Apri lo spazio

Guida · Legge statale degli USA

UCPA: la legge dello Utah spiegata a chi ha annunci

Lo Utah ha una delle leggi statali sulla privacy più leggere degli Stati Uniti e raggiunge solo le aziende più grandi. Ciononostante, chi rientra deve spiegare la pubblicità mirata e offrire un modo semplice per rifiutare. Scopri quando vale per il tuo sito e cosa fa Google con il segnale.

Fai l'audit del mio sito per lo UtahLeggi la guida
  • ✓Basato sul testo ufficiale del Codice dello Utah
  • ✓Esempi pensati per siti con AdSense e Ad Manager
  • ✓Audit in sola lettura, senza modificare il sito
25 mln USDricavo annuo minimo perché la legge si applichi, sommato a una soglia di consumatori
100 milaconsumatori dello Utah all'anno, la soglia di volume per le aziende che superano il fatturato
30 giornitermine per correggere un errore dopo l'avviso scritto del procuratore generale
7.500 USDmulta massima per violazione, oltre ai danni effettivi ai consumatori

Che cos'è

Una legge snella, pensata per non pesare sulle piccole imprese

La Utah Consumer Privacy Act, o UCPA, si trova nel capitolo 61 del titolo 13 del Codice dello Utah. È stata approvata nel 2022 e ha iniziato a valere il 31 dicembre 2023.

La UCPA segue la struttura della legge della Virginia, ma è più leggera. Non richiede valutazioni di protezione dei dati, non obbliga il sito a rispettare i segnali automatici del browser e permette di trattare i dati sensibili con avviso e possibilità di rifiuto, invece del consenso preventivo.

È anche l'unica tra le leggi di questo gruppo a richiedere un fatturato minimo. Un'azienda rientra solo se ha ricavi annui di almeno 25 milioni di USD e, in aggiunta, un volume rilevante di consumatori dello Utah.

Per chi rientra, la regola centrale non cambia: il sito deve avvisare che fa pubblicità mirata e offrire un percorso chiaro perché il visitatore possa rifiutare.

Checklist

Cosa devi rispettare

Valgono solo per chi ha ricavi annui di 25 milioni di dollari o più e supera anche una delle soglie di volume.

  1. Mostra con chiarezza come rifiutare

    Chi vende dati o fa pubblicità mirata deve mostrare in modo chiaro e visibile come il visitatore rifiuta. La legge non definisce il testo del link.

    Esempio

    Footer: Do Not Sell or Share My Personal Information

  2. Pubblica un'informativa sulla privacy chiara

    L'avviso elenca le categorie di dati, le finalità, come esercitare i diritti, i dati ceduti a terzi e i tipi di terzi.

    Esempio

    Usiamo dati di navigazione per mostrare annunci. Condividiamo questi dati con reti pubblicitarie. Per rifiutare, usa il link nel footer.

  3. Avvisa prima di usare dati sensibili

    Prima di trattare dati sensibili, il sito dà un avviso chiaro e la possibilità di rifiutare. Per un bambino noto, vale la legge COPPA.

  4. Rispondi entro 45 giorni

    Le richieste hanno risposta entro 45 giorni. Se servono altri 45 giorni, il sito avvisa il visitatore e dice quanto tempo in più ci vorrà.

  5. Gestisci la richiesta di rettifica

    Dal 1º luglio 2026, il visitatore può anche chiedere la rettifica di dati errati.

  6. Usa la sezione US National con Google

    Google non accetta la sezione dello Utah della stringa GPP. Per lo Utah, la CMP deve inviare la US National, oppure il sito attiva l'RDP direttamente nel tag.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  7. Correggi in fretta se vieni avvisato

    Il procuratore generale avvisa per iscritto e dà 30 giorni per correggere. Se l'errore continua, la sanzione arriva a 7.500 dollari per violazione.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata per lo Utah. Il messaggio per gli stati USA di Google copre lo Utah e salva la scelta nella sezione US National. Questi sono i link ufficiali.

A chi si applica

Fatturato e volume, entrambi contemporaneamente

La legge vale per chi fa affari nello Utah o offre prodotti e servizi ai residenti dello stato e soddisfa la condizione di ricavo e una delle condizioni di volume.

Ricavi di 25 milioni di USD

Ricavi annui di 25 milioni di USD o più. Senza questa condizione, la legge non si applica, per quanto grande sia il traffico.

100 mila consumatori

Oltre ai ricavi, controllare o elaborare dati di 100 mila consumatori dello Utah o più in un anno civile.

