Nel giugno 2026, i legislatori del Vermont hanno firmato il Vermont Data Privacy and Online Surveillance Act (VDPOSA).
La nuova legge sulla privacy dei consumatori, di prossima entrata in vigore, definisce i diritti dei singoli individui in merito ai propri dati personali e descrive gli obblighi a cui devono attenersi i soggetti per raccogliere e utilizzare tali dati in modo lecito.
- Che cos’è la legge del Vermont sulla protezione dei dati e la sorveglianza online (VDPOSA)?
- Quando entra in vigore il VDPOSA?
- Cosa copre il VDPOSA?
- Quali sono i requisiti previsti dalla legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
- A chi si applica la legge del Vermont sulla protezione dei dati e la sorveglianza online?
- Quali saranno le ripercussioni sui consumatori della legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
- Quali saranno le ripercussioni della legge sulla privacy del Vermont sulle imprese?
- In che modo il VDPOSA influirà sulla mia informativa sulla privacy?
- In che modo il VDPOSA influirà sulla mia politica sui cookie?
- Chi è tenuto a rispettare la nuova legge sulla privacy del Vermont?
- Chi è esente dall'applicazione della legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
- Come verrà applicata la legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
- Quali sono le multe e le sanzioni previste dalla legge del Vermont sulla protezione dei dati e la sorveglianza online?
- Legge del Vermont sulla protezione dei dati e sulla sorveglianza online: termini chiave e definizioni
- In che modo Termly le aziende a conformarsi al Vermont Data Privacy and Online Surveillance Act?
Che cos’è la legge del Vermont sulla protezione dei dati e la sorveglianza online (VDPOSA)?
Il “Vermont Data Privacy and Online Surveillance Act” è una nuova legge sulla protezione dei dati dei consumatori che garantisce ai residenti dello Stato il diritto di decidere se, quando e in che modo i propri dati personali vengano raccolti, utilizzati e condivisi da soggetti online.
Il documento delinea le rigide linee guida che i soggetti sono tenuti a seguire nell'utilizzo di tali informazioni e descrive le sanzioni previste in caso di inadempienza.
Questa legge ha lo scopo di garantire ai residenti del Vermont maggiore trasparenza e controllo sulla propria privacy.
Quando entra in vigore il VDPOSA?
Il VDPOSA entrerà in vigore il 1° gennaio 2028.
Cosa copre il VDPOSA?
Il VDPOSA disciplina il trattamento dei dati personali dei residenti nello Stato del Vermont.
Qualsiasi dato personale raccolto sui residenti del Vermont da soggetti che soddisfano i requisiti di legge è soggetto alle disposizioni previste da questa nuova legge.
Quali sono i requisiti previsti dalla legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
Tra i requisiti previsti dal “Vermont Data Privacy and Online Surveillance Act” che hanno un impatto sulle imprese e sui proprietari di siti web figurano:
- Limiti alla raccolta dei dati: in qualità di titolare del trattamento, il tuo sito web deve limitare la raccolta dei dati personali a quanto ragionevolmente necessario e proporzionato rispetto alle finalità per cui i dati vengono trattati, come comunicato all’utente.
- Misure di sicurezza e protezione: è necessario adottare e mantenere pratiche ragionevoli in materia di sicurezza dei dati a livello amministrativo, tecnico e fisico, al fine di tutelare la riservatezza, l'integrità e l'accessibilità dei dati raccolti.
- Protezione aggiuntiva per i dati sensibili: non è possibile trattare dati sensibili a meno che l'utente non abbia fornito il proprio consenso e il trattamento sia ragionevolmente necessario in relazione alle finalità per cui i dati vengono raccolti. Non è inoltre possibile vendere i dati senza aver ottenuto il consenso dell'utente.
- Prevedere un meccanismo di consenso: è necessario prevedere un meccanismo che consenta agli utenti di revocare o ritirare il proprio consenso, e tale meccanismo deve essere altrettanto semplice quanto lo è stato per loro prestare il consenso.
- Protezione aggiuntiva per i minori di età compresa tra i 13 e i 18 anni: non è consentito trattare i dati personali dei consumatori di questa fascia d'età a fini di pubblicità mirata né vendere le loro informazioni.
- Fornire un'informativa sulla privacy: in qualità di titolare del trattamento, il tuo sito web deve fornire agli utenti un'informativa sulla privacy ragionevolmente accessibile e chiara, che includa dettagli specifici sul trattamento dei dati da parte tua.
