto, il caso si ferma, a meno che l'errore non si ripeta. A differenza di altri stati, questo termine non ha una data di scadenza.

Se l'errore non viene corretto entro il termine, il procuratore generale può portare il caso in tribunale e chiedere le sanzioni civili previste dalla legge. Il procuratore generale può agire a partire da indagini proprie o da reclami dei consumatori, che possono essere inviati tramite il sito, per e-mail o per posta. Gli importi esatti delle multe sono nel testo della legge, e conviene verificarli con un avvocato.

La TIPA prevede anche una difesa affermativa. L'azienda che mantiene e segue un programma di privacy scritto, ragionevolmente conforme al Privacy Framework del NIST, l'istituto americano di standard e tecnologia, o a un modello comparabile, può usarlo come difesa. Il programma deve dare al consumatore i diritti previsti dalla legge ed essere aggiornato entro due anni da ogni nuova versione del framework. Anche la certificazione Global CBPR può essere presa in considerazione.

Non basta avere un documento nel cassetto. La portata del programma si misura in base alle dimensioni dell'azienda, al tipo di attività e alla sensibilità dei dati. Per chi vive di annunci, documentare quali dati raccoglie il sito, quali partner ricevono questi dati e come funziona l'opt-out è già l'inizio di questo programma.

Cronologia

Le date della TIPA

La legge ha avuto un lungo periodo di adattamento. A novembre 2026 è in vigore da oltre un anno.

  1. 2023

    Legge approvata

    Il Tennessee approva la Tennessee Information Protection Act ed entra nell'elenco degli stati con una legge generale sulla privacy.

  2. 1° luglio 2024

    Data di riferimento per le valutazioni

    Le attività di trattamento create o generate da questa data rientrano nella regola delle valutazioni di protezione dei dati. Le attività precedenti non sono coperte.

  3. 1° luglio 2025

    Entrata in vigore

    La TIPA inizia a valere. Le aziende coperte devono rispondere alle richieste, offrire l'opt-out e mantenere l'informativa sulla privacy completa.

  4. 2025

    Materiale del procuratore generale

    Il procuratore generale pubblica un riepilogo della legge, domande frequenti per consumatori e aziende e un canale per i reclami sulla privacy.

Siti con AdSense e Ad Manager

Come l'opt-out del Tennessee arriva a Google

La TIPA non obbliga l'azienda a riconoscere segnali universali di opt-out, come il Global Privacy Control, o GPC, inviato da alcuni browser. Il visitatore deve usare il percorso che il sito offre. Ciononostante, rispettare il GPC è una buona pratica ed evita problemi con gli stati dove è obbligatorio.

Google offre un messaggio per le normative statali degli USA in AdSense e in Ad Manager, nell'area Privacy e messaggi. Include il Tennessee tra gli stati coperti e mostra il link Do Not Sell or Share. Quando il visitatore rifiuta, Google attiva l'elaborazione limitata dei dati, chiamata RDP, e inizia a consegnare annunci che non usano lo storico del comportamento.

Chi usa una CMP propria può trasmettere la scelta tramite il GPP, il protocollo di IAB Tech Lab. Esiste una sezione specifica del Tennessee nel GPP, ma l'elenco delle sezioni accettate da Google non la include. Per Google, la strada è la sezione US National: il rifiuto di vendita, condivisione o pubblicità mirata in quella sezione attiva l'RDP.

È anche possibile attivare l'RDP direttamente nel tag, con il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense, solo per chi ha chiesto l'opt-out. L'importante è che il rifiuto del visitatore cambi davvero la richiesta di annuncio.

In pratica

Cosa si può e cosa non si può fare con la TIPA

Esempi per un'azienda che supera le soglie della legge e monetizza siti con annunci programmatici.

