Se gestisci una piccola impresa in California e pensavi che la legge sulla privacy dei consumatori fosse un problema solo per i giganti della tecnologia, il 2026 è l'anno in cui questa supposizione non regge più. I dati dei tuoi dipendenti e candidati che la tua azienda raccoglie ogni giorno — i numeri di previdenza sociale su un modulo W-4, un orologio biometrico con impronta digitale, un certificato medico per un congedo FMLA, persino il curriculum che un candidato ti ha inviato via email — sono ora pienamente soggetti alla legge californiana sulla privacy, e una nuova serie di regolamenti statali che entrano in vigore il 1° gennaio 2026 alza ulteriormente l'asticella per come questi dati devono essere gestiti.
Come i dati dei dipendenti sono finiti sotto una legge sulla privacy "dei consumatori"
Quando il California Consumer Privacy Act (CCPA) è stato approvato per la prima volta, i datori di lavoro hanno avuto una tregua: un'esenzione significava che i dati dei propri dipendenti, candidati e appaltatori erano per lo più esclusi mentre i legislatori elaboravano norme specifiche per l'occupazione. Quell'esenzione è sempre stata temporanea ed è scaduta il 1° gennaio 2023, quando gli emendamenti del California Privacy Rights Act (CPRA) sono entrati pienamente in vigore. Da allora, i fascicoli delle risorse umane, i registri delle paghe, i dati di iscrizione ai benefit e i sistemi di tracciamento dei candidati vengono trattati allo stesso modo della cronologia degli acquisti di un cliente: come informazioni personali soggette alle norme della legge su accesso, cancellazione, rettifica e comunicazione.
Quella singola data di scadenza ha rimodellato una grande quantità di pratiche burocratiche aziendali ordinarie. Ogni modulo I-9, ogni modulo di deposito diretto, ogni valutazione delle prestazioni, ogni scansione biometrica dell'orologio marcatempo — tutto questo è ora un'informazione personale che un dipendente ha il diritto legale di vedere, correggere e, in molti casi, cancellare.
Chi è effettivamente tenuto a conformarsi
Non tutte le piccole imprese sono coinvolte, e le soglie contano più di quanto suggeriscano i titoli dei giornali. Il CPRA si applica a un'impresa a scopo di lucro che opera in California e raccoglie informazioni personali di residenti californiani (inclusi i dipendenti) se soddisfa almeno uno di questi criteri:
- Ricavi lordi annuali superiori a 25 milioni di dollari (al 1° gennaio dell'anno solare), oppure
- Acquista, vende o condivide le informazioni personali di 100.000 o più consumatori, famiglie o dispositivi californiani all'anno, oppure
- Deriva il 50% o più dei ricavi annuali dalla vendita o condivisione delle informazioni personali dei consumatori
Molti datori di lavoro realmente piccoli sono al di sotto di tutte e tre le soglie e non sono coperti. Ma il secondo test — 100.000 consumatori, famiglie o dispositivi — coinvolge più aziende di quanto i titolari si aspettino, perché i "dispositivi" possono includere i visitatori del sito web tracciati dai cookie, non solo clienti o dipendenti. Una società di consulenza di dieci persone con un blog popolare o un negozio di e-commerce ad alto traffico può superare quella soglia molto prima di assumere il suo centesimo dipendente. Se non sei sicuro da che parte del confine ti trovi, vale la pena verificarlo con un consulente legale prima di presumere che la legge non si applichi a te — l'esposizione alle sanzioni descritta di seguito è abbastanza reale da rendere l'azzardo una cattiva strategia.
Quali diritti hanno effettivamente i dipendenti ora
Per i datori di lavoro soggetti alla legge, i dipendenti attuali ed ex, i candidati e gli appaltatori indipendenti ottengono gli stessi diritti fondamentali che la California riconosce ai consumatori:
- Diritto di sapere quali categorie di informazioni personali raccogli su di loro e perché
- Diritto di accesso a una copia dei dati specifici che conservi su di loro
- Diritto di rettifica di informazioni inesatte
- Diritto alla cancellazione delle loro informazioni personali, fatte salve le eccezioni (puoi comunque conservare ciò che ti serve per registrazioni fiscali, conformità legale o un contenzioso legale in corso)
- Diritto di limitare l'uso delle informazioni personali sensibili — una categoria che include numeri di previdenza sociale, dettagli di conti finanziari, geolocalizzazione precisa, origine razziale o etnica, informazioni sanitarie e dati biometrici raccolti a scopo di identificazione
È quest'ultima categoria che coglie di sorpresa molti piccoli datori di lavoro. Gli orologi biometrici sono comuni in negozi al dettaglio, ristoranti, magazzini e cantieri perché riducono il fenomeno del "buddy-punching". Ai sensi del CPRA, un'impronta digitale o una scansione della mano usata per timbrare l'entrata è "informazione personale sensibile", il che comporta obblighi di notifica e di limitazione dell'uso più stringenti rispetto a un normale foglio presenze.
