Guida · Legge statale degli USA

TDPSA: la legge del Texas spiegata a chi ha annunci

La legge del Texas non usa il numero di visitatori per decidere chi deve rispettarla. Guarda se l'azienda è piccola secondo i criteri federali. In questa guida capisci questa regola, cosa può rifiutare il visitatore e come il procuratore generale del Texas esercita i controlli.

Fai l'audit del mio sito per il Texas Leggi la guida

✓Basato sulla legge e sulla pagina del procuratore generale del Texas
✓Esempi pensati per siti con AdSense e Ad Manager
✓Audit in sola lettura, senza modificare il sito

2avvisi con testo obbligatorio per chi vende dati sensibili o biometrici

30 giornitermine per correggere una violazione dopo l'avviso del procuratore generale, prima dell'azione legale

7.500 USDmulta civile massima per violazione

45 giornitermine per rispondere alle richieste dei consumatori, prorogabile di altri 45

Che cos'è

Una legge statale dalla portata ampia e dai controlli attivi

La Texas Data Privacy and Security Act, o TDPSA, si trova nel capitolo 541 del Codice del commercio del Texas. È stata approvata nel 2023 ed è entrata in vigore il 1° luglio 2024.

La struttura è simile a quella della Virginia: diritti del consumatore, opt-out dalla pubblicità mirata e dalla vendita, consenso per i dati sensibili e valutazioni di protezione dei dati. La grande differenza sta in chi deve rispettarla.

Invece di richiedere un numero minimo di visitatori, la TDPSA vale per chi fa affari in Texas o ha prodotti o servizi consumati da texani, tratta dati personali e non è una piccola impresa secondo i criteri dell'agenzia federale per le piccole imprese, la SBA.

Per un sito con annunci, questo significa che la dimensione dell'azienda conta più del traffico. E il procuratore generale del Texas ha già mostrato di usare la legge: a gennaio 2025 ha citato in giudizio l'assicuratore Allstate e l'azienda di dati Arity sulla base di essa.

Checklist

Cosa devi rispettare

Se la tua azienda non è piccola secondo i criteri della SBA e ha visitatori del Texas, questa è la lista di base.

Pubblicare un'informativa completa sulla privacy
L'avviso deve essere chiaro e facile da trovare. Elenca i dati trattati, le finalità, i dati ceduti, le categorie di terzi, i canali di richiesta e come fare ricorso.
Esempio
Link Informativa sulla privacy nel footer di tutte le pagine, che porta all'informativa completa.
Dire che c'è pubblicità mirata e come rifiutare
Chi vende dati o fa pubblicità mirata deve dirlo in modo chiaro e visibile. Insieme, deve spiegare come il visitatore rifiuta.
Esempio
Frase nell'avviso: usiamo i tuoi dati per la pubblicità mirata. Per rifiutare, usa il link Do Not Sell or Share My Personal Information.
Usare la frase esatta se vendi dati sensibili
La legge impone di pubblicare un avviso con testo fisso, in inglese, per chi vende dati sensibili o biometrici.
Esempio
NOTICE: We may sell your sensitive personal data. Per i dati biometrici: NOTICE: We may sell your biometric personal data.
Chiedere il consenso per i dati sensibili
I dati sensibili possono essere trattati solo con il consenso. Anche la piccola azienda ha bisogno del consenso prima di vendere questi dati.
Esempio
Prima di usare la posizione precisa del visitatore, mostra una domanda con le opzioni Consenti e Non consentire.
Accettare il rifiuto inviato dal browser
Dal 1º gennaio 2025, il visitatore può rifiutare tramite un'impostazione globale del browser o del dispositivo. Rispondi quando è possibile verificare la richiesta.
Esempio
Visitatore con GPC attivo: trattalo come se avesse cliccato su rifiuta.
Ricevere richieste senza chiedere un nuovo account
Offri almeno due canali sicuri per le richieste e non chiedere un nuovo account. Rispondi entro 45 giorni, prorogabili di altri 45, e prevedi un percorso di ricorso.
Esempio
Secondo il procuratore generale, l'attività solo online con rapporto diretto con il consumatore può offrire anche solo un'e-mail, come privacidade@seusite.com.
Fare la valutazione della protezione dei dati
Pubblicità mirata, vendita di dati e dati sensibili richiedono una valutazione scritta di rischi e benefici. Il procuratore generale può richiedere questo documento.
8
Portare il rifiuto fino a Google
Google non richiede una CMP per gli stati USA. Usa il messaggio per le normative statali USA, in Privacy e messaggistica, oppure attiva il trattamento limitato dei dati, l'RDP, nel tag per chi ha rifiutato. Con il GPP, Google legge la sezione US National per il Texas.
Esempio
AdSense o Ad Manager: Privacy e messaggistica, scheda Normative degli stati USA, Crea. Poi scegli i siti e pubblica.
```
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});
```

