Legge sulla privacy del New Jersey: Primo sguardo e sintesi

Il 16 gennaio 2024 il governatore del New Jersey ha firmato il Senate Bill 332, il New Jersey Data Privacy Act (NJDPA), che è ora in vigore.

Il NJDPA delinea le tutele e i diritti in materia di privacy per i residenti nello Stato.

In questa guida vi spiego cosa richiede l'NJDPA, come influisce sulle aziende e sui consumatori e quali sono i passi da compiere per raggiungere la conformità.

cos'è la legge sulla privacy dei dati del New Jersey (NJDPA)?

Il New Jersey Data Privacy Act è una legge sulla privacy dei dati dei consumatori completa a livello statale.

Protegge i dati personali delle persone nello Stato e descrive gli obblighi, i requisiti e le linee guida che gli enti commerciali devono seguire per raccogliere e utilizzare tali dati.

Il documento illustra inoltre le sanzioni e le ripercussioni in caso di violazione della legge.

Data di entrata in vigore dell'NJDPA

L'NJPDA è entrato in vigore il 15 gennaio 2025.

Termini e definizioni chiave dell'NJDPA

Per aiutare la vostra azienda a conformarsi al NJDPA, leggete il seguente elenco di termini e definizioni chiave esattamente come appaiono nella legge:

Questi termini verranno utilizzati nel resto della guida tenendo conto di queste definizioni.

Cosa prevede la legge sulla privacy dei dati del New Jersey?

Il New Jersey Data Privacy Act riguarda le informazioni personali dei residenti del New Jersey e non si applica a chiunque nello Stato agisca in un contesto lavorativo.

Requisiti della legge sulla privacy dei dati del New Jersey

Esaminiamo i principali requisiti aziendali delineati dalla nuova legge sulla privacy del New Jersey.

Finalità lecite del trattamento dei dati personali

Ai sensi del NJDPA, i responsabili del trattamento devono limitare la raccolta dei dati personali a quanto è adeguato, pertinente e ragionevolmente necessario per gli scopi del trattamento comunicati al consumatore.

Il responsabile del trattamento deve ottenere il consenso del consumatore per raccogliere informazioni che non rientrano in questo ambito e per raccogliere e trattare dati personali sensibili.

Consenso

Secondo l'NJDPA, il consenso deve essere:

• Libero
• Affermativo
• Liberamente dato
• Specifico
• Informato

In altre parole, la legge richiede il consenso opt-in, che può includere una dichiarazione scritta per via elettronica.

Tuttavia, il consenso non può includere l'accettazione di termini di utilizzo generali o ampi o di altri documenti simili, né può basarsi su modelli oscuri, che mirano a manipolare l'autonomia e la scelta dell'utente con tecniche quali il passaggio del mouse su un pulsante, il silenziamento, la messa in pausa o la chiusura di qualsiasi contenuto.

Richieste verificabili dei consumatori

Ai sensi dell'NJDPA, le organizzazioni devono fornire due o più modalità di presentazione di richieste verificabili da parte dei consumatori per far valere i propri diritti in materia di privacy dei dati.

Potete utilizzare qualsiasi metodo, ma non potete richiedere al consumatore di creare un account.

Una volta ricevuta una richiesta di diritti sulla privacy, avete 45 giorni di tempo per rispondere al consumatore. A seconda della complessità della richiesta, tale termine può essere prorogato di altri 45 giorni se ragionevolmente necessario.

La risposta deve essere fornita gratuitamente al consumatore. Tuttavia, non siete obbligati a rispondere a ripetute richieste identiche nell'arco di 12 mesi.

Le aziende devono inoltre stabilire un processo che consenta ai consumatori di appellarsi alla decisione del responsabile del trattamento basata sulle loro richieste.

Rispettare i meccanismi di opt-out universali

L'NJDPA include disposizioni che consentono ai consumatori di presentare richieste verificate per dare seguito ai loro diritti alla privacy utilizzando una tecnologia, un link a un sito Internet, un'impostazione o un'estensione del browser o un'impostazione globale su un dispositivo elettronico.

In altre parole, le organizzazioni che rientrano in questa legge devono garantire che i loro siti web possano ricevere e rispettare le preferenze di consenso degli utenti impostate utilizzando meccanismi universali di opt-out (UOOM) come il Global Privacy Control(GPC).