In pratica, la conformità implica un avviso scritto sulla privacy che spieghi cosa raccogli e perché, un processo per consentire ai dipendenti di presentare richieste e — questa è la parte che crea problemi — almeno due metodi designati per l'invio di tali richieste, uno dei quali in genere deve essere un numero di telefono gratuito, oltre a qualcosa come un modulo web o un indirizzo email come seconda opzione. Un post-it che dice "invia email a HR" non soddisfa la regola.
Le nuove regole che entrano in vigore il 1° gennaio 2026
Oltre ai requisiti di base del CPRA, la California Privacy Protection Agency ha finalizzato una nuova serie di regolamenti nel 2025 che entreranno in vigore gradualmente a partire dal 1° gennaio 2026, e riguardano specificamente il modo in cui i datori di lavoro utilizzano la tecnologia per gestire la propria forza lavoro:
- Valutazioni del rischio prima del trattamento ad alto impatto. Prima che un'azienda soggetta alla legge inizi (o continui) un'attività che comporta un "rischio significativo" — vendita o condivisione di informazioni personali, trattamento di informazioni personali sensibili, uso di tecnologia decisionale automatizzata per una decisione significativa, o uso di dati biometrici per la verifica dell'identità — deve completare una valutazione del rischio documentata. Se l'attività era già in corso prima del 1° gennaio 2026, la scadenza per la valutazione è posticipata al 31 dicembre 2027, dando così un po' di respiro ai programmi esistenti.
- Norme sulla tecnologia decisionale automatizzata (ADMT), introdotte gradualmente con una data di conformità al 1° gennaio 2027. Questo è l'aspetto che i reparti HR dovrebbero seguire attentamente: lo screening dei curriculum assistito dall'IA, gli strumenti di pianificazione algoritmica e i sistemi di valutazione automatizzata delle prestazioni utilizzati per "decisioni significative" relative all'assunzione, alla retribuzione o alla disciplina richiederanno una notifica al consumatore, un diritto di rinuncia e un diritto di accesso.
- Audit annuali indipendenti di cybersicurezza, introdotti gradualmente in base ai ricavi, a partire dalle aziende più grandi nel 2028 fino ad arrivare alle aziende soggette più piccole entro il 2030.
Niente di tutto ciò richiede un reparto conformità da Fortune 500. Ma significa che una piccola impresa che utilizza uno strumento di reclutamento standard con ranking dei curriculum basato sull'IA, o una funzione di timbratura biometrica del fornitore di buste paga, deve effettivamente leggere cosa quel fornitore sta facendo con i dati — perché in quanto datore di lavoro, sei tu il responsabile nei confronti dei tuoi dipendenti e delle autorità di regolamentazione, non il fornitore.
Uno scenario realistico: il gruppo di ristoranti con l'orologio biometrico
Immagina un gruppo di ristoranti con 40 dipendenti e tre sedi nella contea di Los Angeles. Utilizza un orologio biometrico per impedire il buddy-punching, una piattaforma di reclutamento con screening dei curriculum basato sull'IA per gestire un alto volume di candidati orari, e un fornitore di buste paga che conserva i dati dei depositi diretti e delle ritenute fiscali. Di per sé, niente di tutto ciò sembra insolito — è un'operazione standard per un'attività alimentare con più sedi. Ma guardiamolo attraverso la lente del CPRA: le impronte digitali scansionate sono informazioni personali sensibili che richiedono una notifica specifica e una comunicazione sulla limitazione dell'uso; lo screening dei curriculum basato sull'IA è esattamente il tipo di tecnologia decisionale automatizzata a cui mirano i regolamenti del 2026–2027; e ogni modulo W-4 e di deposito diretto nel sistema di buste paga è ora un'informazione personale che un dipendente può richiedere, correggere o chiedere di cancellare.
Se questo gruppo supera le soglie di fatturato o volume di dati del CPRA, nessuno di questi tre sistemi può continuare a funzionare esattamente come prima senza un avviso sulla privacy, un processo documentato per gestire le richieste dei dipendenti e — una volta che le norme ADMT entreranno in vigore — un modo per informare i candidati che un algoritmo sta valutando il loro curriculum e consentire loro di rinunciare. Niente di tutto ciò richiede di smantellare la tecnologia. Richiede di documentare cosa fa la tecnologia e di dare ai dipendenti la visibilità e il controllo che la legge ora garantisce loro.