Oppure 25 mila e vendita di dati

Oppure elaborare dati di 25 mila consumatori e ricavare oltre il 50% del fatturato lordo dalla vendita di dati personali.

Chi resta fuori

Enti pubblici, enti senza scopo di lucro, istituti di istruzione superiore e dati coperti da leggi federali su finanza e sanità.

Definizioni

I termini che contano per chi vende annunci

Lo Utah usa definizioni ristrette, simili a quelle della Virginia.

Dato personale

Informazione collegata o ragionevolmente collegabile a una persona identificata o identificabile. I dati anonimizzati e pubblici restano esclusi.

Dato sensibile

Origine razziale o etnica, religione, orientamento sessuale, status migratorio, storia medica e sanitaria, dati genetici, biometrici e posizione precisa.

Vendita

Scambio di dati personali con denaro a un terzo. Come in Virginia, conta solo il pagamento in denaro.

Pubblicità mirata

Annuncio scelto in base a dati sulle attività della persona nel tempo su siti e app di altre aziende. L'annuncio contestuale non rientra.

Diritti

Cosa può chiedere il visitatore dello Utah

L'azienda ha 45 giorni per rispondere, con possibilità di proroga. L'elenco dei diritti è più breve che negli altri stati.

Accesso

Confermare se l'azienda tratta i suoi dati e avere accesso ad essi.

Cancellazione e portabilità

Cancellare i dati che ha fornito lui stesso e ricevere una copia in un formato che possa portare a un altro servizio.

Correzione, dal 1° luglio 2026

Una modifica approvata nel 2025 ha aggiunto il diritto di chiedere la correzione di dati errati, che la legge originale non prevedeva.

Opt-out

Rifiutare l'uso dei dati per la pubblicità mirata e la vendita di dati personali.

Obblighi del sito

Informativa sulla privacy, rifiuto e dati sensibili

L'azienda ha bisogno di un'informativa sulla privacy accessibile e chiara. Deve elencare le categorie di dati trattati, le finalità, come esercitare i diritti, le categorie di dati trasferiti a terzi e le categorie di questi terzi.

Se il sito vende dati o fa pubblicità mirata, deve mostrare in modo chiaro e visibile come il visitatore può rifiutare. La legge non definisce il testo del link, ma deve essere facile da trovare, per esempio nel footer.

I dati sensibili possono essere trattati solo dopo un avviso chiaro e la possibilità di rifiutare. Per i dati di minori noti, vale la legge federale COPPA, con il consenso dei genitori.

Lo Utah non richiede che il sito rispetti il Global Privacy Control né altri segnali automatici del browser, e non richiede valutazioni di protezione dei dati. Questo non impedisce all'azienda di rispettare il GPC per scelta propria, il che semplifica l'operatività in più stati.

Cronologia

Le date della legge dello Utah

La UCPA è cambiata poco da quando è entrata in vigore.

  1. 2022

    Legge approvata

    Lo Utah approva la sua ampia legge sulla privacy dei consumatori, la SB 227.

  2. 31 dicembre 2023

    Entrata in vigore

    Iniziano a valere i diritti, l'informativa sulla privacy e l'opt-out dalla pubblicità mirata e dalla vendita.

  3. 2025

    Modifica approvata

    L'Assemblea dello Utah approva l'inclusione del diritto di correzione.

  4. 1° luglio 2026

    Diritto di rettifica in vigore

    Il visitatore può chiedere la correzione di dati errati.

Controlli e sanzioni

Procuratore generale, divisione per la tutela dei consumatori e termine di 30 giorni

Il procuratore generale dello Utah ha competenza esclusiva per far rispettare la legge. La Divisione per la Protezione dei Consumatori dello stato riceve i reclami, indaga e può inoltrare il caso al procuratore generale. Il cittadino non può citare in giudizio l'azienda sulla base della UCPA.

Prima di avviare un'azione legale, il procuratore generale deve inviare un avviso scritto almeno 30 giorni prima, indicando ogni violazione. Se l'azienda corregge entro questo termine e invia una dichiarazione scritta in cui afferma di aver risolto e di non ripetere l'errore, non c'è alcun procedimento. Questo periodo di correzione non ha una data di scadenza.

Se la violazione continua o si ripete, il procuratore generale può chiedere il risarcimento dei danni reali dei consumatori e una sanzione fino a 7.500 USD per violazione.

In pratica, il termine di 30 giorni offre una seconda possibilità, ma solo a chi legge la notifica e corregge in fretta. Avere l'informativa e il rifiuto funzionanti fin dall'inizio evita il problema.

