Florida Digital Bill of Rights: Primo sguardo e sintesi

La Florida ha approvato la Florida Digital Bill of Rights (FDBR), che ora è in parte in vigore.

L'FDBR è una legge interessante che utilizza definizioni uniche rispetto ad altre leggi statali statunitensi sulla privacy dei dati.

Qui di seguito riassumo la nuova legge sulla privacy della Florida, indicando a chi si applica, i termini chiave e le definizioni, e cosa devono fare i responsabili del trattamento dei dati per conformarsi alla legge.

Che cos'è la Carta dei diritti digitali della Florida (FDBR)?

La Florida Digital Bill of Rights è una legge che spiega quali diritti hanno i residenti della Florida in merito al trattamento e all'utilizzo dei loro dati personali da parte di diverse entità.

Una seconda sezione descrive le linee guida per i dipendenti pubblici relative ai servizi di social media e gli obblighi per i controllori che gestiscono i motori di ricerca, mentre un'altra delinea regole specifiche per la protezione dei dati relativi ai minori di 18 anni negli spazi online.

Descrive inoltre le sanzioni previste in caso di violazione di alcune parti della nuova legge.

FDBR Data di entrata in vigore

La Carta dei diritti digitali della Florida è entrata in vigore il 1° luglio 2024.

Le disposizioni relative ai dipendenti pubblici e alle piattaforme di social media sono entrate in vigore nel luglio 2023, come indicato nella Sezione 1, Paragrafo 112.23.

Termini e definizioni chiave dell'FDBR

La Florida Digital Bill of Rights utilizza diverse definizioni uniche per termini già presenti in altre leggi statunitensi sulla protezione dei dati e la comprensione delle differenze è fondamentale ai fini della conformità.

Per aiutarvi, ho inserito qui di seguito i termini chiave con le definizioni esattamente come appaiono nell'FDBR:

Cosa prevede la Carta dei diritti digitali della Florida?

L'FDBR tratta tre distinte questioni relative alla privacy che riguardano i residenti della Florida e lo Stato stesso:

1. Una sezione descrive i diritti che i consumatori che agiscono in un contesto personale o domestico hanno sulle modalità di raccolta, trattamento e utilizzo dei loro dati personali da parte dei responsabili del trattamento.
2. Un'altra sezione vieta ai dipendenti pubblici di utilizzare la loro posizione o le risorse statali per rimuovere contenuti o account sulle piattaforme di social media.
3. La terza sezione spiega e stabilisce le protezioni relative alle informazioni personali dei minori online.

È interessante notare che l'FDBR utilizza definizioni diverse per i dati personali e per le informazioni personali (entrambi appaiono nella sezione dei termini chiave sopra) come applicabili alle diverse sezioni della legge:

• I dati personali si riferiscono alle informazioni raccolte, elaborate e utilizzate dai responsabili del trattamento sui residenti in Florida.
• Le informazioni personali riguardano le linee guida per la sicurezza negli spazi online che riguardano i minori di 18 anni.

Requisiti della Carta dei diritti digitali della Florida

In quanto legge sulla privacy, la legge della Florida prevede numerosi requisiti, alcuni dei quali si applicano direttamente alle aziende che raccolgono e utilizzano i dati personali dei consumatori della Florida.

Per aiutarvi a dare un senso alle parti rilevanti dell'FDBR, ho delineato le linee guida in questa sezione.

Requisiti del Titolare per il trattamento dei dati personali

Secondo la Sezione 13. Sezione 501.71 della legge, i responsabili del trattamento devono limitare il trattamento dei dati personali a ciò che è "adeguato, pertinente e ragionevolmente necessario" in base alle finalità che presentano ai consumatori.

I responsabili del trattamento devono inoltre adottare misure tecniche e fisiche per proteggere l'integrità e la riservatezza delle informazioni.

Per trattare i dati oltre il necessario o qualsiasi informazione personale sensibile, è necessario il consenso del consumatore.

