Texas Data Privacy and Security Act: Primo sguardo e sintesi

Nel giugno 2023, il Texas si è unito all'elenco degli Stati USA che hanno approvato una legge sulla privacy dei dati con il Texas Data Privacy and Security Act (TDPSA), ora in vigore.

Di seguito, ho raccolto le informazioni necessarie per aiutare le aziende a comprendere i nuovi diritti alla privacy dei consumatori, gli obblighi aziendali e gli altri requisiti delineati dal TDPSA.

Che cos'è la legge sulla privacy e la sicurezza dei dati del Texas (TDPSA)?

Il Texas Data Privacy and Security Act ( TDPSA) regolamenta le modalità di raccolta, utilizzo ed elaborazione dei dati personali dei consumatori texani da parte delle aziende.

Il documento spiega anche i diritti che i consumatori hanno sulle loro informazioni e delinea le sanzioni civili che le imprese devono affrontare in caso di violazione dei requisiti di questa nuova legge statale.

Data di entrata in vigore del TDPSA

Il Texas Data Privacy and Security Act è entrato in vigore il 1° luglio 2024.

Le disposizioni specifiche relative ai meccanismi di opt-out universale dei consumatori sono entrate in vigore il 1° gennaio 2025.

Termini e definizioni chiave del TDPSA

Il Texas Data Privacy and Security Act definisce i termini chiave nella sezione 541.001.

Ecco alcune delle frasi più critiche esattamente come le descrive questa nuova legge statale:

Cosa prevede la legge sulla privacy e la sicurezza dei dati del Texas?

La legge sulla privacy e la sicurezza dei dati del Texas riguarda i residenti del Texas che agiscono come individui o in un contesto familiare.

Coloro che agiscono in un contesto commerciale o lavorativo non sono considerati "consumatori" ai sensi della legge, come spiegato nella Sezione 541.001 Parte (7).

Il TDPSA impone agli enti di raccogliere dai consumatori solo i dati personali ragionevolmente necessari e proporzionati alle finalità del trattamento, che devono essere fornite al consumatore.

Requisiti della legge sulla privacy e la sicurezza dei dati del Texas

Il TDPSA delinea diversi requisiti che le aziende devono implementare per raccogliere, elaborare e utilizzare legalmente i dati personali dei consumatori texani.

Per aiutarvi a capire meglio come conformarvi, ho evidenziato le caratteristiche più importanti della legge nelle sezioni seguenti.

Responsabili del trattamento dei dati e trasparenza

Secondo la sezione 541.101 della legge, la trasparenza è uno dei doveri principali di un responsabile del trattamento dei dati ai sensi del TDPSA.

Se la vostra azienda si qualifica come responsabile del trattamento, dovete limitare la raccolta dei dati personali a ciò che è adeguato, pertinente e ragionevolmente necessario in relazione allo scopo che avete comunicato al consumatore per cui state trattando i suoi dati.

L'unica eccezione a questo requisito è rappresentata dall'ottenimento di un consenso esplicito da parte del cliente.

Requisiti di sicurezza dei dati

Il TDPSA richiede inoltre che i responsabili del trattamento dei dati proteggano la riservatezza e l'integrità dei dati raccolti stabilendo, implementando e mantenendo

"... pratiche ragionevoli di sicurezza amministrativa, tecnica e fisica dei dati che siano adeguate al volume e alla natura dei dati personali in questione".

Questa parte della legge sulla privacy e la sicurezza dei dati del Texas è descritta nella sezione 541.101, parte (a) (2).

I responsabili del trattamento dei dati devono proteggere le informazioni personali che raccolgono dai crimini informatici e dalle violazioni di dati non autorizzate, altrimenti la legge li riterrà finanziariamente responsabili.

Consenso

Secondo il TDPSA, i responsabili del trattamento dei dati devono ottenere il consenso degli utenti solo in circostanze specifiche:

• È necessario ottenere il consenso di un tutore legale per trattare i dati personali di un bambino di età inferiore ai tredici anni.
• Il consenso è necessario anche se un responsabile del trattamento vuole trattare i dati personali per finalità che non sono né "ragionevolmente necessarie" né "compatibili con le finalità per le quali i dati personali sono stati inizialmente trattati".
• Infine, è necessario ottenere il consenso dell'utente per il trattamento dei dati personali sensibili.

