Pixel di tracciamento e analytics: cosa rende davvero "sensibili" i dati dei visitatori di un sito di annunci secondo la legge americana

Il pixel installato per il marketing non e' il pixel che credi

Un operatore di directory installa un pixel di Meta per misurare quali annunci portano nuovi inserzionisti, aggiunge Google Analytics per vedere quali citta' convertono meglio, e mette un widget di chat sul sito perche' i visitatori possano fare domande prima di iscriversi. Ognuna di queste e' una scelta di marketing del tutto ordinaria, il tipo di decisione che qualsiasi piccola impresa prende senza pensarci due volte. Sul sito di un negozio di mobili, e' esattamente quello che sembra: infrastruttura di marketing ordinaria, e i dati che produce sono solo cronologia di navigazione.

Una directory di annunci non e' un negozio di mobili, e la differenza non riguarda il tono o le regole sui contenuti. Riguarda cosa rivelano le pagine stesse. Un visitatore che passa tempo su una pagina di una categoria specifica, un genere specifico, o un orientamento specifico di annunci non sta solo navigando, e qualunque strumento presente su quella pagina che segnala l'indirizzo a un fornitore sta trasmettendo piu' di una semplice visualizzazione. Sta trasmettendo una deduzione sulla vita sessuale o sull'orientamento sessuale di quel visitatore, e in un numero crescente di stati americani, quella deduzione ha una propria categoria legale con proprie regole.

Non e' la stessa regola gia' trattata qui per gli operatori che gestiscono visitatori europei secondo le categorie particolari di dati del GDPR. Quell'articolo precedente riguarda un unico regime valido in tutta l'Unione Europea, applicabile indipendentemente da dove abbia sede l'attivita'. Quello che segue e' il mosaico americano: un insieme di leggi statali che la maggior parte degli operatori non ha mai confrontato con il proprio impianto di marketing, perche' il documento che di solito riceve attenzione e' il questionario di apertura conto del processore di pagamenti, non il frammento di JavaScript che un consulente di marketing ha incollato nell'intestazione del sito diciotto mesi fa.

Il motivo per cui questo merita una lettura a parte, separata dall'articolo sul GDPR, e' che le regole americane funzionano in modo diverso, in modi che cambiano cosa un operatore deve effettivamente costruire. Alcuni stati richiedono solo un opt-out. Altri richiedono il consenso prima ancora che lo strumento si attivi. Sbagliare questo non e' una casella dimenticata su un modulo; e' un widget di chat o un pixel pubblicitario che gira su una pagina su cui non avrebbe mai dovuto girare, punto e basta.

Cosa significa "informazione personale sensibile", e perche' una directory vi rientra per definizione

La legge californiana aggiornata sulla privacy, la CPRA, ha creato una categoria chiamata "informazione personale sensibile" che si colloca sopra i dati personali ordinari e porta con se' proprie regole di divulgazione e di opt-out. La categoria include gli elementi ovvi, un numero di previdenza sociale, le credenziali di accesso a un conto finanziario, la geolocalizzazione precisa, ma include anche esplicitamente le informazioni personali che rivelano la vita sessuale o l'orientamento sessuale di un consumatore. Non e' una lettura forzata o un'interpretazione creativa di un avvocato. E' il testo letterale della norma, nello stesso elenco dell'origine razziale e dei dati genetici.

La condizione che trasforma tutto questo da teorico ad automatico e' il modo in cui la legge ne definisce l'ambito: gli obblighi aggiuntivi scattano quando l'attivita' raccoglie o elabora quell'informazione allo scopo di dedurre caratteristiche su un consumatore. Il sito di un rivenditore generico di solito non deduce nulla sulla vita sessuale di un cliente da cosa naviga, quindi questa categoria lo tocca appena. Una directory organizzata in categorie per genere e orientamento e' costruita interamente attorno a questo tipo di informazione. La deduzione non e' un effetto collaterale dell'attivita'; e' la struttura stessa di navigazione del sito. Questo e' il motivo specifico per cui questa categoria raggiunge un operatore di classifieds per definizione, in un modo in cui non raggiunge la maggior parte delle altre piccole imprese che usano esattamente gli stessi tag di marketing.

Il VCDPA della Virginia e il CPA del Colorado adottano un approccio piu' rigido di quello californiano. Mentre la CPRA lascia che un'attivita' elabori dati sensibili e offra ai consumatori solo dopo il diritto di limitarne l'uso, Virginia e Colorado richiedono che l'attivita' ottenga il consenso esplicito del consumatore prima di elaborare qualsiasi dato sensibile, non dopo il fatto e non tramite un link nascosto in fondo alla pagina. Deve avvenire prima un'azione specifica, informata, di adesione volontaria. Per un sito che attiva automaticamente un pixel di marketing nel momento stesso in cui una pagina si carica, questa e' la differenza tra un impianto conforme e uno che non avrebbe mai dovuto raccogliere quel dato fin dall'inizio.

