GDPR negli Stati Uniti: Conformità semplificata per le aziende

Molte aziende statunitensi che operano online hanno clienti dell'Unione Europea (UE) o di altre parti dello Spazio Economico Europeo (SEE).

Se queste aziende tracciano anche i comportamenti online degli utenti, possono essere soggette al Regolamento generale sulla protezione dei datiGDPR) dell'UE, una normativa completa sulla privacy dei dati.

Di seguito, spiego i requisiti per la conformità al GDPR negli Stati Uniti, perché la vostra azienda potrebbe rientrare nel suo campo di applicazione legale, parlo con un fellow esperto di privacy e offro soluzioni facili per GDPR che vi aiutano a soddisfare gli obblighi aziendali necessari.

Il GDPR si applica agli Stati Uniti?

La risposta breve è sì; il GDPR si applica agli Stati Uniti in diversi modi.

Una descrizione dell'ambito di applicazione extraterritoriale del GDPRè contenuta nell'articolo 3 del testo.

Le aziende statunitensi rientrano nella giurisdizione del GDPR in qualità di responsabili o incaricati del trattamento dei dati. In breve, i responsabili del trattamento dei dati sono entità che decidono come utilizzare determinati dati, mentre gli incaricati del trattamento dei dati sono entità che utilizzano, memorizzano o trasferiscono tali dati in qualche modo.

Se il vostro sito web fornisce beni o servizi a cittadini dell'UE o del SEE e/o raccoglie informazioni personali su di loro, dovete soddisfare tutti i requisiti commerciali del GDPR.

Inoltre, il GDPR protegge i cittadini statunitensi in quanto soggetti di dati, ma solo quando visitano l'uE o altri paesi del SEE. La protezione si applica solo quando utilizzano Internet in quei territori.

Nelle sezioni che seguono, approfondirò le modalità di applicazione del GDPR alle aziende, ai cittadini e ad altri soggetti statunitensi.

Ma prima è importante esplorare gli ulteriori modi in cui il rispetto delle leggi sulla privacy può portare benefici alla vostra azienda.

Secondo Konrad Martin, CEO di Tech Advisors, "La conformità alle leggi sulla privacy dei dati, come il GDPR, offre vantaggi pratici che vanno al di là della semplice adesione legale".

"Questi regolamenti forniscono una tabella di marcia per la salvaguardia dei dati personali, consentendo alle aziende di raccogliere e utilizzare le informazioni in modo efficace ma responsabile".

Martin aggiunge: "Ho lavorato con clienti che inizialmente avevano difficoltà a rispettare la conformità, ma che, grazie ad approcci strutturati come politiche sulla privacy chiare e verifiche regolari dei dati, non solo hanno migliorato la loro sicurezza, ma hanno guadagnato un vantaggio competitivo".

Il GDPR si applica alle aziende statunitensi?

Sì, il GDPR si applica a tutte le aziende statunitensi che elaborano dati personali e che soddisfano uno dei seguenti requisiti:

1. Fornisce beni o servizi accessibili ai consumatori dell'UE o del SEE, anche se non è richiesta alcuna transazione monetaria.
2. Monitorare il comportamento degli utenti nell'UE o nel SEE, il che significa raccogliere, utilizzare o analizzare informazioni su tali utenti.

Il GDPR non impone alle aziende una soglia di dimensioni o di fatturato come alcune leggi sulla privacy dei dati degli Stati Uniti, in particolare il California Consumer Privacy Act(CCPA) e il Virginia Consumer Data Protection Act(CDPA).

Invece, un'azienda con sede negli Stati Uniti di qualsiasi dimensione può qualificarsi come responsabile del trattamento dei dati ai sensi del GDPR, che l'articolo 4 definisce come:

"... la persona fisica o giuridica, l'autorità pubblica, l'agenzia o altro organismo che, da solo o congiuntamente ad altri, determina le finalità e i mezzi del trattamento dei datipersonali ..."

In poche parole, un responsabile del trattamento dei dati è un'entità che decide perché e come vengono utilizzate le informazioni personali.