Consentito

  • Mostrare annunci contestuali, scelti in base all'argomento della pagina, a chi ha chiesto l'opt-out
  • Usare il messaggio di Google per le normative statali per offrire il link Do Not Sell or Share
  • Mantenere un'unica informativa sulla privacy per tutti gli stati, purché copra ciò che richiede la TIPA
  • Sfruttare valutazioni di rischio fatte per altre leggi statali, se comparabili
  • Usare il programma di privacy basato sul NIST come difesa, se è scritto e aggiornato

Non consentito

  • Continuare a inviare dati per annunci personalizzati dopo che il visitatore ha rifiutato
  • Raccogliere geolocalizzazione precisa per gli annunci senza consenso
  • Lasciare la pagina della privacy senza dire come fare ricorso contro una richiesta rifiutata
  • Richiedere al visitatore di creare un account per chiedere cancellazione o opt-out
  • Trattare il NIST come un sigillo: senza un programma seguito davvero, non c'è difesa

Errori comuni

Dove i siti inciampano con la TIPA

Questi problemi compaiono spesso nei siti che già curano GDPR e California, ma dimenticano il Tennessee.

Messaggio solo per la California

Il messaggio di opt-out è stato configurato anni fa solo per la California. I visitatori del Tennessee non vedono mai il link.

Link che non fa nulla

Il footer ha il link di opt-out, ma porta a una pagina di testo. La richiesta di annuncio resta uguale dopo il clic.

Informativa senza vendita e annunci

L'informativa sulla privacy parla di cookie, ma non dice che i dati sono usati per la pubblicità mirata né come rifiutare.

GPP senza la sezione US National

La CMP genera solo sezioni statali che Google non legge. L'opt-out esiste, ma non arriva agli annunci di Google.

Valutazione mai fatta

L'azienda usa dati per annunci mirati dal 2024, ma non ha alcuna valutazione di protezione dei dati registrata.

Pensare di essere troppo piccoli

Il gruppo somma più siti e supera i 25 milioni di USD di ricavi, ma ogni sito viene trattato come se fosse fuori dalla legge.

In ConsentMode

Cosa controlla l'audit per il Tennessee

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Identifica la CMP o il messaggio di Google dal codice della pagina.
  • Legge la stringa GPP nelle richieste di annunci e controlla se la sezione US National esiste e cambia dopo l'opt-out.
  • Attiva il segnale GPC nel browser dell'audit e mostra se il comportamento della pagina e delle richieste di annunci cambia.
  • Controlla se la pagina della privacy cita vendita, pubblicità mirata, diritti, ricorso e modalità di contatto.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Il mio sito brasiliano ha visitatori del Tennessee. Devo rispettare la TIPA?

Solo se la tua azienda supera le soglie: ricavi annui superiori a 25 milioni di USD e dati di almeno 175 mila consumatori dello stato, oppure 25 mila consumatori con metà o più del fatturato derivante dalla vendita di dati. La maggior parte dei siti piccoli resta fuori. Ciononostante, stati con soglie più basse, come Delaware, Maryland e Nebraska, possono raggiungere la tua attività, quindi conviene offrire l'opt-out per tutto il traffico USA.

La TIPA obbliga a rispettare il GPC?

No. La legge non richiede il riconoscimento dei segnali universali di opt-out. Ma diversi altri stati lo richiedono, quindi la maggior parte delle CMP già gestisce il GPC per tutto il traffico USA.

Cosa succede ai ricavi quando il visitatore rifiuta?

Google passa all'elaborazione limitata dei dati e consegna annunci che non usano lo storico del visitatore. Il ricavo per mille impressioni di solito è inferiore per questo pubblico, ma l'annuncio continua a comparire.

La TIPA richiede un banner dei cookie?

No. La legge funziona con il modello opt-out: il sito può usare i dati per gli annunci finché il visitatore non rifiuta. L'eccezione sono i dati sensibili, che richiedono il consenso preventivo.

Mi serve un programma NIST per rispettare la legge?

No. Il programma basato sul NIST è una difesa facoltativa. Aiuta in caso di indagine, ma l'azienda deve comunque rispettare la legge.

ConsentMode risolve la conformità alla TIPA?

ConsentMode non è uno studio legale né una CMP. L'audit mostra cosa fa davvero il sito con l'opt-out, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Verifica se l'opt-out del tuo sito arriva agli annunci

L'audit apre il sito come visitatore degli USA e mostra cosa correggere, senza modificare nulla.

Avvia l'audit