Conformità CCPA per la condivisione file: guida alla privacy californiana

Il California Consumer Privacy Act (Cal. Civ. Code § 1798.100 e seguenti), modificato dal California Privacy Rights Act (CPRA, in vigore dal 1° gennaio 2023), si applica alle aziende che trattano informazioni personali di residenti californiani e soddisfano almeno uno di tre criteri: ricavi annui superiori a 25 milioni di dollari, 100.000+ consumatori o nuclei familiari, oppure 50%+ dei ricavi derivante dalla vendita o dalla condivisione di informazioni personali. Per i servizi di condivisione file, la conformità CCPA implica pubblicare un'informativa sulla privacy che rispetti il § 1798.130, soddisfare le richieste dei consumatori di conoscere, cancellare, correggere e rinunciare alla vendita/condivisione entro 45 giorni, implementare i segnali Global Privacy Control (GPC) e stipulare contratti con fornitori di servizi ai sensi del § 1798.140(ag) con ogni vendor che tratta dati.

Chi è business, service provider o terza parte

Il CCPA utilizza tre ruoli. Un "business" determina le finalità e i mezzi del trattamento (equivalente al titolare del GDPR) e porta il peso della conformità. Un "service provider" tratta per conto di un business in base a un contratto scritto (equivalente al responsabile). Una "terza parte" è chiunque altro riceva dati, tipicamente per finalità proprie. Le piattaforme di trasferimento file sono generalmente service provider: trattano informazioni personali per conto del cliente. Il contratto con il service provider ai sensi del § 1798.140(ag) deve vietare la conservazione, l'uso o la divulgazione per qualsiasi finalità diversa da quella commerciale specifica, vietare la vendita o la condivisione, e obbligare il service provider a notificare qualsiasi utilizzo che non soddisfi più i requisiti.

I diritti dei consumatori ai sensi del CPRA

Il CPRA ha introdotto cinque diritti fondamentali: (1) diritto di sapere quali informazioni personali vengono raccolte, usate, divulgate o vendute; (2) diritto di cancellazione con eccezioni per il completamento delle transazioni, la sicurezza, gli obblighi legali; (3) diritto di correzione delle informazioni personali inesatte; (4) diritto di rinunciare alla vendita o alla condivisione; (5) diritto di limitare l'uso delle informazioni personali sensibili. I diritti (1)-(3) devono essere soddisfatti entro 45 giorni dalla richiesta, prorogabili di altri 45 giorni con avviso. Per i servizi di condivisione file, implementa: un link "Non vendere o condividere le mie informazioni personali", un modulo per le richieste di diritti, procedure di verifica dell'identità e log delle richieste soddisfatte conservati per 24 mesi.

Cosa costituisce informazione personale sensibile

Il CPRA § 1798.140(ae) definisce le informazioni personali sensibili: codice fiscale, patente di guida, documento d'identità statale, numero di passaporto; credenziali di accesso all'account; geolocalizzazione precisa (raggio di 1.850 piedi); origine razziale o etnica; convinzioni religiose o filosofiche; iscrizione sindacale; contenuto di posta, email e messaggi di testo non diretti al business; dati genetici; identificatori biometrici per l'identificazione univoca; informazioni sanitarie; vita sessuale o orientamento sessuale. Per i servizi di trasferimento file, i contenuti dei file includono spesso SPI: cartelle mediche, fogli di calcolo con dati di pagamento, scansioni di documenti d'identità. I consumatori possono chiedere alle aziende di limitare l'uso degli SPI a finalità commerciali specifiche ai sensi del § 1798.121.

Contratti con i service provider ai sensi del § 1798.140(ag)

Ogni vendor che gestisce dati di residenti californiani ha bisogno di un contratto da service provider. Termini obbligatori: (1) vietare vendita o condivisione, (2) vietare la conservazione per finalità diverse da quelle commerciali specifiche, (3) vietare l'uso al di fuori del contesto commerciale, (4) richiedere il rispetto degli obblighi CCPA, (5) concedere al business diritti di audit, (6) richiedere al service provider di notificare i sub-processor, (7) richiedere assistenza per le richieste di diritti dei consumatori. I fornitori di trasferimento file che pubblicano un accordo da service provider allineato al CCPA — HexaTransfer, Box, Dropbox Business — rendono la conformità un esercizio di firma. I fornitori senza tale accordo richiedono un emendamento personalizzato.

Requisiti dell'informativa sulla privacy ai sensi del § 1798.130

L'informativa al momento della raccolta deve identificare le categorie di informazioni personali raccolte e le finalità, e includere un link "Non vendere o condividere" se applicabile. La privacy policy completa deve elencare tutte le categorie raccolte negli ultimi 12 mesi, le fonti, le finalità commerciali o di business, le categorie vendute o condivise (o dichiarare che non avviene alcuna vendita/condivisione), le categorie divulgate per finalità commerciali e i periodi di conservazione. Aggiorna la policy almeno ogni 12 mesi. Per i prodotti di condivisione file, l'informativa deve coprire: dati dell'account, contenuti caricati, metadati (IP, timestamp), elenco dei sub-processor e piano di conservazione.

