Il 25 agosto quarantotto associazioni per la tutela dei diritti civili, della privacy e dei consumatori, hanno inviato una lettera al Presidente della Camera degli Stati Uniti Nancy Pelosi, invitandola a prendere in esame e ad approvare il proposto American Data Privacy and Protection Act (ADPPA), attualmente in discussione al Congresso.
Nella lettera, le associazioni ritengono che disegno di legge sia in grado di assicurare importanti garanzie ai consumatori a livello nazionale ed esprimono soddisfazione per l’ampiezza delle disposizioni a difesa dei consumatori, che considerano più forti di qualsiasi legge statale esistente, incluse quelle californiane.
La lettera segue solo di poco quella precedentemente inviata dalla California Privacy Protection Agency alla stessa Nancy Pelosi e al leader dell’opposizione Kevin McCarthy, dove però l’agenzia si oppone ad una eventuale approvazione dell’ADPPA, poiché offrirebbe protezioni più deboli di quelle già contenute nella legge californiana e comprometterebbe la capacità della agenzia di adempiere al suo mandato di proteggere la privacy dei cittadini della California.
Qual è la posizione di Nancy Pelosi riguardo all’ADPPA?
USA, nuove regole federali per aumentare la protezione della privacy: che c’è da sapere
Indice degli argomenti
Il punto di vista delle Associazioni
“L’ADPPA è una legislazione federale completa sulla privacy e sui diritti civili capace, per la prima volta, di creare protezioni reali e durature per i dati personali di centinaia di milioni di consumatori americani”, scrivono le associazioni nella loro lettera: “inoltre”, affermano, ”permetterà di ampliare significativamente le pari opportunità attraverso disposizioni importanti che riguardano le discriminazioni, le valutazioni algoritmiche e l’utilizzo di dati sensibili”.
Le associazioni firmatarie della lettera sono ben consapevoli che, per realizzare tutto questo, sarà necessario raggiungere un compromesso, in quanto l’ADPPA avrebbe, allo stato attuale, una prelazione limitata sulle leggi statali già esistenti, e può facilmente entrare in conflitto con esse, come nel caso di quelle leggi che già si occupano di diritti civili, dei diritti dei consumatori, della protezione della privacy di studenti, dell’impiego della crittografia, della gestione dei dati sanitari e di molte altre questioni.
La California e alcuni altri stati americani, affermano le associazioni, sono da elogiare per aver fatto da apripista nell’ambito della protezione della privacy a livello statale, in particolare con riferimento al California Privacy Right Act (CPRA).
In un certo senso, fanno notare i firmatari, l’ADPPA fa sua l’esperienza maturata dal CPRA, andando però ad estendere e ad ampliare le tutele già presenti nella legge californiana, legge che fino ad oggi è stata considerata una delle leggi più restrittive degli Stati Uniti; le associazioni ritengono che i procuratori generali, oltre che autorità quali la California Privacy Protection Agency, saranno assolutamente in grado di far rispettare l’ADPPA, come hanno fatto fino ad ora con le proprie leggi statali.
In particolare, le tutele contenute nell’ADPPA che le associazioni ritengono di particolare importanza, sono le seguenti:
- tutele dei diritti civili che vietano l’utilizzo dei dati personali in modo discriminatorio all’interno di beni o servizi utilizzando dati sensibili;
- disposizioni specifiche sulla minimizzazione dei dati tali da limitare la raccolta, l’uso e la condivisione dei dati e che impongono maggiori restrizioni sul trattamento di dati sensibili, come dati biometrici o riferibili alla salute dell’individuo;
- requisiti di valutazione di algoritmi utilizzati per l’accesso a servizi sanitari, vantaggi economici o credito, e dei loro potenziali impatti negativi sugli individui;
- forti tutele per il trattamento dei dati degli adolescenti, incluso il divieto di pubblicità mirata a chiunque abbia meno di 17 anni;
- la possibilità per gli individui di esercitare i diritti di accesso, correzione ed eliminazione delle proprie informazioni personali;
- regolamentazioni per i data broker e per l’esercizio dell’opt-out da parte dei consumatori;
- solidi requisiti di trasparenza e sicurezza nell’ambito del trattamento dei dati personali degli individui;
- disposizioni relative all’enforcement, inclusa l’autorità spettante alla Federal Trade Commission (FTC), ai procuratori generali, alle agenzie statali e al diritto di azione privato;
- disposizioni in merito alla validità di leggi statali sui diritti civili o relative alla protezione dei consumatori e delle comunità emarginate, successivamente all’introduzione dell’ ADPPA.