In alternativa, le aziende statunitensi possono qualificarsi come responsabili del trattamento dei dati, che secondo la definizione dell'articolo 4 significa:

"... una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che elabora dati personali per conto del responsabile del trattamento".

Il trattamento dei dati ai sensi del GDPR si riferisce alla raccolta, alla registrazione, all'organizzazione, alla strutturazione, alla conservazione, all'adattamento o alla modifica, al recupero, alla consultazione, all'uso, alla divulgazione mediante trasmissione, alla diffusione o alla messa a disposizione in altro modo di serie di dati personali.

Per chiarire quando si applica il GDPR , di seguito sono riportati alcuni esempi ipotetici di come le diverse aziende statunitensi siano interessate.

Il GDPR si applica ai cittadini statunitensi?

Sì, il GDPR si applica ai cittadini statunitensi che si trovano fisicamente in un paese UE/SEE protetto.

Il GDPR utilizza il termine " interessati" nell'articolo 3 quando si riferisce alle persone i cui dati vengono elaborati, ma non menziona la cittadinanza o la nazionalità. Questa omissione significa che l'ambito di applicazione del GDPR non è basato sulla nazionalità, ma piuttosto sull'ubicazione, quindi dobbiamo considerare dove si trova l'interessato quando le sue informazioni vengono trattate.

Nella tabella che segue, ho creato esempi ipotetici di quando il GDPR protegge e non protegge i cittadini statunitensi.

Il GDPR si applica ai cittadini dell'UE negli Stati Uniti?

Ora le cose si fanno interessanti: a causa dell'ambito di applicazione basato sulla localizzazione, se un cittadino dell'UE si trova negli Stati Uniti, il GDPR non si applica più a lui.

Il luogo in cui si trova l'interessato ha la precedenza sulla sua cittadinanza nel determinare l'applicabilità del GDPR, quindi il regolamento non protegge i cittadini dell'UE che viaggiano o vivono negli Stati Uniti.

Anche se il GDPR potrebbe non essere applicabile, altre leggi sulla privacy degli Stati Uniti possono proteggere i loro dati in modo simile, come ad esempio:

• Legge sulla protezione della privacy online in California (CalOPPA)
• Legge sulla protezione della privacy online dei bambini(COPPA)
• Legge sulla privacy dei consumatori della California(CCPA)
• Legge sulla protezione dei dati dei consumatori della Virginia(CDPA)

Il GDPR si applica al governo degli Stati Uniti?

Sì, il GDPR si applica al governo degli Stati Uniti.

Le agenzie federali e statali devono seguire le direttive del regolamento perché il GDPR non prevede eccezioni generalizzate per le agenzie governative o pubbliche.

Pertanto, se il governo degli Stati Uniti si rivolge o elabora i dati personali di utenti con sede nell'UE/SEE, è tenuto a rispettare il GDPR, come tutti gli enti pubblici non appartenenti all'UE/SEE.

Tuttavia, l'articolo 2 esonera le agenzie governative dall'osservanza di specifiche disposizioni del regolamento, purché il trattamento avvenga per motivi di interesse pubblico, come la prevenzione, l'investigazione e il perseguimento di reati o di minacce alla sicurezza pubblica.

Tuttavia, poiché gli Stati Uniti non sono uno Stato membro dell'UE, queste esenzioni non si applicano. In altre parole, il governo degli Stati Uniti deve comunque rispettare tutti gli obblighi previsti dal GDPR.

Requisiti GDPR per le aziende statunitensi

Ora che sapete che la vostra azienda statunitense ricade sotto la giurisdizione del GDPR, vi starete chiedendo come soddisfare tutti i suoi requisiti.

Lasciate che vi spieghi in sette semplici passi.

Fase 1: Eseguire una verifica della privacy

Per seguire adeguatamente tutti i requisiti GDPR , consiglio di eseguire una verifica della privacy per determinare ogni singolo dato personale che il vostro sito web raccoglie dagli utenti.

