Legge sulla privacy dei dati personali del Delaware: Primo sguardo e sintesi

Il Delaware Personal Data Privacy Act è la prima legge completa sulla privacy dei consumatori esistente nello Stato.

È entrato in vigore il 1° gennaio 2025 e delinea i requisiti e le restrizioni per la raccolta e il trattamento legale dei dati personali dei consumatori.

In questa guida scoprirete se il DPDPA ha un impatto sulla vostra azienda, quali diritti garantisce ai consumatori e come si confronta con tutte le altre leggi sulla privacy degli Stati Uniti.

cos'è la legge sulla privacy dei dati personali del Delaware (DPDPA)?

Il Delaware Personal Data Privacy Act (DPDPA), originariamente House Bill 154, è una legge sulla privacy dei dati che riguarda lo stato americano del Delaware.

Descrive i diritti e le opzioni che i consumatori hanno sulle loro informazioni personali e delinea i requisiti che gli enti devono seguire per raccogliere, elaborare e utilizzare legalmente tali informazioni.

Inoltre, spiega chi ha l'autorità di far rispettare la legge e di chiedere sanzioni in caso di violazione.

Data di entrata in vigore del DPDPA

La legge sulla privacy dei dati personali del Delaware è entrata in vigore il 1° gennaio 2025.

Termini e definizioni chiave del DPDPA

La legge sulla privacy dei dati personali del Delaware introduce diversi termini chiave che è necessario comprendere per conformarsi correttamente ai suoi vari requisiti.

Di seguito è riportato un elenco di questi termini e delle loro definizioni esattamente come appaiono nel testo del DPDPA:

Cosa prevede la legge sulla privacy dei dati personali del Delaware?

Il DPDPA riguarda i dati personali dei residenti nello Stato del Delaware che agiscono a titolo personale o familiare.

I dati personali che comprende comprendono tutto ciò che è collegato o ragionevolmente collegabile a una persona identificata o identificabile, compresi i dati personali sensibili.

Requisiti del DPDPA

Il DPDPA richiede che le entità seguano standard specifici per raccogliere, elaborare, utilizzare e condividere legalmente i dati personali, che analizzo di seguito.

Requisiti per il trattamento dei dati personali

Ai sensi dell'articolo 12D-106 del DPDPA, i responsabili del trattamento devono limitare la raccolta dei dati personali a quanto ritenuto ragionevole, adeguato e pertinente alle finalità del trattamento presentate all'utente.

Dovete inoltre stabilire e mantenere ragionevoli misure di sicurezza tecniche, amministrative e fisiche per proteggere la riservatezza e l'integrità delle informazioni.

Il responsabile del trattamento deve ottenere il consenso del consumatore per la raccolta e il trattamento di dati che vanno oltre lo stretto necessario.

Requisiti per il consenso

Secondo la legge sulla privacy dei dati personali del Delaware, il consenso di un consumatore deve essere:

• Affermativo
• Liberamente dato
• Specifico
• Informato
• Inequivocabile

Dovete utilizzare una dichiarazione scritta o altri mezzi elettronici per indicare l'azione positiva.

La richiesta di consenso non può includere ampi termini di utilizzo o documenti simili accanto ai dettagli del trattamento dei dati.

Inoltre, la nuova legge sulla privacy del Delaware afferma che l'utilizzo di modelli scuri, il passaggio del mouse, il muting, la pausa o la chiusura di un contenuto non sono segni di consenso.

Valutazioni sulla protezione dei dati

Il DPDPA richiede a determinate entità di eseguire valutazioni sulla protezione dei dati, come spiegato nella sezione 12D-108.

In particolare, i responsabili del trattamento che trattano i dati di 100.000 consumatori (esclusi i dati trattati esclusivamente per completare le operazioni di pagamento) devono effettuare e documentare valutazioni se:

• Elaborare i dati personali per la pubblicità mirata.
• Vendere dati personali.
• Trattare i dati per finalità di profilazione.
• Elaborare dati sensibili.

Il responsabile del trattamento deve soppesare i vantaggi del trattamento dei dati dei consumatori rispetto ai rischi potenziali per i diritti dei consumatori.