Inoltre, se si prevede di vendere dati personali biometrici o sensibili, è necessario fornire un'informativa visibile sul proprio sito web utilizzando la seguente formulazione, come descritto nella Sezione 14. Sezione 501.711 Parte (2):

• AVVISO: Questo sito web può vendere i vostri dati personali sensibili.
• AVVISO: Questo sito web può vendere i vostri dati personali biometrici.

Valutazioni sulla protezione dei dati

I responsabili del trattamento devono eseguire e documentare le valutazioni della protezione dei dati (DPA) per eseguire determinate attività di trattamento dei dati, come descritto nella Sezione 16. Sezione 501.713 dell'FDBR.

È necessario eseguire una DPA per trattare le informazioni per i seguenti scopi:

• Pubblicità mirata
• La vendita di dati personali
• Il trattamento dei dati ai fini della profilazione se presenta un rischio ragionevolmente prevedibile per il consumatore.
• Elaborazione di dati sensibili
• Attività di trattamento di dati personali che presentano un rischio elevato di danno per il consumatore.

La valutazione della protezione dei dati da parte del responsabile del trattamento deve fare tutto ciò che segue:

• Identificare e soppesare i benefici diretti e indiretti per il responsabile del trattamento, il consumatore e le altre parti interessate rispetto ai rischi potenziali per i diritti dei consumatori, attenuati dalle misure di salvaguardia.
• Tenere conto dell'uso di dati deidentificati, delle ragionevoli aspettative del consumatore, del contesto del trattamento e della relazione tra il responsabile del trattamento e il consumatore.

È possibile utilizzare un'unica valutazione per affrontare un insieme comparabile di operazioni o attività se il rischio presunto per il consumatore è di portata simile.

I responsabili del trattamento possono anche utilizzare una valutazione condotta per conformarsi a un'altra legge o regolamento paragonabile alle linee guida scritte nell'FDBR.

Obblighi contrattuali relativi ai Responsabili del trattamento di terze parti

L'FDBR descrive i requisiti contrattuali tra i responsabili del trattamento e gli incaricati del trattamento nella Sezione 15. Sezione 501.712 Parte (2).

In particolare, stabilisce che tra i responsabili del trattamento e gli incaricati del trattamento deve esistere un contratto in cui siano indicati tutti i seguenti elementi:

L'incaricato del trattamento può incaricare un valutatore indipendente qualificato di valutare le proprie politiche e misure tecniche o organizzative a sostegno di questi requisiti.

L'incaricato del trattamento deve mettere il rapporto a disposizione del responsabile del trattamento su richiesta.

Linee guida sui dati dei bambini

I servizi online che forniscono giochi, prodotti, servizi o funzioni a cui possono accedere principalmente i bambini devono attenersi alle linee guida specifiche previste dall'FDBR.

In particolare, come spiegato nella Sezione 2. Sezione 501.1735, queste piattaforme non possono:

• Elaborare le informazioni personali di qualsiasi bambino se la piattaforma è effettivamente a conoscenza (o ignora volontariamente) che l'elaborazione può comportare un danno sostanziale o un rischio per la privacy del bambino.
• Profilare un minore, a meno che la piattaforma online non dimostri di aver adottato misure di tutela adeguate e che la profilazione sia necessaria per fornire il servizio.

Tuttavia, le piattaforme che possono provare o dimostrare un motivo convincente per cui la profilazione non comporta alcun rischio sostanziale di danno o di privacy possono continuare a effettuare questo tipo di trattamento.

Inoltre, le entità non possono:

• Raccogliere, vendere, condividere o conservare dati personali non necessari per fornire un servizio online, a meno che non si dimostri che ciò non comporta un danno sostanziale o un rischio per la privacy del bambino.
• Utilizzare le informazioni personali per qualsiasi motivo diverso da quello per cui sono state raccolte, a meno che non si dimostri che ciò non comporta un danno sostanziale o un rischio per la privacy del bambino.
• Raccogliere, vendere o condividere i dati precisi di geolocalizzazione del bambino, a meno che non sia strettamente necessario per il funzionamento del servizio.
• Raccogliere dati geolocalizzati precisi sul bambino senza fornire un segno evidente che i dati vengono raccolti.
• Utilizzate schemi oscuri per fuorviare il bambino in una direzione che altrimenti non prenderebbe.
• Utilizzare le informazioni personali per stimare l'età o la fascia di età per qualsiasi altro scopo o conservare tali dati più a lungo del necessario.

