Conformità a CCPA, CPRA e CIPA per i negozi Shopify

Cosa sono CCPA, CPRA e CIPA?

In California esistono due tipi di leggi sulla privacy che riguardano un negozio online.

California Consumer Privacy Act (CCPA): in vigore dal 1° gennaio 2020, il CCPA attribuisce ai residenti in California diritti sulle informazioni personali che le aziende raccolgono su di loro:

• Diritto di sapere: conoscere quali informazioni personali vengono raccolte, usate, vendute o condivise.
• Diritto alla cancellazione: chiedere a un’azienda di cancellare le proprie informazioni personali.
• Diritto di opt-out: opporsi alla vendita o alla condivisione delle proprie informazioni personali, inclusa la condivisione per la pubblicità comportamentale cross-context.
• Diritto alla non discriminazione: esercitare questi diritti senza subire un trattamento diverso.

California Privacy Rights Act (CPRA): il CPRA ha modificato il CCPA a partire dal 1° gennaio 2023. Ha aggiunto il diritto di rettificare le informazioni inesatte e di limitare l’uso delle informazioni personali sensibili, e ha istituito la California Privacy Protection Agency per far rispettare la legge. Le aziende devono inoltre riconoscere i segnali di preferenza di opt-out, come Global Privacy Control (GPC), come richieste di opt-out valide.

California Invasion of Privacy Act (CIPA): il CIPA è una legge del 1967 contenuta nel Codice penale della California (Sezione 630 e seguenti), scritta per contrastare intercettazioni e ascolti abusivi. Oggi tribunali e attori la applicano ai siti web. La sezione sulle intercettazioni richiede il consenso di tutte le parti di una comunicazione, e le cause sostengono che widget di chat, strumenti di session replay e pixel pubblicitari permettono a terzi di “ascoltare” l’interazione di un visitatore con un negozio. Poiché il CIPA prevede un risarcimento legale di 5.000 $ per violazione, è diventato una delle fonti più comuni di cause e diffide in materia di privacy contro le aziende online.

Cosa succede se non rispetto CCPA, CPRA e CIPA?

Le conseguenze sono diverse per le due leggi:

• Multe CCPA e CPRA: fino a 2.663 $ per violazione, o 7.988 $ per violazione intenzionale o che coinvolge consumatori di età inferiore a 16 anni (importi aggiornati dal 1° gennaio 2025). La legge è fatta rispettare sia dalla California Privacy Protection Agency sia dall’Attorney General.
• Cause per violazione dei dati ai sensi del CCPA: dopo determinate violazioni dei dati i consumatori possono chiedere da 107 $ a 799 $ per consumatore per incidente, o il danno effettivo se superiore.
• Cause CIPA: i singoli possono chiedere 5.000 $ per violazione, o il triplo del danno effettivo. La maggior parte delle cause viene proposta come class action, quindi l’esposizione cresce con il numero di visitatori.
• Cause CIPA sui pen register: dal 1° gennaio 2027 le azioni ai sensi della Sezione 638.51 relative al tracciamento su siti web e app potranno essere promosse solo dall’Attorney General, non da privati. Le azioni per intercettazione ai sensi della Sezione 631, ad esempio per strumenti di chat o di session replay, non sono interessate.

Come rispettare CCPA, CPRA e CIPA

Per un negozio Shopify, gran parte del lavoro consiste nel controllare i cookie, i pixel e gli script che vengono eseguiti sul sito:

• Offra un opt-out chiaro. Aggiunga un link “Non vendere né condividere le mie informazioni personali” e si assicuri che i tag pubblicitari smettano di condividere dati quando un visitatore esercita l’opt-out.
• Rispetti Global Privacy Control. Consideri un segnale GPC proveniente dal browser del visitatore come opt-out dalla vendita e dalla condivisione.
• Chieda il consenso prima di avviare il tracciamento. Il CIPA ruota attorno al consenso, quindi l’approccio più sicuro è l’opt-in per i visitatori californiani: blocchi strumenti di analisi, pixel pubblicitari, session replay e strumenti di chat che inviano dati a terzi finché il visitatore non acconsente.
• Conservi la prova del consenso. Le registrazioni di quando e come ciascun visitatore ha dato il consenso sono la Sua prova migliore se riceve una diffida ai sensi del CIPA.
• Aggiorni l’informativa sulla privacy. Spieghi cosa raccoglie, perché, chi lo riceve e come i consumatori possono esercitare i propri diritti.
• Gestisca le richieste dei consumatori. Risponda entro 45 giorni alle richieste di accesso, cancellazione e rettifica.

Una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance copre questi passaggi sul Suo negozio. Offre un banner dei cookie con il link “Non vendere né condividere le mie informazioni personali” e il supporto per Global Privacy Control, e può essere configurata per richiedere il consenso opt-in ai visitatori californiani, bloccando strumenti di analisi, pixel e script di session replay finché non acconsentono. Scansiona e classifica automaticamente i Suoi cookie, genera una dichiarazione dei cookie, conserva i registri del consenso con data, ora e scelte come prova del consenso e La aiuta a gestire le richieste degli interessati.

La giurisprudenza sul CIPA cambia rapidamente, quindi verifichi la Sua configurazione con un consulente legale quando opportuno.