Occorre inoltre considerare tutte le misure di salvaguardia in atto, come l'utilizzo di dati de-identificati.

È possibile utilizzare un'unica valutazione per documentare più attività di trattamento e per soddisfare i requisiti di un'altra legge sulla privacy con un campo di applicazione simile.

Obblighi contrattuali con i responsabili del trattamento di terze parti

Secondo l'articolo 12D-107 del DPDPA, i responsabili del trattamento e gli incaricati del trattamento devono stipulare contratti specifici per soddisfare gli obblighi di questa possibile legge.

Il contratto giuridicamente vincolante deve:

• Definire chiaramente le istruzioni per l'elaborazione dei dati.
• Spiegare la natura e lo scopo del trattamento.
• Elencare i tipi di dati soggetti a trattamento.
• Spiegare la durata della lavorazione.
• Stabilire i diritti e gli obblighi di entrambe le parti.

Inoltre, il contratto deve prevedere che il trasformatore:

• Assicura che ogni persona che elabora le informazioni sia soggetta al dovere di riservatezza.
• Cancella o restituisce tutti i dati al responsabile del trattamento come richiesto al termine dei servizi o su indicazione del responsabile del trattamento (a meno che la conservazione non sia richiesta dalla legge).
• Mette a disposizione del responsabile del trattamento tutte le informazioni in suo possesso su richiesta ragionevole per dimostrare la conformità al DPDPA.
• Richiede a eventuali subappaltatori di impegnarsi in un contratto con le stesse linee guida dopo aver dato al responsabile del trattamento la possibilità di opporsi al subappaltatore.
• Consente e collabora a ragionevoli valutazioni da parte del responsabile del trattamento, del valutatore da lui designato o di un valutatore indipendente qualificato disposto dall'incaricato del trattamento.

Controlli globali sulla privacy

Ai sensi della sezione 12D-105 del DPDPA, i consumatori possono designare una "impostazione del browser, un'estensione del browser o un'impostazione globale del dispositivo" per indicare la rinuncia a determinati tipi di trattamento.

I responsabili del trattamento ai sensi di questa potenziale legge devono impostare i loro siti web in modo da rispondere adeguatamente ai controlli globali della privacy (GPC) e ad altri meccanismi universali di opt-out (UOOM) entro il 1° gennaio 2026.

La legge sulla privacy del Delaware rispetto ad altri Stati: Somiglianze e differenze

Il DPDPA presenta molte analogie con le leggi statali statunitensi recentemente firmate o attualmente in vigore.

Tali leggi includono quanto segue:

• California Consumer Protection Act (CCPA), as amended by the California Privacy Rights Act (CPRA)
• Legge sulla privacy del Colorado (CPA)
• Legge sulla privacy dei dati del Connecticut (CTDPA)
• Carta dei diritti digitali della Florida (FDBR)
• Legge sulla protezione dei dati dei consumatori dell'Indiana (Indiana CDPA)
• Legge sulla protezione dei dati dei consumatori dell'Iowa (Iowa CDPA)
• Legge sulla protezione dei dati dei consumatori del Kentucky (KCDPA)
• Legge sulla privacy dei dati dei consumatori del Minnesota (MCDPA)
• Legge sulla privacy dei dati online del Maryland (MODPA)
• Legge sulla privacy dei dati dei consumatori del Montana (MCDPA)
• Legge sulla privacy dei dati del Nebraska (NDPA)
• Legge sulla privacy dei dati del New Hampshire (NHDPL)
• Legge sulla privacy dei dati del New Jersey (NJDPA)
• Legge sulla privacy dei consumatori dell'Oregon (OCPA)
• Legge sulla protezione delle informazioni del Tennessee (TIPA)
• Legge sulla privacy e la sicurezza dei dati del Texas (TDPSA)
• Legge sulla privacy dei consumatori dello Utah (UCPA)
• Legge sulla protezione dei dati dei consumatori della Virginia (VCDPA)

Nella tabella seguente è possibile confrontare il DPDPA con tutte le altre leggi degli Stati Uniti.

