SB 923: la California amplia il diritto alla cancellazione del CCPA - cosa fare prima del 2027

La California ha cambiato le regole relative a uno dei più importanti diritti dei consumatori previsti dal CCPA.

Il 27 settembre 2026, il governatore Gavin Newsom ha firmato il Senate Bill 923, l’Expanding Privacy Rights Act (legge sull’estensione dei diritti alla privacy). La legge amplia il diritto alla cancellazione del CCPA, consentendo ai consumatori di chiedere a un’azienda di cancellare le informazioni personali che detiene su di loro, indipendentemente dal fatto che l’azienda le abbia raccolte direttamente dal consumatore o ottenute da una terza parte. Impone inoltre a determinate aziende esclusivamente online di offrire un metodo online per presentare richieste relative alla privacy. La legge entra in vigore il 1 gennaio 2027.

Restano quindi alcuni mesi per rivedere il modo in cui le richieste relative alla privacy vengono presentate, verificate, monitorate, evase e documentate. Questa guida spiega cosa cambia con SB 923, chi deve prestare attenzione e cosa fare prima della scadenza, inclusa l’adozione di un modulo web conforme per le richieste relative alla privacy.

La California Privacy Protection Agency (Agenzia californiana per la protezione della privacy), CalPrivacy, conferma entrambe le date. SB 923 non è una modifica al banner o all’informativa sulla privacy: cambia il processo operativo utilizzato per gestire le richieste dei consumatori. La checklist qui sotto illustra cosa fare prima di gennaio.

SB 923 modifica le Sections 1798.105 e 1798.130 del California Civil Code. Due cambiamenti sono particolarmente importanti per le aziende.

1. Il diritto alla cancellazione copre le informazioni raccolte dal consumatore o su di lui

Fino a oggi, il diritto alla cancellazione del CCPA copriva le informazioni personali che l’azienda aveva raccolto dal consumatore. La Section 1798.105 modificata riconosce ai consumatori il diritto di chiedere la cancellazione di qualsiasi informazione personale che l’azienda abbia raccolto “dal consumatore o su di lui”.

Prendiamo un tipico profilo cliente: dati inviati tramite un modulo web, cronologia degli acquisti, registri del servizio clienti e dati di arricchimento acquistati da un fornitore di dati. Con il diritto ampliato, il fatto che alcune di queste informazioni provengano da una terza parte non le esclude più da una richiesta di cancellazione. CalPrivacy descrive il cambiamento come la chiusura di una lacuna che consentiva alle aziende di conservare informazioni personali ottenute da terze parti.

Questo è particolarmente rilevante per le aziende che arricchiscono i record di clienti o prospect con fonti esterne, per CRM, marketing, personalizzazione, analytics, lead enrichment o prevenzione delle frodi. La domanda posta da una richiesta di cancellazione non è più “cosa ci ha fornito questo consumatore?”, ma “quali informazioni deteniamo su questo consumatore e quali di esse sono soggette a cancellazione?”

2. Le aziende esclusivamente online devono offrire un metodo online per le richieste

Le aziende che operano esclusivamente online e hanno un rapporto diretto con i propri consumatori attualmente devono fornire solo un indirizzo e-mail per le richieste relative alla privacy. Dal 1 gennaio 2027 dovranno offrire anche un metodo online, come un modulo web o un portale. La sezione sul requisito del modulo web spiega a chi si applica.

Considera una richiesta di cancellazione come un ciclo completo, non come una semplice e-mail che arriva in una casella di posta. Devi essere pronto a:

1. Ricevere la richiesta.
2. Verificare l’identità del consumatore.
3. Stabilire quali informazioni personali sono coperte dalla richiesta e quali eccezioni si applicano.
4. Individuare tali informazioni nei tuoi sistemi e cancellarle o trattarle in altro modo secondo quanto richiesto.
5. Coordinarti con fornitori di servizi, contraenti e terze parti rilevanti.
6. Conservare i registri consentiti dalla legge, in modo che le informazioni non ricompaiano.
7. Documentare l’esito e la risposta.

SB 923 richiede a fornitori di servizi e contraenti di collaborare con l’azienda nella gestione della richiesta e stabilisce regole specifiche per le informazioni ottenute da fonti diverse dal consumatore.

Il termine di risposta non è cambiato. Ai sensi della Section 1798.130, un’azienda deve rispondere a una richiesta verificabile del consumatore entro 45 giorni dal ricevimento, con la possibilità di una sola proroga di ulteriori 45 giorni quando ragionevolmente necessario, purché il consumatore venga informato entro i primi 45 giorni. Una richiesta che arriva in una casella e-mail non strutturata è difficile da verificare, assegnare, monitorare e completare entro tale termine.

La parte di SB 923 che richiede l’azione più immediata è il requisito di presentazione online. Si applica alle aziende che:

Dal 1 gennaio 2027 queste aziende dovranno fornire un indirizzo e-mail e un metodo online, come un modulo web o un portale online, per le richieste di accesso, cancellazione e rettifica. Se la tua azienda rientra in questa categoria, un semplice indirizzo e-mail dedicato alla privacy non sarà più sufficiente.

