Apri lo spazio

Guida · Stati Uniti

Privacy negli USA: cosa deve sapere un sito con annunci

Negli Stati Uniti non esiste una sola legge federale sulla privacy. Ogni stato sta creando la propria, quasi tutte secondo il modello opt-out: gli annunci possono essere mostrati, ma il visitatore ha il diritto di dire no. Questa guida spiega questo modello, la California, i segnali GPC e GPP e come Google tratta gli stati americani.

Fai l'audit del mio sito oraLeggi la guida
  • ✓Basato sulle fonti ufficiali di California, Colorado, Connecticut e Virginia
  • ✓Panoramica con link alle guide di ogni stato
  • ✓Lettura del sito senza modificare nulla
45 giornitermine della Virginia per rispondere alle richieste, prorogabile una volta
100 milaconsumatori o nuclei familiari, una delle soglie della legge della California
7.988 USDsanzione massima per violazione intenzionale in California nel 2025
2023anno in cui sono entrate in vigore le prime leggi statali dopo la California

Panoramica

Un mosaico, non una legge unica

Gli Stati Uniti non hanno una legge federale generale sulla privacy come il GDPR o la LGPD. A livello federale esistono leggi per settore e per pubblico. Le più importanti per un sito con annunci sono la legge della Federal Trade Commission (FTC Act), che vieta pratiche ingannevoli e sleali, e la COPPA, che protegge i dati dei minori di 13 anni.

In pratica, questo significa che l'informativa sulla privacy deve dire la verità. Se il sito dice di non condividere dati e li passa a reti pubblicitarie, la FTC può considerarlo una pratica ingannevole. E se il contenuto è rivolto ai minori, gli annunci personalizzati restano esclusi.

Lo spazio lasciato dal livello federale è stato occupato dagli stati. La California ha aperto la strada con la CCPA e, dal 2023, un elenco crescente di stati ha approvato leggi complete sulla privacy dei consumatori. Ogni legge ha le proprie soglie di applicazione, i propri termini e dettagli, ma quasi tutte seguono lo stesso schema.

Checklist

Cosa devi rispettare

Ogni stato ha dettagli propri, ma questi obblighi compaiono nella maggior parte delle leggi e nelle regole di Google.

  1. Offri un modo facile per rifiutare

    Chi fa pubblicità mirata o vende dati deve mostrare chiaramente come il visitatore rifiuta. In California, il link va nell'intestazione o nel footer della home page.

    Esempio

    Footer di tutte le pagine: Do Not Sell or Share My Personal Information

  2. Tratta il GPC come rifiuto

    California, Colorado dal 1º luglio 2024 e Connecticut dal 1º gennaio 2025 richiedono di accettare il Global Privacy Control come richiesta di rifiuto. Il visitatore non deve cliccare su nulla.

  3. Passa il rifiuto a Google

    Google attiva il trattamento limitato dei dati, l'RDP, quando riceve il rifiuto dalla stringa GPP o dal tag stesso. Con l'RDP, quella visita riceve solo annunci non personalizzati.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  4. Mantieni completa l'informativa sulla privacy

    Virginia, Utah e Colorado richiedono che l'informativa dica quali dati tratti, per cosa, con quali tipi di terzi e come il visitatore esercita i diritti.

    Esempio

    Usiamo cookie di partner pubblicitari per mostrare annunci in base alla tua navigazione. Per rifiutare, usa il link Do Not Sell or Share My Personal Information nel footer.

  5. Chiedi il permesso prima di usare dati sensibili

    Virginia, Colorado e Connecticut richiedono il consenso per dati come salute, religione e orientamento sessuale. In Utah servono un avviso chiaro e la possibilità di rifiutare prima.

  6. Rispondi alle richieste entro i termini

    Le richieste di accesso, correzione o eliminazione hanno risposta entro 45 giorni in California, Virginia, Colorado, Connecticut e Utah, con una proroga di altri 45. In California, il rifiuto va gestito entro 15 giorni lavorativi.

  7. Occupati dei minorenni

    In California, vendere o condividere dati di chi sai avere meno di 16 anni richiede un'autorizzazione preventiva. Sotto i 13 anni, l'autorizzazione arriva dai genitori.

