Debutta il Delete Act e oltre 300.000 utenti californiani chiedono la cancellazione dei loro dati personali: un modello da osservare con attenzione
Mentre in Europa si continua a discutere di nuove regolamentazioni per mettere un freno al telemarketing selvaggio e per rafforzare le tutele sulla privacy, la California ha sfoderato un’iniziativa legislativa che potrebbe cambiare radicalmente il modo in cui i cittadini esercitano il diritto alla cancellazione dei propri dati.
E a quanto pare, se le persone sono messe realmente in grado di esercitare i loro diritti in materia di privacy non stanno affatto con le mani in mano, perché con l'entrata in funzione del Delete Request and Opt-Out Platform (DROP) prevista dal Delete Act, si sono già registrati in massa centinaia di migliaia di californiani per chiedere ai data broker di eliminare le informazioni che li riguardano. Un numero che testimonia quanto fosse sentita l'esigenza di uno strumento semplice ed efficace per riprendere il controllo dei propri dati.
Che cos'è il Delete Act - Il Delete Act (Senate Bill 362), firmato dal Governatore della California Gavin Newsom nell'ottobre 2023, rappresenta una delle innovazioni più significative degli ultimi anni nel panorama della protezione dei dati personali.
La legge nasce per affrontare un problema molto concreto: l'enorme quantità di informazioni personali raccolte, aggregate e commercializzate dai cosiddetti data broker, società che acquistano, combinano e rivendono dati provenienti da molteplici fonti senza avere, nella maggior parte dei casi, un rapporto diretto con gli interessati.
Nome, indirizzo, numero di telefono, indirizzi e-mail, informazioni sulla professione, dati immobiliari, abitudini di consumo, composizione del nucleo familiare e numerose altre informazioni vengono continuamente scambiate e monetizzate da centinaia di operatori specializzati, a discapito degli interessati che spesso neanche ricordano quando avrebbero consapevolmente dato il loro consenso per sfruttare così ampiamente i loro dati personali.
Sebbene il Delete Act fosse stato approvato già nell'ottobre 2023, la legge prevedeva però che la California Privacy Protection Agency (CPPA) fruisse dei tempi tecnici per sviluppare una piattaforma centralizzata per consentire ai cittadini di esercitare in modo semplice il diritto alla cancellazione dei dati. Dopo oltre due anni di lavori preparatori, il 1° gennaio 2026 è stata resa operativa la piattaforma Delete Request and Opt-Out Platform (DROP), attraverso la quale i residenti californiani possono presentare un'unica richiesta di cancellazione destinata a tutti i data broker registrati. Dal 1° agosto 2026, invece, i data broker sono tenuti a iniziare a dare seguito alle richieste ricevute tramite la piattaforma, completando la cancellazione dei dati entro i termini previsti dalla legge.
Già prima del Delete Act la normativa californiana riconosceva ai cittadini il diritto di chiedere la cancellazione dei propri dati personali. Il problema era che tale diritto poteva essere esercitato soltanto rivolgendosi singolarmente a ciascun data broker.
Considerando che negli Stati Uniti operano centinaia di queste società, esercitare concretamente il diritto alla cancellazione risultava estremamente complesso, se non praticamente impossibile.
Una sola richiesta per centinaia di data broker - Il Delete Act ha affrontato il problema in modo estremamente pragmatico. Attraverso il sistema DROP, il cittadino presenta una sola richiesta, che viene automaticamente trasmessa a tutti i data broker registrati presso l'autorità californiana.
Non occorre più individuare ogni singola società, compilare decine di moduli differenti o inviare centinaia di richieste separate. Il meccanismo è semplice quanto efficace: un'unica procedura consente di esercitare simultaneamente il diritto alla cancellazione nei confronti di tutti i soggetti interessati.
Oltre a ciò, il Delete Act rafforza gli obblighi dei data broker, imponendo loro di registrarsi annualmente presso la CPPA, fornire informazioni sulle categorie di dati trattati e dare seguito alle richieste ricevute tramite la piattaforma centralizzata.
Già presentate più di 300mila richieste - L'interesse dei cittadini non si è fatto attendere. Secondo quanto comunicato dalla California Privacy Protection Agency, oltre 322.000 residenti californiani si sono già iscritti alla piattaforma per chiedere la cancellazione dei propri dati personali detenuti dai data broker.
Il dato assume un significato che va ben oltre il numero assoluto delle richieste. Dimostra infatti che il diritto alla cancellazione non è poco utilizzato perché poco sentito, ma perché troppo spesso è difficile da esercitare. Quando la procedura viene semplificata e resa realmente accessibile, i cittadini la utilizzano in massa.
E in Europa? L'Unione europea dispone già di uno dei sistemi più avanzati al mondo in materia di protezione dei dati personali. L'articolo 17 del GDPR riconosce infatti il cosiddetto "diritto all'oblio", consentendo agli interessati di ottenere, nei casi previsti dalla legge, la cancellazione dei propri dati personali. Tuttavia, anche in Europa permane un limite molto simile a quello che esisteva in California prima del Delete Act.
Spetta infatti all'interessato cimentarsi nell’impresa di individuare il titolare del trattamento, reperire i canali di contatto, predisporre la richiesta e ripetere l'intera procedura per ciascuna organizzazione che tratta i suoi dati.
Se i dati personali sono stati raccolti e diffusi da decine o centinaia di soggetti diversi, esercitare il diritto alla cancellazione può trasformarsi in un'attività lunga, complessa e, in molti casi, semplicemente irrealizzabile.
Ad oggi non esiste, a livello europeo, una piattaforma pubblica centralizzata che consenta di inviare un'unica richiesta valida per una pluralità di titolari del trattamento, né risultano iniziative legislative comparabili al Delete Act californiano.
(Nella foto: Nicola Bernardi, presidente di Federprivacy)
Un modello da osservare con attenzione – Naturalmente, al momento il sistema californiano riguarda esclusivamente i data broker registrati e non tutti i titolari del trattamento.
Ciò nonostante, il principio che introduce appare estremamente interessante anche per il contesto europeo.
Negli ultimi anni l'Unione Europea ha dimostrato di essere all'avanguardia nell'approvazione di nuove normative in materia digitale: dal GDPR al Data Act, dal Data Governance Act al Digital Services Act, dal Digital Markets Act fino all'AI Act.
Si tratta di strumenti che disciplinano aspetti fondamentali dell'economia digitale e della protezione dei dati. Manca però ancora un tassello: rendere realmente semplice l'esercizio dei diritti già riconosciuti ai cittadini. Perché un diritto, per quanto ben scritto, rischia di rimanere solo teorico se il suo esercizio richiede tempo, competenze e una lunga serie di adempimenti burocratici.
Forse il vero insegnamento del Delete Act è proprio questo: la tutela della privacy non passa soltanto attraverso nuove regole, ma anche attraverso strumenti che consentano alle persone di far valere, in modo semplice ed efficace, i diritti che già possiedono.
Negli ultimi anni l'Europa ha sfornato una lunga serie di "Act" destinati a regolamentare il mondo digitale. Eppure, tra tutti questi provvedimenti, a quanto risulta il legislatore non ha ancora pensato a un Delete Act europeo capace di trasformare il diritto alla cancellazione da principio giuridico a strumento concretamente accessibile. Talvolta, per rafforzare davvero la protezione dei dati personali, non servono nuovi diritti: basta rendere finalmente esercitabili quelli che già esistono.
