Il New Jersey si unisce al mosaico delle leggi statali sulla privacy

La legge sulla privacy dei dati dei consumatori del New Jersey, formalmente citata come PL 2023, c. 266 (NJDPL), colloca lo Stato tra un numero crescente di giurisdizioni che riconoscono ai residenti un controllo formale sui propri dati personali. Secondo l'analisi legale di Stauss PLLC, la normativa ricalca in generale la struttura della legge sulla privacy della Virginia, uno dei modelli più precoci e più ampiamente copiati del Paese. Ma la stessa analisi segnala un aspetto a cui vale la pena prestare attenzione: interi paragrafi e disposizioni presenti in leggi come quella del Connecticut mancano nella versione del New Jersey.

La distinzione è importante. Man mano che sempre più Stati approvano la propria legge sulla privacy dei dati dei consumatori, i dettagli su chi è coperto, quali diritti esistono e con quale rigore vengono fatti valere variano sensibilmente da Stato a Stato. L'approccio del New Jersey mostra come anche leggi costruite sulla stessa struttura di base possano divergere in modo significativo una volta finalizzate. Gli Stati continuano ad aggiungersi a questo mosaico a ritmo costante. La Louisiana è recentemente diventata il 22° Stato a emanare una normativa completa sulla privacy, sottolineando la rapidità con cui quest'area del diritto si sta espandendo e quanto siano divenuti disomogenei gli obblighi di conformità per le imprese che operano in più Stati.

Chi è tenuto a conformarsi: soglie che fanno scattare la legge

Come la maggior parte delle leggi statali sulla privacy, la normativa del New Jersey non si applica a tutte le imprese. Fissa soglie specifiche che determinano se un'azienda si qualifica come "titolare del trattamento" soggetta ai requisiti della legge. In generale, la legge si applica ai soggetti che trattano i dati personali di almeno 100.000 consumatori del New Jersey, escludendo i dati trattati esclusivamente per completare un'operazione di pagamento. Si applica anche alle imprese più piccole, che trattano dati di almeno 25.000 consumatori, qualora ricavino ricavi dalla vendita di tali dati personali.

Un aspetto degno di nota: la legge del New Jersey non prevede una soglia di fatturato per i titolari del trattamento, a differenza della legge sulla privacy della California, che fissa una cifra specifica in dollari per l'applicabilità. Ciò significa che il fatturato totale di un'azienda non è, di per sé, un fattore per determinare se si applichi la legge del New Jersey. L'attenzione resta invece concentrata sul volume di dati dei consumatori trattati e sull'eventuale vendita di tali dati.

Diritti dei consumatori ai sensi del NJDPL, e ciò che manca

Con questa legge, i consumatori del New Jersey acquisiscono generalmente diritti che riecheggiano quelli di altre normative statali sulla privacy: la possibilità di confermare se un'azienda sta trattando i propri dati, accedervi, correggere inesattezze, chiederne la cancellazione e ottenere una copia portabile delle proprie informazioni. I consumatori possono inoltre, di norma, opporsi all'utilizzo dei propri dati per la pubblicità mirata, alla loro vendita a terzi o all'impiego in determinate forme di profilazione che comportano effetti giuridici o conseguenze analogamente significative.

La situazione si fa più sfumata nei dettagli che l'analisi di Stauss PLLC segnala come assenti rispetto alla legge del Connecticut. La normativa del Connecticut è spesso citata dagli avvocati specializzati in privacy perché contiene tutele per i consumatori e requisiti procedurali più granulari rispetto a quelli di alcuni Stati analoghi. Il fatto che la legge del New Jersey ometta disposizioni che il Connecticut include suggerisce che, sebbene i consumatori del New Jersey godano di diritti significativi, i meccanismi di applicazione e le tutele specifiche potrebbero non essere così completi come quelli di cui beneficiano i residenti in altri Stati con leggi più recenti o più dettagliate.

Cosa significa per te

Se vivi nel New Jersey, questa legge ti conferisce per la prima volta a livello statale diritti reali e concreti sui tuoi dati personali. Puoi chiedere alle aziende cosa fanno con le tue informazioni, richiederne la correzione o la cancellazione e opporti alla vendita dei tuoi dati o al loro utilizzo per pubblicità mirata, a condizione che l'azienda rientri nelle soglie sopra descritte. Le imprese più piccole che non vendono dati e non raggiungono la soglia dei 100.000 consumatori potrebbero essere del tutto escluse dall'ambito di applicazione della legge, quindi non tutte le aziende con cui interagisci saranno obbligate a rispondere a queste richieste.

È anche utile comprendere che le tutele del New Jersey, per quanto reali, non rappresentano la versione più forte di una legge sulla privacy dei dati dei consumatori attualmente in vigore a livello nazionale. Se confronti i tuoi diritti con quelli di un amico o un familiare che vive in uno Stato come il Connecticut, non sorprenderti se la loro legge prevede procedure o tutele più specifiche. La natura frammentaria del diritto alla privacy negli Stati Uniti fa sì che i tuoi diritti possano davvero differire in base al tuo codice di avviamento postale, almeno finché una normativa federale – ammesso che arrivi – non uniformi il livello di base.

Spunti concreti

Per i residenti del New Jersey, il passo più utile è semplicemente imparare cosa chiedere: richiedere l'accesso ai propri dati, chiedere alle aziende di cancellare quelli che non sono più necessari e opporsi alla vendita dei dati o alla pubblicità mirata laddove un'azienda sia legalmente tenuta a dar seguito alla richiesta. Per le imprese che operano nel New Jersey, è il momento di verificare se si rientra in una delle soglie di trattamento e di rivedere le proprie pratiche alla luce del quadro di ispirazione virginiana che la legge segue, poiché le lacune rispetto a Stati più severi come il Connecticut non significano necessariamente obblighi di conformità più leggeri altrove. Man mano che sempre più Stati approvano la propria versione di una legge sulla privacy dei dati dei consumatori, restare informati sulle disposizioni specifiche del proprio Stato – e sui loro limiti – rimane il modo migliore per esercitare concretamente i diritti che ti sono stati riconosciuti.