È giunto il tempo, affermano infine le associazioni, di approvare una legge federale sulla privacy dei cittadini, legge che troppo a lungo è stata rinviata: ora, il Congresso ha l’opportunità di agire, votando quello che è il disegno di legge più ambizioso degli ultimi anni, basato su un compromesso bipartisan tra le parti, e che, sebbene sarà necessario lavorare ancora al testo finale della proposta, recependo suggerimenti e proposte, ha le carte in regole per fornire le tutele necessarie e attese da tempo dai cittadini degli Stati Uniti.
Il punto di vista della California Privacy Protection Agency
Da parte sua, la California Privacy Protection Agency, ha inviato una lettera il 15 agosto, precedendo di poco quella delle associazioni, sia alla Presidente della Camera Nancy Pelosi che al leader dell’opposizione Kevin McCarthy, affermando come il disegno di legge in discussione avrebbe l’ambizione di sostituire la storica legge californiana introducendo però protezione più deboli rispetto a quelle di cui attualmente godono i cittadini della California, in virtù del California Privacy Right Act, con il risultato di compromettere la capacità dell’agenzia di soddisfare il proprio mandato.
Già il 28 luglio il Board dell’agenzia aveva votato all’unanimità per opporsi all’ADPPA e a qualsiasi altro disegno di legge che miri a prevenire e a limitare il California Consumer Privacy Act (CCPA), dimostrandosi invece favorevole a un quadro che stabilisca un “vero principio” sulla privacy e consenta agli Stati di innovare ulteriormente tali tutele.
Numerosi esponenti politici californiani si sono uniti alle richieste dell’ agenzia: il governatore Gavin Newsom, lo speaker Antony Rendon, dieci procuratori generali e membri del Senato della California, i quali hanno anche pubblicato lettere che ribadiscono le loro preoccupazioni su una eventuale adozione dell’ ADPPA.
Quello che l’agenzia fa “rispettosamente” notare, è che “gli americani meritano un quadro normativo che offra sia le garanzie federali che quelle statali e in grado di preservare la capacità degli Stati di continuare a migliorare tali garanzie anche in risposta alle future minacce alla privacy dei consumatori”.
Nel 2018, afferma l’agenzia, la California è diventata il primo stato americano ad adottare una legge completa sulla privacy dei consumatori, il California Consumer Privacy Act (CCPA), e nel 2020 è diventato il primo stato a istituire un’autorità dedicata alla protezione dei dati, l’agenzia appunto, quando gli elettori hanno modificato il CCPA approvando la Proposition 24, il California Privacy Rights Act (CPRA).
Tra le principali novità introdotte dal CPRA ricordiamo il riconoscimento ai consumatori di alcuni diritti già presenti nel Regolamento Generale sulla Protezione dei Dati 2016/679 (GDPR) europeo, come il diritto di rettifica, la limitazione dell’utilizzo di dati personali sensibili, l’introduzione della categoria dei dati sensibili (sensitive data): inoltre, sempre nel CPRA, sono contenute le disposizioni per la creazione dell’ agenzia stessa.
Da allora, continua l’agenzia, oltre la metà degli Stati americani ha preso in considerazione disegni di legge completi sulla privacy, come il Colorado e il Connecticut che hanno recentemente adottato leggi simili al CCPA: l’ADPPA, dice l’agenzia, cerca invece di prevenire queste e altre leggi che rappresentano anni di lavoro ed evoluzione sulla privacy dei consumatori e, di fatto, cerca di impedire agli Stati di rafforzare la propria protezione nell’ambito della privacy negli anni futuri.
Secondo l’agenzia, l’ ADPPA è notevolemente “più debole” del CCPA, in quanto rimuoverebbe importanti tutele, e ciò avrebbe un impatto non solo sui californiani, ma su tutti gli americani. Inoltre, se adottato nella forma attuale, la prelazione inclusa nell’ADPPA rappresenterebbe una anomalia nel sistema giuridico americano.
