Cosa si intende per “share” nel CPRA?

Il California Privacy Rights Act (CPRA) ridefinisce ed espande il concetto di “condivisione” delle informazioni personali, principalmente nel contesto della pubblicità comportamentale intercontestuale. Il linguaggio normativo specifica che “condividere, condiviso o condivisione” (share, shared, or sharing) significa: “noleggiare, rilasciare, divulgare, disseminare, mettere a disposizione, trasferire o comunicare in altro modo, oralmente, per iscritto o con mezzi elettronici o di altro tipo, le informazioni personali di un consumatore da parte dell'azienda a una terza parte per la pubblicità comportamentale intercontestuale, indipendentemente dal fatto che avvenga a titolo oneroso o per altro corrispettivo di valore” (Cal. Civ. Code § 1798.140(ah)(1)). Ciò segna un'estensione significativa rispetto al California Consumer Privacy Act (CCPA), che si concentrava principalmente sulla “vendita” (sale) come trasferimento di dati a titolo oneroso.

L'analisi della definizione del CPRA mostra che:

• La “condivisione” include qualsiasi comunicazione o trasferimento di informazioni personali a una terza parte.
• Lo scopo del trasferimento, specificamente per la pubblicità comportamentale intercontestuale, è centrale. Tale pubblicità è definita come la targetizzazione dei consumatori in base alle loro attività attraverso diverse aziende, siti web, applicazioni o servizi.
• Non è richiesto un valore monetario; qualsiasi corrispettivo di valore o anche l'assenza di esso è sufficiente.
• L'entità che riceve i dati è considerata una “terza parte” se il consumatore non interagisce intenzionalmente con essa (Cal. Civ. Code § 1798.140(ai)).

I risultati della revisione delle implicazioni operative dimostrano che:

• Le aziende devono trattare le divulgazioni per la pubblicità mirata come “condivisione”, indipendentemente dal fatto che venga scambiato un pagamento.
• I diritti dei consumatori sono direttamente coinvolti; gli individui possono rinunciare a tale “condivisione” ai sensi del CPRA (Cal. Civ. Code § 1798.120(a)).
• La conformità richiede che le aziende forniscano avvisi chiari e meccanismi di opt-out per i consumatori riguardo a tali pratiche sui dati.

La distinzione tra “vendita” e “condivisione” ai sensi del CPRA diventa chiara nella pratica: la “vendita” si riferisce ai dati scambiati per un valore, mentre la “condivisione” comprende un insieme più ampio di divulgazioni specifiche per la pubblicità comportamentale intercontestuale. Le entità non possono eludere gli obblighi strutturando le transazioni come non monetarie se queste coinvolgono pubblicità di terze parti.

In sintesi, il trattamento della “condivisione” da parte del CPRA riflette un cambiamento verso una maggiore protezione del consumatore e trasparenza negli ecosistemi della pubblicità digitale. I trasferimenti di dati a terze parti per annunci mirati, indipendentemente dal passaggio di denaro, rientrano pienamente nel controllo normativo. Ciò costringe le organizzazioni a rivalutare i propri flussi di dati e ad adeguare di conseguenza le strategie di conformità (IAPP, 2023; Cal. Civ. Code § 1798.140).