La checklist completa dei requisiti CPRA: 47 misure di cui la tua organizzazione ha bisogno
La maggior parte delle organizzazioni pensa di essere conforme al CPRA. La nostra checklist rivela i requisiti che vengono trascurati, soprattutto per le imprese multi-entità che gestiscono la privacy tra filiali e giurisdizioni.
Perché una checklist dei requisiti CPRA conta più di quanto pensi
Il CPRA non si è limitato a ritoccare il CCPA. Ha ridefinito l'enforcement della privacy in California, e le organizzazioni che davano per scontato il mantenimento del loro vecchio assetto di conformità sono ora esposte.
Ora l'enforcement è proattivo
La CPPA non aspetta più i reclami
La California Privacy Protection Agency è passata dalla gestione reattiva dei reclami ad audit proattivi e operazioni di enforcement congiunte. A settembre 2025, California, Colorado e Connecticut hanno avviato un'indagine congiunta rivolta alle imprese che non rispettano i segnali Global Privacy Control.
Alla riunione del consiglio di settembre 2025, la CPPA ha segnalato centinaia di indagini attive, molte delle quali rivolte a imprese che non sanno ancora di essere sotto esame. Le nuove normative su audit di cybersecurity, valutazioni del rischio e processi decisionali automatizzati sono entrate in vigore il 1° gennaio 2026.
1,35 mln $
La sanzione più alta della CPPA finora, nei confronti di Tractor Supply Company (settembre 2025)
La matematica delle sanzioni
Le sanzioni per violazione si sommano rapidamente
A partire dal 2025, la CPPA ha adeguato le sanzioni civili a 2'663 dollari per violazione non intenzionale e a 7'988 dollari per violazione intenzionale o che coinvolge minori. Questi importi sono calcolati per consumatore, per incidente, il che significa che una singola lacuna sistematica nell'intera base di consumatori californiani può tradursi in un'esposizione teorica a sette o otto cifre.
Il CPRA ha inoltre eliminato il periodo di sanatoria obbligatorio di 30 giorni che esisteva in precedenza con il CCPA. Se a un'impresa venga concesso o meno il tempo di porre rimedio a una violazione è ora interamente a discrezione dell'autorità di enforcement.
7'988 $
Importo massimo per violazione intenzionale (adeguato all'indice CPI da gennaio 2025, secondo l'annuncio della CPPA)
Complessità multi-entità
Le filiali moltiplicano la tua superficie di rischio
Se la tua organizzazione opera tra filiali, business unit o giurisdizioni, ogni entità può avere le proprie attività di trattamento dei dati, relazioni con i fornitori e punti di contatto con i consumatori. Il CCPA si applica alle entità controllate dalle imprese soggette, oltre che a joint venture e partnership, il che significa che una checklist a livello di capogruppo applicata una sola volta non è sufficiente.
Anche l'enforcement sta diventando transfrontaliero. Le indagini congiunte multistato significano che le aziende che operano in più stati non possono più dare per scontato che l'enforcement resti circoscritto alle singole giurisdizioni. Ogni entità necessita di una verifica indipendente della conformità.
3 stati
California, Colorado e Connecticut hanno avviato operazioni di enforcement congiunte a settembre 2025
I team privacy sono sotto pressione. La maggior parte delle organizzazioni non dispone di specialisti CPRA dedicati. Il RPD o il responsabile privacy destreggia il GDPR, un crescente mosaico di leggi statali statunitensi e normative settoriali tutto in una volta.
È esattamente per questo che abbiamo creato questa checklist: per offrire ai team privacy un unico documento strutturato che mappa ogni requisito CPRA su un'azione concreta.
Risultati comprovati dei clienti
I numeri dietro una conformità privacy a livello di gruppo fatta bene
200+
Ore risparmiate nella preparazione alla certificazione ISO 27001
Medtec ha utilizzato Priverion per superare l'onere di documentazione e raccolta delle evidenze che in genere richiede alle organizzazioni dai 6 ai 12 mesi per essere completato manualmente.
Medtec, preparazione alla certificazione ISO 27001
60%
Riduzione del tempo di amministrazione della conformità
Un costruttore aeronautico ha eliminato gli aggiornamenti manuali del registro dei trattamenti su più filiali nei primi 6 mesi, mentre le piattaforme privacy enterprise come OneTrust possono costare fino a sei cifre all'anno per le implementazioni mid-market.
Costruttore aeronautico, primi 6 mesi con Priverion
100%
Tasso di ricertificazione del registro dei trattamenti, completamente automatizzato
AXA ha raggiunto la ricertificazione automatizzata completa su tutte le attività di trattamento, sostituendo i flussi di lavoro manuali basati su fogli di calcolo che l'articolo 30 del GDPR richiede siano sempre accurati e aggiornati.
