CCPA vs GDPR: somiglianze e differenze chiave che le aziende devono comprendere

Ambito di applicazione

Aziende a scopo di lucro che operano in California con un fatturato annuo lordo superiore a 25 milioni di USD, che trattano dati di oltre 50.000 consumatori, nuclei familiari o dispositivi, oppure che ricavano oltre il 50% del fatturato annuo dalla vendita di dati dei consumatori. Anche le organizzazioni no profit controllate da una società madre a scopo di lucro sono incluse.

Titolari e responsabili del trattamento stabiliti nell’UE o situati al di fuori dell’UE ma che trattano dati personali di interessati dell’UE in relazione alla vendita di beni o servizi o al monitoraggio del comportamento.

Soggetti tutelati

Residenti della California, anche quando si trovano temporaneamente fuori dallo Stato.

Interessati, ovvero persone fisiche identificate o identificabili.

Tipo di informazione

Informazioni personali – dati che identificano, descrivono o possono ragionevolmente essere collegati (direttamente o indirettamente) a un consumatore o nucleo familiare. Alcune categorie sono specificamente incluse nella definizione.

Dati personali – qualsiasi informazione relativa a una persona fisica identificata o identificabile. Alcune categorie possono essere trattate solo se sussiste una base giuridica.

Informativa sulla privacy

Deve indicare le categorie di dati raccolti e lo scopo della raccolta. I terzi devono offrire ai consumatori la possibilità di opporsi alla rivendita dei loro dati.

I titolari devono fornire informazioni dettagliate su come vengono raccolti e trattati i dati, inclusa la partecipazione di terze parti.

Diritto di accesso

I consumatori possono richiedere gratuitamente i propri dati in formato portabile.

Gli interessati possono richiedere l’accesso ai dati con richiesta scritta; i dati devono essere forniti in formato portabile.

Diritto alla cancellazione

I consumatori possono richiedere la cancellazione dei propri dati, salvo alcuni motivi di rifiuto da parte dell’organizzazione.

Gli interessati possono richiedere la cancellazione dei dati se rientrano in una delle sei condizioni previste.

Diritto alla rettifica

I consumatori possono chiedere la correzione di dati errati che li riguardano.

Gli interessati hanno il diritto di correggere dati inesatti.

Diritto di opposizione

I consumatori possono opporsi al trattamento dei loro dati per scopi specifici come marketing diretto, profilazione e ricerca.

Il consenso deve essere ottenuto prima della raccolta dei dati e può essere successivamente revocato.

Diritto di opporsi alla vendita a terzi

Gli utenti devono avere la possibilità di opporsi alla vendita dei loro dati a terzi.

Non esiste un diritto specifico, ma è possibile opporsi al trattamento per finalità di marketing e revocare il consenso.

Protezione contro la discriminazione

È vietato discriminare i consumatori per l’esercizio dei loro diritti CCPA, ad esempio rifiutando un servizio se non acconsentono alla raccolta dei dati.

Il diritto alla non discriminazione non è esplicitamente previsto.

Misure di sicurezza

Non previste espressamente dal CCPA, ma in caso di violazione dell’obbligo di adottare misure di sicurezza ragionevoli, il consumatore può richiedere un risarcimento.

I titolari e i responsabili del trattamento devono adottare misure tecniche e organizzative adeguate per la sicurezza dei dati.

Sanzioni

Violazioni sanzionate dal Procuratore Generale della California con multe fino a 2.500 USD per violazione (non intenzionale) e 7.500 USD per violazioni intenzionali. Nessun limite massimo all’importo totale. Le aziende hanno 30 giorni per porre rimedio. I consumatori possono fare causa solo in casi limitati.

Sanzioni fino a 20 milioni di euro o il 4% del fatturato globale annuo. Gli interessati possono anche agire in giudizio contro il titolare o il responsabile del trattamento.