Restrizioni ai social media per i dipendenti pubblici

Ai sensi della Sezione 1. Sezione 112.23 Parte (2) e (3) della Florida Digital Bill of Rights, gli enti governativi, i funzionari o i dipendenti non possono comunicare con le piattaforme di social media in merito a problemi specifici.

In particolare, gli enti governativi non possono richiedere la rimozione di contenuti o account o avviare accordi ai fini della moderazione dei contenuti.

Inoltre, non possono avviare o mantenere rapporti di lavoro con una piattaforma di social media per la moderazione dei contenuti.

Tuttavia, queste sezioni non si applicano quando l'ente governativo o il funzionario agisce in base a una delle seguenti circostanze:

• Gestione ordinaria dell'account dell'ente pubblico, compresa la rimozione o la revisione dei contenuti o dell'account.
• Rimozione di contenuti relativi alla commissione di un reato o alla violazione del diritto pubblico della Florida.
• Rimozione di un account che si riferisce alla commissione di un reato o alla violazione del diritto pubblico della Florida.
• Indagini relative agli sforzi per prevenire danni fisici, perdite di vite umane o danni alla proprietà.

Disposizioni per i controllori che possiedono motori di ricerca

L'FDBR delinea le linee guida che i controllori che gestiscono i motori di ricerca devono seguire nella Sezione 13. Sezione 501.71 Parte (4).

Tali controllori devono rendere disponibile una descrizione aggiornata dei parametri più significativi utilizzati per determinare il posizionamento nei motori di ricerca e la loro importanza relativa.

Dovrebbe includere dettagli sulla "prioritizzazione o deprivazione della partigianeria politica o dell'ideologia politica nei risultati di ricerca".

La descrizione deve essere disponibile in una posizione facilmente accessibile senza richiedere il log-in o la registrazione dell'utente.

Tuttavia, questi controllori non sono tenuti a divulgare gli algoritmi o qualsiasi altra informazione che possa consentire di ingannare o danneggiare i consumatori attraverso la manipolazione dei risultati di ricerca.

La legge sulla privacy della Florida rispetto agli altri Stati: Somiglianze e differenze

L'FDBR delinea i diritti dei consumatori e alcuni obblighi in materia di privacy che rispecchiano le altre leggi sulla privacy degli Stati Uniti, ma è molto diverso per portata e scala rispetto alle altre leggi esistenti, come la:

• California Consumer Protection Act (CCPA), come modificato dal California Privacy Rights Act (CPRA) - attualmente in vigore
• Legge sulla privacy del Colorado (CPA) - attualmente in vigore
• Legge sulla privacy dei dati del Connecticut (CTDPA) - attualmente in vigore
• Legge sulla privacy dei dati personali del Delaware (DPDPA) - attualmente in vigore
• Legge sulla protezione dei dati dei consumatori dell'Indiana (Indiana CDPA) - in vigore dal 1° gennaio 2026.
• Legge sulla protezione dei dati dei consumatori dello Iowa (Iowa CDPA) - attualmente in vigore
• Legge sulla protezione dei dati dei consumatori del Kentucky (KCDPA) - in vigore dal 1° gennaio 2026
• Legge sulla privacy dei dati dei consumatori del Minnesota (MCDPA) - in vigore dal 31 luglio 2025.
• Legge sulla privacy dei dati online del Maryland (MODPA) - in vigore dal 1° ottobre 2025
• Legge sulla privacy dei consumatori del Montana (MCDPA) - attualmente in vigore
• Nebraska Data Privacy Act (NDPA) - attualmente in vigore
• Legge sulla privacy dei dati del New Hampshire (NHDPL) - attualmente in vigore
• Legge sulla privacy dei dati del New Jersey (NJDPA) - attualmente in vigore
• Legge sulla privacy dei consumatori dell'Oregon (OCPA) - attualmente in vigore
• Legge sulla protezione delle informazioni del Tennessee (TIPA) - in vigore dal 1° luglio 2025
• Legge sulla privacy e la sicurezza dei dati del Texas (TDPSA) - attualmente in vigore
• Legge sulla privacy dei consumatori dello Utah (UCPA) - attualmente in vigore
• Legge sulla protezione dei dati dei consumatori della Virginia (VCDPA) - attualmente in vigore