AXA, ricertificazione automatizzata del registro dei trattamenti
Perché i team mid-market passano da OneTrust
OneTrust è una potente piattaforma enterprise. Ma per le organizzazioni mid-market che gestiscono la privacy su più entità, spesso significa pagare per una complessità che non si usa mai. Ecco come Priverion si confronta dove conta di più.
Priverion
Sovranità dei dati svizzera, garantita
Progettato in Svizzera e ospitato in Svizzera. Tutto il trattamento dei dati rimane all'interno dell'infrastruttura svizzera, protetto dalle leggi sull'accesso extraterritoriale come il CLOUD Act statunitense e la Sezione 702 del FISA. In un mondo post-Schrems II, questa non è una casella di marketing da spuntare.
Operativo in settimane, non in mesi
Priverion è progettato appositamente per la gestione della privacy multi-entità. Nessuna settimana di configurazione dei flussi di lavoro, nessun team di implementazione dedicato richiesto. Un costruttore aeronautico è stato pienamente operativo e ha registrato una riduzione del 60% del tempo di amministrazione della conformità entro sei mesi.
Costruttore aeronautico, primi 6 mesi
Prezzi prevedibili e trasparenti
Prezzi basati sul numero di società e sulle dimensioni dell'organizzazione. Nessun costo per utente, nessuna trappola di espansione per modulo. Sai quanto pagherai quest'anno e l'anno prossimo.
All-in-one per i programmi privacy
Gestione del registro dei trattamenti, automazione di DPIA/TIA, valutazioni del rischio dei fornitori, gestione degli incidenti, gestione delle richieste degli interessati, mappatura dei dati tra entità e dashboard pronte per il consiglio di amministrazione. Un'unica piattaforma, un unico prezzo. Nessun upsell di moduli.
Assistito dall'IA, controllato dall'uomo
L'IA aiuta a redigere le DPIA e a valutare i rischi, ma ogni output viene verificato prima di diventare un registro di conformità. Nessun dato dei clienti viene utilizzato per l'addestramento dei modelli. L'IA assiste, gli esseri umani decidono.
Tipica piattaforma enterprise
Con sede e giurisdizione negli Stati Uniti
Anche quando i dati sono archiviati in data center dell'UE, i fornitori con sede negli Stati Uniti restano soggetti al CLOUD Act. Come ha testimoniato il direttore generale di Microsoft France davanti al Senato francese nel 2025, i fornitori statunitensi non possono garantire che i dati dei cittadini dell'UE siano al sicuro dall'accesso delle autorità statunitensi.
Fonte: testimonianza al Senato francese, 2025
Configurazione complessa, curva di apprendimento ripida
I recensori segnalano costantemente settimane di tempo di configurazione e requisiti di formazione significativi. Un utente mid-market su G2 ha riferito che l'interfaccia "può sembrare disordinata" e ha indicato "il prezzo elevato e la curva di apprendimento ripida" come svantaggi. I servizi di implementazione possono aggiungere da 10'000 a 50'000 dollari ai soli costi del primo anno.
Recensioni degli utenti su G2 e Capterra, 2025; analisi dei prezzi di Enzuzo, marzo 2026
Prezzi opachi e modulari che lievitano
Nessun prezzo pubblico. Ogni modulo è fatturato in base a un proprio parametro. Le organizzazioni mid-market (da 1'000 a 5'000 dipendenti) possono aspettarsi da 40'000 a 120'000 dollari all'anno, con prezzi che "possono lievitare una volta aggiunti i moduli di cui hai effettivamente bisogno". OneTrust non pubblica i prezzi di listino; gli acquirenti dovrebbero richiedere in anticipo un preventivo pluriennale che copra tutti i moduli e le postazioni.
Dati sui prezzi di Vendr, febbraio 2026; Enzuzo, marzo 2026
Sovraccarico di funzionalità su più di 5 linee di prodotto
Le piattaforme enterprise offrono ESG, linee etiche, consenso ai cookie e oltre 200 integrazioni. Se hai bisogno di tutto questo, sono la scelta giusta. Ma la maggior parte dei team privacy mid-market finisce per pagare per capacità che non usa mai.
Capacità di IA con minore trasparenza
I grandi fornitori di piattaforme offrono funzionalità di IA, ma spesso non è chiaro dove vengano trattati i dati, se vengano utilizzati per l'addestramento e quanta supervisione umana rimanga nel processo. Per i registri di conformità, questa opacità crea rischio.