I requisiti dell'UOOM entrano in vigore entro sei mesi dalla data di entrata in vigore della nuova legge.

Obblighi contrattuali tra responsabili e incaricati del trattamento

I responsabili del trattamento e gli incaricati del trattamento ai sensi del NJDPA devono entrambi firmare contratti che definiscano quanto segue:

• Indica le istruzioni di trattamento alle quali l'incaricato del trattamento è vincolato, compresi la natura e lo scopo del trattamento.
• Elenca i tipi di dati personali soggetti a trattamento e la durata del trattamento.
• Indica i requisiti imposti dal NJDPA.
• Incarica l'incaricato del trattamento di cancellare o restituire tutti i dati al termine dei servizi, a discrezione del responsabile del trattamento.
• l'incaricato del trattamento deve mettere a disposizione del responsabile del trattamento tutte le informazioni necessarie per dimostrare la conformità alla legge.
• Obbliga l'incaricato del trattamento a consentire e contribuire a valutazioni e ispezioni ragionevoli da parte del responsabile del trattamento o di un valutatore designato.

Valutazioni sulla protezione dei dati

Alcune parti dell'NJDPA richiedono alle aziende coperte di eseguire valutazioni sulla protezione dei dati o DPA quando trattano informazioni che possono presentare un rischio elevato di danno per i consumatori.

In particolare, la valutazione identifica e pondera i rischi e i benefici della raccolta e dell'elaborazione di queste informazioni e tiene conto dei seguenti fattori:

• l'uso di dati de-identificati
• Ragionevoli aspettative dei consumatori
• Il contesto dell'elaborazione
• Il rapporto tra controllore e consumatore

Tutti i DPA devono essere messi a disposizione della Division of Consumer Affairs del Department of Law and Public Safety su richiesta.

Requisiti di sicurezza e protezione

L'NJDPA stabilisce i requisiti che impongono ai responsabili del trattamento di adottare misure ragionevoli per stabilire, attuare e mantenere pratiche di sicurezza tecnica, amministrativa e fisica dei dati.

Le misure di sicurezza devono tenere conto del volume dei dati raccolti e della sensibilità delle informazioni stesse.

La legge sulla privacy del New Jersey rispetto ad altri Stati: Somiglianze e differenze

Il New Jersey si unisce a molti altri Stati americani che hanno adottato leggi complete sulla privacy dei dati dei consumatori, tra cui:

• Legge sulla protezione dei consumatori della California (CCPA), modificata dalla Legge sui diritti alla privacy della California (CPRA)
• Legge sulla privacy del Colorado (CPA)
• Legge sulla privacy dei dati del Connecticut (CTDPA)
• Legge sulla privacy dei dati personali del Delaware (DPDPA)
• Carta dei diritti digitali della Florida (FDBR)
• Legge sulla protezione dei dati dei consumatori dell'Iowa (Iowa CDPA)
• Legge sulla protezione dei dati dei consumatori dell'Indiana (Indiana CDPA)
• Legge sulla protezione dei dati dei consumatori del Kentucky (KCDPA)
• Legge sulla privacy dei dati dei consumatori del Minnesota (MCDPA)
• Legge sulla protezione dei dati online del Maryland (MODPA)
• Legge sulla privacy dei dati dei consumatori del Montana (MCDPA)
• Legge sulla privacy dei dati del Nebraska (NDPA)
• Legge sulla privacy dei dati del New Hampshire (NHDPL)
• Legge sulla privacy dei consumatori dell'Oregon (OCPA)
• Legge sulla protezione delle informazioni del Tennessee (TIPA)
• Legge sulla privacy e la sicurezza dei dati del Texas (TDPSA)
• Legge sulla privacy dei consumatori dello Utah (UCPA)
• Legge sulla protezione dei dati dei consumatori della Virginia (VCDPA)

La tabella che segue mette a confronto il NJDPA con le altre leggi statali degli Stati Uniti.

Qual è l'impatto del NJDPA sui consumatori?

Il New Jersey Data Privacy Act dà ai consumatori il diritto di:

• Confermare se un responsabile del trattamento sta raccogliendo i loro dati
• Accedere ai dati personali raccolti su di loro.
• Correggere le inesattezze dei propri dati personali.
• Cancellare i loro dati personali.
• Ottenere una copia portatile dei propri dati personali.
• Opporsi al trattamento dei propri dati per pubblicità mirata
• Rinunciare alla vendita dei propri dati.
• Opt-out della profilazione.
• Non discriminazione per aver agito in base ai propri diritti alla privacy.

