Che cos'è il CPRA?

Il California Privacy Rights Act (CPRA) rappresenta un'estensione e un'intensificazione del California Consumer Privacy Act (CCPA), in vigore dal 1° gennaio 2023. I principali risultati e impatti osservati in seguito all'implementazione del CPRA sono riassunti di seguito:

• Espansione dei diritti dei consumatori:
  Il CPRA introduce quattro nuovi diritti per i consumatori:

  1. Diritto di rettifica delle informazioni personali inesatte
  2. Diritto di limitare l'uso e la divulgazione di informazioni personali sensibili
  3. Diritto di opposizione alle tecnologie decisionali automatizzate
  4. Diritto di accedere alle informazioni sui processi decisionali automatizzati
     Questi diritti avvicinano il regime di privacy della California al GDPR dell'UE, aumentando il controllo degli individui sui propri dati.

• Ampliamento dell'ambito delle aziende regolamentate:
  Il CPRA riduce la soglia per le aziende soggette a conformità:

  • Abbassando le soglie minime annuali di trattamento dei dati dei consumatori
  • Includendo le aziende che generano ricavi dalla condivisione (non solo dalla vendita) di informazioni personali
  • Ampliando la definizione di “azienda” per includere determinate joint venture e partnership
    Questo ampliamento aumenta il numero di entità tenute a implementare solidi controlli sulla privacy.

• Maggiore responsabilità per l'uso di terze parti:
  La legge impone nuovi requisiti contrattuali e obblighi di due diligence alle aziende che condividono dati personali con terze parti, fornitori di servizi e appaltatori. Le aziende devono garantire che tali parti mantengano protezioni della privacy equivalenti, creando un effetto di conformità a cascata.

• Categoria di informazioni personali sensibili:
  Viene introdotta una nuova categoria per le “informazioni personali sensibili” (SPI), che include dati come numeri di Social Security, geolocalizzazione precisa, salute e dati biometrici. I consumatori hanno diritti espliciti per limitare l'uso e la divulgazione delle SPI, segnando un cambiamento significativo verso controlli sulla privacy più granulari.

• Requisiti di consenso e trasparenza simili al GDPR:
  Il CPRA impone meccanismi di consenso più chiari, una maggiore trasparenza nelle informative sulla privacy e obblighi più stringenti per il trattamento dei dati sensibili. Questi requisiti riflettono la convergenza degli standard tra la legge californiana e i principi del GDPR.

Nel complesso, il CPRA obbliga le aziende che operano in California a implementare pratiche di gestione della privacy più rigorose, ad adottare controlli rafforzati per i consumatori e a prepararsi a un maggiore controllo normativo. Gli elementi della legge simili al GDPR segnalano una tendenza verso l'armonizzazione dei quadri normativi sulla privacy statunitensi ed europei.