- Stipulare contratti adeguati tra i titolari del trattamento e i responsabili del trattamento: se si collabora con un responsabile del trattamento o si assume tale ruolo, è necessario che entrambe le parti firmino un contratto specifico che definisca i dettagli del rapporto. Tra i requisiti figurano l’obbligo per il responsabile del trattamento di attenersi a tutte le linee guida del VDPOSA, di restituire tutti i dati al titolare del trattamento su sua richiesta e di essere soggetto all’obbligo di riservatezza.
- Protezione dei dati e valutazioni d’impatto: in qualità di titolare del trattamento, è necessario effettuare una valutazione della protezione dei dati e d’impatto per tutte le attività di trattamento che presentano un rischio elevato di danno per i consumatori, compreso il trattamento dei loro dati a fini di pubblicità mirata, la vendita dei dati, il trattamento dei dati a fini di profilazione e il trattamento di dati sensibili.
A chi si applica la legge del Vermont sulla protezione dei dati e la sorveglianza online?
La legge del Vermont sulla protezione dei dati personali si applica alle persone fisiche residenti nello Stato, che la legge definisce“consumatori”.
Il termine non comprende le persone fisiche che agiscono in ambito commerciale o lavorativo.
Quali saranno le ripercussioni sui consumatori della legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
La legge del Vermont sulla privacy dei dati e sulla sorveglianza ha un impatto sui consumatori, in quanto garantisce loro i seguenti diritti in merito ai dati personali:
- Il diritto di sapere se un titolare del trattamento sta trattando i propri dati,
- Diritto di accesso ai propri dati,
- Diritto di rettifica dei propri dati,
- Diritto alla cancellazione dei propri dati,
- Diritto di ottenere un elenco dei soggetti terzi ai quali il titolare del trattamento ha ceduto i propri dati,
- Diritto di rinunciare alla pubblicità mirata,
- Diritto di contestare i risultati della profilazione effettuata dal titolare del trattamento e di essere informato sui motivi della decisione.
- Diritto di accedere ai propri dati trattati ai fini della profilazione,
- Se la decisione riguarda l’alloggio, il diritto di tenere conto della natura dei dati e delle finalità per cui sono stati trattati,
- Avere il diritto di correggere le inesattezze trattate ai fini della profilazione e di ottenere che la decisione venga riesaminata sulla base delle correzioni apportate.
- Diritto alla portabilità
- Diritto alla non discriminazione
Un aspetto peculiare di questa legge è la sua interpretazione del “diritto all’informazione”, che comprende quanto segue:
«comprese eventuali deduzioni relative al consumatore derivanti da tali dati personali e l’eventuale trattamento, da parte del titolare o del responsabile del trattamento, dei dati personali di un consumatore a fini di profilazione per prendere una decisione che produca effetti giuridici o di pari rilevanza nei confronti di un consumatore, a meno che tale conferma o accesso non comporti per il titolare del trattamento l’obbligo di rivelare un segreto commerciale o che al titolare del trattamento sia vietato divulgare tali dati personali»
In altre parole, se un consumatore ne fa richiesta, è necessario informarlo in merito alle deduzioni che la vostra azienda ha tratto su di lui attraverso il trattamento dei suoi dati.
Quali saranno le ripercussioni della legge sulla privacy del Vermont sulle imprese?
Le aziende sono interessate dalla nuova legge sulla privacy del Vermont in diversi modi, come evidenziato dall'elenco dei requisiti riportato sopra, ma tale legge ha un impatto esplicito sulle informative sulla privacy e sulle politiche relative ai cookie dei siti web.
In che modo il VDPOSA influirà sulla mia informativa sulla privacy?
Il VDPOSA ha un forte impatto sulle informative sulla privacy dei siti web.
Ai sensi della nuova legge del Vermont, è obbligatorio fornire ai consumatori un’informativa sulla privacy chiara e comprensibile che includa le seguenti informazioni:
- Categorie di dati personali oggetto di trattamento,
- Finalità del trattamento e descrizione delle modalità di trattamento,
- Una descrizione delle modalità con cui i consumatori possono presentare richiesta per far valere tutti i propri diritti in materia di privacy,
- Le categorie di dati personali eventualmente ceduti a terzi,
- Le categorie dei soggetti terzi a cui vengono venduti i dati, se del caso,
- Un’informativa chiara e ben visibile su qualsiasi trattamento effettuato ai fini della pubblicità mirata o della vendita di dati a terzi per la pubblicità mirata,
- Un indirizzo e-mail attivo o un altro canale online che i consumatori possano utilizzare per contattarti,
- Una dichiarazione che indichi se si utilizzano dati personali allo scopo di addestrare modelli linguistici di grandi dimensioni,
- L'ultimo anno in cui hai aggiornato la tua informativa sulla privacy.