Un modulo web per richieste relative alla privacy offre ai consumatori un modo strutturato per presentare tali richieste. Invece di lasciare a loro il compito di capire cosa inserire in un’e-mail, li guida nella presentazione e standardizza le informazioni raccolte nella fase iniziale.

Cosa dovrebbe includere il modulo web

Un generico modulo “Contattaci” non è sufficiente. Un modulo web utile per le richieste relative alla privacy deve essere progettato attorno al flusso di gestione della richiesta:

Per molte aziende, la parte più difficile non sarà il modulo web. Sarà trovare tutte le informazioni personali rilevanti. Se le informazioni possono entrare nell’organizzazione da più fonti, il processo di cancellazione deve tener conto di ciascuna di esse.

SB 923 non richiede la cancellazione indiscriminata di ogni dato. La legge mantiene le proprie eccezioni quando la conservazione è ragionevolmente necessaria, incluse determinate finalità contrattuali, di sicurezza, debugging, legali e di ricerca. Fai quindi verificare i tuoi obblighi specifici da professionisti legali e della privacy.

Dati di terze parti: una cancellazione che resta efficace

Se un’azienda ha ottenuto informazioni personali su un consumatore da una fonte diversa dal consumatore stesso, può soddisfare una richiesta di cancellazione conservando un registro della richiesta e i dati minimi necessari per garantire che le informazioni rimangano cancellate e non vengano utilizzate per altri scopi. Può inoltre conservare un registro riservato delle richieste di cancellazione esclusivamente per impedire la vendita delle informazioni del consumatore, rispettare la legge o per altri scopi consentiti dal CCPA.

In pratica, cancellare non significa dimenticare che la richiesta è avvenuta. Senza un registro limitato di soppressione, le informazioni cancellate semplicemente ricompaiono la volta successiva che un fornitore di dati le invia.

Il processo deve trovare le informazioni indipendentemente dal modo in cui sono entrate nell’azienda.

Usa questa checklist per prepararti al 1 gennaio 2027.

Cancellazione e dati

Ricezione delle richieste

Gestione delle richieste

Sito web e informativa sulla privacy

Per gli altri obblighi CCPA, consulta la nostra checklist di conformità CCPA.

Per un’azienda che riceve richieste occasionali, l’e-mail può sembrare gestibile. Con l’aumento del volume, o con l’ampliamento dell’ambito di ciascuna richiesta, che è esattamente ciò che fa SB 923, la differenza diventa significativa.

La Delete Request and Opt-out Platform (piattaforma per richieste di cancellazione e opt-out, DROP) della California offre ai consumatori un unico luogo da cui inviare richieste di cancellazione ai data broker registrati, che hanno propri obblighi ai sensi del California Delete Act (legge californiana sulla cancellazione): dal 1 agosto 2026, i data broker registrati devono accedere a DROP almeno una volta ogni 45 giorni per scaricare e gestire le richieste di cancellazione.

SB 923 copre una relazione diversa, cioè le richieste che i consumatori inviano direttamente alle aziende soggette al CCPA, ma la direzione è la stessa. Le richieste relative alla privacy dei consumatori stanno diventando più strutturate, più accessibili e più rilevanti dal punto di vista operativo. Per una panoramica degli altri diritti, consulta quali diritti il CCPA riconosce ai consumatori.

Non serve un grande reparto privacy per prepararsi a SB 923, ma serve un processo ripetibile. Parti da cinque domande:

1. Dove possono presentare una richiesta i consumatori? Se il requisito di presentazione online si applica alla tua azienda, assicurati di avere un metodo online conforme prima del 1 gennaio.
2. Chi riceve la richiesta? Non lasciare che le richieste si perdano in una casella di posta generica.
3. Come verifichi il consumatore? Documenta un processo di verifica ragionevole, adeguato alle informazioni coinvolte.
4. Dove si trovano i dati del consumatore? Mappa CRM, piattaforma ecommerce, sistemi di marketing, strumenti di supporto, database e terze parti rilevanti.
5. Come dimostri cosa è successo? Conserva registri che mostrino quando è arrivata ogni richiesta, come è stata gestita, cosa è stato fatto e quando hai risposto.

La piattaforma CookieHub DSAR Management offre alle aziende online interessate il modulo web per le richieste relative alla privacy richiesto da SB 923 e gestisce ciò che avviene dopo l’invio:

È un modo pratico per aggiungere un canale online per le richieste relative alla privacy senza dover sviluppare internamente un sistema DSAR.

SB 923 amplia in modo sostanziale il diritto alla cancellazione del CCPA e fissa una scadenza chiara per le aziende: il 1 gennaio 2027. I consumatori potranno chiedere la cancellazione delle informazioni personali raccolte da loro o su di loro, incluse quelle ottenute da terze parti, fatte salve le eccezioni previste dalla legge. Le aziende esclusivamente online con un rapporto diretto con i consumatori dovranno inoltre offrire un metodo di presentazione online, come un modulo web per le richieste relative alla privacy.

Costruisci il processo ora invece di aspettare la scadenza: rivedi i canali di ricezione, la verifica, le fonti dei dati, i flussi di cancellazione, il coordinamento con terze parti e i registri di audit, e implementa il modulo web per le richieste relative alla privacy prima del 1 gennaio 2027.