Conformità al Tennessee Information Protection Act (TIPA)
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti del TIPA gestendo il consenso ai cookie, l'opt-out dalla pubblicità mirata e dalla vendita dei dati e le richieste dei consumatori sulla privacy.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è il TIPA?
Il Tennessee Information Protection Act (TIPA) è la legge organica del Tennessee sulla privacy dei consumatori. È stato approvato come House Bill 1181 e firmato nel maggio 2023, ed è codificato al Tennessee Code Annotated § 47-18-3201 e nelle sezioni successive. Come le leggi sulla privacy della Virginia e di altri Stati USA, riconosce ai residenti diritti sui propri dati personali e stabilisce regole per le aziende che li raccolgono.
In base al TIPA, i consumatori del Tennessee hanno il diritto di:
- Sapere se un’azienda tratta i loro dati personali e accedervi
- Correggere le inesattezze nei propri dati personali
- Cancellare i dati personali forniti da loro o ottenuti su di loro
- Ottenere una copia portabile dei dati personali che hanno fornito
- Esercitare l’opt-out dalla vendita dei propri dati personali, dalla pubblicità mirata e dalla profilazione che produce effetti giuridici o di analoga rilevanza
Il TIPA considera inoltre alcune informazioni come dati sensibili, tra cui l’origine razziale o etnica, le convinzioni religiose, le diagnosi sanitarie, l’orientamento sessuale, la cittadinanza o lo status di immigrazione, i dati genetici o biometrici usati per identificare una persona, la geolocalizzazione precisa e i dati personali raccolti da un minore di cui si conosce l’età.
A chi si applica il TIPA?
Il TIPA si applica alle aziende che operano in Tennessee o rivolgono prodotti o servizi ai residenti del Tennessee, hanno ricavi superiori a 25 milioni di dollari e, in alternativa, trattano in un anno solare i dati personali di almeno 175.000 consumatori del Tennessee, oppure trattano i dati personali di almeno 25.000 consumatori e ricavano più del 50% del fatturato lordo dalla vendita di dati personali.
Sono esenti le organizzazioni senza scopo di lucro, gli istituti di istruzione superiore, gli istituti finanziari soggetti al Gramm-Leach-Bliley Act, le compagnie assicurative autorizzate e i soggetti coperti dall’HIPAA e i loro business associate.
Cosa succede se non rispetto il TIPA?
L’Attorney General del Tennessee ha competenza esclusiva per far applicare il TIPA. I punti principali sono:
- Periodo per porre rimedio: prima di avviare un’azione, l’Attorney General deve inviare una notifica scritta e concedere 60 giorni per porre rimedio alla violazione. Questo periodo è permanente e non scade.
- Sanzioni civili: un tribunale può imporre fino a 7.500 $ per ciascuna violazione.
- Risarcimento triplo: per le violazioni intenzionali o consapevoli, un tribunale può riconoscere un risarcimento pari al triplo dei danni.
- Spese: l’Attorney General può recuperare le spese legali ragionevoli e i costi d’indagine.
- Nessun diritto di azione privata: i consumatori non possono fare causa direttamente a un’azienda in base al TIPA.
Il TIPA offre inoltre alle aziende una difesa affermativa (affirmative defense) se mantengono un programma scritto sulla privacy ragionevolmente conforme al NIST Privacy Framework o a standard documentati equivalenti, lo tengono aggiornato e garantiscono ai consumatori i diritti previsti dalla legge.
Quando è entrato in vigore il TIPA?
Il TIPA è entrato in vigore il 1° luglio 2025. Le aziende che superano le sue soglie devono già essere conformi.
Come rispettare il TIPA
Se il Suo negozio online supera le soglie del TIPA, il lavoro più importante per cookie e tracciamento è questo:
- Offra un opt-out dalla pubblicità mirata e dalla vendita dei dati. I pixel e i tag pubblicitari che seguono i visitatori su altri siti web costituiscono di solito pubblicità mirata. Il TIPA La obbliga a comunicare in modo chiaro e ben visibile questo trattamento e come i consumatori possono esercitare l’opt-out. Un link di opt-out visibile e un banner dei cookie con scelte chiare sono il modo abituale per farlo. Il TIPA non impone alle aziende di rispettare i segnali universali di opt-out come il Global Privacy Control.
- Ottenga il consenso esplicito (opt-in) per i dati sensibili. Non deve trattare dati sensibili, come la geolocalizzazione precisa, senza il consenso del consumatore. I dati di un minore di cui si conosce l’età devono essere trattati secondo il Children’s Online Privacy Protection Act federale.
- Pubblichi un’informativa sulla privacy chiara. Deve elencare le categorie di dati personali che tratta, perché li tratta, le categorie che vende e i terzi a cui le vende, e come i consumatori possono esercitare i propri diritti e impugnare le Sue decisioni.
- Gestisca in tempo le richieste dei consumatori. Offra almeno un modo sicuro e affidabile per presentare le richieste, senza obbligare a creare un nuovo account. Risponda entro 45 giorni, prorogabili una volta di altri 45 giorni quando ragionevolmente necessario, e risponda ai ricorsi entro 60 giorni.
- Documenti il Suo programma sulla privacy. Allinearlo al NIST Privacy Framework può darLe la difesa affermativa descritta sopra.
Per semplificare il lavoro, valuti una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance. È pensata per i negozi Shopify e offre un banner dei cookie con opzioni di opt-out per gli Stati USA, un link “Do not sell or share my personal information”, la scansione e classificazione automatica dei cookie, una dichiarazione dei cookie, registri del consenso e la gestione delle richieste degli interessati. Le impostazioni del banner per area geografica Le permettono di mostrare ai visitatori del Tennessee l’esperienza giusta in base alla loro posizione.
Per sapere come è nata la legge, legga il nostro articolo Adoption of the Information Protection Act in Tennessee (in inglese).
Ogni azienda è diversa, quindi, se opportuno, verifichi con un consulente legale i Suoi obblighi ai sensi del TIPA.