Vivere e lavorare negli USA · Obblighi
Le leggi statali sulle violazioni di dati e l'esenzione per i dati cifrati
Negli Stati Uniti l'obbligo di avvisare le persone dopo una violazione di dati viene dalle leggi dei singoli Stati, e ogni Stato ha la sua. Qui trovi come quattro di queste leggi trattano i dati cifrati, che cosa succede se anche la chiave è stata sottratta e quali sono i termini per gli avvisi. Chi ha clienti o dipendenti in più Stati deve guardare la legge di ciascuno.
In breve
- Tutti i 50 Stati, il District of Columbia, Guam, Porto Rico e le Isole Vergini hanno leggi che obbligano le imprese ad avvisare le persone quando i loro dati personali sono coinvolti in una violazione (data breach).
- Ogni legge protegge chi risiede nello Stato: un'azienda, anche italiana, con clienti o dipendenti in più Stati deve considerare la legge di ciascuno.
- In California e a New York i dati cifrati non fanno scattare l'avviso, salvo che sia stata sottratta anche la chiave; il Massachusetts ne tiene conto nella definizione di violazione; la Florida esclude dalla definizione di dati personali quelli cifrati o resi inutilizzabili.
- Anche il significato di «cifrato» cambia: in California basta una tecnologia generalmente accettata nel settore, in Massachusetts serve un processo a 128 bit o più.
- I termini sono brevi: 30 giorni in California (dal 1° gennaio 2026), a New York e in Florida.
Una legge per ogni Stato
Secondo la sintesi della National Conference of State Legislatures, l'organizzazione che riunisce i parlamenti degli Stati, tutti i 50 Stati, il District of Columbia, Guam, Porto Rico e le Isole Vergini hanno leggi che impongono alle imprese private, e nella maggior parte degli Stati anche agli enti pubblici, di avvisare le persone dopo una violazione di dati che le identificano. Le leggi si somigliano nella struttura ma differiscono nei dettagli: quali dati contano, che cosa è una violazione, entro quando avvisare, chi altro informare.
Il criterio che le lega è la residenza delle persone coinvolte. La California chiede di avvisare «a resident of California», e la sua legge riguarda chi svolge attività nello Stato; New York parla di «any resident of New York state»; la Florida di ogni persona «in this state»; il Massachusetts dei residenti del Commonwealth. Una sola violazione può quindi richiedere avvisi secondo più leggi, una per ogni Stato in cui vivono le persone i cui dati sono stati sottratti. Sanità e finanza hanno anche regole federali proprie: vedi Sanità e finanza: HIPAA, FTC, NY DFS.
Quattro leggi a confronto
| Stato e norma | I dati cifrati | La chiave | Avviso alle persone |
|---|---|---|---|
| California, Civil Code § 1798.82 | I dati personali rilevano quando il nome o gli altri elementi «are not encrypted». Cifrato vuol dire reso inutilizzabile, illeggibile o indecifrabile per chi non è autorizzato con una tecnologia o metodologia generalmente accettata nella sicurezza delle informazioni. | L'avviso è dovuto anche per i dati cifrati se è stata acquisita, o si ritiene ragionevolmente che lo sia stata, la chiave o la credenziale di sicurezza, e l'azienda ritiene ragionevolmente che possa renderli leggibili o utilizzabili. | Entro 30 giorni di calendario dalla scoperta o dalla notizia della violazione, salvo i rinvii previsti. |
| New York, General Business Law § 899-aa | Le informazioni private rilevano quando i dati, o la loro combinazione con le informazioni che identificano la persona, non sono cifrati. | Rilevano anche i dati cifrati con una chiave «that has also been accessed or acquired». | Nel più breve tempo possibile e senza ingiustificato ritardo, comunque entro 30 giorni dalla scoperta, salvo le esigenze delle forze dell'ordine. |
| Florida, Statutes § 501.171 | La definizione di dati personali esclude le informazioni cifrate, protette o modificate con qualunque metodo o tecnologia che tolga gli elementi identificativi o le renda comunque inutilizzabili. | La definizione non menziona la chiave. | Il prima possibile e senza ingiustificato ritardo, non oltre 30 giorni da quando la violazione è accertata o si ha motivo di ritenere che sia avvenuta. |
| Massachusetts, General Laws c. 93H, § 1 | Cifrato vuol dire trasformato con un processo algoritmico a 128 bit o più, in una forma a cui è poco probabile attribuire un significato senza un processo o una chiave riservati. | È violazione l'acquisizione non autorizzata dei dati non cifrati, oppure dei dati cifrati insieme al processo o alla chiave riservati, se crea un rischio sostanziale di furto d'identità o di frode. | — |
Il termine di 30 giorni della California è stato introdotto da una legge del 2025 (Stats. 2025, ch. 319), in vigore dal 1° gennaio 2026; la stessa norma permette di rinviare l'avviso per le esigenze legittime delle forze dell'ordine o per il tempo necessario ad accertare la portata della violazione e a ripristinare l'integrità del sistema. Per il Massachusetts la tabella riporta solo le definizioni, che sono il punto che riguarda la cifratura.