Richieste di consumatori autenticati

In base al TDPSA, i consumatori hanno il diritto di presentare richieste autenticate a cui le aziende sono obbligate a rispondere in determinati modi.

Ai sensi dell'articolo 541.051, parti (a) e (b), un consumatore (o il tutore legale di un minore) può presentare questa richiesta specificando quale diritto desidera esercitare.

Il responsabile del trattamento dei dati deve rispondere senza ritardi ingiustificati, il che significa non più di 45 giorni, con la possibilità di una proroga di 45 giorni in alcuni casi.

La vostra risposta in qualità di responsabile del trattamento dei dati deve essere gratuita almeno due volte all'anno per ogni consumatore.

Tuttavia, se non è possibile autenticare la richiesta utilizzando sforzi commercialmente ragionevoli, è possibile richiedere ulteriori informazioni all'individuo prima di soddisfare la sua richiesta.

Il TDPSA descrive le procedure approvate per la presentazione delle richieste dei consumatori nella sezione 541.055 della legge.

In primo luogo, i responsabili del trattamento devono stabilire due o più metodi sicuri e affidabili per consentire ai consumatori di presentare tali richieste, tenendo conto di quanto segue:

• I modi in cui i vostri consumatori interagiscono normalmente con voi
• La necessità di comunicazioni sicure e affidabili
• La capacità del controllore di autenticare l'identità dell'utente che effettua la richiesta.

Se avete un sito web, dovete fornire il meccanismo su quel sito.

Ma se si opera esclusivamente online e si ha un rapporto diretto con il consumatore, è sufficiente fornire un indirizzo e-mail.

Tuttavia, legalmente non è possibile richiedere ai consumatori di creare un nuovo account per esercitare i propri diritti.

I consumatori texani hanno anche il diritto di appellarsi alla decisione dell'azienda, come spiegato nella Sezione 541.053.

La procedura di ricorso deve essere disponibile in modo evidente e simile alla procedura di presentazione delle richieste dei consumatori.

Valutazioni sulla protezione dei dati

Il TDPSA richiede alle aziende di condurre e documentare valutazioni sulla protezione dei dati se si esegue una qualsiasi delle seguenti attività di trattamento dei dati, come spiegato nella sezione 541.105:

• Elaborazione di dati personali per pubblicità mirata
• Partecipare alla vendita di dati personali
• Trattare i dati personali per finalità di profilazione
• Elaborazione di dati sensibili
• Qualsiasi attività di trattamento dei dati che presenti un maggiore rischio di danno per i consumatori.

La valutazione deve identificare e soppesare i benefici diretti e indiretti che derivano dal trattamento rispetto ai rischi potenziali che potrebbe causare, soprattutto per quanto riguarda i diritti dei consumatori.

Nelle vostre valutazioni dovete tenere conto anche dei seguenti criteri:

• L'uso di dati deidentificati
• Le ragionevoli aspettative dei vostri consumatori
• Il contesto dell'elaborazione
• Il rapporto tra controllore e consumatore

Dovete mettere le vostre valutazioni sulla protezione dei dati a disposizione del Procuratore Generale per assistere nelle indagini civili. In caso contrario, devono rimanere riservate.

Il TDPSA consente di utilizzare la stessa valutazione della protezione dei dati condotta per conformarsi ad altre leggi sulla privacy dei dati, a condizione che tali leggi abbiano requisiti simili.

Obblighi contrattuali tra responsabili e incaricati del trattamento

Se un responsabile del trattamento dei dati si affida a un terzo incaricato del trattamento dei dati, entrambe le parti devono firmare un contratto che includa tutte le clausole indicate nella Sezione 541.104, Parte (b) del TDPSA. Queste includono:

• Istruzioni chiare per il trattamento dei dati
• Lo scopo e la natura del trattamento
• Il tipo di dati oggetto del trattamento
• La durata del trattamento
• I diritti e gli obblighi di entrambe le parti
• L'incaricato del trattamento deve garantire che ogni persona che tratta i dati sia soggetta all'obbligo di riservatezza.
• Il requisito che l'incaricato del trattamento cancelli o restituisca tutti i dati al responsabile del trattamento, come richiesto.
• Il requisito che l'incaricato del trattamento metta a disposizione del responsabile del trattamento tutte le informazioni in suo possesso per dimostrare la conformità con il TDPSA
• L'incaricato del trattamento deve consentire e collaborare a ragionevoli valutazioni da parte del responsabile del trattamento e del suo valutatore designato.
• Un requisito che impone al trasformatore di impegnarsi solo con subappaltatori in base a contratti che soddisfano le stesse clausole.

