Informazioni e risorse sulla conformità al California Consumer Privacy Act del 2018 (CCPA)

Il California Consumer Privacy Act del 2018 e i regolamenti CCPA emanati in base allo stesso (insieme, il «CCPA»), entrati in vigore il 1° gennaio 2020, sono una legge sulla privacy della California che estende i nuovi diritti sulla privacy dei dati ai «consumatori» della California (residenti in California) e richiede alle aziende, tra le altre cose, di fornire ai consumatori determinate informazioni sulle pratiche aziendali in materia di privacy e sui diritti concessi ai consumatori in relazione alle loro informazioni personali ai sensi del CCPA. Questi diritti dei consumatori includono il «diritto di sapere» quali informazioni vengono trattate da tali aziende, il diritto di eliminare le informazioni personali raccolte da un'azienda, il diritto alla non discriminazione per l'esercizio di tali diritti e, in particolare, il diritto di rinunciare alla «vendita» di informazioni personali. Tuttavia, non tutte le divulgazioni di informazioni personali da parte di un'azienda sono considerate una «vendita», ad esempio, i trasferimenti a «fornitori di servizi» non sono normalmente considerati una «vendita».

Il CCPA si applica alle organizzazioni che hanno (i) un fatturato lordo annuo superiore a venticinque milioni di dollari; o che acquistano, ricevono, vendono o condividono annualmente per scopi commerciali, da sole o in combinazione, le informazioni personali di 50.000 o più consumatori, famiglie o dispositivi; o che derivano il 50% o più dei loro ricavi annuali dalla «vendita» (come questo termine è definito nel CCPA) di informazioni personali dei consumatori.

Ai sensi del CCPA, per «informazioni personali» si intendono tutte le informazioni che identificano, si riferiscono, descrivono, possono ragionevolmente essere associate o potrebbero ragionevolmente essere collegate, direttamente o indirettamente, a un particolare consumatore o nucleo familiare, comprese le informazioni relative a un dispositivo specifico (vale a dire dispositivi abilitati all'IoT) a condizione che possano essere utilizzate per identificare un determinato consumatore.