# CCPA e CPRA: cosa significa per i cookie la legge USA sulla privacy

> Come si applicano CCPA e CPRA ai cookie: quando i tracker pubblicitari equivalgono a vendita o condivisione, link di opt-out, segnali GPC e cosa serve al sito.

Source: https://www.cookiesh.eu/it/blog/ccpa-cpra-cookies  
Published: 2026-05-19

## Key takeaways

- Il CCPA, come modificato dal CPRA, è una legge basata sull'opt-out che in genere non richiede il consenso prima di installare i cookie.
- I cookie e i pixel pubblicitari di terze parti possono configurare una vendita o una condivisione di informazioni personali, che fa scattare il diritto di opt-out.
- Le aziende soggette alla legge devono offrire un opt-out chiaro, come un link “Do Not Sell or Share My Personal Information”.
- Le aziende devono considerare i segnali di preferenza di opt-out, come Global Privacy Control, richieste valide di opt-out dalla vendita e dalla condivisione.
- Vendere o condividere le informazioni personali di consumatori di cui si sa che hanno meno di 16 anni richiede un'autorizzazione opt-in.

Il CCPA, come modificato dal CPRA, non richiede il consenso prima di installare i cookie. Considera invece molti cookie e pixel pubblicitari come una “vendita” o una “condivisione” di informazioni personali e riconosce ai residenti in California il diritto di opt-out. Le aziende soggette alla legge devono dichiarare cosa raccolgono, offrire un link di opt-out chiaro e rispettare i segnali del browser come Global Privacy Control.

## Cosa sono il CCPA e il CPRA?

Il California Consumer Privacy Act (CCPA) è la principale legge californiana sulla privacy dei consumatori. Il California Privacy Rights Act (CPRA) lo ha modificato e ampliato, quindi oggi con “CCPA” si intende di solito la legge risultante, così come modificata.

Il CPRA ha aggiunto nuovi diritti, ha introdotto il concetto di “condivisione” per la pubblicità comportamentale cross-context e ha istituito un'autorità dedicata, la California Privacy Protection Agency (CPPA). L'agenzia redige regolamenti dettagliati e condivide i poteri di controllo con il procuratore generale della California.

La legge si applica alle imprese a scopo di lucro che operano in California, trattano informazioni personali di residenti in California e superano almeno una soglia. Le soglie sono: un fatturato lordo annuo superiore a un importo stabilito e adeguato all'inflazione; l'acquisto, la vendita o la condivisione delle informazioni personali di 100.000 o più consumatori o nuclei familiari; oppure la realizzazione di almeno metà del fatturato annuo dalla vendita o dalla condivisione di informazioni personali. Non serve avere un ufficio in California per rientrare nell'ambito di applicazione.

## Per il CCPA i cookie sono informazioni personali?

Spesso sì. Il CCPA definisce le informazioni personali in modo ampio, e la sua definizione di identificativi univoci menziona esplicitamente cookie, beacon e pixel tag.

ID dei cookie, ID pubblicitari, indirizzi IP e cronologia di navigazione collegati a un consumatore, a un nucleo familiare o a un dispositivo rientrano in genere tutti nella definizione. Ciò che conta è cosa succede poi a quei dati. Un cookie di sessione di prima parte che mantiene l'utente connesso solleva pochi problemi ai fini del CCPA, mentre un pixel pubblicitario di terza parte che invia l'attività di navigazione a una rete pubblicitaria è un'altra storia.

## Quando un cookie costituisce una “vendita” o una “condivisione”?

Un cookie diventa una vendita o una condivisione quando consente a una terza parte di ricevere informazioni personali per finalità proprie o per la pubblicità comportamentale cross-context. Non è necessario che ci sia uno scambio di denaro.

- **Vendita** significa comunicare informazioni personali a una terza parte in cambio di un corrispettivo in denaro o di altro valore. Possono rientrarvi anche gli strumenti gratuiti che di fatto paghi con i dati dei visitatori.
- **Condivisione** significa comunicare informazioni personali a una terza parte per la pubblicità comportamentale cross-context, cioè annunci mirati in base all'attività di una persona su siti e app di altre aziende, indipendentemente dal fatto che venga scambiato qualcosa di valore.
- **Fornitori di servizi e contraenti** che trattano i dati solo per tuo conto, in base a un contratto che contiene le clausole richieste dalla legge, in genere non sono terze parti, quindi le comunicazioni nei loro confronti non sono vendite.

In pratica, i sospettati abituali sono i pixel di retargeting, i cookie delle reti pubblicitarie e i pixel di tracciamento dei social media. [Esegui un audit dei cookie](/it/blog/how-to-run-a-cookie-audit) per mappare quali fornitori ricevono dati e in base a quali contratti prima di classificarli uno per uno.