• Tenere traccia dei tipi specifici di dati raccolti, come indirizzi IP, nomi, indirizzi e-mail, ecc.
• Non dimenticate di includere i cookie e i tracker, che potete trovare facendo passare il vostro sito attraverso uno cookie scanner siti web.
• Tenete conto di eventuali categorie speciali di informazioni che potreste raccogliere, come i dati personali sensibili.

Anche se questa fase non è un requisito legale previsto dal GDPR, contribuirà a rendere più semplice per la vostra azienda garantire la piena conformità.

Fase 2: Determinazione della base giuridica per il trattamento delle informazioni

Ora che sapete quali dati il vostro sito web raccoglie dagli utenti, stabilite la base giuridica per il trattamento dei dati, come indicato nel capitolo 2, articolo 6 del regolamento.

Le sei basi giuridiche delineate dal GDPR comprendono:

• Interesse legittimo
• Consenso dell'interessato
• Necessità contrattuale
• Interesse vitale dell'utente o di un'altra persona
• Obbligo legale
• Interesse pubblico o direttiva del titolare del trattamento dei dati

Dovete informare i consumatori sulla vostra base giuridica per ogni categoria di dati che trattate, che potete includere nella vostra politica sulla privacy.

Fase 3: Creare un'informativa sulla privacy GDPR

Quindi, pubblicate un'informativa sulla privacy che i vostri utenti possano trovare, leggere e comprendere facilmente.

Ai sensi del capitolo 3, articolo 13 del regolamento, dovete informare gli interessati sui dettagli delle vostre pratiche di trattamento dei dati quando ottenete le informazioni da loro.

Ai sensi dell'articolo 15, l'informativa sulla privacy deve contenere i seguenti dettagli:

• Quali informazioni personali raccogliete dagli interessati
• Come si raccolgono le informazioni personali
• La base giuridica per cui raccogliete i dati personali
• Quali categorie di informazioni personali raccogliete (sensibili, non sensibili o criminali)?
• Per quanto tempo conservate le informazioni personali
• Con chi condividete le informazioni personali
• Una spiegazione dei diritti che gli interessati hanno sulle loro informazioni personali

Fase 4: Ottenere, tracciare e registrare il consenso dell'utente

Se il consenso è una delle basi legali che utilizzate per il trattamento dei dati personali, dovrete ottenere, tracciare e registrare le scelte di consenso dei vostri soggetti per conformarvi al GDPR , come indicato nel Capitolo 2, Articolo 7.

Per farlo, impostare un cookie banner sul vostro sito, che rimanda a un'informativa sui cookie e sulla privacy e che consente agli utenti di scegliere se accettare o meno il tracciamento. Dovete anche offrire agli utenti un modo per revocare il loro consenso in qualsiasi momento.

È necessario mantenere un registro accurato delle scelte di consenso per tutto il tempo in cui si utilizzano i loro dati.

Potreste essere in grado di fare tutto questo da soli, ma vi consiglio di utilizzare una soluzione automatizzata, come il nostro consenso ai cookie Manager, per semplificare l'intero processo.

Fase 5: utilizzare accordi di trattamento dei dati conformi

Se intendete lavorare con entità terze che hanno accesso o elaborano i dati dei vostri utenti, dovrete creare e firmare contratti che soddisfino i requisiti specifici GDPR delineati nel Capitolo 4, Articolo 28.

Questi contratti, detti anche Accordi per il trattamento dei dati, sono stipulati dal titolare e dal responsabile del trattamento.

La DPA obbliga il responsabile del trattamento dei dati a:

• Accettare di trattare i dati solo su istruzioni scritte del titolare del trattamento.
• Mantenere la riservatezza sui dati personali coinvolti nel trattamento.
• Elencare tutte le misure che garantiscono la sicurezza dei dati personali.
• Ricevere il consenso del responsabile del trattamento per esternalizzare qualsiasi funzionalità delegata.
• Assistere il responsabile del trattamento nel rispetto del GDPR per quanto riguarda i diritti degli interessati e gli obblighi di cui agli articoli 32 e 36 del regolamento relativi alla sicurezza del trattamento e alla consultazione preventiva.
• Cancellare tutte le informazioni personali raccolte per conto del responsabile del trattamento dopo la cessazione del contratto.
• essere verificati dal responsabile del trattamento dei dati, se necessario.

