I diritti riconosciuti ai consumatori

Il cuore del SECURE Data Act è la previsione di alcuni diritti individuali molto simili a quelli già presenti in molte leggi statali statunitensi.

Il consumatore avrebbe diritto a sapere se un controller tratta i suoi dati, ad accedere a una copia dei dati, a correggerli, cancellarli e ottenerli in formato portabile, ove tecnicamente possibile.

È previsto anche il diritto di opt-out rispetto a tre finalità:

• pubblicità mirata;
• vendita dei dati personali;
• uso della profilazione per decisioni con effetti legali o analogamente significativi.

Il testo prevede inoltre un termine ordinario di 45 giorni per rispondere alle richieste dell’interessato, prorogabile di ulteriori 45 giorni in caso di complessità o numero elevato di richieste. Il modello ricorda la logica del GDPR, ma con una costruzione più vicina alla tradizione statunitense dei consumer rights.

Minimizzazione, dati sensibili e adolescenti

Uno degli elementi più rilevanti è la regola di data minimization: il controller dovrebbe limitare la raccolta dei dati personali a quanto “adeguato, pertinente e ragionevolmente necessario” rispetto alle finalità dichiarate al consumatore.

È una formula interessante perché richiama, almeno nel lessico, il principio europeo di minimizzazione, pur senza riprodurre integralmente l’architettura del GDPR.

La proposta richiede il consenso opt-in per il trattamento dei dati sensibili.

 Tra le innovazioni segnalate dagli osservatori vi è anche l’attenzione ai dati dei teenager: il trattamento dei dati sensibili dei minori adolescenti richiederebbe il consenso verificabile del genitore.

Infatti i dati personali relativi agli adolescenti sotto i 16 anni sarebbero qualificati come dati sensibili. Il trattamento dei dati sensibili richiederebbe il consenso (opt-in) e, per questa fascia di età, sarebbe necessario il consenso verificato dei genitori, estendendo di tre anni la protezione oggi prevista dal Children’s Online Privacy Protection Act.

Trasferimenti transfrontalieri e codici di condotta

Una delle principali differenze rispetto al modello adottato dalle leggi statali riguarda i trasferimenti transfrontalieri di dati personali.

Il disegno di legge attribuirebbe espressamente al Segretario al Commercio un ruolo centrale nella politica federale statunitense sui flussi internazionali di dati, riconoscendolo come referente del governo USA per il bilanciamento tra circolazione dei dati nel commercio internazionale e tutela della protezione dei dati personali.

Decisioni automatizzate: presenti, ma senza una vera DPIA

Il SECURE Data Act contiene un riferimento alle decisioni automatizzate ADM: quando un controller usa la profilazione per assumere una decisione con effetto legale o similmente significativo, deve comunicarlo chiaramente al consumatore e indicare come esercitare il diritto di opt-out. Tuttavia, il testo definisce questa ipotesi in modo piuttosto restrittivo: rileva quando la decisione è presa senza revisione, coinvolgimento, supervisione o intervento umano.

Qui emerge una differenza netta rispetto al GDPR e ad alcune leggi statali più avanzate come quella californiana: secondo l’analisi di IAPP, nella bozza mancano obblighi espressi di Data Protection Impact Assessment, non vi è una disciplina organica sul DPO e non è previsto un obbligo attuale di riconoscere universal opt-out mechanisms.

Su questi ultimi, la proposta prevede soltanto uno studio futuro entro tre anni dall’entrata in vigore.

A chi si applicherebbe 

Il SECURE Data Act si applicherebbe alle imprese che trattano dati di oltre 200.000 consumatori statunitensi, con un’esenzione per le aziende con meno di 25 milioni di dollari di ricavi annui lordi rettificati.

Rientrerebbero comunque nella legge le imprese che vendono dati personali se trattano dati di oltre 100.000 consumatori e ricavano più del 25% del fatturato da tale vendita.

Il testo prevede inoltre numerose esenzioni: enti pubblici, processor che operano per loro conto, soggetti già regolati da normative federali settoriali, dati dei dipendenti, dati sanitari, report creditizi e informazioni personali mescolate con categorie già escluse.

In sintesi: la proposta mira a coprire le imprese medio-grandi e i data broker rilevanti, evitando di gravare sulle piccole imprese e sui settori già regolati da discipline federali specifiche.