Le principali differenze dell'FDBR includono il suo ambito di applicazione molto limitato, che si rivolge a entità di livello aziendale più grandi che controllano i browser e/o i motori di ricerca.

Non si applica alle piccole e medie imprese, agli intermediari di dati e ad altre entità online che di solito raccolgono, elaborano e utilizzano i dati personali dei consumatori.

Tuttavia, nella tabella seguente è possibile confrontare gli aspetti della legge con quelli di altri Stati.

Che impatto avrà l'FDBR sui consumatori?

L'FDBR ha un impatto sui consumatori, garantendo loro diritti e controllo sulle modalità di raccolta, trattamento e utilizzo dei loro dati personali da parte dei responsabili del trattamento qualificati.

In particolare, la Sezione 8. La sezione 501.705 descrive la maggior parte dei diritti dei consumatori, tra cui tutti i seguenti:

• Confermare se un responsabile del trattamento sta trattando i propri dati personali e avere accesso agli stessi
• Correggere le inesattezze dei propri dati personali
• Cancellare uno o tutti i dati personali forniti o ottenuti dal consumatore
• Ottenere una copia dei propri dati in formato portatile e, se disponibile, in formato digitale.
• Opt-out di pubblicità mirata
• Opt-out per la vendita dei propri dati personali
• Opt-out della profilazione
• Opt-out della raccolta di dati personali sensibili, compresa la geolocalizzazione precisa e l'elaborazione di dati sensibili
• Opt-out della raccolta di dati personali attraverso una funzione di riconoscimento vocale o facciale

Inoltre, i dispositivi dotati di una delle seguenti funzioni che raccolgono dati non possono essere utilizzati per la sorveglianza se le funzioni non sono attivate dal consumatore senza autorizzazione:

• Riconoscimento vocale
• Riconoscimento facciale
• Registrazione video
• Registrazione audio
• Qualsiasi altra caratteristica elettronica
• Qualsiasi altra caratteristica visiva
• Caratteristiche termiche
• Caratteristiche olfattive

A chi si applica l'FDBR?

L'FDBR riguarda solo i dati personali dei residenti in Florida che agiscono come individui o per conto di una famiglia, ai sensi della Sezione 5. Sezione 501.702 della legge.

È escluso chiunque si trovi nello Stato per motivi di lavoro o commerciali.

Che impatto avrà l'FDBR sulle imprese?

L'FDBR ha un impatto sulle aziende in diversi modi, oltre agli obblighi contrattuali, alle valutazioni d'impatto sulla protezione dei dati e agli obblighi dei motori di ricerca già menzionati.

Ha anche un impatto sulle politiche sulla privacy e sui cookie, di cui parlo in dettaglio nella prossima sezione.

In che modo l'FDBR influirà sulla mia politica sulla privacy?

Le entità che si qualificano come responsabili del trattamento dovrebbero pianificare l'aggiornamento della loro politica sulla privacy per soddisfare i requisiti descritti dalla Florida Digital Bill of Rights.