È importante sottolineare che la legge sulla privacy del Vermont impone espressamente di informare i consumatori qualora si utilizzino i loro dati per addestrare un modello di intelligenza artificiale di qualsiasi tipo.
Ciò riflette le modalità più moderne con cui i dati personali vengono utilizzati e integrati in diverse tecnologie.
Inoltre, l'avviso deve essere reso pubblico anche attraverso tutte le seguenti modalità:
- Tramite un link ben visibile che includa la parola “privacy” nella home page del sito web, nella pagina dell’app store o nella pagina di download di un’app, nel menu delle impostazioni o in una posizione altrettanto ben visibile,
- Se non disponi di un sito web, tramite un canale attraverso il quale interagisci regolarmente con i tuoi clienti, come la posta tradizionale o l'e-mail,
- In ciascuna lingua, il titolare del trattamento fornisce qualsiasi prodotto o servizio soggetto all'informativa sulla privacy,
- In modo che sia ragionevolmente accessibile e fruibile da parte delle persone con disabilità.
È necessario informare i consumatori in merito a tutte le modifiche sostanziali apportate alla propria informativa sulla privacy e consentire loro di opporsi facilmente a eventuali modifiche relative al trattamento dei dati.
In che modo il VDPOSA influirà sulla mia politica sui cookie?
La nuova legge del Vermont sulla protezione dei dati riguarda anche le politiche sui cookie.
Il VDPOSA conferisce ai consumatori il diritto di opporsi alla pubblicità mirata e alla vendita dei propri dati a terzi, pratiche che i siti web attuano solitamente tramite l’utilizzo di cookie, pixel o altri strumenti di tracciamento sui browser o sui dispositivi degli utenti.
La vostra informativa sui cookie deve indicare quali cookie vengono utilizzati per tali finalità e descrivere tali finalità in modo chiaro e ben visibile. Deve inoltre essere resa disponibile al consumatore.
Assicurati che la tua informativa sui cookie sia aggiornata, in modo che soddisfi tutti i requisiti di trasparenza e informativa previsti dallo Stato del Vermont.
Ti consigliamo di inserire il link in un banner di consenso, nel piè di pagina del tuo sito e in una pagina dedicata alla privacy.
Chi è tenuto a rispettare la nuova legge sulla privacy del Vermont?
Chiunque svolga attività commerciali nel Vermont o fornisca servizi destinati ai residenti dello Stato e soddisfi i seguenti requisiti nell'anno solare precedente è tenuto a rispettare la legge del Vermont sulla protezione dei dati e sulla sorveglianza online:
- I trattamenti relativi ai dati personali di almeno 35.000 consumatori, esclusi i trattamenti effettuati esclusivamente per transazioni di pagamento già completate, oppure
- tratta o gestisce dati personali sensibili relativi ad almeno 3.000 consumatori, esclusi i trattamenti effettuati esclusivamente per transazioni di pagamento già completate, oppure
- Mette in vendita, a fini commerciali, i dati personali di almeno 3.000 consumatori.
Chi è esente dall'applicazione della legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
Le seguenti organizzazioni sono esentate dall'obbligo di attenersi al VDPOSA:
- Enti governativi federali, statali, tribali o locali
- Soggetti soggetti alla normativa HIPAA
- Organizzazioni non profit
- Organizzazioni non profit istituite per individuare e prevenire le frodi assicurative
- Banche o cooperative di credito autorizzate a livello statale o federale
- Enti soggetti alla vigilanza del Dipartimento per la regolamentazione finanziaria o della Commissione per i titoli e gli scambi
- Attività non commerciale svolta da chiunque sia collegato alla pubblicazione di una testata a diffusione generale, a emittenti radiofoniche o televisive titolari di una licenza rilasciata dalla Commissione Federale delle Comunicazioni, a organizzazioni senza scopo di lucro che forniscono programmi a reti radiofoniche o televisive, oppure a un’associazione di stampa o a un’agenzia di stampa
Come verrà applicata la legge del Vermont sulla protezione dei dati e sulla sorveglianza online?
La legge del Vermont sulla protezione dei dati e sulla sorveglianza online sarà applicata dal Procuratore Generale dello Stato.
