La legge del New Jersey sui broker di dati da 5.000 a 1,5 milioni di dollari: quanto costa ora alle piccole imprese vendere i dati dei clienti

Se hai mai venduto una lista di clienti, concesso in licenza indirizzi email a un partner di marketing o trasmesso dati degli acquirenti a una società di analisi, il New Jersey ha appena messo un prezzo su quella transazione — e si parte da 5.000 dollari all'anno. Anche se tratti solo poche migliaia di record di residenti del New Jersey.

Il 30 giugno 2026, il New Jersey ha emanato la A5328 (P.L.2026, c.25), la legge sulla registrazione dei broker di dati più costosa del paese. A differenza delle leggi più vecchie della California e del Vermont che prendevano di mira i classici broker di dati di terze parti, la versione del New Jersey raggiunge qualsiasi azienda che vende o concede in licenza dati personali di residenti del New Jersey — inclusi rivenditori, editori, app e attività di servizi che hanno un rapporto diretto con il consumatore. Se monetizzi dati che hai raccolto tu stesso, ora sei un "raccoglitore di dati" regolamentato nel New Jersey, soggetto alla stessa tariffa annuale, allo stesso registro pubblico e allo stesso divieto sui dati sensibili di un broker tradizionale.

Ecco cosa è cambiato, quanto costerà, chi colpisce e come preparare libri contabili e operazioni prima che si apra la finestra di registrazione a metà 2027.

Perché Questa Legge È Diversa da Quella di Qualsiasi Altro Stato​

La maggior parte delle leggi statali sui broker di dati segue il modello californiano: se non hai un rapporto diretto con il consumatore e vendi dati acquistati altrove, ti registri e paghi una tariffa fissa moderata. La California addebita circa 6.000 dollari all'anno. Vermont, Texas e Connecticut addebitano poche centinaia di dollari.

Il New Jersey ha riscritto quel manuale in tre modi:

1. Copre i venditori di prima parte. Un "broker di dati" continua a significare un'entità che vende dati che non ha raccolto direttamente dal consumatore. Ma il New Jersey ha aggiunto una categoria parallela, "raccoglitore di dati", per le entità che hanno raccolto i dati direttamente — dai propri clienti, abbonati o visitatori del sito web — e poi li vendono o li concedono in licenza a valle. Se gestisci un negozio online e vendi il tuo file clienti a un database cooperativo, sei un raccoglitore di dati.

2. La tariffa è legata al volume, non a una tariffa fissa. Le tariffe vanno da 5.000 a 1,5 milioni di dollari all'anno in base a quanti record di consumatori del New Jersey gestisci. La tariffa fissa della California sembrava costosa finché questa legge non l'ha fatta sembrare una tassa di deposito.

3. La vendita di dati sensibili è vietata in modo assoluto. La legge modifica il New Jersey Data Privacy Act (NJDPA) per vietare la vendita o la concessione in licenza di dati sensibili da parte di praticamente qualsiasi entità — non solo broker e raccoglitori, non solo grandi aziende, e non con il consenso come via di fuga. Quel divieto è entrato in vigore immediatamente il 30 giugno.

Il disegno di legge è stato anche accelerato. Presentato il 28 giugno, approvato da entrambe le camere entro due giorni e firmato dal Governatore Mikie Sherrill il 30 giugno, è passato da idea a legge più velocemente di quanto la maggior parte delle aziende possa aggiornare un'informativa sulla privacy.

La Struttura Tariffaria a 7 Fasce che Parte da 5.000 Dollari​

I broker e i raccoglitori soggetti alla legge devono registrarsi annualmente presso la New Jersey Division of Consumer Affairs, che manterrà un registro pubblico. La registrazione richiede il pagamento della tariffa, l'indicazione del nome legale, dell'indirizzo fisico, dei siti web, di una cronologia del broker di dati che includa violazioni ed eventi di sicurezza informatica e di chiare istruzioni su come i consumatori possono esercitare l'opt-out.

