Come la California rivoluziona il diritto all’oblio con il DELETE Act

## La Rivoluzione della Privacy in California: Il Delete Act e il Sistema DROP
La California si appresta a riscrivere le regole del gioco in materia di privacy con l’implementazione del *Delete Act, formalmente noto come Senate Bill 362. Questa legge, destinata a diventare uno degli sviluppi più significativi nella legislazione sulla privacy negli Stati Uniti dopo il California Consumer Privacy Act (CCPA), introduce un meccanismo centralizzato e vincolante per la gestione delle richieste di cancellazione dei dati personali. L’obiettivo primario è semplificare la vita dei consumatori californiani, offrendo loro un controllo più efficace sulle informazioni che vengono raccolte e vendute da terzi.

Storicamente, i consumatori si trovavano di fronte a un labirinto di richieste di cancellazione, dovendo contattare decine o addirittura centinaia di data broker, ognuno con le proprie procedure e standard di verifica. Il Delete Act elimina questo onere, imponendo la partecipazione al sistema DROP, una piattaforma unificata che permette di inoltrare una singola richiesta a tutti i data broker registrati.

La California Privacy Protection Agency (CPPA) svolge un ruolo cruciale come autorità di regolamentazione e di controllo. È responsabile della gestione del registro dei data broker, dell’amministrazione della piattaforma DROP, dell’emanazione di regolamenti, della conduzione di audit e della pubblicazione dei risultati.

## Come Funziona il Sistema DROP

Il sistema DROP, acronimo di Data Removal Opt-Out Platform, è il cuore operativo del Delete Act. Gestito dalla CPPA, consente ai consumatori californiani di presentare un’unica richiesta per cancellare i propri dati personali detenuti da tutti i data broker registrati. Questa piattaforma trasforma radicalmente il modo in cui le richieste di cancellazione vengono avviate e gestite.

I consumatori possono inoltrare le richieste tramite la piattaforma DROP, fornendo informazioni identificative sufficienti per localizzare i propri dati. Queste richieste vengono poi distribuite ai data broker registrati, che devono recuperarle tramite il loro account DROP e avviare le procedure di cancellazione interne. La piattaforma supporta sia le richieste di cancellazione che le funzionalità di opt-out, consentendo ai consumatori di bloccare la vendita futura dei propri dati.

I data broker sono tenuti a confermare il completamento delle richieste di cancellazione tramite il sistema DROP. Questa conferma è un passo fondamentale per garantire la conformità e crea una traccia verificabile delle richieste e delle risposte dei broker.
Il sistema DROP dovrebbe entrare in funzione entro il 1° gennaio 2026, con l’obbligo di conformità per l’elaborazione delle richieste a partire dal 1° agosto 2026.

## Obblighi e Sanzioni per i Data Broker
Il Delete Act impone obblighi significativi ai data broker, che vanno oltre la semplice partecipazione al sistema DROP. Devono elaborare le richieste di cancellazione verificate entro 45 giorni dalla ricezione, in linea con le tempistiche del CCPA. Inoltre, devono tenere registri interni che documentino come gestiscono le liste di cancellazione, le liste di richieste e le azioni di conferma. Questi registri sono soggetti a revisione da parte della CPPA e possono essere esaminati durante gli audit.

I data broker non conformi rischiano sanzioni crescenti. La legge prevede sanzioni civili fino a 200 dollari al giorno* per ogni giorno di non conformità, inclusa la mancata registrazione, la mancata elaborazione delle richieste di cancellazione o la mancata manutenzione di un meccanismo di cancellazione accessibile.

## Verso un Futuro di Maggiore Controllo sui Dati

Il Delete Act rappresenta un passo avanti significativo verso una maggiore trasparenza e controllo sui dati personali. La legge, in sostanza, mira a restituire ai cittadini californiani il potere di decidere come le proprie informazioni vengono utilizzate e vendute.

La creazione di una piattaforma centralizzata per le richieste di cancellazione semplifica notevolmente il processo per i consumatori, che non dovranno più districarsi tra le complesse procedure di ogni singolo data broker. Allo stesso tempo, il Delete Act impone obblighi stringenti ai data broker, garantendo che le richieste di cancellazione vengano elaborate in modo tempestivo ed efficace.

La trasparenza è un altro elemento chiave del Delete Act. I data broker devono divulgare chiaramente le proprie pratiche di gestione dei dati, compresi i tipi di informazioni raccolte, se vengono vendute e come i consumatori possono esercitare i propri diritti.

## Il Delete Act: Un’Opportunità per le Imprese

La conformità al Delete Act non è solo un obbligo legale, ma anche un’opportunità strategica per le imprese. Le aziende che dimostrano rispetto per la privacy dei consumatori sono più propense a guadagnare la fiducia dei partner, dei regolatori e del pubblico. Evitare sanzioni è un altro vantaggio tangibile. Le sanzioni per la non conformità, comprese le multe giornaliere e i danni alla reputazione, possono superare rapidamente le spese sostenute per la costruzione di sistemi conformi.

Inoltre, la conformità supporta la chiarezza operativa. Standardizzando il modo in cui le richieste di cancellazione vengono ricevute, elaborate e confermate, i data broker possono ridurre la complessità interna e migliorare la governance dei dati.
## Riflessioni sull’Automazione della Privacy

Il Delete Act californiano, con il suo sistema DROP, rappresenta un tentativo di automatizzare e semplificare il diritto all’oblio, un concetto cardine nella protezione dei dati personali. L’automazione, in questo contesto, non è solo una questione di efficienza, ma anche di equità. Rendere più facile per i consumatori esercitare i propri diritti significa dare loro un potere reale sulle proprie informazioni.
Un aspetto avanzato dell’automazione della privacy riguarda l’integrazione di sistemi di intelligenza artificiale per identificare e cancellare i dati personali in modo più preciso e completo. Questi sistemi potrebbero essere in grado di rilevare informazioni personali anche in contesti non strutturati, come documenti di testo o immagini, e di automatizzare il processo di cancellazione in modo da ridurre al minimo il rischio di errori o omissioni.

Tuttavia, è fondamentale che questi sistemi siano progettati e utilizzati in modo responsabile, garantendo la trasparenza e la possibilità di verifica da parte degli utenti. L’automazione della privacy non deve diventare un’arma a doppio taglio, che semplifica la vita delle aziende a scapito dei diritti dei consumatori.

E qui sorge spontanea una domanda: in un mondo sempre più automatizzato, saremo in grado di garantire che la privacy non diventi un lusso per pochi, ma un diritto per tutti?