Riepilogo carrello
Il tuo carrello è vuoto
Prodotti nel carrello: 0
Totale prodotti: € 0,00
Riepilogo carrello
Il tuo carrello è vuoto
Prodotti nel carrello: 0
Totale prodotti: € 0,00
15/09/2025
Negli ultimi mesi, USA hanno visto l’adozione di due nuove leggi statali “comprehensive” che rafforzano i diritti dei consumatori in materia di dati personali e impongono obblighi più stringenti alle imprese. Parliamo del Minnesota Consumer Data Privacy Act (MCDPA) e del Maryland Online Data Privacy Act (MODPA). Ecco cosa sapere — per chi gestisce un sito, un e-commerce, un’app, o altro servizio che tratta dati personali.
Scopri come adeguare la privacy policy con LegalBlink.
SOMMARIO
Minnesota: cosa cambia con il MCDPA
Maryland: novità con il MODPA
Implicazioni pratiche
Il generatore di LegalBlink è già aggiornato
Il Minnesota Consumer Data Privacy Act è stato firmato dal governatore Tim Walz il 24 maggio 2024. La legge è entrata in vigore il 31 luglio 2025 per la maggior parte dei soggetti. Per le istituzioni post‐secondarie regolamentate dall’Office of Higher Education del Minnesota c’è una proroga fino al 31 luglio 2029.
La legge si applica a imprese o entità che:
operano nel Minnesota oppure offrono prodotti o servizi ai residenti dello stato, e
soddisfano almeno uno dei seguenti test (nello scorso anno solare):
controllano o processano i dati personali di almeno 100.000 consumatori residenti in Minnesota, esclusi dati trattati solo per completare transazioni di pagamento; oppure
controllano o processano i dati di almeno 25.000 consumatori residenti e ricavano più del 50% del loro fatturato lordo dalla vendita di dati personali.
Con il MCDPA, i consumatori del Minnesota ottengono diversi diritti, similmente ad altre leggi statali ma con alcune specificità:
confermare se i loro dati personali sono trattati (accesso / informazione)
accesso ai dati personali raccolti
correzione dei dati inesatti
cancellazione dei dati personali
portabilità dei dati (ottenere copia in formato utilizzabile)
diritto di opt‐out da pratiche quali pubblicità mirata (targeted advertising), vendita di dati personali, e profiling
diritto di contestare decisioni derivate da profilazione: sapere perché è stato preso un certo tipo di decisione basata su profilazione, poter correggere dati usati, e avere trasparenza su tali processi. Questa è una caratteristica meno comune.
Le imprese e i siti web devono:
predisporre privacy notices chiare: quali dati raccolgono, perché, con chi li condividono, diritti dell’utente.
mantenere un “inventario” dei dati personali che processano (data inventory) ed avere procedure/politiche interne per garantire la conformità alla legge.
applicare misure di sicurezza tecniche, amministrative e fisiche adeguate per proteggere i dati personali.
Il Maryland Online Data Privacy Act (MODPA) è stato approvato il 9 maggio 2024 con il Senate Bill SB 541. La legge entra in vigore 1° ottobre 2025. Tuttavia, sebbene entra in vigore in quella data, alcune disposizioni riguardanti l’applicazione effettiva del trattamento dei dati personali avranno effetto solo dal 1° aprile 2026.
MODPA si applica a “controllers” e “processors” (o entità che determinano le finalità e i mezzi del trattamento), che:
operano in Maryland o offrono prodotti/servizi destinati ai residenti dello stato, e
nell’anno solare precedente:
controllano o processano i dati personali di almeno 35.000 consumatori residenti in Maryland, escludendo i dati utilizzati solo per completare transazioni di pagamento; oppure
controllano o processano i dati personali di almeno 10.000 consumatori e ricavano più del 20% del loro fatturato lordo dalla vendita di dati personali.
Ci sono esenzioni: ad esempio per certe categorie di dati regolati da leggi federali (HIPAA, FERPA, FCRA etc.), alcuni enti governativi, aziende finanziarie ecc.
MODPA concede vari diritti simili ad altre leggi statali sulla privacy, tra cui:
confermare se un controller tratta i loro dati personali; accesso ai dati raccolti; correzione di inesattezze; cancellazione dei dati personali forniti o ottenuti.
portabilità dei dati (ottenere copia in formato utilizzabile)
ottenere informazioni su quali categorie di terze parti hanno ricevuto i dati personali del consumatore.
diritto di opt‐out: per pubblicità mirata, per la vendita di dati personali, e per profilazione se produce decisioni con effetti legali o simili.
Il MODPA impone restrizioni particolari per i dati sensibili, inclusi i dati sanitari dei consumatori (compresa assistenza riproduttiva, salute mentale, etc.), dati biometrici, geolocalizzazione precisa, orientamento sessuale, ecc.
Inoltre, il principio di minimizzazione dei dati è enfatizzato: i controller devono limitare la raccolta, il trattamento e la condivisione di dati sensibili e in generale dei dati personali a quanto è “strettamente necessario” per fornire o mantenere il prodotto/servizio richiesto dal consumatore.
L’ufficio dell’Attorney General del Maryland sarà l’autorità di applicazione. Non è previsto un diritto privato di azione per i consumatori sotto questa legge (in gran parte) — cioè non tutti i consumatori possono intentare causa civile direttamente in base a MODPA.
Con queste leggi (e altre simili in altri stati) il panorama normativo negli USA diventa sempre più frammentato ma anche più stringente. Ecco alcuni consigli utili:
Verificare se la legge si applica: controllare se la propria attività soddisfa i criteri numerici (numero di consumatori, percentuale del fatturato da vendita dati, etc.), e se serve o si offrono servizi a residenti di Minnesota o Maryland.
Aggiornare le privacy policy per includere i diritti dei consumatori secondo MCDPA e MODPA, le modalità con cui possono esercitarli, le informative su profilazione, vendita dati, pubblicità mirata, uso di dati sensibili.
Implementare meccanismi di opt‐out efficaci: per profilazione, pubblicità mirata, vendita di dati.
Data inventory e documentazione: tenere traccia dei tipi di dati raccolti, come vengono usati, con chi vengono condivisi; predisporre politiche interne, procedure, formazione del personale.
Minimizzazione dei dati: raccogliere solo ciò che è necessario, specialmente in relazione ai dati sensibili.
Pianificare la compliance entro le date di entrata in vigore, per evitare sanzioni. Per esempio MODPA effettivo da ottobre 2025, ma con alcune parti operative da aprile 2026; MCDPA da luglio 2025, con proroghe per istituzioni educative.
Le leggi del Minnesota e del Maryland rappresentano un ulteriore passo avanti nella protezione della privacy dei consumatori negli USA. Da un lato offrono diritti più chiari e incisivi agli utenti, dall’altro impongono nuovi obblighi a chi gestisce dati personali online.
Per agevolare i nostri clienti, il generatore LegalBlink è già stato aggiornato a queste normative: è sufficiente accedere al proprio account, entrare nel template Privacy Policy e selezionare i due nuovi stati dagli appositi menu. In questo modo la policy sarà automaticamente conforme anche alle disposizioni del Minnesota Consumer Data Privacy Act (MCDPA) e del Maryland Online Data Privacy Act (MODPA).