* Un diritto di azione privata è concesso ai sensi del CCPA solo se un'entità compromette o espone l'indirizzo e-mail di un consumatore in combinazione con una password o una domanda di sicurezza o con informazioni personali non crittografate e non cancellate per negligenza.

Quale sarà l'impatto del DPDPA sui consumatori?

La nuova legge sulla privacy del Delaware ha un impatto positivo sui consumatori, garantendo loro nuovi diritti e un maggiore controllo sulle modalità di trattamento dei loro dati personali da parte delle entità coperte.

In particolare, la parte 12D-104 del DPDPA concede ai consumatori il diritto di:

• Confermare se un responsabile del trattamento sta trattando i propri dati personali e accedere a tali informazioni.
• Correggere le imprecisioni nei loro dati.
• Cancellare le informazioni personali fornite o ottenute sul consumatore.
• Ottenere una copia portatile dei propri dati in un formato facilmente utilizzabile, nella misura in cui ciò sia tecnicamente possibile.
• Ottenere un elenco delle categorie di terzi a cui il responsabile del trattamento comunica i propri dati.
• Rifiutare la pubblicità mirata.
• Optare per la vendita dei dati (con alcune eccezioni).
• Optare per la profilazione in vista di decisioni esclusivamente automatizzate che producono effetti legali (o di analoga rilevanza) nei confronti dell'individuo.

Questi diritti dei consumatori sono molto simili a quelli garantiti da altre leggi statali statunitensi già in vigore o recentemente approvate.

A chi si applica il DPDPA?

La legge sulla privacy dei dati personali del Delaware si applica alle informazioni personali dei residenti del Delaware che vivono in un contesto personale o familiare.

Tuttavia, non si applica alle persone che agiscono a titolo commerciale o lavorativo.

Inoltre, non si applica a proprietari, direttori, funzionari o appaltatori di società, partnership, imprese individuali, organizzazioni non profit o enti governativi.

Quale sarà l'impatto del DPDPA sulle aziende?

Il DPDPA ha un impatto sulle aziende in diversi modi, oltre alle valutazioni sulla protezione dei dati e agli obblighi contrattuali precedentemente menzionati.

Inoltre, influisce sull'informativa sulla privacy e sull'informativa sui cookie.

In che modo il DPDPA influirà sulla mia politica sulla privacy?

Il DPDPA descrive diversi requisiti che possono avere un impatto sulla vostra attuale politica sulla privacy.

Ad esempio, la Sezione 12D-106 stabilisce che i responsabili del trattamento devono presentare ai consumatori un'informativa sulla privacy "ragionevolmente accessibile, chiara e significativa" che presenti tutti i seguenti elementi:

• Le categorie di dati personali trattati
• Lo scopo del trattamento dei dati
• Come i consumatori possono esercitare i loro diritti e ricorrere contro le decisioni del responsabile del trattamento in merito alle loro richieste
• Le categorie di dati personali che il responsabile del trattamento condivide con terzi, se del caso.
• Le categorie di terzi con cui il responsabile del trattamento condivide i dati, se del caso.
• Un indirizzo e-mail attivo o un meccanismo online che il consumatore può utilizzare per contattare il responsabile del trattamento
• Se il responsabile del trattamento vende i dati personali o li utilizza per la pubblicità mirata, e come il consumatore può rinunciare a tali attività di trattamento
• Uno o più modi sicuri e affidabili con cui i consumatori possono presentare richieste per esercitare i loro diritti ai sensi del DPDPA

Inoltre, all'interno dell'informativa sulla privacy dovete inserire un link al vostro sito web che rimanda a una pagina in cui il consumatore può rinunciare alla pubblicità mirata e alla vendita dei suoi dati.

In che modo il DPDPA influisce sulla mia politica sui cookie?

La legge sulla privacy dei dati personali del Delaware può avere un impatto sulla vostra politica sui cookie se utilizzate i cookie di Internet per specifiche attività di elaborazione o se raccogliete determinati tipi di dati personali.