  8. Rivedi i partner pubblicitari

    In AdSense e in Ad Manager, il controllo Rivedi i tuoi partner pubblicitari, in Privacy e messaggistica, definisce quali acquirenti possono servire annunci negli stati con una legge.

    Esempio

    Privacy e messaggistica > Normative degli stati USA > icona delle impostazioni > Rivedi i tuoi partner pubblicitari

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata per gli stati USA. Dice che usare il GPP o una CMP non è obbligatorio, ma il rifiuto del visitatore deve arrivare agli annunci. Questi sono i percorsi ufficiali.

Il modello statale

Opt-out: si può mostrare, ma la persona può dire no

In Europa, la regola è chiedere prima il permesso. Negli stati americani, la regola è consentire e dare al visitatore un modo semplice per rifiutare.

Pubblicità mirata

Il visitatore può rifiutare che i suoi dati siano usati per annunci basati su ciò che fa su altri siti e app.

Vendita o condivisione

Il visitatore può rifiutare la vendita dei dati. In California, questo include la condivisione per la pubblicità comportamentale cross-context.

Dati sensibili

Salute, origine razziale, religione, orientamento sessuale e posizione precisa hanno una protezione extra. In vari stati richiedono il consenso e, in California, il visitatore può limitarne l'uso.

Segnale automatico del browser

California, Colorado e Connecticut, tra gli altri, richiedono di rispettare i segnali di opt-out inviati dal browser, come il Global Privacy Control.

California

CCPA e CPRA: la legge di riferimento

La legge sulla privacy dei consumatori della California (CCPA) è stata ampliata dalla Proposition 24, approvata a novembre 2020, nota come CPRA. Vale per le aziende a scopo di lucro che fanno affari in California e raggiungono almeno una di queste soglie.

Fatturato

Ricavi lordi annui a partire da 26.625.000 USD nell'anno precedente, importo adeguato all'inflazione dal 1° gennaio 2025.

Volume di persone

Acquistare, vendere o condividere dati di 100.000 o più residenti o nuclei familiari della California. Un sito con molto traffico americano può arrivarci.

Ricavi dai dati

Ottenere il 50% o più dei ricavi annui dalla vendita o dalla condivisione di dati personali di residenti della California.

Link di opt-out

Chi vende o condivide deve avere un link chiaro, in genere nel footer, con il testo Do Not Sell or Share My Personal Information, Your Privacy Choices o Your California Privacy Choices.

Gli altri stati

Quali stati hanno già leggi complete

Dopo la California, le prime leggi a entrare in vigore sono state quelle della Virginia, il 1° gennaio 2023, e quelle del Colorado e del Connecticut, il 1° luglio 2023. Lo Utah è arrivato subito dopo, con una legge più snella.

L'elenco è proseguito con Texas, Oregon, Montana, Iowa, Delaware, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota e Maryland. Le leggi di Indiana, Kentucky e Rhode Island sono entrate in vigore il 1° gennaio 2026.

Le soglie cambiano da stato a stato. In Virginia, ad esempio, la legge riguarda chi tratta dati di almeno 100.000 consumatori nell'anno, o di 25.000 consumatori con più della metà dei ricavi derivanti dalla vendita di dati. In Colorado, la soglia è di 100.000 consumatori, oppure ricavi dalla vendita di dati da 25.000 consumatori in su.

Poiché ogni stato ha dettagli propri, ConsentMode ha guide separate per i principali. Questa pagina offre la visione d'insieme. La regola pratica è configurare il sito una volta secondo il modello più esigente e applicare l'opt-out a tutti gli stati con una legge in vigore.

Diritti

I diritti che si ripetono in quasi tutte le leggi

I nomi variano, ma l'insieme dei diritti è molto simile da uno stato all'altro.

Sapere e accedere

Chiedere quali dati ha l'azienda e per cosa li usa.

Correggi

Chiedere la correzione di dati errati.

Cancellare

Chiedere la cancellazione dei dati, con alcune eccezioni previste dalla legge.

Portabilità

Ricevere una copia dei dati in un formato che si possa portare a un altro servizio.

Rifiutare (opt-out)

Dire no alla pubblicità mirata, alla vendita dei dati e a certi tipi di profilazione.

