Il pulsante 'Do Not Sell or Share My Personal Information' è obbligatorio? La verità che nessuno ti dice

Il pulsante 'Do Not Sell or Share' è obbligatorio? La risposta breve

Sì, per molte aziende soggette al CCPA/CPRA, il pulsante 'Do Not Sell or Share My Personal Information' è obbligatorio. Ma attenzione: non è solo una questione di mettere un link. Devi garantire che il meccanismo sia funzionante e rispetti i requisiti di legge. Altrimenti, le sanzioni possono essere salate.

Cosa dice esattamente la legge?

Il California Consumer Privacy Act (CCPA), modificato dal California Privacy Rights Act (CPRA), richiede che le aziende che vendono o condividono dati personali forniscano un chiaro e visibile link intitolato 'Do Not Sell or Share My Personal Information' sulla loro homepage. La legge non specifica un design preciso, ma il link deve essere facilmente accessibile e non nascosto in mezzo ad altre informazioni.

Se la tua azienda non vende né condivide dati personali, potresti non aver bisogno del pulsante. Ma attenzione: la definizione di 'vendita' e 'condivisione' è molto ampia. Include anche la trasmissione di dati a terze parti per pubblicità comportamentale, anche senza scambio di denaro. Quindi, se usi Google Analytics o Facebook Pixel, probabilmente sei coinvolto.

Come implementare correttamente il pulsante

Non basta mettere un link. Devi assicurarti che il pulsante porti a un modulo o a un meccanismo che effettivamente rispetti la scelta dell'utente. Inoltre, il CPRA ha introdotto il concetto di 'opt-out preference signal', come il segnale GPC (Global Privacy Control). Se il tuo sito riconosce questi segnali, devi trattarli come una richiesta di opt-out valida.

Un errore comune è pensare che basti un link generico. La legge richiede che il pulsante sia 'chiaramente identificabile' e 'non fuorviante'. Quindi, niente scritte piccole o colori che si mimetizzano con lo sfondo.

Cosa rischi se non lo fai?

Le sanzioni per violazione del CCPA/CPRA possono arrivare fino a $7.500 per violazione intenzionale. E non è solo una multa: le azioni collettive sono possibili in caso di violazione dei dati. Inoltre, il procuratore generale della California ha già iniziato a fare controlli mirati.

Ma la vera beffa è che molte aziende ignorano il problema finché non ricevono una lettera di diffida. E poi corrono ai ripari, spesso con costi maggiori. Meglio prevenire.

FAQ