La legge del Texas contro le leggi sulla privacy degli altri Stati: Somiglianze e differenze

La legge sulla privacy e la sicurezza dei dati del Texas presenta alcune somiglianze con altre leggi sulla privacy dei dati degli Stati Uniti, ma presenta alcune differenze interessanti e uniche.

Di seguito è riportata una tabella che confronta il TDPSA con queste altre leggi sulla protezione dei dati attive o di prossima entrata in vigore negli Stati Uniti:

• California Consumer Protection Act (CCPA), come modificato dal California Privacy Rights Act (CPRA) - attualmente in vigore
• Legge sulla privacy del Colorado (CPA) - attualmente in vigore
• Legge sulla privacy dei dati del Connecticut (CTDPA) - attualmente in vigore
• Legge sulla privacy dei dati personali del Delaware (DPDPA) - attualmente in vigore
• Carta dei diritti digitali della Florida (FDBR) - attualmente in vigore
• Legge sulla protezione dei dati dei consumatori dello Iowa (Iowa CDPA) - attualmente in vigore
• Legge sulla protezione dei dati dei consumatori dell'Indiana (Indiana CDPA) - entrata in vigore il 1° gennaio 2026
• Legge sulla protezione dei dati dei consumatori del Kentucky (KCDPA) - in vigore dal 1° gennaio 2026
• Legge sulla privacy dei dati dei consumatori del Minnesota (MCDPA) - in vigore dal 31 luglio 2025.
• Legge sulla protezione dei dati online del Maryland (MODPA) - in vigore dal 1º ottobre 2025.
• Legge sulla privacy dei consumatori del Montana (MCDPA) - attualmente in vigore
• Nebraska Data Privacy Act (NDPA) - attualmente in vigore
• Legge sulla privacy dei dati del New Hampshire (NHDPL) - attualmente in vigore
• Legge sulla privacy dei dati del New Jersey (NJDPA) - attualmente in vigore
• Legge sulla privacy dei consumatori dell'Oregon (OCPA) - attualmente in vigore
• Legge sulla protezione delle informazioni del Tennessee (TIPA) - in vigore dal 1° luglio 2025
• Legge sulla privacy dei consumatori dello Utah (UCPA) - attualmente in vigore
• Legge sulla protezione dei dati dei consumatori della Virginia (VCDPA) - attualmente in vigore

Scoprite i dettagli qui di seguito:

Che impatto avrà il TDPSA sui consumatori?

Il TDPSA ha un impatto sui consumatori, garantendo loro nuovi diritti sulle modalità di raccolta, elaborazione e utilizzo dei loro dati personali.

I consumatori ai sensi del TDPSA hanno il diritto di presentare in qualsiasi momento una richiesta al responsabile del trattamento per esercitare i propri diritti.

Un tutore legale può fare lo stesso per conto di un minore noto, come spiegato nella sezione 541.051 della legge.

I diritti dei consumatori comprendono la presentazione di richieste a:

• Confermare se un responsabile del trattamento sta trattando i loro dati
• Accedere ai dati personali raccolti su di loro
• Correggere le inesattezze dei propri dati, tenendo conto della natura degli stessi e delle finalità del trattamento
• Cancellare i dati forniti o ottenuti sul consumatore
• Ottenere una copia portatile dei propri dati, se disponibili in formato digitale.

I consumatori mantengono inoltre il diritto alla non discriminazione e alla rinuncia al trattamento dei dati personali per la pubblicità mirata, la vendita dei loro dati o la profilazione.

Le aziende che ricevono richieste autenticate devono soddisfarle senza ritardi ingiustificati ed entro 45 giorni, con la possibilità di una proroga di 45 giorni.

Chi protegge il TDPSA?

Il TDPSA si applica alle informazioni personali di persone fisiche residenti in Texas solo in ambito personale o domestico.