Molte leggi federali sulla privacy esistenti, infatti, consentono agli stati di adottare leggi più severe: è questo il caso, ad esempio, dell’Health Insurance Portability and Accountability Act (HIPPA), del Gramm Leach Bliley Act (GLBA), del Fair Credit Reporting Act (FCRA), del Telephone Consumer Protection Act (TCPA) e del Video Privacy Protection Act (VPPA), i quali consentono agli stati di adottare anche protezioni più forti.
Considerando poi quanto la tecnologia evolve rapidamente, l’approccio dell’ADPPA, dice l’agenzia, risulta particolarmente preoccupante.
La dichiarazione di Nancy Pelosi
Lo scorso primo settembre, Nancy Pelosi ha rilasciato una dichiarazione riguardo alla sua posizione nei confronti dell’ADPPA: elogiando il Comitato per l’Energia e il Commercio per il lavoro svolto nel presentare l’ADPPA, ha però evidenziato le perplessità espresse dai più importanti esponenti politici californiani, dal governatore Newsom e dalla California Privacy Protection Agency, che ritengono l’American Data Privacy and Protection Act incapace di garantire ai cittadini le stesse tutele delle leggi californiane.
Pelosi ha inoltre affermato quanto sia imperativo per la California, che “guida la nazione non solo nell’innovazione, ma anche per quanto riguarda la protezione dei consumatori”, continuare ad offrire e far rispettare queste tutele così forti nell’ambito della protezione dei dati. “Le leggi sulla privacy della California e il nuovo California Age-Appropriate Design Code Act , che hanno ricevuto entrambi il sostegno unanime e bipartisan delle Camere, devono continuare a proteggere i californiani e gli stati devono essere autorizzati ad affrontare i rapidi cambiamenti tecnologici”, ha concluso.
ADPPA vs CCPA (e CPRA)
È indubbio che in alcuni casi l’ADPPA, allo stato attuale, fornirebbe meno tutele rispetto alle leggi californiane del CCPA e CPRA: ad esempio, l’ADPPA non contiene il diritto di opporsi a una decisione automatizzata, presente invece nel CPRA.
I cittadini della California, il più grande stato per popolazione negli Stati Uniti, in assenza di una legislazione federale, godono di una protezione significativa della loro privacy.
Qualsiasi legge federale che prevenga tali tutele a favore della creazione di standard nazionali, anche se spinta dall’obiettivo di creare uniformità di trattamenti tra i cittadini dei vari stati, dovrebbe comunque garantire che i californiani siano protetti almeno nello stesso modo anche da un eventuale regime federale.
Le disposizioni “sostanziali” contenute nell’ADPPA sono generalmente “più forti” di quelli del CPRA: ad esempio, quelle riguardanti i diritti civili, e in generale sono considerate tali anche rispetto quelle presenti in qualsiasi altra legge statale attualmente in vigore negli Stati Uniti.
Infatti, l’ADPPA istituirebbe specifiche tutele a livello federale dei diritti civili per le comunità emarginate, esposte ad usi potenzialmente discriminatori delle loro informazioni personali. Contrariamente alle leggi statali sulla privacy che in genere non affrontano direttamente la discriminazione basata sui dati, l’ADPPA amplierebbe notevolmente tali protezioni, occupandosi del divieto di discriminazione algoritmica diretta e indiretta, di specifiche tutele per i minori, fino alla designazione di responsabili della privacy e della sicurezza dei dati.
Una delle preoccupazioni sollevate dall’agenzia californiana è stata quella di vedere i propri poteri di azione fortemente limitati. Fortunatamente, nella versione più recente del testo dell’ADPPA, revisionato nelle ultime settimane, prima della pausa estiva del Congresso, tale eventualità viene risolta: ora nel testo l’agenzia viene nominata esplicitamente e si afferma che “può far rispettare questa legge, analogamente a quanto farebbe con il California Consumer Privacy Act”.
Per far rispettare la legge federale, la California dovrà probabilmente aggiornare lo statuto della sua agenzia o comunque approvare una soluzione tecnica per garantire che l’agenzia mantenga i poteri necessari per far rispettare i requisiti federali dell’ADPPA, ma nulla fa pensare che la California non sia in grado di mettere mano alla sua legislazione in tempi brevi, come ha già dimostrato in passato.