AdSense e Ad Manager

Come Google tratta il visitatore dello Utah

L'IAB Tech Lab ha creato una sezione dedicata allo Utah nella stringa GPP, ma Google non la accetta. La pagina di supporto di AdSense elenca la sezione dello Utah tra le stringhe non supportate.

Per lo Utah, Google legge la sezione US National. Quando questa indica il rifiuto di vendita, condivisione o pubblicità mirata, Google attiva il trattamento limitato dei dati, l'RDP, e mostra solo annunci non personalizzati.

Il messaggio sulla privacy per gli stati USA, in AdSense e in Ad Manager, include lo Utah e registra la scelta nella sezione US National. Se usi un'altra CMP, verifica che invii la US National ai visitatori dello Utah, e non solo la sezione statale.

Un'altra opzione è attivare l'RDP direttamente nel tag degli annunci, ad esempio con restrictDataProcessing nel GPT, per chi ha rifiutato. Ricordati di estendere il rifiuto anche ai partner di header bidding, video e pixel.

In pratica

Cosa è consentito e cosa no nello Utah

Esempi per un sito con annunci che supera i limiti della legge.

Consentito

  • Mostrare annunci personalizzati senza chiedere prima il permesso, con un link di rifiuto ben visibile
  • Registrare il rifiuto dei visitatori dello Utah nella sezione US National della GPP
  • Rispettare il GPC per scelta propria, anche senza obbligo
  • Trattare dati sensibili dopo un avviso chiaro e con la possibilità di rifiutare
  • Mostrare annunci contestuali a chi ha rifiutato

Non consentito

  • Inviare solo la sezione dello Utah pensando che Google la legga
  • Nascondere il rifiuto nel mezzo dell'informativa sulla privacy
  • Trattare dati sanitari o di posizione precisa senza avviso e senza possibilità di rifiutare
  • Ignorare una notifica del procuratore generale e perdere il termine di 30 giorni
  • Negare la correzione di dati errati dopo luglio 2026

Errori comuni

Dove i siti sbagliano più spesso con lo Utah

La legge è semplice, ma la parte tecnica spesso fallisce.

Sezione GPP sbagliata

La CMP invia solo la sezione dello Utah, che Google non accetta, e la richiesta di annuncio prosegue senza RDP.

Informativa senza pubblicità

L'informativa parla di cookie, ma non dice che c'è pubblicità mirata né come rifiutarla.

Pensare che lo Utah non conti

L'azienda supera i 25 milioni di USD di ricavi e i 100.000 visitatori dello Utah e non offre alcun rifiuto.

Diritti non aggiornati

L'informativa non menziona il diritto di rettifica in vigore dal 1° luglio 2026.

In ConsentMode

Cosa controlla l'audit sulla UCPA

  • Apre il sito come visitatore dello Utah e cerca in un punto ben visibile il link per rifiutare la pubblicità mirata.
  • Legge la stringa GPP nelle richieste di annuncio e mostra se contiene la sezione US National, quella che Google legge per lo Utah.
  • Identifica la CMP e verifica se il rifiuto modifica la stringa prima delle richieste di annuncio e di header bidding.
  • Registra se il sito rispetta il GPC, che non è richiesto nello Utah, ma lo è in altri stati.
  • Legge l'informativa sulla privacy e segnala se mancano finalità, terze parti, diritti e modalità di rifiuto.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla legge dello Utah

Il mio sito fattura meno di 25 milioni di USD. La UCPA si applica?

No. La legge si applica solo a chi ha ricavi annui di almeno 25 milioni di USD e supera anche una delle soglie di consumatori. Anche così, i partner pubblicitari possono richiedere i segnali di rifiuto.

Devo rispettare il GPC nello Utah?

Non è obbligatorio secondo la UCPA. Molti siti lo rispettano comunque, perché stati come California, Colorado, Connecticut e Oregon lo richiedono.

Mi serve il consenso per i dati sensibili?

Lo Utah richiede un avviso chiaro e la possibilità di rifiutare prima del trattamento, non un consenso preventivo. Per i minori vale la legge federale COPPA.

Quale sezione della GPP devo inviare per lo Utah?

Per Google, la US National. AdSense indica che non accetta la sezione dello Utah.

ConsentMode configura la mia CMP?

No. ConsentMode non è una CMP e non modifica il sito. Mostra quale sezione viene inviata e cosa regolare.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se Google sta leggendo il tuo rifiuto

L'audit apre il sito come visitatore dello Utah e mostra la stringa inviata agli annunci, senza modificare nulla.

Avvia l'audit