In pratica

Giusto e sbagliato

SbagliatoRifiuto nascosto o che obbliga il visitatore a creare un account.
GiustoLink di rifiuto visibile in tutte le pagine, che apre la schermata di scelta senza chiedere registrazione.
SbagliatoIl sito ignora l'impostazione del browser perché il visitatore non ha cliccato sul banner.
GiustoIl browser invia il GPC e il sito lo tratta come rifiuto di vendita e di annunci mirati.
SbagliatoIl sito vende la posizione precisa del visitatore senza avviso e senza consenso.
GiustoIl sito chiede il consenso prima di usare o vendere dati sensibili, come la posizione precisa.
SbagliatoInformativa vaga, senza i diritti, senza i terzi e senza la frase obbligatoria.
GiustoInformativa completa, facile da trovare e con la frase NOTICE quando ci sono vendite di dati sensibili.

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per le leggi statali USA. Puoi usare il messaggio di Google o attivare l'RDP nel tag.

A chi si applica

La regola della piccola impresa

La TDPSA non ha una soglia propria di visitatori né di fatturato. La domanda principale è se la tua azienda è piccola secondo i criteri della SBA.

Attività legate al Texas

Fare affari in Texas o avere prodotti e servizi consumati da residenti dello stato. Un sito con pubblico texano può rientrare.

Trattare o vendere dati

Elaborare dati personali o vendere tali dati. Cookie e identificatori pubblicitari sono dati personali.

Non essere una piccola impresa

La SBA definisce la piccola impresa per settore, in base a fatturato o numero di dipendenti. Chi supera quella dimensione rientra nella legge.

Eccezione che vale per tutti

Anche la piccola impresa ha bisogno del consenso del consumatore prima di vendere i suoi dati sensibili.

Definizioni

I termini che contano per chi vende annunci

Il Texas definisce la vendita in modo ampio, compresi gli scambi che non coinvolgono denaro.

Dato personale

Informazione collegata o ragionevolmente collegabile a una persona identificata o identificabile. I dati anonimizzati e pubblici restano esclusi.

Dato sensibile

Origine razziale o etnica, religione, salute mentale o fisica, sessualità, status migratorio, dati genetici e biometrici, dati di minori noti e posizione precisa.

Vendita

Condividere, divulgare o trasferire dati personali a un terzo in cambio di denaro o di un altro valore. Le partnership di dati in cambio di un servizio possono contare.

Pubblicità mirata

Annuncio scelto in base a dati sulle attività della persona nel tempo su siti e app di altre aziende. L'annuncio contestuale non rientra.

Obblighi del sito

Informativa sulla privacy con frasi obbligatorie

L'azienda ha bisogno di un'informativa sulla privacy chiara e accessibile. Elenca le categorie di dati trattati, le finalità, come esercitare i diritti e fare ricorso, le categorie di dati trasferiti a terzi e le categorie di questi terzi.

Il Texas richiede testi esatti in due casi. Chi vende dati sensibili deve includere nell'informativa la frase NOTICE: We may sell your sensitive personal data. Chi vende dati biometrici deve includere NOTICE: We may sell your biometric personal data. Gli avvisi compaiono in inglese, come prevede la legge.

Chi vende dati o fa pubblicità mirata deve anche mostrarlo in modo chiaro e visibile, insieme al percorso per rifiutare. Il rifiuto non può richiedere la creazione di un nuovo account.

I dati sensibili possono essere trattati solo con il consenso. Per i minori noti, sotto i 13 anni, vale la legge federale COPPA, con il consenso dei genitori.