All'inizio dell'anno circa venti stati avevano leggi complete sulla privacy di questo tipo in vigore, e da allora ne sono state approvate altre, ciascuna con un proprio calendario di entrata in vigore e ciascuna con le proprie piccole variazioni su cosa conta come sensibile e quale modello, opt-out oppure consenso esplicito, segue. Un operatore non puo' scegliere da quale stato arrivino i visitatori. Una directory con traffico nazionale sta, di fatto, costruendo secondo la regola piu' rigida che possa applicarsi a qualunque visitatore possa ricevere, il che in questo caso significa trattare il modello del consenso, non quello dell'opt-out, come la base di partenza da progettare e non come l'eccezione da gestire.

Un pixel e' "condivisione", non "vendita", e quella distinzione non ti salva

Il motivo piu' comune per cui un operatore presume che nulla di tutto questo lo riguardi e' semplice: non passa denaro. Nessuno sta vendendo un elenco di visitatori a nessuno. Quel ragionamento regge contro un'idea vecchio stile di vendita di dati e crolla contro come la CPRA definisce davvero il problema. La legge ha creato un concetto separato chiamato "condivisione", che copre specificamente la pubblicita' comportamentale cross-context, cioe' qualunque accordo in cui una terza parte possa usare i dati del tuo sito per indirizzare pubblicita' a quello stesso visitatore altrove, che ci sia o meno un pagamento di mezzo.

Un pixel di retargeting di una piattaforma pubblicitaria e' costruito apposta per fare esattamente questo. Permette alla piattaforma di riconoscere un visitatore che era su una pagina specifica della tua directory e in seguito mostrargli un annuncio altrove, usando esattamente il collegamento che la legge e' stata scritta per intercettare. Dire che "non e' una vendita" e' tecnicamente corretto e giuridicamente irrilevante, perche' il diritto sulla condivisione esiste proprio per raggiungere questo tipo di accordo senza bisogno di dimostrare che sia passato del denaro.

La conseguenza pratica e' un secondo obbligo di divulgazione, distinto e aggiuntivo rispetto alla regola sulle informazioni personali sensibili gia' descritta. Un'attivita' deve dare ai consumatori un modo per limitare l'uso delle informazioni personali sensibili, e un modo separato per rifiutare la condivisione usata per la pubblicita' comportamentale. Nella pratica questi due diritti vengono di solito combinati in un unico link, spesso etichettato "Le tue scelte sulla privacy", cosi' un visitatore non deve cercare in due punti diversi del sito per esercitare l'uno o l'altro. Sempre piu' spesso, gli stati si aspettano anche che un'attivita' rispetti automaticamente il segnale Global Privacy Control, il che significa che il browser di un visitatore puo' esprimere quel rifiuto senza che lui clicchi mai nulla sul sito, e un sito che offre solo un link manuale ignorando quel segnale non sta rispettando lo standard attuale.

Niente di tutto questo riguarda solo i pixel pubblicitari. Un widget di chat che registra le trascrizioni presso un fornitore terzo, un SDK di analytics che riporta quali categorie di annunci un visitatore ha visualizzato, e uno strumento di registrazione delle sessioni che riproduce i clic di un visitatore spostano tutti lo stesso tipo di dati a livello di pagina verso un fornitore esterno all'attivita'. Ognuno merita lo stesso livello di attenzione del pixel pubblicitario, perche' cio' che fa scattare la regola legale e' quello che il dato rivela, non quale reparto abbia chiesto di installare lo strumento.

La lezione di Grindr: la falla raramente e' la rete pubblicitaria che stavi osservando

Nel settembre 2026, Grindr ha accettato di pagare 26 milioni di sterline per chiudere una causa nel Regno Unito promossa da circa 12.000 richiedenti tramite lo studio legale Austen Hays presso la High Court di Inghilterra e Galles. L'accusa era che l'app avesse condiviso lo stato HIV degli utenti, l'uso di PrEP, e informazioni sulla loro vita sessuale o orientamento sessuale con fornitori terzi senza un consenso adeguato, per pratiche relative agli anni tra il 2016 e il 2020. Grindr ha chiuso la causa senza ammettere responsabilita', e ha dichiarato che il proprio programma sulla privacy e' cambiato in modo sostanziale da quando la proprieta' e' cambiata in quello stesso anno.