La grande questione: preemption delle leggi statali

Il vero nodo politico è la preemption, cioè la capacità della legge federale di prevalere sulle leggi statali.

Il SECURE Data Act punta a costruire uno standard nazionale che sostituisca larga parte del patchwork statale. Per le imprese, ciò significherebbe minori costi di compliance e maggiore certezza regolatoria.

Per molte associazioni dei consumatori, invece, il rischio è opposto: una legge federale debole potrebbe neutralizzare le norme statali più forti, come quelle della California o del Maryland.

È questo il punto che rende la proposta divisiva. Le organizzazioni imprenditoriali vedono positivamente un quadro uniforme; diversi gruppi consumeristici e privacy advocates temono invece che la norma federale possa abbassare il livello complessivo di protezione. The Verge ha sintetizzato la critica osservando che il testo introdurrebbe alcune protezioni dove oggi non esistono, ma potrebbe indebolire diritti già riconosciuti in altri Stati.

Enforcement: FTC e Attorney General, ma senza azione privata

Sul piano dell’enforcement, la proposta affida il controllo alla Federal Trade Commission e agli Attorney General statali. Non è previsto un private right of action, cioè il diritto del singolo consumatore di agire direttamente in giudizio per violazione della legge.

È una scelta coerente con molte impostazioni repubblicane in materia di privacy, ma molto contestata dai sostenitori di una tutela più incisiva.

Il testo prevede anche un periodo di 45 giorni per sanare la violazione prima che FTC o Attorney General possano avviare l’azione. Anche questo elemento rende la proposta più orientata alla compliance correttiva che alla sanzione immediata.

Il confronto con il GDPR

Per un lettore europeo, il SECURE Data Act non deve essere letto come un “GDPR americano”. È piuttosto un tentativo di federare il modello delle leggi statali consumer privacy, con alcune aperture verso principi noti anche in Europa: accesso, cancellazione, portabilità, minimizzazione, opt-in sui dati sensibili, sicurezza e trasparenza.

Le differenze restano però profonde. Mancano una base giuridica generale paragonabile all’art. 6 GDPR, una disciplina sistematica della DPIA, un obbligo strutturale di accountability simile a quello europeo, un ruolo del DPO e un sistema di enforcement fondato anche su autorità indipendenti specializzate. Inoltre, l’assenza di azione privata e la forte preemption delle leggi statali segnano una distanza significativa dal modello europeo dei diritti fondamentali.

Perché interessa anche alle imprese europee

La proposta interessa anche le imprese europee per almeno tre ragioni. Primo: molte aziende UE operano sul mercato statunitense e potrebbero essere attratte da una maggiore uniformità normativa. Secondo: il tema dei trasferimenti internazionali e dei flussi transfrontalieri di dati resta centrale nei rapporti UE-USA. Terzo: privacy e AI sono sempre più intrecciate; Axios segnala infatti che la nuova iniziativa federale si colloca in un contesto in cui i dati personali diventano ancora più strategici e vulnerabili nell’era dell’intelligenza artificiale.

Iter legislativo 

Ora che il testo è stato presentato, inizia il suo lungo percorso per diventare legge. La House Subcommittee for Commerce, Manufacturing and Trade dovrebbe convocare a breve un’audizione, nella quale membri del Congresso e testimoni potranno esprimere pubblicamente le proprie posizioni. Seguirà una fase di markup in sottocommissione, durante la quale potranno essere presentati emendamenti; lo stesso passaggio sarà poi ripetuto a livello di Commissione plenaria.

Conclusione

Il SECURE Data Act è una proposta importante, ma non ancora una svolta definitiva. Ha il merito di riaprire il cantiere federale della privacy negli Stati Uniti e di proporre diritti minimi comuni per i consumatori. Tuttavia, i suoi limiti sono evidenti: forte preemption, assenza di azione privata, mancata previsione di DPIA, debolezza sui meccanismi universali di opt-out e disciplina ancora prudente sulle decisioni automatizzate.

In termini semplici: la proposta prova a costruire ordine nel caos regolatorio americano, ma resta aperta la domanda decisiva: sarà una base minima di tutela o un tetto massimo che impedirà agli Stati più avanzati di proteggere meglio i cittadini?