Secondo la Sezione 14. Sezione 501.711, i responsabili del trattamento qualificati devono presentare ai consumatori un'informativa sulla privacy "ragionevolmente accessibile" e "chiara" che illustri quanto segue:

• Categorie di dati personali e dati personali sensibili trattati dal titolare del trattamento
• Lo scopo del trattamento dei dati
• Come i consumatori possono esercitare i loro diritti garantiti dall'FDBR, compreso il modo in cui possono impugnare le decisioni di un responsabile del trattamento basate sulle loro richieste
• Le categorie di dati personali che il responsabile del trattamento condivide con terzi, se del caso.
• Le categorie di terzi con cui il responsabile del trattamento condivide i dati, se del caso.
• Una descrizione delle modalità (come specificato nella sezione 501.709 dell'FDBR) con cui i consumatori possono presentare richieste per esercitare i diritti previsti dalla legge

In che modo l'FDBR influisce sulla mia politica sui cookie?

L'FDBR può avere un impatto sulle politiche sui cookie dei responsabili del trattamento dei dati qualificati, in particolare se si utilizzano i cookie di Internet per la pubblicità mirata o si vendono le informazioni ricavate dai cookie.

Come spiegato nella Sezione 8. Come spiegato nella Sezione 8. 501.705 della legge, i cittadini della Florida hanno il diritto di rinunciare alla vendita dei loro dati personali e agli annunci mirati.

Pertanto, dovete aggiornare la vostra politica sui cookie per descrivere se utilizzate i cookie per questi scopi e come i consumatori possono esercitare i loro diritti di opt-out.

Chi deve rispettare la nuova legge sulla privacy della Florida?

Il Digital Bill of Rights della Florida non è come le altre leggi statali statunitensi, in quanto sembra essere rivolto alle entità di livello aziendale più che ai broker di dati e alle piccole e medie imprese.

Secondo la Sezione 6. Sezione 501.703, si applica alle entità che svolgono attività commerciali in Florida o forniscono beni e servizi a residenti nello Stato che soddisfano anche la definizione di responsabile del trattamento di cui alla Sezione 5. Sezione 501.702 della definizione di responsabile del trattamento (che compare nella sezione Termini e definizioni chiave di cui sopra).

Dovete avere scopo di lucro, avere un fatturato annuo lordo superiore a 1 miliardo di dollari e soddisfare una delle seguenti condizioni aggiuntive:

• Ricavate il 50% o più delle vostre entrate dalla vendita di annunci online.
• Gestire un altoparlante intelligente o un servizio di comando vocale (ma quelli collegati ai veicoli sono esenti).
• Gestire un app store o una piattaforma digitale che offra almeno 250.000 applicazioni software diverse.

Inoltre, la sezione 5, paragrafo 501.702, stabilisce che rientra nella definizione anche chiunque sia controllato o controlli un controllore.

Per controllo, la legge intende specificamente:

• Possedere più del 50% delle azioni in circolazione di qualsiasi classe di azioni con diritto di voto.
• avere il controllo sull'elezione della maggioranza degli amministratori
• Avere il potere di esercitare un'influenza sulla gestione dell'azienda.

Siete tenuti a seguire l'FDBR solo se la vostra azienda soddisfa questi requisiti.

Chi è esente dall'FDBR?

Secondo la Sezione 6. Sezione 501.703 Parte (2), le seguenti entità sono esenti e non devono seguire l'FDBR:

• Agenzie statali o suddivisioni politiche dello Stato
• Istituti finanziari soggetti alla legge Gramm-Leach-Bliley (GLBA)
• Entità coperta o business associate disciplinate dalle norme sulla privacy, sulla sicurezza e sulle notifiche di violazione emanate dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti, dall'Health Insurance Portability and Accountability Act (HIPAA) e dall'Health Information Technology for Economic and Clinical Health Act.
• Organizzazioni non profit
• Istituti di istruzione post-secondaria
• Trattamento dei dati personali per un'attività puramente personale o domestica
• Elaborazione di dati personali esclusivamente per misurare o riportare le prestazioni, la portata o la frequenza della pubblicità

Come possono le aziende prepararsi all'FDBR?