Il Procuratore Generale presenterà inoltre, entro il primo dicembre di ogni anno, una relazione in cui saranno indicati:
- Il numero di avvisi di violazione che sono stati emessi,
- La natura delle violazioni,
- Il numero di violazioni che hanno dato luogo a provvedimenti coercitivi,
- Il numero di procedimenti giunti in fase di processo,
- Indipendentemente dal fatto che al titolare del trattamento sia stata concessa o meno la possibilità di porre rimedio alla violazione,
- Qualsiasi altra questione ritenuta opportuna dal Procuratore Generale.
Ai sensi della presente legge, i consumatori non hanno diritto di intentare un'azione civile.
Quali sono le multe e le sanzioni previste dalla legge del Vermont sulla protezione dei dati e la sorveglianza online?
Le sanzioni amministrative previste per la violazione della legge del Vermont sulla protezione dei dati e sulla sorveglianza online potrebbero arrivare fino a 10.000 dollari per ogni singolo caso.
Legge del Vermont sulla protezione dei dati e sulla sorveglianza online: termini chiave e definizioni
Nella tabella che segue è possibile consultare alcuni termini chiave del VDPOSA e le relative definizioni, così come riportati direttamente nel testo normativo stesso.
| Termini chiave | Definizione |
| Consenso | Un atto affermativo chiaro che indichi il consenso liberamente espresso, specifico, informato e inequivocabile del consumatore a consentire il trattamento dei dati personali che lo riguardano.
Può consistere in una dichiarazione scritta, anche in formato elettronico, o in qualsiasi altra azione affermativa inequivocabile. NON include:
|
| Consumatore | Un individuo residente nello Stato.
NON include:
|
| Controller | Una persona che, da sola o insieme ad altri, determina le finalità e le modalità del trattamento dei dati personali. |
| Dati personali | Qualsiasi informazione, compresi i dati derivati e gli identificatori univoci, che sia collegata o ragionevolmente collegabile, da sola o in combinazione con altre informazioni, a una persona fisica identificata o identificabile oppure a un dispositivo che identifichi, sia collegato o sia ragionevolmente collegabile a una o più persone fisiche identificate o identificabili.
NON include:
|
| Processo/Lavorazione | Qualsiasi operazione o insieme di operazioni effettuate, con mezzi manuali o automatizzati, su dati personali o su insiemi di dati personali, quali la raccolta, l’utilizzo, la conservazione, la comunicazione, l’analisi, la cancellazione o la modifica dei dati personali. |
| Processore | Una persona che raccoglie o tratta dati personali per conto di un titolare del trattamento o di un altro responsabile del trattamento. |
| Vendita di dati personali | La cessione dei dati personali di un consumatore da parte del titolare del trattamento a un soggetto terzo a titolo oneroso o in cambio di un altro corrispettivo di valore.
NON include:
|
| Dati sensibili | Dati personali che comprendono:
|
| Pubblicità mirata | La visualizzazione di annunci pubblicitari rivolti a un consumatore, in cui l’annuncio viene selezionato sulla base di dati personali ottenuti o dedotti dalle attività svolte dal consumatore nel corso del tempo e su siti web o applicazioni online non affiliati, al fine di prevedere le preferenze o gli interessi del consumatore.
NON include:
|
In che modo Termly le aziende a conformarsi al Vermont Data Privacy and Online Surveillance Act?
Termly le aziende a semplificare l'adempimento delle normative sulla privacy in vigore in tutto il mondo, comprese le leggi statali statunitensi attualmente in vigore.
Il nostro team lavora con impegno per garantire che i nostri generatori di polizze e gestione del consenso siano sempre aggiornati, in modo da stare al passo con le leggi in evoluzione e con quelle di nuova introduzione.
Provvederemo ad apportare gli adeguamenti necessari e informeremo i nostri clienti prima dell’entrata in vigore del Vermont Data Privacy and Online Surveillance Act.
Torna a trovarci per ulteriori aggiornamenti!
Natasha Piirainen è una scrittrice specializzata in privacy con una laurea in inglese e filosofia conseguita presso il Wheaton College e oltre 10 anni di esperienza professionale nello sviluppo di contenuti basati sulla ricerca.
Leggi tutti i post di Natasha Piirainen
Revisionato da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic è consulente legale e Direttore della Privacy Globale Termly, laureata in giurisprudenza presso l'Università di Belgrado. È specializzata nell'implementazione, nel monitoraggio e nella verifica della conformità aziendale alle normative sulla privacy (HIPAA, PIPEDA, Direttiva ePrivacy, GDPR, CCPA, POPIA, LGPD).
Leggi tutti i post revisionati da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Genera un'informativa sulla privacy GRATUITA