Non protegge le informazioni delle persone che operano nello Stato in un contesto commerciale o lavorativo.

Quale sarà l'impatto del TDPSA sulle imprese?

Le imprese devono aspettarsi di subire l'impatto del TDPSA in diversi modi.

Oltre a creare un processo per l'autenticazione delle richieste dei consumatori e l'implementazione di valutazioni sulla protezione dei dati, questa legge descrive alcuni diritti che modificheranno la vostra politica sulla privacy e la configurazione del vostro banner di consenso.

Inoltre, i siti web devono creare un modo per rispettare le preferenze di opt-out universale sui browser degli utenti.

Analizziamo tutti e tre questi aspetti della legge in modo più dettagliato.

In che modo il TDPSA influirà sulla mia politica sulla privacy?

Il TDPSA descrive i requisiti specifici per l'informativa sulla privacy (o politica sulla privacy) nella sezione 541.102 della legge.

I responsabili del trattamento devono fornire ai consumatori un'informativa sulla privacy ragionevolmente accessibile e chiara che illustri tutte le seguenti informazioni:

• Le categorie di dati personali trattati, compresi i dati sensibili
• Lo scopo del trattamento dei dati
• Come i consumatori possono esercitare i loro diritti e il processo di ricorso alla decisione
• Le categorie di dati condivisi con terzi, se esistenti
• Le categorie di soggetti terzi con cui condividete i dati, se del caso.
• Una descrizione delle modalità con cui i consumatori possono presentare richieste per esercitare i propri diritti ai sensi del TDPSA

Inoltre, se vi qualificate come responsabili del trattamento e vendete dati personali sensibili o informazioni biometriche, dovete includere il seguente avviso nella "stessa posizione e con le stesse modalità dell'avviso sulla privacy":

• AVVISO: potremmo vendere i vostri dati personali sensibili.
• AVVISO: potremmo vendere i vostri dati personali biometrici.

In che modo il TDPSA influirà sul mio Cookie Banner?

Sebbene il TDPSA non faccia riferimento diretto ai cookie banner, diverse disposizioni influiscono sul modo in cui un'azienda deve visualizzarne uno sulla propria piattaforma.

Ai sensi dell'articolo 541.051 della legge, i consumatori hanno il diritto di rinunciare alla vendita dei loro dati personali, alla pubblicità mirata e alla profilazione, e i responsabili del trattamento devono comunicare queste attività ai loro utenti.

Poiché i siti web si affidano tipicamente ai cookie di Internet per assistere tali processi, per soddisfare questo requisito legale è necessario inserire un'opzione di opt-out nel banner del consenso ai cookie e includere un link a un'appropriata politica sulla privacy o sui cookie.

In questo modo i consumatori avranno un controllo adeguato sulla possibilità di essere tracciati e/o profilati dal vostro sito web.

L'opzione di opt-out è necessaria anche nel caso in cui i cookie di un responsabile del trattamento trattino dati personali sensibili o informazioni di bambini conosciuti.

Se questo è il caso della vostra azienda, prestate molta attenzione alla definizione di consenso del TDPSA, in particolare evitando i dark pattern e l'opt-in automatico tramite hovering, in modo da non violare la legge.

Disposizioni specifiche per i segnali di opt-out universali

La legge sulla privacy e la sicurezza dei dati del Texas descrive i requisiti per i responsabili del trattamento e i consumatori in merito all'uso di meccanismi di opt-out universali nella sezione 541.055 parti (e) e (f).

In particolare, si afferma che i consumatori possono:

"designare un'altra persona che funga da agente autorizzato del consumatore e agisca per conto di quest'ultimo per rinunciare al trattamento dei dati personali del consumatore...".

Ciò comprende meccanismi di opt-out universali come il Global Privacy Controls (GPC) o l'imminente Google Privacy Sandbox.

Queste funzioni consentono alle persone di rinunciare al consenso direttamente dal loro browser, che invia quindi segnali che comunicano le loro preferenze di consenso ai siti web visitati.