L’ADPPA, come del resto evidenziato dalle stesse associazioni, necessita ancora di essere perfezionato, ma nelle prossime settimana il Congresso avrà l’opportunità di migliorare il testo in esame, anche imparando dai successi californiani e dalla capacità di questo stato di stabilire tutele efficaci e norme mirate, in modo da assicurare che la legge federale possa stare al passo con l’evoluzione delle tecnologie, delle pratiche commerciali e delle norme sociali.
Queste sono infatti le grandi sfide che l’ADPPA, e qualsiasi legge privacy, deve oggi affrontare, e su cui l’agenzia ha espresso chiare preoccupazioni poichè, se gli stati non avranno il potere di legiferare protezioni aggiuntive capaci di stare al passo con la tecnologia, sembra difficile ipotizzare che l’ADPPA si possa rivelare efficace e duraturo: pensiamo ad esempio al metaverso, alla realtà virtuale e alle tecnologie immersive, alla guida con veicoli autonomi e altre innumerevoli tecnologie emergenti che metteranno a dura prova qualsiasi legge sulla privacy e protezione dei dati.
Oltretutto, attualmente la situazione è estremamente confusa perchè, secondo il testo attuale della proposta, gli stati manterrebbero la capacità di approvare leggi più restrittive solo nel caso di alcune attività di trattamento, come quelle relative al riconoscimento facciale, alle intercettazioni telefoniche, all’assistenza sanitaria e nel settore bancario, ma non in altre.
A tutto ciò potrebbe venire in soccorso l’apporto della Federal Trade Commission (FTC) che potrebbe mettere in campo la giusta flessibilità per affrontare le tecnologie emergenti e emanare regolamenti a supporto dell’ADPPA, impedendo che essa diventi obsoleta in tempi brevi.
Questo, però, richiederebbe che nell’ADPPA trovassero posto specifiche norme relative alla FTC e al suo ruolo, norme che il Congresso dovrebbe individuare e approvare e che, al momento, non sono presenti nel testo.
Conclusioni
Ashkan Soltani, Direttore Esecutivo della California Privacy Protection Agency, ha dichiarato: “Gli americani meritano più dell’ADPPA. In un’era in cui la sentenza Roe v. Wade è stata ribaltata, gli americani hanno bisogno più che mai di avere garanzie significative sulle informazioni sensibili che possono essere utilizzate per incriminarli.
Tuttavia, l’ADPPA eliminerebbe importanti salvaguardie che sono già disponibili per i californiani oggi e legherebbe le mani degli Stati per quanto riguarda i futuri miglioramenti delle protezioni di privacy. Esortiamo i legislatori a concentrare i loro sforzi per garantire che qualsiasi legislazione sulla privacy segua il modello di altre leggi federali sulla privacy e stabilisca una base, e non un limite, ai diritti alla privacy”.
Dal canto loro le associazioni firmatarie della lettera, tra cui Robert F. Kennedy Human Rights, The Leadership Conference on Civil and Human Rights, Asian Pacific American Advocates e National Organization for Women, invitano il Congresso a mettere ai voti e ad approvare l’ADPPA “il prima possibile”.
Ciò che emerge è che l’esperienza californiana, indubbiamente positiva anche se non perfetta, non dovrebbe essere considerata una antagonista, ma andrebbe recepita e compresa per creare una legge federale forte e capace di dare risposte al mondo estremamente complesso e in continua evoluzione in cui viviamo.
Oggi più che mai gli Stati Uniti hanno bisogno di una legge federale completa sulla privacy e se il Congresso riuscirà a includere nell’ ADPPA anche ciò che c’è di efficace e positivo nelle leggi californiane, o in altre leggi statali, e a prevedere un meccanismo di adeguamento continuo di tale legge, sicuramente il testo dell’ADPPA ne uscirà rafforzato e migliorato, e forse capace di resistere alla prova del tempo.
Il punto però è che la finestra temporale in cui il Congresso può agire si sta velocemente riducendo, generando un clima di grande incertezza. Le ormai incombenti midterm elections (elezioni di metà mandato), che si tengono a due anni dall’elezione del Presidente americano, e che riguardano la composizione del Congresso, l’elezione di alcuni governatori statali, sindaci e assemblee locali, possono influenzare non poco il futuro e le azioni dei Democratici, che rischiano di perdere la maggioranza di una o di entrambe le Camere.
L’esito di tale votazione influenzerà non poco anche l’esito e il futuro dell’ADPPA.
