Il Regolamento generale sulla protezione dei dati dell’Unione Europea (GDPR) e il California Consumer Privacy Act (CCPA) sono due tra le normative sulla privacy dei dati più ampie e conosciute. Hanno ispirato altri quadri normativi per la protezione dei dati e della privacy degli utenti e, sebbene la conformità a una delle due avvicini anche alla conformità all’altra, le differenze riguardano l’implementazione tecnica, l’ambito di applicazione e le modalità di applicazione delle sanzioni.
Per i reparti IT interni e per i managed service provider (MSP), raggiungere e mantenere la conformità a questi quadri normativi può rappresentare un ostacolo notevole. Il confronto tra CCPA e GDPR aiuta a comprenderli meglio (così come le altre normative internazionali che tutelano i diritti degli utenti sui propri dati) e a mettere in campo i processi e le tecnologie necessari per soddisfarne i requisiti.
Cosa sono GDPR e CCPA e perché sono importanti
Il GDPR (in vigore dal 2018) e il CCPA (entrato in vigore nel 2020) riconoscono agli utenti determinati diritti sui propri dati personali e stabiliscono in che modo le organizzazioni, compresi i team tecnici che gestiscono la loro infrastruttura IT, devono proteggere questi dati e fornire agli utenti gli strumenti per esercitare tali diritti.
In linea generale, questi diritti comprendono la possibilità per gli utenti di chiedere la rettifica o la cancellazione dei propri dati e di impedirne il trasferimento a terzi senza il loro consenso. Il mancato rispetto di questi obblighi può comportare sanzioni legali significative in base a entrambe le normative: la conformità è quindi fondamentale per qualsiasi azienda che opera nell’UE o in California, due dei mercati più importanti per i servizi digitali.
Qual è la differenza tra conformità al GDPR e al CCPA
GDPR e CCPA sono due quadri normativi distinti, che si applicano a giurisdizioni diverse e prevedono requisiti diversi. Pur avendo obiettivi simili, differiscono per requisiti di conformità, ambito di applicazione, definizioni e diritti riconosciuti.
È fondamentale che qualsiasi organizzazione che pianifica la propria conformità normativa (compresi CCPA e GDPR) faccia riferimento direttamente alle fonti legali ufficiali di queste normative (qui per il GDPR e qui per il CCPA) e si rivolga a esperti legali del proprio settore. Affidarsi a interpretazioni di terze parti può portare a una non conformità involontaria.
CCPA e GDPR: ambito di applicazione
La tabella seguente riassume l’ambito e i criteri di applicabilità di CCPA e GDPR. Va detto che è buona pratica, anche per le organizzazioni che non raggiungono le soglie previste dalle normative sulla privacy, rispettarle comunque: in questo modo possono collaborare come partner con aziende tenute alla conformità e si trovano già in regola quando arriva il momento di crescere.
| Aspetto | CCPA (California) | GDPR (Unione Europea) |
|---|---|---|
| Chi deve essere conforme? | Le organizzazioni che trattano i dati personali dei residenti in California | Le organizzazioni che trattano i dati personali dei residenti in qualsiasi Paese dell’Unione Europea (UE) |
| Quali tipi di aziende devono essere conformi? | Le aziende a scopo di lucro che superano le soglie previste | Tutte le organizzazioni che trattano dati personali |
| Soglie | Oltre 25 milioni di dollari di fatturato oppure trattamento dei dati personali di oltre 100.000 residenti in un anno | Si applica in base all’attività svolta, non a soglie |
| Chi fa rispettare la normativa? | California Privacy Protection Agency (CPPA) | Le autorità nazionali per la protezione dei dati (DPA) |
Tieni presente che devi rispettare CCPA e GDPR indipendentemente da dove ha sede la tua azienda: ciò che conta è dove si trova l’utente a cui i dati si riferiscono, non dove opera l’azienda.
Quali dati personali devo proteggere con CCPA e GDPR
I quadri normativi definiscono i “dati personali” in modo diverso. Poiché questo incide su cosa viene considerato dato personale, incide anche sul modo in cui devi trattare, conservare e proteggere tali dati a seconda di dove si trovano i tuoi utenti.
| Criterio | CCPA | GDPR |
|---|---|---|
| Dati personali | Informazioni che identificano uno specifico consumatore o nucleo familiare | Qualsiasi dato che può identificare una persona fisica |
| Dati particolari/sensibili (che richiedono protezione aggiuntiva) | Ampliati dal CPRA per includere dati come istruzione, posizione geografica e occupazione) | Le categorie particolari comprendono dati sanitari, politici, biometrici e religiosi |
Per individuare le informazioni personali identificabili (PII) all’interno dei dati che conservi servono strumenti di data discovery che funzionino sia con dati strutturati sia con dati non strutturati, così che, quando un utente chiede la cancellazione o la rettifica di un’informazione, sia possibile trovare e aggiornare tutte le occorrenze.
Diritti di consumatori e interessati con CCPA e GDPR
Il CCPA tutela i diritti del “consumatore”, cioè dei residenti in California che hanno fornito dati ad aziende soggette alla normativa. Il GDPR tutela i diritti degli “interessati”, ossia di qualsiasi residente in un Paese dell’UE, a prescindere dalla cittadinanza.
