Qualcuno usa una carta di credito rubata nel tuo negozio. Il titolare della carta lo scopre, presenta una denuncia alla polizia e ti invia una richiesta scritta: per favore, mandami le copie dei documenti delle transazioni relative all'acquisto fraudolento. Hai 30 giorni per consegnarli, gratuitamente. Non 30 giorni lavorativi. Non 30 giorni dopo che al tuo avvocato salta il ghiribizzo. Trenta giorni dal ricevimento, per legge federale — e "motivi di privacy" non è una scusa, perché la legge lo dice esplicitamente.
È questa la regola che Amazon ha violato così gravemente che la Federal Trade Commission ha ottenuto una sanzione civile di 2,25 milioni di dollari contro l'azienda nel giugno 2026, la sanzione più alta mai inflitta in base a quella disposizione. E la disposizione si applica alla tua attività esattamente come si è applicata ad Amazon. Se vendi beni o servizi dietro corrispettivo — vale a dire, se gestisci un'attività — la Sezione 609(e) del Fair Credit Reporting Act ti nomina già.
Cosa ha fatto davvero di sbagliato Amazon
Prima, una precisazione necessaria, perché diverse sintesi di questo caso l'hanno sbagliata: la multa non aveva nulla a che fare con le verifiche del background lavorativo o con la valutazione del credito. Amazon è stata sanzionata in base alla Sezione 609(e) della FCRA, la parte della legge che dà alle vittime di furto d'identità il diritto di ottenere le domande e i documenti delle transazioni commerciali alla base di frodi commesse a loro nome.
Secondo l'atto di accusa che il Dipartimento di Giustizia ha depositato per conto della FTC presso il tribunale federale di Washington, D.C., Amazon ha violato la legge "consapevolmente". Ai consumatori che contattavano l'azienda per frodi sui loro conti o sulle loro carte di pagamento, gli operatori del servizio clienti rispondevano che i documenti non potevano essere forniti per motivi di "sicurezza" o "privacy". In quella che il direttore del Bureau of Consumer Protection della FTC ha definito una "esperienza kafkiana", Amazon pretendeva che le vittime identificassero il ladro che aveva rubato i loro dati prima di rilasciare i documenti — in un caso dicendo a un consumatore che non poteva condividere i documenti relativi a un conto fraudolento a meno che il consumatore non indovinasse il nome sul conto, il nome usato dal ladro d'identità. Il consumatore ci ha provato 30 volte, senza riuscirci. Amazon ha inoltre negato i documenti alle agenzie di forze dell'ordine che indagavano sulla frode.
Due dettagli del caso dovrebbero far riflettere qualsiasi piccolo imprenditore. Primo, il personale della FTC aveva avvertito gli avvocati di Amazon già nel giugno 2023 di verificare la conformità a questa esatta disposizione dopo aver ricevuto la denuncia di un consumatore. Le violazioni sono proseguite. Secondo, Amazon non aveva alcuna procedura scritta per gestire queste richieste fino all'inizio del 2025 — dopo aver appreso che la FTC aveva aperto un'indagine. L'assenza di una procedura non è stata una difesa; è stata parte della storia. Nell'ambito dell'accordo, Amazon deve pubblicare un avviso pubblico sul proprio sito web che spieghi come le vittime di furto d'identità possono richiedere i documenti.
Con oltre 1,1 milioni di denunce di furto d'identità presentate alla FTC nel 2024, e il 2025 avviato a superare quel dato, che la richiesta di una vittima arrivi nella tua casella di posta è una questione di quando, non di se. Ecco cosa ti chiede la legge quando succede.
La regola dei 30 giorni che ogni attività dovrebbe conoscere
La Sezione 609(e) è breve e sorprendentemente chiara per uno statuto federale:
Chi è coperto. Qualsiasi entità commerciale che ha concesso credito a, venduto beni o servizi a, accettato pagamenti da, o altrimenti concluso una transazione commerciale dietro corrispettivo con qualcuno che presumibilmente ha utilizzato l'identità di un'altra persona senza autorizzazione. Nota "presumibilmente": non spetta a te stabilire se il furto d'identità sia davvero avvenuto prima di conformarti. La denuncia di una vittima, supportata dalla documentazione descritta di seguito, fa scattare il tuo obbligo.