Ad esempio, in base a questa potenziale legge, i consumatori hanno il diritto di rinunciare a:

• Pubblicità mirata
• La vendita dei loro dati
• Profilazione

Se la vostra azienda utilizza i cookie e svolge una di queste attività di trattamento, dovete aggiornare la vostra politica sui cookie in modo che sia chiaramente descritta ai vostri clienti. Dovete inoltre fornire un facile meccanismo di opt-out.

Inoltre, per raccogliere informazioni personali sensibili attraverso i cookie di Internet, è necessario ottenere un consenso attivo prima di inserire i cookie nei browser degli utenti.

Chi deve rispettare la nuova legge sulla privacy del Delaware?

Secondo la Sezione 12D-103 del DPDPA, dovete conformarvi a questa legge se conducete attività commerciali nello Stato o producete prodotti o servizi rivolti ai residenti del Delaware e soddisfate una delle seguenti condizioni durante un anno solare:

• controllare o trattare i dati personali di non meno di 35.000 consumatori (esclusi i dati personali trattati esclusivamente per completare le operazioni di pagamento)
• Controllare o trattare i dati personali di non meno di 10.000 consumatori e ricavare più del 20% del proprio fatturato annuo lordo dalla vendita di dati personali.

È interessante notare che l'attuale soglia del DPDPA è numericamente inferiore a quella di altre leggi statali statunitensi ed è più probabile che si applichi alle piccole e medie imprese.

Chi è esente dal DPDPA?

Tutte le seguenti entità sono esenti dall'obbligo di conformarsi al DPDPA:

• Qualsiasi organo normativo, amministrativo, consultivo, esecutivo, di nomina, legislativo o giudiziario dello Stato o di una sua suddivisione politica.
• Istituti finanziari o loro affiliati soggetti alla legge Gramm Leach Bliley Act (GLBA)
• Organizzazioni non profit che si dedicano esclusivamente ad affrontare e prevenire i reati assicurativi.
• Associazioni nazionali di categoria, ai sensi del Securities Exchange Act del 1934.

Come possono le aziende prepararsi al DPDPA?

Le aziende possono prepararsi alla legge sulla privacy dei dati personali del Delaware aggiornando la loro politica sulla privacy per soddisfare i requisiti di notifica descritti dalla nuova legge.

Le entità coperte devono inoltre fornire ai consumatori più modi per esprimere i propri diritti in materia di privacy, come l'implementazione di un banner di consenso e l'aggiunta di un modulo di richiesta di accesso ai dati sul sito o sull'app.

Se la vostra organizzazione elabora i dati di oltre 100.000 consumatori, prevedete di eseguire valutazioni sulla protezione dei dati.

Allo stesso modo, assicuratevi che i contratti con gli elaboratori o i responsabili del trattamento di terze parti soddisfino le specifiche del DPDPA.

Infine, alcune parti di questa legge richiedono che i siti web delle entità coperte rispettino i controlli globali sulla privacy, quindi dovrete anche preparare la vostra piattaforma per questi obblighi.

Come verrà applicato il DPDPA?

Il DPDPA conferisce al Dipartimento di Giustizia l'autorità di applicare la legge nella sezione 12D-111 del disegno di legge, a differenza di altre leggi sulla privacy degli Stati Uniti che conferiscono il potere di applicazione ai rispettivi procuratori generali.

Il Dipartimento di Giustizia concede ai controllori che violano la legge un periodo di cura di 60 giorni.

Tuttavia, il periodo di cura termina il 31 dicembre 2025.

Dopo questa data, il Dipartimento di Giustizia prenderà in considerazione i seguenti dettagli per determinare se il controllore otterrà un periodo di cura o meno:

• Il numero di violazioni
• Le dimensioni e la complessità del controllore o del processore
• La natura e la portata delle loro attività di trattamento
• Probabilità di danno al pubblico
• La sicurezza delle persone o dei beni
• Se la causa della presunta violazione è probabilmente un errore umano o tecnico
• La misura in cui il responsabile del trattamento o l'incaricato del trattamento ha violato leggi simili in passato

Multe e sanzioni ai sensi della legge sulla privacy dei dati personali del Delaware

La versione attuale del DPDPA prevede che il Dipartimento di Giustizia possa perseguire le violazioni in base al Sottocapitolo II del Capitolo 25 del Titolo 29, una legge sulla protezione dei consumatori.