I consumatori possono presentare richieste verificabili per dare seguito ai loro diritti utilizzando un agente autorizzato, che include meccanismi di opt-out universali come il Global Privacy Control(GPC).

A chi si applica l'NJDPA?

La legge sulla privacy dei dati del New Jersey si applica alle informazioni di identificazione personale dei residenti del New Jersey.

Tuttavia, non si applica a:

• Dati disponibili al pubblico e de-identificati.
• Informazioni sanitarie protette dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti.
• Informazioni di identificazione personale utilizzate da specifiche agenzie di segnalazione dei consumatori.
•  Dati raccolti e utilizzati nell'ambito di una ricerca conforme alla politica federale per la protezione dei soggetti umani.

In che modo le aziende sono interessate dall'NJDPA?

Oltre ai requisiti di sicurezza, agli obblighi contrattuali e alle linee guida per la valutazione della protezione dei dati, la legge sulla privacy del New Jersey influisce anche sulle politiche sulla privacy e sui cookie.

In che modo la NJPDA influisce sulla mia politica sulla privacy?

La nuova legge sulla privacy del New Jersey influisce sulla vostra politica sulla privacy.

Ai sensi della NJPDA, gli operatori che raccolgono informazioni di identificazione personale attraverso un servizio online devono fornire ai consumatori una notifica del servizio online (alias, informativa sulla privacy) che includa, ma non solo, i seguenti elementi:

• Le categorie di informazioni di identificazione personale raccolte attraverso il servizio online.
• Le categorie di tutti i terzi a cui l'operatore può divulgare le informazioni.
• Se la terza parte raccoglie informazioni di identificazione personale nel tempo attraverso diversi servizi online.
• Una descrizione di come gli individui possono rivedere o modificare le informazioni raccolte.
• Come l'operatore comunicherà agli utenti le modifiche alla politica e la data di entrata in vigore.

Inoltre, la legge richiede alle aziende di includere nelle loro politiche sulla privacy una sezione separata che illustri uno o più metodi che i consumatori possono utilizzare per presentare richieste verificabili per dare seguito ai loro diritti sulla privacy.

In che modo l'NJDPA influisce sulla mia politica sui cookie?

L'NJDPA influisce sulle politiche relative ai cookie perché gli utenti, in base alla legge, hanno il diritto di rinunciare agli annunci pubblicitari mirati e alla vendita dei loro dati, che includono i dati raccolti utilizzando i cookie di Internet.

Dovete rendere noti tutti i cookie che il vostro sito web utilizza in una cookie policy trasparente e come clausola nella vostra informativa sulla privacy.

Assicuratevi che venga spiegato come gli utenti possano scegliere di non far installare sul proprio browser cookie venduti o utilizzati per la pubblicità mirata.

Chi deve rispettare la nuova legge sulla privacy del New Jersey?

Le imprese che svolgono attività commerciali nel New Jersey o che producono prodotti e servizi destinati ai residenti dello Stato e che soddisfano una delle seguenti soglie in un anno solare sono soggette al rispetto del NJDPA:

• Controlla o tratta i dati personali di 100.000 persone, esclusi i dati trattati al solo scopo di completare una transazione di pagamento.
• Controlla o elabora i dati personali di almeno 25.000 persone e ricava ricavi o riceve uno sconto per la vendita delle informazioni.

Chi è esente dall'NJDPA?

I seguenti enti e organizzazioni sono esenti dal NJDPA:

• Entità coperte o business associate che elaborano informazioni sanitarie protette (PHI) e che sono soggette all'"Health Insurance Portability and Accountability Act (HIPAA)".
• Istituti finanziari soggetti al rispetto del Gramm-Leach Bliley Act(GLBA)
• Istituzioni del mercato secondario, identificate nel Codice degli Stati Uniti come istituzioni costituite dal Congresso che effettuano transazioni ma non trasferiscono o vendono informazioni personali a terzi.
• Istituti di assicurazione soggetti all'Insurance Information Practices Act.
• La vendita di informazioni personali da parte della Commissione automobilistica del New Jersey, come consentito dalla legge federale sulla protezione della privacy dei conducenti.
• Tutte le agenzie statali, le suddivisioni politiche, le divisioni, i consigli, gli uffici, le commissioni o altri enti creati da una suddivisione politica.