Cosa devi fornire. Una copia della domanda e dei documenti delle transazioni commerciali sotto il tuo controllo che comprovano la transazione presuntamente fraudolenta — che tu conservi questi documenti in prima persona o che li conservi qualcun altro per tuo conto. Pensa ai documenti degli ordini, alle domande di conto, alle fatture, alle ricevute, alle autorizzazioni di pagamento, agli indirizzi di spedizione legati alla transazione. La legge include espressamente i documenti detenuti da un'altra persona per tuo conto, il che nella prassi moderna significa che i documenti che risiedono nel tuo processore di pagamenti, nella tua piattaforma ecommerce o nel tuo sistema di punto vendita contano come tuoi a questo fine.
Chi può riceverli. La vittima, qualsiasi agenzia o funzionario delle forze dell'ordine federali, statali o locali che la vittima nomina nella richiesta, o un'agenzia delle forze dell'ordine che indaga sul furto e che la vittima ha autorizzato a ricevere i documenti. Il rifiuto di Amazon di condividerli con le forze dell'ordine è stata una violazione separata a sé stante.
La scadenza. Non oltre 30 giorni dal ricevimento della richiesta.
Il prezzo. Niente. La legge dice che i documenti "devono essere forniti senza alcun costo".
La forma della richiesta. Deve essere scritta, inviata per posta a un indirizzo che hai specificato, se ne hai specificato uno — un motivo in più per designare ora un punto di contatto, piuttosto che dopo l'arrivo di una richiesta. Se lo chiedi, la vittima deve includere informazioni rilevanti sulla transazione per aiutarti a trovarla: la data, un numero di conto o di transazione, o altri dettagli identificativi, ma solo se conosciuti dalla vittima o prontamente ottenibili. Leggi attentamente questa limitazione: "se conosciuti" fa un lavoro serio. Puoi chiedere aiuto per localizzare i documenti. Non puoi subordinare la capacità della vittima di fornire dettagli come condizione preliminare, e certamente non puoi pretendere che nomini il ladro, come ha fatto Amazon.
Cosa deve dimostrarti la vittima
La legge non ti lascia la porta spalancata. Prima che tu consegni qualsiasi cosa, la vittima deve fornire due cose, nella forma che scegli tu:
-
Prova dell'identità. A tua scelta: un documento d'identità rilasciato dal governo, informazioni di identificazione personale dello stesso tipo fornite dall'utente non autorizzato, o il tipo di informazioni identificative che normalmente richiedi a nuovi richiedenti o per nuove transazioni.
-
Prova della denuncia di furto d'identità. A tua scelta: una copia di una denuncia di polizia che comprovi la denuncia più un'affidavit standardizzata di furto d'identità debitamente compilata — del tipo generato tramite il processo IdentityTheft.gov della FTC — oppure un'altra affidavit di fatto che ritieni accettabile.
L'unica eccezione: se hai già un alto grado di certezza su chi sia la vittima, puoi saltare la verifica. In pratica, chiedi sempre il pacchetto standard e conserva una copia di quanto ricevuto insieme alla richiesta stessa. Una checklist coerente protegge in entrambe le direzioni: ti impedisce di divulgare informazioni a un impostore e documenta che ogni richiedente ha ricevuto lo stesso trattamento.
Le scuse che non funzionano
Il caso Amazon è utile proprio perché dimostra, al costo di 2,25 milioni di dollari, quali rifiuti falliscono:
"La privacy e la sicurezza ci impediscono di condividere." La legge anticipa questa obiezione e la respinge in anticipo: le disposizioni sulla privacy finanziaria che normalmente limitano la divulgazione di informazioni sui clienti a terzi non possono essere usate per negare la divulgazione alla vittima. Il Congresso ha deciso, già nel 2003, che il diritto della vittima di vedere i documenti relativi a frodi commesse a suo nome prevale sugli istinti di privacy dell'azienda. Forma specificamente su questo punto chiunque risponda alle email o alle telefonate dei clienti, perché "non posso condividere i dettagli del conto per motivi di privacy" è altrimenti esattamente il riflesso giusto.
"Dicci prima chi ha rubato la tua identità." La vittima è, quasi per definizione, la persona che non sa chi ha rubato la sua identità. Subordinare la divulgazione all'identificazione del ladro trasforma un obbligo di 30 giorni in un obbligo impossibile, ed è per questo che le autorità di regolamentazione l'hanno descritto in quel modo.