Entrambe le parti devono accettare i termini specifici del DPA e firmarlo.

Fase 6: Seguire le linee guida per la sicurezza e l'archiviazione dei dati

Le aziende statunitensi considerate responsabili del trattamento o incaricati del trattamento ai sensi del GDPR devono inoltre attenersi alle linee guida per la sicurezza e l'archiviazione dei dati per garantire che le informazioni personali degli utenti siano tenute al sicuro da violazioni o fughe di notizie.

All'articolo 32, il regolamento suggerisce le seguenti misure di sicurezza::

• Pseudonimizzare e criptare i dati
• Garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di elaborazione.
• Fornire la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati in caso di incidente.
• Implementare un processo di test, valutazione e verifica dell'efficacia delle misure tecniche e organizzative.

Il responsabile del trattamento e l'incaricato del trattamento sono responsabili dell'attuazione di controlli e misure di sicurezza adeguati per proteggere i diritti degli interessati.

Fase 7: Rispettare tutti i requisiti di trasferimento internazionale dei dati

Il 10 luglio 2023 la Commissione europea ha adottato il Data Privacy Framework (DPF) UE-USA, che costituisce un'efficace decisione di adeguatezza ai sensi del GDPR per il trasferimento internazionale di dati personali negli Stati Uniti.

Le aziende statunitensi possono autocertificare volontariamente al Dipartimento del Commercio la propria conformità ai principi del DPF e i dati possono quindi essere trasferiti dall'UE/SEE agli Stati Uniti in conformità al GDPR.

Qualsiasi azienda che non sia certificata dal Dipartimento del Commercio deve soddisfare le linee guida scritte nel Capitolo 5, Articolo 46 del GDPR per essere considerata conforme.

Applicazione del GDPR negli Stati Uniti

Negli Stati Uniti e nel resto del mondo, diverse autorità di controllo dei vari Stati membri dell'UE applicano il GDPR. Queste persone sono chiamate Autorità di protezione dei dati.

Le aziende statunitensi - o qualsiasi altra entità - che commettono un'infrazione al GDPR sono soggette a multe fino a 10 milioni di euro (12 milioni di dollari) o al 2% del fatturato annuo lordo dell'anno fiscale precedente, a seconda di quale sia il valore più alto.

Inoltre, se la vostra azienda è presente o ha beni nell'UE/SEE, come conti bancari, immobili o server, potrebbe essere sequestrata per non conformità al GDPR .

Se non avete attività nell'UE/SEE, dovete nominare un rappresentante con sede fisica nell'UE che funga da collegamento. Questa persona è chiamata responsabile della protezione dei dati. Se si verifica una violazione GDPR che coinvolge la vostra azienda con sede negli Stati Uniti, il responsabile della GDPR dei dati diventa il canale attraverso il quale vengono applicate le multe.

Multe per GDPR alle aziende statunitensi

Le aziende statunitensi hanno ricevuto innumerevoli multe per non conformità al GDPR da quando il regolamento è entrato in vigore anni fa.

Le agenzie nazionali di controllo di vari Stati membri dell'UE/SEE hanno gli strumenti legali per applicare multe e sanzioni per non conformità alle aziende al di fuori del loro territorio.

Nella tabella che segue, evidenzio alcune delle principali multe per GDPR comminate alle aziende statunitensi negli ultimi anni.

Alcune aziende, come molti siti di notizie statunitensi, bloccano attivamente i loro siti web dagli utenti dell'UE per evitare multe, ma rischiano di perdere definitivamente i clienti(Reuters).

Una cosa è certa: la non conformità al GDPR può essere costosa per le aziende americane che operano nell'UE/SEE.

Evitate le sanzioni seguendo le linee guida e gli obblighi aziendali delineati dal regolamento, a cominciare dalla pubblicazione di un'informativa sulla privacyGDPR e dall'implementazione di controlli e gestione del consenso adeguati al GDPR sul vostro sito web.