Secondo la legge e le successive linee guida della Division, le tariffe annuali variano in base al numero di consumatori del New Jersey i cui dati personali vendi o concedi in licenza:

• 5.000 dollari per 100.000 o meno consumatori del New Jersey
• 10.000–15.000 dollari per 100.001 a 500.000 consumatori
• 100.000–200.000 dollari per 500.001 a 1 milione di consumatori
• 500.000 dollari per 1 milione a 2 milioni di consumatori
• 750.000–1 milione di dollari per 2 milioni a 4,5 milioni di consumatori
• 1,5 milioni di dollari per più di 4,5 milioni di consumatori

Le soglie finali delle fasce sono state descritte con lievi variazioni nei riassunti degli studi legali, ma la struttura è coerente: sette gradini, fortemente progressivi, con le due fasce più alte che raggiungono sette cifre. Per contesto, il New Jersey ha circa 9,5 milioni di residenti — un broker che gestisce dati su metà dello stato paga il massimo.

La mancata registrazione o il mancato pagamento comporta una sanzione civile di 2.500 dollari al giorno. Dato che si prevede che il registro non sarà operativo fino al 27 marzo 2027 (nove mesi dopo l'emanazione), con la Division del Procuratore Generale che in un avviso di inizio agosto 2026 ha indicato che non richiederà la conformità con i requisiti di registrazione e tariffa fino a giugno 2027, hai una finestra per valutare l'esposizione — ma non per ignorarla.

Un Rapido Confronto dei Costi​

Il New Jersey non ha solo alzato il tetto; ha creato un nuovo minimo che è 10 volte superiore all'intera tariffa della maggior parte degli stati.

Chi Rientra Effettivamente? Più Aziende di Quanto Pensi​

Non devi pensare a te stesso come a un "broker di dati" per essere soggetto alla legge.

Probabilmente sei un broker di dati se: acquisti, aggreghi o concedi in licenza dati personali da fonti diverse dal consumatore diretto e poi vendi o concedi in licenza tali dati. Esempi includono siti di ricerca di persone, fornitori di punteggi di rischio, operatori di cooperative di marketing e rivenditori di lead generation.

Probabilmente sei un raccoglitore di dati se: hai un rapporto diretto con il consumatore — hanno creato un account, acquistato un prodotto, si sono iscritti a una newsletter — e vendi o concedi in licenza i loro dati personali a qualcun altro. Esempi che colpiscono le normali piccole imprese:

• Un marchio di e-commerce che monetizza il proprio file clienti vendendolo a una cooperativa di dati o condividendolo con inserzionisti non affiliati in cambio di un compenso.
• Un sito o un'app di media locale che concede in licenza i dati dei propri abbonati o visitatori a una rete pubblicitaria al di fuori del contesto di fornitore di servizi.
• Un operatore di programmi fedeltà che vende la cronologia degli acquisti a una società di analisi di terze parti.
• Un servizio B2B che raccoglie dati di contatto di piccole imprese e li concede in licenza come lista di potenziali clienti.

Cosa non attiva la registrazione? Se utilizzi solo un fornitore di servizi o un processore per gestire i dati per tuo conto — ad esempio, una piattaforma email che invia le tue campagne, o un processore di pagamenti che tocca i dati delle transazioni solo per completare la vendita — e non vendi o concedi in licenza i dati sottostanti a beneficio del fornitore, non stai vendendo dati secondo la legge. Anche l'uso interno dei dati per fare marketing ai tuoi stessi clienti non è una vendita.

La distinzione che conta nei tuoi libri contabili: il compenso. Una "vendita" nel New Jersey significa lo scambio di dati personali in cambio di un corrispettivo monetario o di altro valore. Se il flusso di dati fa parte della fornitura del servizio contrattuale e il destinatario non può riutilizzarlo per i propri scopi commerciali, è più probabile che si tratti di un accordo di fornitore di servizi piuttosto che di una vendita.