Ai sensi del TDPSA, un consumatore può:

"... designare un agente autorizzato utilizzando una tecnologia, tra cui un link a un sito Internet, un'impostazione o un'estensione del browser Internet o un'impostazione globale su un dispositivo elettronico. un sito web, un'impostazione o un'estensione del browser Internet, o un'impostazione globale su un dispositivo elettronico, che consenta al consumatore di indicare la sua intenzione di rinunciare all'uso del dispositivo elettronico, che consenta al consumatore di indicare la sua intenzione di rinunciare al trattamento. trattamento".

Il documento spiega che il responsabile del trattamento deve soddisfare tali richieste di opt-out a condizione di poter verificare con uno sforzo commercialmente ragionevole l'identità del consumatore e l'autorità dell'agente autorizzato ad agire per suo conto.

Queste disposizioni sui meccanismi di opt-out universale dei consumatori sono entrate in vigore il 1° gennaio 2025.

Chi deve rispettare la nuova legge sulla privacy del Texas?

Secondo la Sezione 541.002 del TDPSA, l'azienda deve conformarsi a questa legge se soddisfa le seguenti soglie:

• Svolge attività commerciali in Texas o produce beni o servizi consumati dai residenti dello Stato.
• Tratta o vende dati personali
• Non è una piccola impresa secondo la definizione della Small Business Administration(SBA) degli Stati Uniti - cioè aziende con meno di 500 dipendenti - a meno che non si occupi della vendita di dati personali sensibili.

Si tratta di un ambito giuridico unico, soprattutto rispetto ad altre leggi sulla privacy negli Stati Uniti, che tradizionalmente si basano su specifiche soglie monetarie e di trattamento dei dati.

Chi è esente dal TDPSA?

Tutte le seguenti persone o entità sono esenti dall'osservanza dei requisiti delineati dalla legge sulla privacy e la sicurezza dei dati del Texas:

• Agenzie statali o suddivisioni politiche del Texas
• Istituti finanziari soggetti al Titolo V del Gramm-Leach-Bliley Act(GLBA)
• Entità coperte o business associate disciplinate dalle norme sulla privacy, sulla sicurezza e sulla notifica delle violazioni stabilite dall'HIPAA.
• Aziende non profit
• Istituti di istruzione superiore
• Società di servizi elettrici, società di produzione di energia e fornitori di energia elettrica al dettaglio

Come possono le aziende prepararsi al TDPSA?

Le aziende possono prepararsi al successo preparandosi al TDPSA nei seguenti modi.

Informativa sulla privacy

Per prima cosa, dovrete creare un'informativa sulla privacy per soddisfare tutti gli obblighi legali descritti nel testo della legge. Se ne avete già una, assicuratevi che sia aggiornata.

Gestione del consenso

Dovreste anche generare - o aggiornare - la vostra politica sui cookie e includere opzioni di opt-out nella configurazione del vostro banner di consenso, soprattutto se li utilizzate per la pubblicità mirata, poiché i consumatori del Texas hanno il diritto di ritirarsi da questo tipo di trattamento dei dati.

Se raccogliete dati sensibili, dovrete iniziare a ottenere il consenso dei vostri utenti.

Utilizzando la nostra gestione del consenso Platform per il vostro sito web o la vostra app può aiutarvi a soddisfare questi obblighi di opt-in e opt-out.

Richieste di accesso ai dati

Per fornire ai vostri consumatori texani un mezzo appropriato per richiedere il rispetto dei loro diritti in materia di privacy, inserite nella vostra piattaforma un modulo di richiesta di accesso ai dati(DSAR o SAR) e ricordate di collegarlo alla vostra informativa sulla privacy.

DPA

A seconda del vostro ruolo e del tipo di dati che trattate, potrebbe essere necessario eseguire valutazioni sulla protezione dei dati.

Se condividete le informazioni con altri o vi affidate a un elaboratore di dati terzo, dovete anche creare contratti che rispettino tutte le linee guida TDPSA.

Sicurezza

Infine, è necessario implementare misure di sicurezza adeguate per proteggere tali informazioni personali.

Come verrà applicato il TDPSA?

Il Procuratore generale del Texas ha l'autorità esclusiva di applicare il TDPSA.

Secondo le sezioni da 541.151 a 541.154 della legge, sul sito web dell'Attorney General saranno disponibili informazioni sulle responsabilità dei responsabili del trattamento e degli incaricati del trattamento, sui diritti dei consumatori e su un meccanismo attraverso il quale i consumatori possono presentare reclami TDPSA.