Le multe e le sanzioni possono raggiungere i 10.000 dollari per ogni violazione.

Il DPDPA stabilisce che i consumatori non hanno un diritto di azione privata ai sensi di questa legge, ma possono presentare reclami al Dipartimento di Giustizia.

In che modo Termly può contribuire alla conformità al DPDPA?

Termly offre generatori di polizze e una gestione del consenso Platform (CMP) che possono aiutare le entità a soddisfare le linee guida delineate dal DPDPA.

Il nostro team legale e i nostri esperti in materia di privacy sono i promotori delle nostre soluzioni di conformità, che aggiorniamo regolarmente per stare al passo con le nuove normative sulla privacy di tutto il mondo.

Ad esempio, il generatore di informativa sulla privacy diTermly vi pone semplici domande sulle attività di trattamento dei dati della vostra azienda e crea una politica unica basata sulle vostre risposte.

Di seguito è riportata un'immagine della schermata.

Inoltre, offriamo una gestione del consenso Platform che fornisce un banner di consenso. È possibile configurarlo per soddisfare i requisiti di opt-out descritti da leggi come il DPDPA.

Guardate come appare nella schermata qui sotto.

Iniziare a gestire il consenso

Inserisci l'uRL del tuo sito web

Per aiutarti a creare una politica dei cookie conforme alla legislazione mondiale, dobbiamo innanzitutto analizzare il tuo sito web alla ricerca dei cookie.

Avvia la scansione del sito web

Esistono altre leggi sulla privacy nel Delaware?

Il DPDPA è la prima legge completa del Delaware sulla protezione dei dati dei consumatori, ma altre leggi del Codice del Delaware riguardano la privacy dei residenti nello Stato.

In particolare, il Delaware Online Privacy and Protection Act(DOPPA) descrive linee guida specifiche per le entità che gestiscono siti Internet, servizi di consulenza e di cloud computing online e applicazioni online o mobili rivolte ai bambini.

Inoltre, lo Student Data Protection Act(SDPPA) protegge le informazioni personali degli studenti nello Stato e impedisce agli enti di:

• Utilizzo dei dati degli studenti per la pubblicità mirata.
• Vendere le informazioni degli studenti, tranne che in circostanze specifiche.
• Creare un profilo pubblicitario dello studente, a meno che non sia per scopi scolastici.

Riassunto

La legge sulla privacy dei dati personali del Delaware è ora in vigore e i requisiti per le UOOM entreranno in vigore nel 2026.

Per conformarsi a questa nuova normativa, le aziende devono aggiornare le loro politiche sui cookie e sulla privacy per soddisfare gli obblighi di notifica.

Dovreste anche fornire ai consumatori diversi modi per far valere i loro diritti, come un modulo DSAR e un banner di consenso con un centro di preferenze.

Ricordate che dovete offrire ai consumatori un modo semplice per rinunciare agli annunci mirati, alla vendita dei loro dati e a determinati tipi di profilazione.

Date alla vostra azienda un vantaggio utilizzando il generatore di informativa sulla privacy e il CMP di Termly, e togliete alcuni problemi di conformità alla privacy.

Per saperne di più su chi scrive

Scritto da Anokhy Desai CIPP/US, CIPT, CIPM

Anokhy è un avvocato specializzato in privacy con precedenti esperienze in materia di privacy e cybersecurity nel settore pubblico e privato. In qualità di ex Westin Fellow presso l'iAPP, ha pubblicato diversi articoli, white paper e infografiche e ha condotto, coordinato e moderato webinar e panel, tutti riguardanti la privacy e la tecnologia della privacy negli Stati Uniti. Anokhy ha conseguito un master presso la Carnegie Mellon University e un dottorato in giurisprudenza presso l'università di Pittsburgh. Per saperne di più su chi scrive