## Come si confronta il CCPA con il GDPR per i cookie?

La differenza fondamentale è l'impostazione predefinita. Le regole UE, cioè il Regolamento generale sulla protezione dei dati (GDPR) e la direttiva ePrivacy, richiedono un consenso opt-in prima che vengano caricati i cookie non essenziali, mentre la California ne consente il caricamento ma richiede un modo semplice per esercitare l'opt-out.

| | GDPR ed ePrivacy (UE) | CCPA e CPRA (California) |
| --- | --- | --- |
| Modello | Opt-in prima dei cookie non essenziali | Opt-out dalla vendita e dalla condivisione |
| Banner di consenso | Di fatto obbligatorio | Non obbligatorio |
| Controllo principale per l'utente | Scelte per accettare e rifiutare | Link “Do Not Sell or Share My Personal Information” |
| Segnali del browser | Effetti giuridici meno definiti | Obbligo di rispettare i segnali di preferenza di opt-out come il GPC |
| Minori | Regole specifiche per il consenso dei minori | Opt-in prima di vendere o condividere i dati di minori di 16 anni |
| Controlli | Autorità nazionali per la protezione dei dati | CPPA e procuratore generale della California |

Se ti rivolgi a entrambi i pubblici, il geotargeting ti permette di mostrare un banner opt-in nell'UE e un'esperienza opt-out in California. Per il lato UE, leggi [consenso ai cookie e GDPR: i requisiti spiegati](/it/blog/gdpr-cookie-consent-requirements).

## Di cosa ha bisogno il tuo sito web?

Le aziende soggette alla legge hanno bisogno di informative chiare, di un meccanismo di opt-out e dei processi di back-end che rendano effettivo l'opt-out. Usa questa checklist come punto di partenza.

1. **Informativa al momento della raccolta.** Al momento della raccolta o prima, comunica quali categorie di informazioni personali raccogli, perché, se le vendi o le condividi e per quanto tempo le conservi.
2. **Informativa privacy.** Descrivi i diritti dei consumatori e come esercitarli, e aggiorna l'informativa almeno una volta ogni 12 mesi.
3. **Link di opt-out.** Fornisci un link chiaro “Do Not Sell or Share My Personal Information”, o l'unico link di opt-out alternativo consentito dai regolamenti, di solito nel footer del sito.
4. **Rispetta il GPC.** Considera un segnale [Global Privacy Control](/it/blog/global-privacy-control) come un opt-out valido per quel browser e, se sai chi è il consumatore, anche per il suo account.
5. **Interrompi il flusso di dati.** Quando qualcuno esercita l'opt-out, smetti di attivare i tag che vendono o condividono i suoi dati. Un link che si limita a registrare una preferenza non basta.
6. **Limita i dati sensibili.** Se usi informazioni personali sensibili oltre le finalità consentite dalla legge, offri un link “Limit the Use of My Sensitive Personal Information”.
7. **Conserva le registrazioni.** Registra le richieste di opt-out e come le hai gestite, come faresti per la [prova del consenso](/it/blog/proof-of-consent-records), così potrai dimostrare che il tuo processo funziona.

## E gli altri Stati USA?

La California non è più sola. Un numero crescente di Stati USA ha approvato leggi organiche sulla privacy con diritti analoghi di opt-out dalla pubblicità mirata e dalla vendita di dati personali, e diversi impongono alle aziende di rispettare i segnali di opt-out universali.

I dettagli variano, comprese le soglie di applicabilità, le definizioni e la necessità di un consenso opt-in per alcuni dati, come quelli sensibili. Verifica ogni legge che si applica al tuo pubblico. Costruire un unico flusso di opt-out solido che rispetti il GPC ovunque è spesso più semplice che gestire eccezioni Stato per Stato.

## In sintesi

Per i cookie, il CCPA e il CPRA riguardano la trasparenza e un opt-out funzionante, non il consenso preventivo. Individua quali tracker vendono o condividono dati, offri ai californiani un modo chiaro per dire no, rispetta automaticamente il GPC e assicurati che l'opt-out blocchi davvero il flusso di dati. Strumenti come Cookiesh possono mostrare banner CCPA geolocalizzati e rispettare i segnali GPC al posto tuo.

*Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.*

## FAQ

### Mi serve un banner dei cookie per rispettare il CCPA?

Il CCPA non richiede un banner di consenso nel senso del GDPR. Ti servono però un'informativa al momento della raccolta e un modo funzionante per esercitare l'opt-out dalla vendita e dalla condivisione, e molti siti usano un banner o un link nel footer per offrire entrambi.

### Il CCPA si applica alle aziende con sede fuori dalla California?

Sì, se l'azienda supera le soglie previste dalla legge e tratta informazioni personali di residenti in California. Perché la legge si applichi non è necessario avere un ufficio o personale in California.

### Usare Google Analytics è una vendita o una condivisione ai sensi del CCPA?

Dipende dalla configurazione e dal contratto. I dati di analisi trattati solo per tuo conto in base a un contratto con un fornitore di servizi sono trattati diversamente da quelli usati per la pubblicità comportamentale cross-context, quindi esamina con un legale impostazioni come le integrazioni pubblicitarie.

### Chi fa rispettare il CCPA e il CPRA?

Sia il procuratore generale della California sia la California Privacy Protection Agency, istituita dal CPRA, hanno poteri di controllo e sanzione. L'agenzia emana inoltre i regolamenti che definiscono i dettagli operativi, per esempio come gestire i segnali di preferenza di opt-out.

## Sources

- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [California Privacy Protection Agency](https://cppa.ca.gov/)
- [Global Privacy Control](https://globalprivacycontrol.org/)