Ci sono entità statunitensi esenti dal GDPR?

Alcune entità statunitensi sono completamente esenti dal GDPR e non devono preoccuparsi di rispettare i diversi aspetti di questa normativa.

In particolare, le entità statunitensi che non forniscono beni o servizi ai consumatori dell'UE o del SEE o che non monitorano i loro comportamenti non sono tenute a rispettare il regolamento.

In altre parole, se il vostro sito web non interagisce con persone provenienti dall'UE o dal SEE, non dovete preoccuparvi di rispettare il GDPR.

In base all'articolo 30, parte 5 del testo, le imprese che impiegano meno di 250 persone non sono tenute a seguire alcuni dei requisiti di registrazione delineati dalla legge. Tuttavia, non si tratta di un'esenzione totale e non esonera le piccole imprese dagli adempimenti sopra descritti.

In che modo Termly può aiutare le aziende statunitensi ad adeguarsi?

La suite completa di soluzioni per la privacy dei dati di Termlypuò aiutare le aziende statunitensi a conformarsi completamente al GDPR. La parte che preferisco? Potete gestire comodamente tutto in un unico posto direttamente dalla vostra dashboard Termly .

Il nostro generatore di informativa sulla privacyinclude, ad esempio, tutte le clausole, le formulazioni e le informazioni richieste dalla normativa. Tutto ciò che dovete fare è rispondere a semplici domande a scelta multipla sulla vostra attività, e il generatore genera un'informativa conforme e correttamente formattata sulla base delle vostre risposte.

Di seguito è riportato un esempio di schermata del nostro generatore di informativa sulla privacy .

Forniamo anche una gestione del consenso PlatformCMP) che potete utilizzare per soddisfare tutti i requisiti di consenso GDPR , come l'ottenimento e la registrazione delle scelte di consenso dei vostri utenti dell'UE e del SEE.

Di seguito, un esempio di come configurare il nostro banner di consenso per la conformità al GDPR , che potete impostare in base alla posizione regionale dei vostri utenti.

Il direttore della privacy globale di Termly, Masha Komnenic, contribuisce a garantire che il nostro team legale e gli esperti di privacy dei dati controllino i nostri generatori di policy, i modelli e gli strumenti. Li aggiorniamo regolarmente in modo che possiate stare al passo con le nuove leggi sulla privacy.

Domande frequenti sulla conformità al GDPR negli Stati Uniti

Qui di seguito mi sono preso il tempo per rispondere ad alcune delle domande più frequenti che ci vengono poste sul GDPR negli Stati Uniti.

Riassunto

Le aziende ricadono sotto la giurisdizione del GDPR se trattano i dati personali di un individuo all'interno dell'UE/SEE, il che significa che può interessare le aziende, i cittadini e i governi federali e statali statunitensi.

Poiché il GDPR protegge gli interessati in base al luogo in cui si trovano al momento del trattamento delle informazioni, questo regolamento può essere applicato a chiunque si trovi all'interno di un Paese dell'UE o del SEE, indipendentemente dalla sua nazionalità o dallo stato di cittadinanza.

Evitare le multe GDPR usando il generatore di informativa sulla privacy gratuito generatore di informativa sulla privacy e la gestione del consenso di Termly. gestione del consenso Platform per conformarsi correttamente al regolamento.

Per saperne di più su chi scrive

Scritto da Josh Langeland, CIPM

Ciao, sono Josh! Sono un ingegnere della privacy appassionato dell'uso della tecnologia per rispettare la privacy degli utenti. Mi trovo a mio agio nell'intersezione tra la tecnologia complessa e le leggi sulla privacy in continua evoluzione. Se non sto redigendo una revisione del progetto o riarchitettando un sistema, potrei trovarmi a leggere una biografia o a fare un'escursione nel parco nazionale più vicino. Per saperne di più su chi scrive

Recensito da Masha Komnenic CIPP/E, CIPM, CIPT, FIP Direttore di Global Privacy