"Ci serve più tempo." Trenta giorni dal ricevimento sono la scadenza. I chargeback, le contestazioni con il processore e le verifiche interne antifrode seguono i propri tempi; nessuno di essi sospende questo.
"C'è una commissione per i documenti." Le copie sono gratuite. Nessuna commissione di ricerca, nessuna commissione di copia, nessun onere amministrativo.
"Quei documenti li detiene il nostro processore, non noi." I documenti conservati da un'altra persona per tuo conto sono esplicitamente coperti. Se i tuoi dati delle transazioni risiedono in Stripe, Square, Shopify o nel portale esercenti della tua banca, recuperarli è compito tuo.
Quando ti è consentito dire di no
La legge non è assoluta, e conoscere i confini conta quanto conoscere l'obbligo. Un'azienda può rifiutare, in buona fede, quando la disposizione non richiede effettivamente la divulgazione, quando l'identità del richiedente lascia comunque l'azienda senza un alto grado di certezza dopo aver esaminato i materiali di verifica, quando la richiesta si basa su una falsa dichiarazione di fatto, o quando il materiale richiesto sono dati di navigazione internet — la cronologia di navigazione relativa alla visita di qualcuno a un sito web o a un servizio online — anziché documenti delle transazioni.
C'è anche una difesa affermativa scritta nella legge: se si arriva a un'azione di enforcement, puoi respingere la pretesa dimostrando di aver effettuato una ricerca ragionevolmente diligente nei tuoi documenti aziendali disponibili e che i documenti richiesti non esistono o non sono ragionevolmente disponibili. Nota cosa premia quella difesa: una ricerca autentica, documentata. "Non abbiamo mai cercato" e "non abbiamo alcuna procedura per cercare" sono il suo opposto.
Due scudi proteggono le aziende che si conformano in buona fede. Primo, nessuna azienda può essere ritenuta civilmente responsabile in base a qualsiasi legge per una divulgazione in buona fede ai sensi di questa disposizione — quindi la preoccupazione per la privacy va esattamente nella direzione sbagliata. Conformarsi è protetto; rifiutare è sanzionato. Secondo, la disposizione non crea alcun nuovo obbligo di conservazione dei documenti: non ti impone di ottenere, conservare o mantenere documenti che non conserveresti comunque nel corso ordinario dell'attività o in base ad altre leggi. Disciplina solo i documenti che già possiedi.
Costruisci la tua procedura prima che arrivi una richiesta
La lezione più trasferibile del caso Amazon è la più economica: metti per iscritto la procedura ora. Una procedura di una pagina batte un'improvvisazione da 2,25 milioni di dollari. La tua dovrebbe coprire, come minimo:
- Un indirizzo e un responsabile designati. Pubblica dove vanno inviate le richieste scritte — un indirizzo postale o una casella di posta monitorata — e nomina la persona responsabile della loro gestione. La legge ti consente di specificare l'indirizzo a cui le richieste devono essere spedite, ma solo se ne hai effettivamente specificato uno.
- Un pacchetto di verifica. Documento d'identità con foto rilasciato dal governo, una denuncia di polizia e un'affidavit di furto d'identità compilata, richiesti allo stesso modo ogni volta.
- Un cronometro di 30 giorni. Registra la data di arrivo di ogni richiesta e annota la scadenza. Giorni di calendario, non giorni lavorativi.
- Una mappa di recupero. Scrivi, sistema per sistema, dove risiedono i tuoi documenti delle transazioni: dashboard del processore, backend ecommerce, export del POS, file contabile. La mappa di recupero è ciò che trasforma una corsa nel panico in un compito di dieci minuti.
- Un registro delle risposte. Cosa è stato richiesto, cosa è stato verificato, cosa è stato inviato, quando e a chi. Se un'autorità di regolamentazione lo chiederà mai, questo registro è la tua prova di diligenza ragionevole.
- Una regola di nessuna condizione. Nessuna commissione, nessuna pretesa che la vittima identifichi il ladro, nessun rifiuto "per privacy" alla vittima verificata o alle forze dell'ordine da lei designate.
Rivedi la pagina una volta all'anno, come rivedi la tua routine di backup. I volumi di furti d'identità continuano a salire, e la FTC ha ora dimostrato che porterà un caso 609(e) fino a una sanzione record.