Global Privacy Control e segnali di opt-out

Le norme CCPA § 7025 obbligano le aziende che vendono o condividono informazioni personali a trattare il Global Privacy Control (GPC) come segnale di opt-out valido. Il GPC è un'impostazione del browser (Firefox, Brave, DuckDuckGo; Chrome e Safari in sospeso) che trasmette un header Sec-GPC: 1. Trattare il segnale come richiesta valida del consumatore è obbligatorio. Per le piattaforme di condivisione file che non vendono o condividono, il supporto al GPC è raccomandato ma non strettamente obbligatorio. Se la piattaforma usa analytics che si qualificano come condivisione (la maggior parte dei pixel di pubblicità comportamentale cross-context), il GPC deve essere rispettato, il che spesso significa disattivare quei pixel per gli utenti GPC.

L'Agenzia CPRA e la realtà dell'enforcement

La California Privacy Protection Agency (CPPA), istituita dalla CPRA, ha avviato l'enforcement nel luglio 2023. Sanzioni: 2.500 dollari per violazione, 7.500 dollari per violazione intenzionale o che coinvolge un minore. Le violazioni si accumulano per consumatore interessato: una violazione che coinvolge 10.000 residenti californiani può teoricamente raggiungere 75 milioni di dollari. La CPPA è stata attiva: prima grande azione di enforcement contro Sephora (agosto 2022, 1,2 milioni di dollari), seconda contro DoorDash (febbraio 2024, 375.000 dollari), terza e quarta contro aziende software nel 2024 per violazioni dei contratti con i service provider. Il pattern: le violazioni procedurali (informative mancanti, contratti mancanti) vengono colpite per prime; le violazioni sostanziali (danno reale) si intensificano.

Shine the Light Act e sovrapposizione con AB 1950

Il vecchio Shine the Light Act californiano (Cal. Civ. Code § 1798.83, in vigore dal 2005) precede il CCPA e dà ai consumatori il diritto di richiedere la divulgazione delle informazioni personali condivise con terzi per il marketing diretto. Rimane in vigore parallelamente al CCPA: rispondi a entrambi. AB 1950 (Cal. Civ. Code § 1798.81.5) richiede sicurezza ragionevole per le informazioni personali dei residenti californiani: crittografia, controlli degli accessi, gestione dei vendor. La sicurezza tecnica per il trasferimento file ai sensi di AB 1950: crittografia AES-256, MFA per gli accessi admin, valutazione del rischio annuale. Le violazioni attivano un diritto d'azione privata ai sensi del § 1798.150 se una violazione dei dati deriva dall'omissione di misure di sicurezza ragionevoli.

Il diritto d'azione privata

Il § 1798.150 conferisce ai consumatori un diritto d'azione privata per violazioni di informazioni personali non cifrate e non redatte. Danni statutari: da 100 a 750 dollari per consumatore per incidente, o danni effettivi. Una violazione di un foglio di calcolo contenente 100.000 contatti di consumatori californiani con numeri di previdenza sociale potrebbe innescare una class action con un'esposizione da 10 a 75 milioni di dollari. Il porto sicuro previsto dalla legge: la crittografia. Se i dati violati erano cifrati e le chiavi non erano compromesse, il diritto d'azione privata non si attiva. Per questo i fornitori di condivisione file che servono clienti californiani adottano di default AES-256 con separazione rigorosa delle chiavi.

Checklist pratica di conformità

Per una piattaforma di condivisione file che serve utenti californiani: (1) pubblica una privacy policy conforme al CCPA e aggiornala annualmente; (2) aggiungi un link "Non vendere o condividere" anche se non vendi — documenta perché è un'operazione nulla; (3) costruisci un modulo di ricezione delle richieste di diritti con SLA di 45 giorni; (4) implementa la verifica dell'identità (conferma via email più un fattore aggiuntivo); (5) stipula contratti da service provider con ogni sub-processor; (6) rispetta i segnali GPC a livello di analytics; (7) conserva i registri delle richieste per 24 mesi; (8) registra l'accesso alle informazioni personali per l'audit; (9) cifra tutto con AES-256; (10) testa il workflow dei diritti ogni trimestre.

Le complicazioni multi-stato all'orizzonte

La California non è sola. Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA) e più di dieci altri stati hanno approvato leggi sulla privacy con requisiti sovrapposti ma non identici. Costruire la conformità attorno al CCPA come minimo comune denominatore più restrittivo copre generalmente il resto, ma attenzione alle specificità statali: la Virginia richiede DPIA per certi trattamenti; il Colorado impone meccanismi universali di opt-out; il Texas estende l'applicabilità in base alla profilazione di residenti californiani. Usa strumenti di compliance (OneTrust, DataGrail, Ethyca) per gestire la matrice su scala.

La California stabilisce il pavimento; ogni stato americano ci aggiunge strati. Progetta per la flessibilità. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.