Il Procuratore generale può emettere una richiesta di indagine civile se ha ragionevoli motivi per ritenere che una persona stia violando il TDPSA e può richiedere che un responsabile del trattamento riveli qualsiasi valutazione sulla protezione dei dati pertinente all'indagine per valutare la conformità.

L'ente ha quindi 30 giorni di tempo per porre rimedio alla violazione e fornire una dichiarazione scritta al Procuratore Generale in cui si afferma che:

• Che avete posto rimedio alla violazione
• Avete notificato al consumatore che avete affrontato il problema della privacy.
• Documentazione di supporto che dimostri come avete risolto l'infrazione
• Le modifiche apportate alle politiche interne per garantire che non si verifichino ulteriori violazioni.

Multe e sanzioni ai sensi della legge sulla privacy e la sicurezza dei dati del Texas

In base alla sezione 541.155, le persone che non si conformano alla legge sulla privacy e la sicurezza dei dati del Texas dopo il periodo di cura di 30 giorni rischiano un'ammenda potenziale fino a 7.500 dollari per ogni violazione.

Il Procuratore generale può anche intraprendere le seguenti azioni:

• Recupero delle sanzioni civili
• Trattenere o ingiungere alla persona di violare il TDPSA.
• Chiedere un provvedimento ingiuntivo
• Recuperare le spese legali e le altre spese ragionevoli sostenute per l'indagine.

Tuttavia, i consumatori protetti da questa legge non hanno un diritto di azione privata.

In che modo Termly può contribuire alla conformità al TDPSA?

Termly può aiutarvi a orientarvi nella legge sulla privacy e la sicurezza dei dati del Texas, fornendovi gli strumenti e le risorse necessarie per impostare il vostro sito web o la vostra applicazione in modo che sia pienamente conforme.

Il nostro team ha già apportato le modifiche necessarie al nostro generatore di informativa sulla privacy per soddisfare gli obblighi aziendali delineati da questa nuova legge statale.

È inoltre possibile configurare la nostra gestione del consenso platform per soddisfare i requisiti di consenso descritti dalla TDPSA.

Lavoriamo duramente per rimanere aggiornati sulle nuove leggi in materia di protezione dei dati in tutto il mondo, in modo che i nostri clienti possano sapere che gli strumenti che utilizzano sulla loro piattaforma riflettono realmente l'attuale panorama della privacy dei dati.

Esistono altre leggi sulla privacy in Texas?

Il TDPSA è la prima legge sulla privacy del Texas che si applica ai dati dei consumatori online.

Tuttavia, lo Stato ha anche leggi come il Texas Medical Records Privacy Act, che protegge i dati sanitari e medici sensibili dalla divulgazione per scopi di marketing senza il consenso dell'individuo.

Esiste anche il Texas Identity Theft Enforcement and Protection Act, che impone agli ufficiali di pace di diverse giurisdizioni del Texas di redigere rapporti e di fornirne copia ogni volta che una persona residente nella loro regione sia presumibilmente vittima di un reato di identità.

Riassunto

Per garantire che la vostra azienda sia conforme alla legge sulla privacy e la sicurezza dei dati del Texas, prevedete di aggiornare l'informativa sulla privacy e di aggiungere opzioni di opt-out al banner del consenso ai cookie del vostro sito web.

Implementate le valutazioni sulla protezione dei dati, se necessario, e rispettate sempre gli obblighi contrattuali se lavorate con processori di dati di terze parti Infine, implementate un metodo per onorare i meccanismi di opt-out universale dei consumatori.

Potete fare tutto da soli o eliminare i problemi e utilizzare gli strumenti di conformità di Termly, come il nostro generatore di informativa sulla privacy e gestione del consenso Platform.

Per saperne di più su chi scrive

Scritto da Josh Langeland, CIPM

Ciao, sono Josh! Sono un ingegnere della privacy appassionato dell'uso della tecnologia per rispettare la privacy degli utenti. Mi trovo a mio agio nell'intersezione tra la tecnologia complessa e le leggi sulla privacy in continua evoluzione. Se non sto redigendo una revisione del progetto o riarchitettando un sistema, potrei trovarmi a leggere una biografia o a fare un'escursione nel parco nazionale più vicino. Per saperne di più su chi scrive