I tuoi libri contabili sono il tuo fascicolo di conformità
Ecco la parte che tocca direttamente la tua tenuta dei libri: la mappa di recupero di cui sopra vale solo quanto i tuoi documenti sottostanti. Una richiesta 609(e) ti chiede di produrre ogni documento che comprovi una specifica transazione — il che significa che i tuoi dati delle transazioni devono essere ricercabili per ordine, conto, cliente e data, mesi dopo il fatto. Le aziende i cui libri sono una scatola di pagamenti del processore senza alcun collegamento ai singoli ordini non possono rispondere in 30 giorni, per quanto siano disponibili.
Questo è uno degli argomenti silenziosi a favore del tenere un tuo registro contabile anziché trattare la dashboard del processore come i tuoi libri. Quando ogni vendita è registrata con il suo identificatore d'ordine e il canale come metadati, estrarre il documento completo di una transazione contestata è una singola interrogazione anziché uno scavo. In Beancount, i metadati delle transazioni svolgono esattamente questo compito:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDCon l'identificatore d'ordine sia sulla vendita che sul successivo chargeback, una singola interrogazione fa emergere l'intera traccia documentale — la vendita, lo storno, le date, gli importi — in pochi secondi. Ecco la forma che assume un documento pronto per la 609(e): ogni transazione riconducibile al suo documento d'origine, ogni storno collegato al suo originale. Se i tuoi libri attuali non riescono a farlo, la soluzione è un progetto di tenuta dei libri con un ritorno in termini di conformità, non il contrario. I lettori che vogliono i dettagli tecnici trovano la documentazione sulle interrogazioni in /docs/.
Un diverso obbligo FCRA: le verifiche del background lavorativo
Poiché questo caso è così spesso descritto male, una breve chiarificazione per i datori di lavoro che effettuano verifiche del background o del credito sui candidati: questo è un vero obbligo FCRA, ma risiede in una parte diversa della legge e funziona in modo del tutto diverso dalla Sezione 609(e). Secondo le linee guida congiunte FTC ed EEOC per i datori di lavoro, prima di ottenere un rapporto da un'azienda che opera nel settore della compilazione di informazioni sul background, devi fornire al candidato un'informativa scritta chiara — in un documento autonomo — che un rapporto può essere ottenuto, e ottenere un'autorizzazione scritta. Se poi adotti un'azione sfavorevole basata sul rapporto, come non assumere il candidato, devi prima fornire un avviso pre-azione sfavorevole con una copia del rapporto e una sintesi dei diritti FCRA, attendere un periodo ragionevole, e poi inviare un avviso finale di azione sfavorevole con i recapiti dell'azienda che ha redatto il rapporto e una dichiarazione dei diritti di contestazione del candidato.
Due obblighi, una legge, direzioni opposte: la Sezione 609(e) riguarda i documenti che fornisci alle vittime di frode; le disposizioni sull'occupazione riguardano i rapporti che ricevi sui candidati. Non soddisfare l'uno citando l'altro.
Errori da evitare
- Trattare la richiesta di una vittima come un reclamo di un cliente. È una richiesta ai sensi della legge federale con un cronometro di 30 giorni, non un ticket di assistenza. Indirizzala al responsabile designato il giorno stesso in cui arriva.
- Lasciare che il personale in prima linea improvvisi la risposta. "Non possiamo condividere questo per motivi di privacy" è la risposta naturale e quella illegale. Fornisci al personale un copione: prendere atto, richiedere il pacchetto di verifica, registrare la data.
- Cercare solo nei tuoi sistemi. I documenti del processore, della piattaforma e del POS detenuti per tuo conto sono coperti. La tua mappa di recupero deve includerli.
- Ignorare le richieste delle forze dell'ordine. Un'agenzia designata o autorizzata dalla vittima si sostituisce alla vittima. Rifiutarle equivale a rifiutare la vittima.
- Presumere che le piccole imprese siano esenti. Nulla nella Sezione 609(e) dipende dalle dimensioni dell'azienda. Il negozio di quartiere che accetta carte ha lo stesso obbligo del rivenditore da mille miliardi — che, questa volta, è la parte che ha pagato per dimostrarlo.
Il tuo ultimo passo utile è piccolo: apri una pagina bianca, scrivi i sei punti elenco della sezione sulla procedura inserendo i nomi e gli indirizzi reali della tua attività, e salvala dove la troverai quando arriverà la busta. I trenta giorni iniziano dal ricevimento, e le aziende che faticano non sono mai quelle che si sono preparate.