I candidati hanno le stesse tutele dei dipendenti assunti
È facile pensare alla "privacy dei dipendenti" come a qualcosa che inizia dal primo giorno di lavoro, ma la definizione di "dipendente" del CPRA a questi fini va ben oltre. Anche i candidati sono coperti, il che è importante per qualsiasi azienda che effettui controlli sui precedenti, utilizzi software di analisi dei curriculum o valutazioni pre-assunzionali. Un candidato respinto ha lo stesso diritto di sapere quali informazioni personali hai raccolto durante il processo di assunzione e, fatte salve le eccezioni come un contenzioso legale in corso, lo stesso diritto di chiederti di cancellarle. Se il tuo sistema di reclutamento conserva i curriculum dei candidati respinti a tempo indeterminato "per sicurezza", quella pratica di conservazione è esattamente il tipo di cosa che una valutazione del rischio per la privacy è progettata per far emergere.
Dove le norme sulle decisioni automatizzate colpiscono più duramente
I requisiti ADMT meritano un'attenzione particolare perché colpiscono esattamente gli strumenti che le piccole imprese hanno adottato per risparmiare tempo su assunzioni e pianificazione: classificazione algoritmica dei curriculum, punteggio automatico dei colloqui, software di pianificazione dei turni che assegna le ore in base a un punteggio di produttività, e strumenti di monitoraggio delle prestazioni che segnalano i dipendenti per una revisione senza prima un intervento umano. Nessuno di questi strumenti è vietato. Ma a partire dal 1° gennaio 2027, usarli per una "decisione significativa" — assunzione, promozione, provvedimento disciplinare o licenziamento — richiede di informare chiaramente la persona interessata che è stata utilizzata ADMT, un diritto di rinuncia nella maggior parte dei casi, e un modo per richiedere quali fattori hanno influenzato la decisione. Se il tuo stack HR include uno strumento che si presenta come "basato sull'IA", questo è un forte segnale che dovrebbe essere nella tua lista di valutazione del rischio ben prima della scadenza del 2027.
Le sanzioni sono reali, anche per le piccole operazioni
L'applicazione delle norme qui non è ipotetica. Le violazioni possono comportare sanzioni civili fino a 2.500 dollari per violazione non intenzionale e fino a 7.500 dollari per violazione intenzionale, e le sanzioni vengono in genere valutate per individuo interessato — il che significa che una richiesta di dati gestita male o una violazione non crittografata che coinvolge poche centinaia di registrazioni di dipendenti può sommarsi rapidamente per un'azienda di quelle dimensioni. Il Procuratore Generale della California e la California Privacy Protection Agency hanno entrambi l'autorità di applicazione delle norme e, a differenza di alcune leggi statali, la California non richiede un periodo formale di sanatoria prima di ogni tipo di violazione.
Una lista di controllo pratica per iniziare
Se sei un datore di lavoro soggetto alla legge (o pensi di essere vicino alla soglia), ecco da dove iniziare:
- Fai un inventario di ciò che raccogli effettivamente. Paghe, benefit, orologi biometrici, controlli sui precedenti, valutazioni delle prestazioni, dati di reclutamento — metti tutto in un unico elenco prima di scrivere un avviso al riguardo.
- Segnala separatamente le informazioni personali sensibili. I numeri di previdenza sociale, le informazioni sanitarie, i dati biometrici e i numeri di conto finanziario hanno requisiti di gestione aggiuntivi.
- Scrivi (o aggiorna) il tuo avviso sulla privacy per i dipendenti per riflettere le categorie attuali di dati, le finalità e i periodi di conservazione.
- Imposta almeno due canali per l'invio delle richieste, incluso un numero verde se sei tenuto ad averlo.
- Chiedi direttamente ai tuoi fornitori di tecnologia HR e buste paga se i loro strumenti utilizzano processi decisionali automatizzati per assunzioni o decisioni sulle prestazioni, e ottieni questo per iscritto.
- Segna sul calendario la scadenza per la valutazione del rischio rilevante per la tua attività — 1° gennaio 2026 per nuove attività di trattamento ad alto rischio, 31 dicembre 2027 per attività di trattamento antecedenti alla regola.
Mantieni le tue registrazioni finanziarie pulite come il tuo programma di privacy dei dati
Gestire correttamente i dati dei dipendenti spesso mette in luce la stessa lacuna che emerge nella contabilità: nessuno è in grado di produrre una registrazione chiara e verificabile di cosa è successo e quando. La stessa disciplina che rende facile rispondere a una richiesta di privacy — sapere esattamente cosa hai, dove si trova e chi ci ha messo mano — è ciò che rende indolore anche la stagione fiscale. Beancount.io ti offre una contabilità in testo semplice completamente trasparente e con controllo di versione, in modo che ogni spesa per buste paga e costo dei benefit abbia una traccia chiara e verificabile invece di una scatola nera. Inizia gratuitamente e scopri perché gli sviluppatori e i titolari di aziende con una mentalità finanziaria stanno passando alla contabilità in testo semplice.