Il Divieto sui Dati Sensibili che Si Applica a Tutti​

Separatamente dalla registrazione come broker/raccoglitore, il New Jersey ora vieta la vendita o la concessione in licenza di dati sensibili da parte di qualsiasi entità, indipendentemente dal fatto che tu sia un broker, un raccoglitore o solo una piccola impresa che una volta ha condiviso una lista sensibile con un partner:

• Dati personali che rivelano origine razziale o etnica
• Dati relativi alla salute e dati genetici
• Informazioni finanziarie (oltre quanto necessario per elaborare un pagamento)
• Orientamento sessuale, stato transgender/intersessuale e dati correlati
• Cittadinanza e stato di immigrazione
• Credenze religiose
• Identificatori biometrici e genetici
• Geolocalizzazione precisa
• Dati relativi ai minori

A differenza del divieto di geolocalizzazione più ristretto del Connecticut o di altri stati che consentono la vendita di dati sensibili con consenso opt-in, il New Jersey vieta la vendita anche con il consenso. Le violazioni comportano 50.000 dollari per record venduto, offerto in vendita o concesso in licenza. Non è per violazione o per file di consumatori — è per record. Una lista di 1.000 righe di record di clienti con tag di geolocalizzazione offerta per 500 dollari potrebbe teoricamente innescare un'esposizione a una sanzione di 50 milioni di dollari.

Questa parte della legge è entrata in vigore immediatamente. Se attualmente hai qualsiasi accordo di condivisione dati che tocca una di queste categorie per i residenti del New Jersey, avresti dovuto già sospenderlo e riesaminarlo con un legale.

Cosa Mostrerà il Registro Pubblico sulla Tua Attività​

Una volta operativo, la Division pubblicherà un registro ricercabile che elenca per ogni broker e raccoglitore:

• Nome legale, indirizzo fisico e postale principale e sito web
• Se l'entità consente ai consumatori di esercitare l'opt-out dalla vendita di dati personali e come farlo
• Metriche per le richieste di opt-out ricevute e completate
• Cronologia di violazioni dei dati ed eventi di sicurezza informatica
• Contatto per le richieste dei consumatori

Questa è più divulgazione di quanto richieda la California. Per le piccole imprese, il punto reputazionale è importante quanto la tariffa: se finisci in un elenco pubblico di broker di dati, clienti e partner ti troveranno lì.

Una Checklist in 6 Passi Prima di Giugno 2027​

Hai circa 10 mesi dall'emanazione alla scadenza di conformità prevista. Usali per prendere una decisione difendibile sul fatto che tu sia nel campo di applicazione e per ripulire i tuoi flussi di dati.

1. Mappa dove i dati personali escono dalla tua azienda in cambio di valore​

Preleva gli ultimi 12 mesi di registri di fornitori e reddito. Cerca qualsiasi riga in cui hai ricevuto un pagamento (contanti, crediti, servizi scontati, quota di compartecipazione) e condiviso dati personali in cambio. Colpevoli comuni:

• Ricavi da "licenza dati" o "estensione del pubblico"
• Commissioni di partecipazione a database cooperativi
• Reddito da affitto di liste
• Pagamenti di riferimento legati alla condivisione di dati di contatto
• Partnership di analisi in cui fornisci dati cliente grezzi oltre l'ambito del servizio

Se il pagamento è legato ai dati stessi — non al servizio di invio di un'email o di elaborazione di un pagamento — segnalalo.

2. Conta i record del New Jersey separatamente​

La tariffa è per consumatore del New Jersey, non per record totali. Segmenta i tuoi dati per stato. Anche se vendi un file nazionale di 2 milioni di record, solo il sottoinsieme che è residente nel New Jersey conta per la fascia. Potrebbe essere il 2–3% per una tipica lista nazionale, ma se sei pesante sul New Jersey, potrebbe essere molto più alto.

Se attualmente non puoi segmentare per stato, questo è il tuo primo compito di ingegneria. Non puoi calcolare una fascia o sostenere di essere sotto una soglia senza farlo.

3. Ferma qualsiasi vendita di dati sensibili ora​

Esegui ogni feed di dati in uscita rispetto alle categorie sensibili di cui sopra. Ricorda che le inferenze contano: una cronologia degli acquisti che rivela condizioni di salute o un file di codice postale più etnia può essere trattata come sensibile anche se non l'hai etichettata in quel modo.

Se trovi dati sensibili in una pipeline di vendita, ferma la vendita, documenta la data di stop e non fare affidamento su un vecchio modulo di consenso per giustificare la continuazione. Il divieto del New Jersey non ha un'eccezione di consenso per questo uso.