Che cosa vuol dire, in pratica
La cifratura esenta finché la chiave resta segreta. La California definisce la chiave e la credenziale di sicurezza come «the confidential key or process designed to render data usable, readable, and decipherable». Se il portatile rubato era cifrato ma la password viaggiava con lui, o se chi è entrato nei sistemi aveva le credenziali che servono a leggere i dati, l'esenzione può venire meno. New York usa una formula simile; il Massachusetts considera la chiave nella definizione stessa di violazione.
Le credenziali sono esse stesse dati personali. In California e a New York rientrano tra i dati da proteggere anche il nome utente o l'indirizzo e-mail insieme alla password o alla domanda di sicurezza che permettono di entrare in un account online. Una violazione che riguarda solo credenziali di questo tipo va valutata come le altre; per questo caso la California consente un avviso, anche elettronico, che inviti a cambiare subito password e domande di sicurezza.
Conta la cifratura dei dati coinvolti. Le norme parlano dei dati effettivamente acquisiti: un archivio cifrato non copre la copia non cifrata dello stesso archivio finita in un allegato o in un backup.
Le definizioni tecniche non coincidono. La California e la Florida non fissano un algoritmo; il Massachusetts indica i 128 bit e consente all'ufficio statale competente per i consumatori di aggiornare la definizione con un regolamento. Lo stesso sistema di cifratura può quindi essere valutato secondo criteri diversi, a seconda dello Stato delle persone coinvolte.
Gli altri avvisi
- California. Se la violazione riguarda più di 500 residenti, un esempio dell'avviso, senza dati personali, va inviato all'Attorney General entro 15 giorni di calendario dall'avviso alle persone. L'avviso deve essere scritto in linguaggio semplice, intitolato «Notice of Data Breach», con titoli prestabiliti e caratteri non inferiori a 10 punti.
- New York. Se devono essere avvisati residenti dello Stato, vanno informati anche l'Attorney General, il Department of State e la State Police, e il Department of Financial Services se l'azienda è soggetta alle sue regole di sicurezza informatica; oltre i 5.000 residenti, anche le agenzie di informazioni creditizie. Chi ha già avvisato le persone secondo le regole federali sulla finanza o sulla sanità, o secondo le regole del Department of Financial Services, non deve ripetere l'avviso alle persone, ma deve comunque informare le autorità dello Stato.
- Florida. Se la violazione riguarda 500 o più persone nello Stato, va avvisato il Department of Legal Affairs entro 30 giorni; per l'avviso alle persone si possono ottenere 15 giorni in più se il motivo del ritardo è comunicato per iscritto al Department entro lo stesso termine. L'avviso alle persone non è dovuto se, dopo un'indagine adeguata e la consultazione delle forze dell'ordine, l'azienda conclude ragionevolmente che la violazione non ha causato e non causerà furti d'identità o altri danni economici; la conclusione va messa per iscritto, conservata per cinque anni e inviata al Department entro 30 giorni.