Come possono le aziende prepararsi al NJDPA?

Per conformarsi alla NJPDA, le aziende devono aggiornare le loro politiche sulla privacy e sui cookie per soddisfare tutti i requisiti di notifica delineati dalla legge.

Ottenere un consenso adeguato da parte dei consumatori per il trattamento dei dati personali sensibili ed eseguire valutazioni sulla protezione dei dati, se necessario.

Inoltre, fornite ai vostri utenti due o più modi per rinunciare alla vendita dei loro dati, alla pubblicità mirata e alla profilazione e seguite gli altri diritti sulla privacy.

Ad esempio, è possibile aggiungere al sito un modulo di richiesta di accesso ai dati(DSAR).

Infine, preparate il vostro sito web a rispondere alle UOOM come alle GPC prima della scadenza del 2025.

Come verrà applicato l'NJDPA?

l'ufficio del Procuratore Generale del New Jersey ha la sola ed esclusiva autorità di far rispettare le violazioni della nuova legge sulla privacy del New Jersey.

Per i primi 18 mesi di applicazione della legge, i controllori che violano la legge riceveranno un avviso e un periodo di 30 giorni per rimediare.

Se la violazione viene sanata entro tale termine, non saranno applicate sanzioni.

Multe e sanzioni ai sensi della legge sulla privacy dei dati del New Jersey

Al momento non sono disponibili informazioni sulle multe e le sanzioni previste in caso di violazione dell'NJDPA.

Tuttavia, il testo chiarisce che i consumatori non hanno alcun diritto di azione privata.

Come Termly contribuisce alla conformità con l'NJDPA

Per aiutare le aziende a conformarsi al NJDPA, abbiamo aggiornato il nostro generatore di informativa sulla privacy per includere tutte le clausole e le informazioni necessarie previste dalla legge.

Supportato dal nostro team legale e da esperti di privacy, il generatore pone semplici domande sulla vostra azienda e sulle attività di trattamento dei dati.

In base alle risposte fornite, viene elaborata una polizza conforme.

Offriamo anche una gestione del consenso platform (CMP) che potete configurare per soddisfare i requisiti di opt-out previsti dalla legge sulla privacy del New Jersey.

Esistono altre leggi sulla privacy nel New Jersey?

Il NJDPA è la prima legge completa sulla privacy dei dati nel New Jersey, ma nello Stato esistono anche altre leggi sulla privacy:

• Legge del New Jersey sulla prevenzione del furto d'identità: Questa legge protegge i residenti dal furto di identità e richiede lo smaltimento sicuro dei dati personali.
• Legge sulla notifica delle violazioni dei dati nel New Jersey: Questa legge impone alle aziende di notificare ai singoli individui le violazioni dei dati che potrebbero avere un impatto sulle loro informazioni.

L'NJDPA si affianca a queste altre leggi, introducendo ulteriori tutele della privacy nello Stato.

Riassunto

Se la vostra azienda soddisfa le soglie legali per il New Jersey Data Privacy Act, assicuratevi che il vostro sito web o la vostra app siano pienamente conformi.

Aggiornate le vostre politiche sui cookie e sulla privacy per soddisfare tutti i requisiti di notifica previsti dalla legge e impostate il vostro sito web in modo da riconoscere gli UOOM prima della scadenza del luglio 2025.

Aggiungete un modulo DSAR al vostro sito web e ricordate di utilizzare contratti appropriati con i responsabili del trattamento dei dati o con le terze parti con cui lavorate.

Per avere un vantaggio, utilizzate il nostro generatore di informativa sulla privacy e CMPche possono aiutarvi a rispettare il NJDPA e altro ancora.

Per saperne di più su chi scrive

Scritto da Josh Langeland, CIPM

Ciao, sono Josh! Sono un ingegnere della privacy appassionato dell'uso della tecnologia per rispettare la privacy degli utenti. Mi trovo a mio agio nell'intersezione tra la tecnologia complessa e le leggi sulla privacy in continua evoluzione. Se non sto redigendo una revisione del progetto o riarchitettando un sistema, potrei trovarmi a leggere una biografia o a fare un'escursione nel parco nazionale più vicino. Per saperne di più su chi scrive