4. Ri-riscrivi i rapporti con i fornitori che sono realmente rapporti di fornitore di servizi​

Se un fornitore è un vero processore, assicurati che il tuo contratto lo dica: i dati possono essere utilizzati solo per fornirti il servizio, devono essere cancellati o restituiti alla fine del contratto e non possono essere venduti, conservati o utilizzati per costruire prodotti propri del fornitore. In assenza di quel linguaggio, le autorità di regolamentazione potrebbero trattare il passaggio come una vendita.

5. Metti a budget la tariffa e decidi se il ricavo ne vale la pena​

Fai un'analisi di profitti e perdite rigorosa su ogni riga di vendita dati:

• Ricavo lordo dalla vendita dati
• Tariffa di registrazione annuale del New Jersey per la tua fascia
• Costi legali e di revisione per mantenere la conformità (consulente privacy, inventario dati, infrastruttura opt-out)
• Riserva di rischio per sanzioni se la tua classificazione è sbagliata

Molte piccole imprese scopriranno che un affitto annuale di lista da 3.000 dollari che le spinge nella fascia da 5.000 dollari è già non redditizio, prima ancora di contare le spese generali di conformità. Alcune stanno uscendo completamente dall'attività secondaria. Altre si stanno ristrutturando per rimanere fornitrici di servizi — ad esempio, consentendo all'inserzionista di targetizzare il pubblico solo attraverso la tua piattaforma senza mai trasferire i record sottostanti.

6. Prepara i dati di registrazione in anticipo​

Se concludi di essere nel campo di applicazione, avrai bisogno di:

• Una cronologia scritta di violazioni dei dati ed eventi di sicurezza informatica risalente a diversi anni
• Documentazione del meccanismo di opt-out e conteggi delle richieste onorate
• Supporto per il calcolo alternativo della tariffa (la tua metodologia per il conteggio dei consumatori del New Jersey)
• Contabilità che dimostri che la tariffa è stata pagata e la registrazione rinnovata annualmente

Conservali come un pacchetto di conformità, non come email sparse. Gli esaminatori vorranno vedere la metodologia, non solo un numero.

Contabilità e Trattamento Fiscale: Non Seppellire la Tariffa​

La tariffa del New Jersey è un costo annuale e ricorrente dell'attività se rimani un broker o un raccoglitore, non una tassa di deposito una tantum. Come la registri conta sia per le decisioni interne sia per la rendicontazione esterna.

Crea un centro di costo di conformità separato. Non raggruppare la tariffa di registrazione in "licenze e permessi" con la tua licenza commerciale locale o la tassa annuale della LLC. Crea un conto distinto nel libro mastro generale come Conformità: Registrazione Broker di Dati – NJ e registra l'intero importo della fascia lì ogni anno. Questo rende onesto il test di redditività del passo 5: puoi vedere in una riga se il ricavo dalla vendita dati copre il proprio costo normativo.

Trattala come una spesa aziendale ordinaria e necessaria, ma tieni traccia delle ipotesi di deducibilità. Ai fini dell'imposta federale sul reddito, le tariffe di registrazione annuali che sono ordinarie e necessarie per operare in una giurisdizione sono generalmente deducibili come spese aziendali nell'anno in cui sono pagate o maturate. Questo non è un consiglio fiscale; le tariffe statali possono interagire con le regole di capitalizzazione se legate a un'attività immateriale di 15 anni o con la Sezione 162(f) se sono tecnicamente una sanzione. Conserva la fattura e la citazione dello statuto con la registrazione e fai confermare il trattamento dal tuo commercialista prima della dichiarazione. Se una parte è una sanzione per registrazione tardiva (2.500 dollari al giorno), quella parte non è deducibile.

Non compensare la tariffa con il ricavo dalla vendita dati. Registra il ricavo lordo dalle vendite dati come Ricavo: Licenza Dati e la tariffa come spesa operativa. La compensazione li sottostima entrambi e rompe la riconciliazione tra i tuoi registri relativi al 1099 (se applicabili) e i tuoi depositi bancari. Nasconde anche quanto sei vicino alla fascia successiva se il tuo conteggio del New Jersey cresce.

Riconcilia mensilmente con il tuo registro delle vendite dati. Mantieni una semplice tabella: mese, controparte, record condivisi, record del New Jersey all'interno di quella condivisione, compenso ricevuto, tipo di contratto (vendita vs fornitore di servizi). Riconcilia quel registro con il tuo conto ricavi e con gli incassi. Se mai vieni esaminato, la domanda sarà "come sei arrivato a 87.000 consumatori del New Jersey?" e avrai bisogno della query di origine, non di una stima.

