Oltre la Svizzera: Aiara copre ora USA, Brasile e Sudafrica

Fino a poco tempo fa per Aiara valeva un confine chiaro: Svizzera e UE. Era una decisione deliberata — meglio due ordinamenti trattati bene che dieci a metà. Nel frattempo però si sono moltiplicate le richieste di clienti i cui siti vengono consultati anche fuori dall'Europa. Abbiamo quindi esteso Aiara a tre ordinamenti: Stati Uniti, Brasile e Sudafrica.

Gli Stati Uniti funzionano esattamente al contrario

Prima l'essenziale, perché è la differenza maggiore: negli Stati Uniti non esiste un modello di consenso. Ciò che qui è ovvio — prima chiedere, poi impostare i cookie — è sconosciuto al diritto americano in questa forma. Là il trattamento è lecito finché una persona non vi si oppone.

Ciò ha una conseguenza immediata sull'interfaccia: un visitatore dalla California non vede un banner che gli chiede l'assenso. Vede un link sempre raggiungibile — di norma «Your Privacy Choices» — attraverso il quale può opporsi alla vendita e alla condivisione dei propri dati. Chi non offre questo link viola le prescrizioni. Chi mostra invece un banner di consenso europeo non le soddisfa ugualmente.

Aiara riconosce la regione e commuta automaticamente. Per i visitatori da Svizzera e UE tutto resta invariato.

Un segnale per oltre venti Stati

Gli Stati Uniti non hanno una legge unitaria sulla protezione dei dati. La California ha il CCPA nella versione modificata dal CPRA, la Virginia il VCDPA, poi vengono Colorado, Connecticut, Utah, Texas, Oregon e una quindicina di altri Stati con normative proprie. Attuarli uno per uno sarebbe un pozzo senza fondo.

Il settore pubblicitario ha creato una soluzione comune: la Global Privacy Platform dello IAB Tech Lab. Prevede una sezione nazionale che riunisce in un unico segnale i requisiti di tutti gli Stati. Aiara utilizza proprio quella sezione. Il vantaggio pratico: non dobbiamo sapere in quale Stato si trovi una persona — il segnale vale a livello federale. Un riconoscimento a livello di singolo Stato sarebbe tecnicamente oneroso, soggetto a errori e privo di utilità per lo scopo.

Il Global Privacy Control viene rispettato automaticamente

Un punto spesso trascurato nella pratica: in California e in altri Stati i siti devono rispettare il Global Privacy Control. È un segnale che il browser o un'estensione per la privacy invia automaticamente e che significa: questa persona si oppone alla condivisione dei propri dati.

Giuridicamente non è un auspicio, bensì un'opposizione valida. Le autorità californiane hanno imposto in diversi procedimenti che venga rispettata. Aiara valuta il segnale non appena la modalità statunitense è attiva e attua l'opposizione senza ulteriori richieste. Nella finestra di selezione compare allora un'indicazione che il segnale del browser è stato riconosciuto e già rispettato — e l'interruttore è bloccato, perché non c'è più nulla da decidere.

Che cosa disattiva realmente un'opposizione

Qui la precisione conta, perché è facile andare troppo oltre o restare al di sotto. Un'opposizione secondo il diritto californiano è rivolta contro la vendita, la condivisione e la pubblicità mirata. Non è rivolta contro la misurazione dell'audience per finalità proprie — che là non è considerata una vendita.

In caso di opposizione Aiara disattiva quindi la categoria marketing e lascia attiva l'analisi. È una scelta deliberata e si distingue da un rifiuto secondo il RGPD, che colpisce entrambe. Chi desidera disattivare tutto può farlo tramite le categorie consuete — ma il requisito di legge è quello più ristretto.

Brasile e Sudafrica: modello familiare, testi nuovi

Per questi due l'impegno è stato minore, perché funzionano come il RGPD: entrambi si basano sul consenso. Il banner non ha quindi richiesto una ristrutturazione — mancavano soltanto i testi giuridici.

Il Brasile dispone con la Lei Geral de Proteção de Dados di una legge molto simile al RGPD, ma con termini e autorità propri. L'informativa sulla privacy indica ora le basi giuridiche secondo l'articolo 7, i diritti degli interessati secondo l'articolo 18, l'autorità di controllo ANPD e l'«Encarregado» — la figura corrispondente al responsabile della protezione dei dati. Vi si aggiunge il banner in portoghese, quinta lingua accanto a tedesco, francese, italiano e inglese.

Il Sudafrica disciplina la protezione dei dati nel Protection of Personal Information Act. La sezione indica le otto condizioni per un trattamento lecito, i diritti degli interessati, l'Information Officer e l'Information Regulator quale organo per i reclami. Una particolarità è l'obbligo di consenso per il marketing diretto elettronico verso persone che non sono ancora clienti — più severo di quanto molti si aspettino.

Ne ha davvero bisogno?

Probabilmente no, e lo diciamo deliberatamente con chiarezza. Il CCPA si applica solo a partire da 25 milioni di dollari di fatturato annuo oppure da dati relativi a 100 000 consumatori californiani. Gli altri Stati fissano soglie analoghe. Un artigiano di Winterthur con qualche visitatore d'oltreoceano non vi rientra.

Diventa rilevante in tre casi:

• Commercio elettronico di una certa dimensione con attività statunitense, che raggiunge effettivamente le soglie
• Requisiti contrattuali, quando un partner commerciale richiede tale copertura
• Direttive di gruppo, quando una controllata deve applicare gli stessi standard della capogruppo

Chi non rientra in nessuno di questi casi lascia semplicemente le funzioni disattivate. Lo sono per impostazione predefinita, e chi non le attiva non noterà l'estensione.

Come attivarlo

Due punti, entrambi nel cruscotto:

Nell'editor del banner trova un interruttore sotto «USA (CCPA e altri)». Quando è attivo, per i visitatori dagli Stati Uniti vale il modello di opposizione — con il link «Your Privacy Choices» al posto del banner di consenso.

Nel questionario, sotto «Ordinamento giuridico», compaiono tre nuove indicazioni: visitatori dagli USA, dal Brasile e dal Sudafrica. Ciascuna aggiunge una sezione propria alla Sua informativa sulla privacy. I testi vengono generati e aggiornati automaticamente come di consueto.

I due elementi sono indipendenti. Chi necessita solo dei testi per il Brasile, ma non della modalità statunitense, spunta soltanto la casella corrispondente.

Che cosa questa estensione non è

Infine il limite che ne fa parte: Aiara copre ora cinque ordinamenti — Svizzera, UE, Stati Uniti, Brasile e Sudafrica. Non è «tutto il mondo». Canada, Regno Unito, Australia, Giappone, India e molti altri hanno leggi proprie che non riproduciamo. Chi ha pubblico in quei Paesi e vi supera effettivamente le soglie applicabili ha bisogno di più di quanto offriamo oggi.

Abbiamo scelto i tre ordinamenti che ci sono stati concretamente richiesti. Se dovessero seguirne altri, deciderà lo stesso criterio: un'esigenza reale anziché l'elenco più lungo possibile su un sito web.