Consumatori e interessati hanno diritti diversi nei rispettivi quadri normativi. In particolare, il CCPA si basa su un modello di opt-out per la maggior parte dei trattamenti e delle condivisioni di dati (tranne che per i consumatori sotto i 16 anni), mentre il GDPR impone sempre all’organizzazione di ottenere il consenso esplicito dell’utente per attività specifiche.
| Diritto del consumatore/interessato | CCPA | GDPR |
|---|---|---|
| Accesso ai propri dati personali | Sì | Sì |
| Possibilità di rettificare i propri dati | Sì (introdotta dal CPRA) | Sì |
| Possibilità di cancellare i propri dati (diritto all’oblio) | Limitata | Ampia, con eccezioni specifiche, ad esempio per i dati sanitari o per le informazioni di interesse pubblico |
| Portabilità dei dati (trasferimento a un altro titolare) | Sì | Sì |
| Rifiuto della vendita/condivisione dei dati | Opt-out | Non necessario, perché è richiesto il consenso per l’opt-in |
| Consenso prima del trattamento | In genere implicito | Deve essere esplicito e specifico |
CCPA e GDPR: basi giuridiche del trattamento
Con il CCPA non è richiesta alcuna base giuridica per trattare i dati personali (pur esistendo alcune restrizioni), ma l’azienda deve comunicare come verranno utilizzati e offrire al consumatore la possibilità di opporsi. Il GDPR consente il trattamento solo sulla base di una delle sei basi giuridiche definite.
Questo ha conseguenze sulla gestione dei dati sensibili, soprattutto per gli interessati tutelati dal GDPR, perché la base giuridica o il consenso registrato per ogni utente e per i relativi dati devono essere tracciati e conservati.
Applicazione e sanzioni
Il CCPA prevede una sanzione massima di 2.500 dollari per ogni violazione non intenzionale e di 7.500 dollari per ogni violazione intenzionale. Le sanzioni previste dal GDPR vanno da un massimo di 10 milioni di euro, o il 2% del fatturato annuo, fino a 20 milioni di euro, o il 4% del fatturato annuo, a seconda della gravità della violazione. Per le aziende soggette al CCPA o al GDPR diventa quindi indispensabile documentare tutte le policy di protezione dei dati e registrare tutte le attività, così da poter dimostrare la propria conformità.
Requisiti tecnici e controlli
La protezione dei dati sensibili richiede alcune tecnologie chiave previste sia dal CCPA sia dal GDPR:
- Controlli di accesso ai dati: permessi basati sui ruoli, autenticazione a più fattori (MFA), principio del minimo privilegio (PoLP)
- Crittografia: necessaria per i dati protetti in transito e a riposo
- Audit logging: necessario per le attività di accesso e trattamento dei dati
- Tracciamento delle risposte alle richieste degli interessati (DSR) e alle richieste di accesso (SAR): 45 giorni (CCPA), 30 giorni (GDPR)
- Minimizzazione dei dati: obbligatoria con il GDPR, consigliata con il CCPA
Esistono diversi strumenti utili per costruire un’infrastruttura IT che favorisca la conformità: Azure AD e Okta per la gestione delle identità e degli accessi a protezione dei dati, Microsoft Purview e Symantec DLP per la prevenzione della perdita di dati, OneTrust e TrustArc tra le soluzioni più diffuse per la gestione dei consensi, mentre DataGrail e Microsoft Compliance Center possono essere usati per automatizzare la gestione delle DSR.
GDPR e CCPA: una sfida continua per gli amministratori IT e gli MSP
La tua responsabilità sui dati protetti degli utenti non finisce quando questi escono dal tuo controllo: ne rispondi anche se li condividi con organizzazioni che non li trattano in modo responsabile. Per questo servono accordi sul trattamento dei dati (DPA) che specifichino esattamente come devono essere utilizzati i dati degli utenti. Gli utenti devono inoltre essere informati di qualsiasi condivisione di informazioni con terze parti, in linea con questi DPA. Devi anche mantenere un elenco aggiornato di tutti i soggetti con cui condividi i dati.
Anche le normative sulla privacy evolvono: le leggi esistenti vengono aggiornate e nuovi quadri normativi entrano in vigore in Paesi o Stati che in precedenza non tutelavano legalmente i dati degli utenti. Questo significa che devi valutare continuamente chi sono i tuoi utenti, quali leggi si applicano a loro e se esistono nuovi requisiti di conformità per la conservazione o il trattamento dei loro dati.
La scelta degli strumenti è determinante per raggiungere la piena conformità: non solo i dati devono poter essere rettificati o cancellati facilmente dagli utenti, ma tutti i dati devono essere aggiornati di conseguenza, compresi quelli contenuti nei backup. Anche lo shadow IT rappresenta una sfida, perché è difficile proteggere i dati quando il personale li carica su servizi di terze parti senza alcun controllo da parte tua.
NinjaOne offre una piattaforma completa per la gestione dell’IT, che include il backup per la protezione dei dati, strumenti di monitoraggio per individuare usi impropri dei dati e potenziali violazioni della sicurezza e l’integrazione con soluzioni di sicurezza degli endpoint. NinjaOne unifica il controllo dell’intera infrastruttura IT e delle operazioni in un’unica interfaccia e mette a disposizione strumenti di automazione per aiutarti a mantenere la conformità.
Parla oggi stesso con un membro del team NinjaOne per scoprire come possiamo aiutarti a raggiungere la piena conformità in materia di privacy dei dati.