Diritti, opt-out e valutazioni

Diritti del visitatore, rifiuto tramite browser e valutazioni

Il visitatore del Texas può sapere se l'azienda tratta i suoi dati, accedervi, portare con sé una copia, correggerli, cancellarli e rifiutare la pubblicità mirata, la vendita e certi profili, senza subire ritorsioni. L'azienda risponde entro 45 giorni, prorogabili di altri 45, e deve offrire un ricorso a chi ha la richiesta respinta.

Dal 1° gennaio 2025, la legge permette al visitatore di rifiutare la pubblicità mirata e la vendita di dati tramite una tecnologia, come un'impostazione globale del browser o del dispositivo, che funziona come agente autorizzato. L'azienda deve dare seguito quando riesce a verificare l'identità e l'autorizzazione. La legge non cita il Global Privacy Control per nome, ma il GPC è l'esempio più noto di questo tipo di impostazione.

In pratica, la strada più sicura è che la CMP rilevi il GPC, segni il visitatore come rifiutato e trasmetta questo rifiuto a tutti i partner pubblicitari prima della prima richiesta.

L'azienda deve anche fare valutazioni di protezione dei dati per la pubblicità mirata, la vendita di dati, i dati sensibili e certi profili. La valutazione confronta benefici e rischi e può essere richiesta dal procuratore generale in un'indagine.

Cronologia

Le date della legge del Texas

Date confermate nella pagina del procuratore generale del Texas e in comunicati ufficiali.

2023
Legge approvata
Il Texas approva la TDPSA, che entra nel capitolo 541 del Codice del commercio.
1° luglio 2024
Entrata in vigore
Iniziano a valere i diritti, gli avvisi obbligatori, l'opt-out e le valutazioni.
1° gennaio 2025
Rifiuto tramite browser
Inizia a valere il rifiuto tramite un'impostazione globale del browser o del dispositivo.
gennaio 2025
Causa contro Allstate
Il procuratore generale cita in giudizio Allstate e Arity per l'uso di dati di posizione senza avviso e consenso.

Controlli e sanzioni

Procuratore generale con potere esclusivo e termine di 30 giorni

Il procuratore generale del Texas ha competenza esclusiva per applicare la TDPSA. Può richiedere documenti, chiedere un'ordinanza giudiziaria, riscuotere multe e spese legali. Il cittadino non può fare causa all'azienda, ma può presentare un reclamo sul sito del procuratore generale.

Prima di avviare l'azione, il procuratore generale deve avvisare per iscritto. L'azienda ha 30 giorni per correggere e inviare una dichiarazione scritta con documenti che mostrino la correzione, comprese le modifiche alle politiche interne. Questo termine non ha una data di scadenza.

Chi non corregge entro il termine o non rispetta la dichiarazione inviata è soggetto a una multa civile fino a 7.500 USD per violazione.

A gennaio 2025, il procuratore generale ha accusato Allstate e Arity di raccogliere e vendere la posizione precisa dei conducenti tramite applicazioni, senza l'avviso e il consenso richiesti per i dati sensibili.

AdSense e Ad Manager

Come Google tratta il visitatore del Texas

IAB Tech Lab ha una sezione del Texas nella stringa GPP, ma Google non la elenca tra le sezioni accettate da AdSense. Per il Texas, Google legge la sezione US National.

Quando la US National indica il rifiuto di vendita, di condivisione o di pubblicità mirata, Google attiva l'elaborazione limitata dei dati, l'RDP, e mostra solo annunci non personalizzati.

Il Messaggio sulla privacy per gli stati USA, in AdSense e in Ad Manager, include il Texas e salva la scelta nella sezione US National. Con un'altra CMP, controlla che invii la US National ai visitatori texani e che segni il rifiuto quando il GPC è attivo.

Un'altra opzione è attivare l'RDP direttamente nel tag degli annunci, per esempio con restrictDataProcessing in GPT, per chi ha rifiutato. Il rifiuto deve arrivare anche a header bidding, video e pixel.

In pratica

Cosa si può e cosa non si può fare in Texas

Esempi per un sito con annunci che rispetta la legge.