Le entità che si qualificano come responsabili del trattamento dei dati ai sensi dell'FDBR devono pianificare alcuni passi fondamentali per prepararsi all'attuazione di questa legge:

• Aggiornate la vostra informativa sulla privacy per includere tutti i dettagli specificati, compresa la descrizione dei diritti dei consumatori.
• Se vendete dati biometrici o sensibili, inserite un'apposita informativa sul vostro sito web.
• Assicuratevi che qualsiasi contratto stipulato con elaboratori terzi segua le linee guida espresse nell'FDBR.
• Se svolgete attività di trattamento che presentano un rischio elevato per i consumatori, eseguite e documentate le opportune valutazioni sulla privacy dei dati.
• Se la vostra azienda gestisce un motore di ricerca, implementate un'informativa visibile sul vostro sito web sui parametri di posizionamento dei link.
• Per le entità che creano servizi utilizzati principalmente dai bambini, è necessario seguire tutti gli obblighi espressi dalla legge.

Come verrà applicato l'FDBR?

Il Procuratore generale ha l'autorità esclusiva di far rispettare le violazioni della Carta dei diritti digitali della Florida e può intentare un'azione legale contro chiunque ritenga violi la legge per atti o pratiche sleali o ingannevoli.

Multe e sanzioni in base alla Carta dei diritti digitali della Florida

Il Procuratore generale della Florida può applicare sanzioni civili fino a 50.000 dollari per le violazioni dell'FDBR, come spiegato nella Sezione 23. Sezione 501.72 Parte (1) della legge.

Tuttavia, i consumatori della Florida non hanno un diritto privato di azione legale in base a questa legge.

In che modo Termly può contribuire alla conformità all'FDBR?

Termly aiuta le aziende a rispettare leggi come la Florida Digital Bill of Rights, fornendo generatori di policy e una gestione del consenso platform (CMP).CMP) con il supporto del nostro team legale e di esperti di privacy.

Il nostro generatore di informativa sulla privacy segue l'FDBR e diverse altre leggi statunitensi, e lo aggiorniamo regolarmente per stare al passo con le nuove leggi in evoluzione in tutto il mondo.

Utilizzarlo non potrebbe essere più semplice: pone domande fondamentali sulla vostra azienda e sulle attività di trattamento dei dati personali, quindi crea un'informativa sulla privacy unica basata sulle vostre risposte.

Di seguito è riportata una schermata di una delle domande poste.

Offriamo anche un CMP con un banner di consenso ai cookie che potete configurare per soddisfare i requisiti di opt-out descritti da leggi come l'FDBR.

Ne vediamo un esempio qui di seguito.

Iniziare a gestire il consenso

Inserisci l'URL del tuo sito web

Per aiutarti a creare una politica dei cookie conforme alla legislazione mondiale, dobbiamo innanzitutto analizzare il tuo sito web alla ricerca dei cookie.

Avvia la scansione del sito web

Riassunto

La Florida Digital Bill of Rights è una legge sulla privacy unica nel suo genere, in vigore negli Stati Uniti.

Se vi qualificate come responsabili del trattamento ai sensi dell'FDBR, dovreste aggiornare la vostra politica sui cookie per la privacy e utilizzare contratti conformi con i terzi incaricati del trattamento.

Eseguite una valutazione del trattamento dei dati prima di elaborare qualsiasi informazione che possa rappresentare un rischio maggiore per i consumatori e ricordate di aggiungere al vostro sito web dei moduli per la richiesta di accesso ai dati da parte dei soggetti interessati, in modo che gli utenti possano facilmente esercitare i loro diritti in materia di privacy.

Rendi più semplice la conformità per la tua azienda utilizzando il generatore di informativa sulla privacy o CMP.

Per saperne di più su chi scrive

Scritto da Josh Langeland, CIPM

Ciao, sono Josh! Sono un ingegnere della privacy appassionato dell'uso della tecnologia per rispettare la privacy degli utenti. Mi trovo a mio agio nell'intersezione tra la tecnologia complessa e le leggi sulla privacy in continua evoluzione. Se non sto redigendo una revisione del progetto o riarchitettando un sistema, potrei trovarmi a leggere una biografia o a fare un'escursione nel parco nazionale più vicino. Per saperne di più su chi scrive