Se smetti di vendere dati per uscire dal regime: registra una tariffa dell'ultimo anno se richiesta per l'anno in cui sei stato attivo, scrivi un memorandum datato al file che dichiari la decisione aziendale e la data in cui le vendite sono cessate e conserva i diagrammi del flusso di dati sottostanti. Scendere sotto la soglia non cancella retroattivamente la responsabilità della tariffa per un anno in cui eri sopra.

Cosa Succede Se Non Fai Nulla​

Tre rischi convergono:

• Responsabilità immediata per le vendite di dati sensibili — non esiste un periodo di grazia per quel divieto e la sanzione per record è progettata per rendere dolorose anche le piccole vendite.
• Sanzioni giornaliere per la mancata registrazione — una volta che il registro è attivo e la sospensione dell'applicazione viene revocata a giugno 2027, ogni giorno senza registrazione è una sanzione separata di 2.500 dollari, indipendentemente da quanti dati hai venduto quel giorno.
• Ricadute su contratti e pagamenti — gli acquirenti di dati che scoprono che il loro fornitore del New Jersey non è registrato possono rescindere o richiedere un'indennizzo. Alcuni contratti master di licenza dati richiedono già al venditore di dichiarare che rispetta le leggi applicabili sui broker di dati.

Nessuno di questi rischi richiede che il New Jersey dimostri l'intento. Sono obblighi di conformità rigorosi e il Procuratore Generale del New Jersey ha esplicita autorità per farli rispettare.

Dovresti Uscire dal Business della Vendita di Dati?​

Per molte piccole imprese, la risposta sarà sì — non perché la legge vieta il tuo prodotto principale, ma perché trasforma una riga di ricavo secondaria in un'attività regolamentata con strascichi di revisione a sei cifre.

Chiediti:

• Il ricavo dalla vendita dati è materiale — diciamo, più del 5% dell'utile lordo — o è opportunistico?
• Potresti ottenere lo stesso risultato di marketing mantenendo i dati internamente e vendendo l'accesso piuttosto che i record grezzi? Ad esempio, consentendo ai partner di fare pubblicità ai tuoi pubblici nel tuo ambiente senza esportare i dati personali sottostanti.
• Hai la capacità ingegneristica di segmentare per stato, onorare gli opt-out e mantenere le divulgazioni della cronologia delle violazioni per un registro pubblico?

Se la risposta alla prima è "no" e alle successive due è "non facilmente", uscire è la postura di conformità a costo inferiore. Anche quell'uscita dovrebbe essere documentata: rescindi o modifica i contratti di vendita dati, aggiorna la tua informativa sulla privacy per rimuovere la divulgazione "vendiamo dati" per il New Jersey e conserva i contratti modificati come prova del tuo stato cambiato.

Se le vendite di dati sono centrali per il tuo modello — un'attività di liste, una cooperativa di marketing, una piattaforma di dati sul pubblico — tratta il New Jersey come il punto di riferimento massimo e preparati ad altri stati che lo copieranno. La tariffa di 6.000 dollari della California sembrava il tetto per un decennio; il New Jersey l'ha portata a 1,5 milioni di dollari in un solo disegno di legge.

Semplifica la Tua Gestione Finanziaria​

Che tu rimanga nel business dei dati o ne esca, la legge del New Jersey è un promemoria che una piccola riga di ricavo può creare costi di conformità sproporzionati se non riesci a vederne il vero margine. Tenere ricavi da licenza dati, tariffe di registrazione, costi legali e riserve per sanzioni in libri contabili separati e con controllo di versione rende visibile quel margine prima che un avviso di rinnovo o un esaminatore lo faccia.

Beancount.io ti offre una contabilità in chiaro a partita doppia, completamente trasparente e pronta per l'IA — niente scatole nere, nessun vincolo al fornitore. Tieni traccia delle spese di conformità per giurisdizione, riconcilia il reddito da licenza dati con il contante e mantieni una cronologia completa di ogni riclassificazione in git. Inizia gratis e scopri perché sviluppatori e professionisti finanziari stanno passando alla contabilità in chiaro.