Il dettaglio che merita l'attenzione di un operatore non e' l'importo della transazione. E' chi fossero i fornitori: Localytics e Apptimize, entrambe normali aziende di analytics di prodotto del tipo che quasi ogni app o sito usa per capire il comportamento degli utenti, non reti pubblicitarie che chiunque avrebbe segnalato a vista come ad alto rischio. L'esposizione non e' nata da una vendita deliberata di dati a un inserzionista. E' nata da un'integrazione di analytics standard che, su questo tipo particolare di piattaforma, si e' trovata a ricevere e inoltrare dati di categoria sensibile come effetto collaterale ordinario della normale registrazione degli eventi.

Questa e' esattamente la forma del rischio descritto nelle sezioni precedenti, che si manifesta su una piattaforma reale con una cifra reale allegata. Nessuno in quell'azienda si e' seduto a decidere di vendere dati sull'orientamento sessuale. Un SDK di analytics stava facendo il suo lavoro ordinario su pagine dove quel lavoro ordinario significava, per l'appunto, trasmettere una deduzione sensibile, e nessuno aveva mappato quel collegamento prima che diventasse una causa legale durata due anni.

Lo stesso schema e' visibile piu' vicino a casa, nel modo in cui gli studi legali americani specializzati in class action stanno oggi facendo causa a gestori di siti web, non solo a produttori di app, in base a leggi statali sulle intercettazioni come il California Invasion of Privacy Act e alla legge federale Video Privacy Protection Act, per widget di chat ordinari, strumenti di registrazione delle sessioni e pixel di tracciamento installati per ragioni di marketing del tutto banali. Questa e' un'area attiva, non consolidata: la Corte Suprema degli Stati Uniti ha accettato nel gennaio 2026 di esaminare un caso che chiarira' quanto ampiamente si estenda la definizione di "consumatore" nella legge sulla privacy video, il che significa che i confini di questa esposizione si stanno ancora tracciando in tempo reale, non fissati da una regola che un operatore possa semplicemente leggere una volta e archiviare.

Cosa mettere davvero in atto prima della prossima modifica di marketing

Comincia con un inventario, non con una policy. Elenca ogni tag di terze parti presente sul sito, il pixel, lo snippet di analytics, il widget di chat, qualunque cosa un consulente di marketing o un plugin abbia installato, e annota su quali pagine si attiva ciascuno. La domanda che conta e' se qualcuno di questi si attiva su una pagina di annunci specifica per categoria, genere o orientamento prima che il visitatore abbia fatto qualcosa per acconsentire a quel trattamento. La maggior parte degli operatori non ha mai fatto questo elenco, perche' nessuna singola persona possiede ogni tag del sito, ed e' esattamente in quel vuoto che vive questa esposizione.

Una volta pronto l'elenco, dividilo. Gli strumenti che devono funzionare solo su pagine di account, fatturazione o generali del sito sono la meta' a basso rischio. Qualunque cosa si attivi su una pagina di annunci specifica per categoria o orientamento appartiene a un gruppo separato che non dovrebbe caricarsi automaticamente, e dovrebbe caricarsi solo dopo un'azione di consenso specifica e registrata, non dopo il pulsante di un banner generico sui cookie costruito per un normale sito di vendita al dettaglio. Un banner che dice "usiamo i cookie" non soddisfa quasi nulla secondo un modello di consenso esplicito per dati sensibili.

Combina i due obblighi di divulgazione in un unico link visibile, spesso etichettato "Le tue scelte sulla privacy", che copra sia il diritto di limitare l'uso delle informazioni personali sensibili sia il diritto di rifiutare la condivisione per la pubblicita' comportamentale, e assicurati che il sito rispetti davvero un segnale Global Privacy Control del browser, non solo un link manuale. Questo e' un requisito concreto e realizzabile, non un'aspirazione vaga, e vale la pena confermare con chi ha costruito il sito che sia collegato correttamente, invece di dare per scontato che un plugin per il consenso ai cookie lo gestisca da solo.

Tratta gli strumenti di registrazione delle sessioni e dello schermo come la categoria a rischio piu' alto di questo elenco e, se l'attivita' non ha una chiara ragione operativa per tenerne uno, considera di eliminarlo del tutto invece di provare a configurarlo intorno al rischio. Se ne resta uno, escludi dalla registrazione ogni pagina di categoria e di annunci, invece di affidarti a una redazione successiva. La stessa logica che ha spinto la strategia sul traffico verso ricerca e referral invece che verso piattaforme pubblicitarie a pagamento vale qui per un secondo motivo: meno pixel pubblicitari di terze parti sul sito non e' solo una scelta di marketing, e' anche meno punti da cui i dati di una pagina di categoria possono uscire verso un fornitore che nessuno ha mai controllato. Costruire questa mappa prima della prossima campagna costa meno che ricostruirla dopo l'arrivo di una diffida legale.