Consentito

Mostrare annunci personalizzati agli adulti senza chiedere prima il permesso, con un link di rifiuto visibile
Trattare il GPC e altre impostazioni globali come rifiuto della pubblicità mirata
Salvare il rifiuto nella sezione US National del GPP
Mostrare annunci contestuali a chi ha rifiutato
Correggere l'errore e inviare la dichiarazione scritta entro 30 giorni da una notifica

Non consentito

Vendere dati sensibili senza consenso, anche essendo una piccola impresa
Vendere dati sensibili senza la frase di avviso obbligatoria nell'informativa
Richiedere la creazione di un account per rifiutare la pubblicità mirata
Ignorare un'impostazione globale di rifiuto perché il visitatore non ha cliccato sul banner
Raccogliere la posizione precisa tramite app senza avviso e consenso

Errori comuni

Dove i siti sbagliano di solito con il Texas

L'assenza di una soglia di visitatori confonde molte persone.

Cercare un numero di visitatori

L'azienda cerca una soglia di 100 mila visitatori che in Texas non esiste e non verifica se è una piccola impresa secondo la SBA.

Sezione statale senza US National

La CMP invia solo la sezione del Texas, che AdSense non accetta, e gli annunci restano personalizzati.

Impostazione globale ignorata

Il sito rispetta il GPC solo per la California e dimentica che, dal 2025, la legge del Texas prevede il rifiuto tramite impostazione globale del browser.

Informativa senza l'avviso richiesto

L'azienda vende dati sensibili, ma l'informativa non contiene la frase obbligatoria.

In ConsentMode

Cosa controlla l'audit sulla TDPSA

Apre il sito come visitatore del Texas con il GPC disattivato e attivato e confronta le richieste di annunci.
Legge la stringa GPP e mostra se la sezione US National è presente e indica il rifiuto.
Cerca il link di rifiuto in un punto visibile e controlla se porta a una schermata di scelta, senza registrazione.
Identifica la CMP e controlla se i tag degli annunci e dell'header bidding aspettano la sua risposta.
Legge l'informativa sulla privacy e segnala se mancano diritti, terzi, pubblicità mirata e frasi obbligatorie quando ci sono vendite di dati sensibili.

Avvia un audit Vedi tutto ciò che viene controllato

Domande frequenti sulla legge del Texas

Il mio sito è piccolo. La TDPSA vale per me?

Se l'azienda è piccola secondo i criteri della SBA, la maggior parte della legge non si applica. L'eccezione è la vendita di dati sensibili, che richiede il consenso a qualsiasi azienda. I criteri della SBA cambiano per settore, quindi conviene verificare con il tuo commercialista o avvocato.

Mi serve un banner di consenso per il Texas?

Per gli annunci personalizzati agli adulti, no. La legge richiede l'opt-out. Il consenso è richiesto per i dati sensibili.

Il Texas obbliga a rispettare il GPC?

Dal 1° gennaio 2025, la legge impone di dare seguito ai rifiuti inviati tramite un'impostazione globale del browser o del dispositivo, quando è possibile verificare l'identità e l'autorizzazione. La legge non cita il GPC per nome, ma è l'esempio più noto, e rispettarlo è la strada più sicura.

Quale sezione del GPP devo inviare per il Texas?

Per Google, la US National. La sezione del Texas esiste nello standard di IAB, ma AdSense non la elenca tra quelle accettate.

ConsentMode dice se sono una piccola impresa?

No. È un'analisi giuridica e contabile. ConsentMode controlla il sito dall'esterno e mostra se link, segnali e informativa sono al loro posto.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Verifica se il rifiuto del Texas arriva agli annunci

L'audit apre il sito come visitatore del Texas, con e senza GPC, e mostra cosa correggere senza modificare nulla.

Avvia l'audit

TDPSA: la legge del Texas spiegata a chi ha annunci

Una legge statale dalla portata ampia e dai controlli attivi

Cosa devi rispettare

Pubblicare un'informativa completa sulla privacy

Dire che c'è pubblicità mirata e come rifiutare

Usare la frase esatta se vendi dati sensibili

Chiedere il consenso per i dati sensibili

Accettare il rifiuto inviato dal browser

Ricevere richieste senza chiedere un nuovo account

Fare la valutazione della protezione dei dati

Portare il rifiuto fino a Google