Ricorrere

In vari stati, contestare la risposta negativa dell'azienda e chiedere un nuovo esame. I termini di risposta sono brevi: in Virginia, 45 giorni per evadere le richieste, prorogabili una volta.

Segnali

GPC e GPP: i due segnali che il sito deve capire

Il Global Privacy Control (GPC) è un segnale che il browser stesso invia, in browser come Firefox, Brave e DuckDuckGo o tramite estensione. Funziona come un pulsante per smettere di vendere o condividere i miei dati. La California richiede alle aziende di rispettare questo segnale come richiesta valida di opt-out.

In Colorado, accettare i meccanismi universali di opt-out è diventato obbligatorio il 1° luglio 2024, e il GPC è stato il primo riconosciuto dallo stato. In Connecticut, l'obbligo vale dal 1° gennaio 2025. Quindi: un visitatore con il GPC attivo deve essere trattato come se avesse cliccato sul link di opt-out.

Il Global Privacy Platform (GPP) è un'altra cosa. È il formato creato dall'IAB Tech Lab perché la CMP trasmetta la scelta del visitatore a tutti i partner pubblicitari, con sezioni per gli stati americani. Sostituisce la vecchia stringa US Privacy, che l'IAB ha dismesso a gennaio 2024.

Riepilogo: il GPC è la richiesta che arriva dal browser. Il GPP è il modo in cui la CMP avvisa Google e le altre reti di ciò che il visitatore ha scelto.

Cronologia

Come si è formata la mappa americana

Date confermate dalle fonti ufficiali di ogni stato.

  1. Novembre 2020

    Proposition 24 in California

    Gli elettori approvano la CPRA, che amplia la CCPA e crea l'agenzia statale per la privacy (CPPA).

  2. 1° gennaio 2023

    CPRA e Virginia

    Entrano in vigore le nuove tutele della California e la legge della Virginia. Google estende il trattamento limitato dei dati alle leggi statali.

  3. 1° luglio 2023

    Colorado e Connecticut

    Le due leggi entrano in vigore con il diritto di opt-out dalla pubblicità mirata.

  4. Gennaio 2024

    Fine della stringa US Privacy

    L'IAB dismette la stringa US Privacy a favore del GPP.

  5. 1° luglio 2024

    Opt-out universale in Colorado

    Le aziende devono accettare segnali come il GPC.

  6. 1° gennaio 2025

    Connecticut e nuovi valori in California

    Il Connecticut inizia a richiedere il rispetto dei segnali di opt-out. La California adegua soglie e sanzioni all'inflazione.

  7. 1° gennaio 2026

    Indiana, Kentucky e Rhode Island

    Entrano in vigore tre nuove leggi statali. In California entrano in vigore le regole su decisioni automatizzate, valutazioni del rischio e audit.

AdSense e Ad Manager

Come Google tratta gli stati americani

Google offre il trattamento limitato dei dati (RDP) dal 2019, creato per la CCPA, e lo ha esteso a gennaio 2023 alle leggi statali. Con l'RDP attivo, Google limita l'uso degli identificatori e serve solo annunci non personalizzati per quella visita.

L'RDP può essere attivato in tre modi: tramite una CMP che invia il segnale GPP, tramite configurazione in ogni richiesta di annuncio nel tag del sito, oppure per tutto il traffico degli stati interessati nelle impostazioni di Privacy & messaging. La configurazione per richiesta si abbina bene a un link di opt-out nel footer.

In AdSense e in Ad Manager esiste anche il controllo Rivedi i tuoi partner pubblicitari, in Normative degli stati USA, per scegliere quali acquirenti possono servire annunci agli utenti di questi stati. Google consiglia di passare dalla stringa US Privacy al GPP, anche se legge ancora la vecchia stringa per compatibilità.

A differenza dell'Europa, Google non richiede una CMP certificata per gli Stati Uniti. Ma l'editore resta responsabile di offrire l'opt-out richiesto dalle leggi statali e di mantenere corretta l'informativa sulla privacy.