Anche New York esclude l'avviso quando i dati sono stati esposti per errore da persone autorizzate ad accedervi e l'azienda ritiene ragionevolmente che non ne derivino abusi o danni: la valutazione va documentata per iscritto e conservata per almeno cinque anni, e se riguarda più di 500 residenti va inviata all'Attorney General entro dieci giorni.
Per un'azienda italiana
Queste leggi non guardano alla sede dell'azienda ma alle persone coinvolte: un'azienda italiana che tratta dati di residenti americani, per esempio clienti di un negozio online o dipendenti di una filiale, può trovarsi soggetta a più leggi statali insieme, oltre agli obblighi europei se vi è soggetta. Nelle leggi viste sopra, la cifratura con le chiavi custodite separatamente può fare la differenza tra un incidente da valutare e documentare e un incidente da comunicare a tutte le persone coinvolte. Il quadro generale sulla cifratura nel diritto americano è in Negli Stati Uniti criptare è legale?; le regole per i dipendenti che viaggiano con dati aziendali sono in Aziende: una politica per chi viaggia negli USA.
Casi frequenti
- «Ci hanno rubato un portatile cifrato con dati di clienti californiani.» Per la legge della California l'avviso per i dati cifrati è dovuto solo se è stata acquisita anche la chiave o la credenziale di sicurezza e si ritiene ragionevolmente che possa renderli leggibili. Se la password era scritta sul portatile, il presupposto dell'esenzione viene a mancare.
- «I dati erano cifrati, ma l'attaccante è entrato con le credenziali di un amministratore.» È il caso che le leggi di California e New York considerano espressamente: conta se le credenziali o la chiave permettevano di leggere i dati.
- «Abbiamo clienti in molti Stati.» Ogni legge si applica ai residenti del proprio Stato. Termini, destinatari e contenuto degli avvisi vanno verificati per ciascuna.
Fonti
California Civil Code § 1798.82, nel testo modificato da Stats. 2025, ch. 319 (SB 446), in vigore dal 1° gennaio 2026 (leginfo.legislature.ca.gov); New York General Business Law § 899-aa, revisione del 28 marzo 2025 (nysenate.gov); Florida Statutes 2026, § 501.171 (leg.state.fl.us); Massachusetts General Laws, capitolo 93H, § 1 (malegislature.gov); National Conference of State Legislatures, «Security Breach Notification Laws», sintesi aggiornata al 17 gennaio 2022. Verificato il 24 settembre 2026.
Dove chiedere aiuto
Questo sito spiega le regole americane. Non segue casi e non risponde a nessuno.
Non ha un modulo di contatto, un telefono o un indirizzo email. Per un problema concreto con un controllo di frontiera, un'autorizzazione di viaggio o un procedimento negli Stati Uniti, i canali sono quelli ufficiali:
- Il CBP Information Center (help.cbp.gov) — le domande e i reclami sui controlli dell'agenzia di frontiera statunitense.
- DHS TRIP (dhs.gov) — il programma del Dipartimento della sicurezza interna per chi ritiene di avere avuto problemi ripetuti ai controlli di viaggio.
- Il sito ufficiale dell'ESTA (esta.cbp.dhs.gov) — l'unico canale ufficiale per chiedere l'autorizzazione di viaggio.
- L'Ambasciata d'Italia a Washington e i consolati italiani negli Stati Uniti — per i cittadini italiani in difficoltà; in emergenza, l'Unità di Crisi della Farnesina.
- Un avvocato abilitato negli Stati Uniti — l'iscrizione si verifica nell'albo dell'ordine degli avvocati (state bar) dello Stato in cui esercita.
La pagina Dove chiedere aiuto spiega a chi rivolgersi in ciascuna situazione, come si verifica un avvocato e come si ottiene il patrocinio a spese dello Stato.