Cosa fare

Come configurare un sito con traffico americano

  1. Misura il traffico per statoGuarda in Analytics quanti visitatori arrivano dalla California e dagli altri stati con una legge. Questo aiuta a capire quali soglie il sito può raggiungere.
  2. Aggiorna l'informativa sulla privacySpiega quali dati usano gli annunci, quali partner li ricevono, quali diritti ha il visitatore e come esercitarli, citando le leggi statali applicabili.
  3. Metti il link di opt-out nel footerUsa un testo accettato, come Do Not Sell or Share My Personal Information o Your Privacy Choices, che porti a una pagina o a un messaggio che funzioni davvero.
  4. Rispetta il GPCConfigura la CMP o il sito per trattare il segnale GPC come opt-out automatico, senza chiedere altro al visitatore.
  5. Passa la scelta a GoogleUsa il GPP tramite la CMP, l'RDP per richiesta o il messaggio per gli stati USA in Privacy & messaging.
  6. Rivedi i partnerIn AdSense o Ad Manager, controlla in Normative degli stati USA quali partner possono servire annunci in questi stati.

In pratica

Cosa è consentito e cosa no per i visitatori americani

Esempi basati sul modello opt-out delle leggi statali.

Consentito

  • Mostrare annunci personalizzati per impostazione predefinita, offrendo un opt-out chiaro
  • Usare un link Your Privacy Choices nel footer di tutte le pagine
  • Attivare l'RDP di Google solo per chi ha fatto opt-out o per gli stati con una legge
  • Trattare il GPC come opt-out senza aprire alcun banner
  • Usare la stessa pagina di opt-out per tutti gli stati con una legge
  • Inviare la scelta ai partner tramite la stringa GPP

Non consentito

  • Link di opt-out che porta a una pagina senza alcuna azione reale
  • Chiedere registrazione o login al visitatore per fare opt-out
  • Ignorare il segnale GPC dei visitatori della California
  • Continuare a inviare dati per il remarketing dopo l'opt-out
  • Mostrare il messaggio europeo del TCF al pubblico americano
  • Puntare ad annunci personalizzati su contenuti per bambini sotto i 13 anni

In ConsentMode

Cosa controlla l'audit per i visitatori degli USA

  • Apre il sito come visitatore della California e mostra in uno screenshot se il link di opt-out compare e dove porta.
  • Ripete la visita con il segnale GPC attivo e verifica se il sito e i tag cambiano comportamento.
  • Legge la stringa GPP o la vecchia US Privacy nel codice della pagina e identifica la CMP.
  • Verifica se le richieste di annuncio portano il segnale di trattamento limitato dopo l'opt-out.
  • Legge l'informativa sulla privacy e segnala se mancano diritti, partner o le leggi statali.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulle leggi degli USA

Il mio sito è brasiliano. Le leggi americane valgono per me?

Possono valere, se il sito fa affari con residenti dello stato e raggiunge le soglie della legge, come il volume di visitatori della California. Ogni legge ha criteri propri. Nel dubbio, offrire l'opt-out e rispettare il GPC è una configurazione semplice e sicura.

Mi serve un banner dei cookie per gli USA?

Di regola no, non nel formato europeo. Il modello americano richiede un link di opt-out e trasparenza nell'informativa sulla privacy. Per i dati sensibili, alcuni stati richiedono il consenso.

Cosa succede ai ricavi quando attivo l'RDP?

Le visite con RDP ricevono solo annunci non personalizzati, che di solito pagano meno. Per questo l'ideale è attivare l'RDP per chi ha fatto opt-out, e non per tutto il traffico mondiale.

Qual è la differenza tra GPC e GPP?

Il GPC è il segnale che il browser del visitatore invia per dire non vendere i miei dati. Il GPP è il formato che la CMP usa per passare la scelta del visitatore alle reti pubblicitarie.

Quali sono le sanzioni in California?

Dal 1° gennaio 2025, fino a 2.663 USD per violazione e fino a 7.988 USD per violazione intenzionale o che coinvolga minori di 16 anni. Le altre leggi statali hanno importi propri, come fino a 7.500 USD per violazione in Virginia.

Dove trovo i dettagli di ogni stato?

ConsentMode ha guide separate per i principali stati. Questa pagina riassume ciò che hanno in comune e cosa cambia in Google.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Testa l'opt-out del tuo sito come un visitatore americano

L'audit controlla link di opt-out, GPC, GPP e segnali inviati a Google, e mostra cosa correggere.

Avvia l'audit