Siamo onesti su ciò che non copriamo: ESG, linee etiche e consenso ai cookie sono al di fuori del nostro ambito. Il nostro punto di forza è la gestione del programma privacy a livello di gruppo per organizzazioni con più entità e giurisdizioni.
Se è questo il problema che stai risolvendo, parliamone.
Prenota una presentazione di 30 minutiChecklist dei requisiti CPRA: la conformità 2026 in un unico documento
Le nuove normative della CPPA sono entrate in vigore il 1° gennaio 2026, introducendo valutazioni del rischio obbligatorie, tempistiche per gli audit di cybersecurity e obblighi ADMT. Questa checklist copre ciò che il tuo team di conformità deve verificare proprio ora.
All'interno della checklist troverai:
- + Criteri di applicabilità completi: soglie di fatturato, volume di consumatori e fattori scatenanti del trattamento di dati sensibili che determinano se il CPRA si applica alla tua organizzazione
- + Requisiti di mappatura dei dati, flusso DSAR e contratti con i fornitori, inclusa la clausola di notifica al fornitore di servizi entro 5 giorni e i meccanismi aggiornati di limitazione delle SPI
- + Scadenze degli audit di cybersecurity suddivise in fasi per fascia di fatturato (aprile 2028 per le imprese con oltre 100 mln di dollari, fino ad aprile 2030 per le organizzazioni più piccole) e tempistiche di invio delle valutazioni del rischio
- + Guida di riferimento alle sanzioni con gli importi attuali (fino a 7'988 dollari per violazione intenzionale) per comunicare il rischio alla leadership in termini finanziari
La CPPA ha finalizzato queste normative a settembre 2025 e ha segnalato centinaia di indagini attive, tra cui il record di 1,35 milioni di dollari di transazione con Tractor Supply Company. L'enforcement non è ipotetico.
Fonti: registri di enforcement della CPPA (settembre 2025), normative finalizzate dalla CPPA (gennaio 2026).
Ottieni la checklist
Copre tutti gli obblighi CPRA 2026 in un unico PDF pratico.
PDF gratuito. Nessuna demo richiesta. Lo invieremo direttamente nella tua casella di posta.
Perché è importante ora
La CPPA ha eliminato il periodo di sanatoria di 30 giorni. Non c'è alcuna lettera di avvertimento prima dell'avvio delle sanzioni. Le organizzazioni che gestiscono i dati dei consumatori californiani su più entità hanno bisogno di una conformità documentata, non di un piano per iniziare più avanti.
Domande frequenti sulla conformità CPRA
Qual è la differenza tra il CCPA e il CPRA?
Il CPRA (California Privacy Rights Act) ha modificato ed esteso in modo significativo il CCPA. Tra i cambiamenti principali figurano la creazione della California Privacy Protection Agency (CPPA) come organo di enforcement dedicato, nuove categorie di informazioni personali sensibili con specifici diritti dei consumatori, valutazioni del rischio obbligatorie per i trattamenti ad alto rischio, il diritto di rettificare e limitare l'uso dei dati sensibili e l'eliminazione del periodo di sanatoria di 30 giorni per le violazioni. Il CPRA è entrato in vigore il 1° gennaio 2023 e si applica ai dati raccolti a partire dal 1° gennaio 2022.
A chi si applica il CPRA?
Il CPRA si applica alle imprese a scopo di lucro che raccolgono informazioni personali dei consumatori californiani e soddisfano almeno una di tre soglie: un fatturato lordo annuo superiore a 25 milioni di dollari nell'anno solare precedente, l'acquisto, la vendita o la condivisione delle informazioni personali di 100'000 o più consumatori o nuclei familiari all'anno, oppure ricavare il 50% o più del fatturato annuo dalla vendita o condivisione di informazioni personali. È importante notare che il CPRA si applica anche alle entità controllate dalle imprese soggette, comprese filiali e joint venture, motivo per cui le organizzazioni multi-entità affrontano requisiti di conformità particolarmente complessi.
Quali sono le sanzioni per la non conformità al CPRA?
A gennaio 2025 (adeguate all'indice CPI), le sanzioni ammontano a 2'663 dollari per violazione non intenzionale e a 7'988 dollari per violazione intenzionale o violazioni che coinvolgono minori. Sono calcolate per consumatore, per incidente, senza alcun tetto massimo complessivo. La sanzione CPPA più alta finora è stata di 1,35 milioni di dollari nei confronti di Tractor Supply Company a settembre 2025. Il CPRA mantiene inoltre il diritto di azione privata per le violazioni dei dati derivanti dalla mancata adozione di misure di sicurezza ragionevoli, in cui i consumatori possono recuperare tra 100 e 750 dollari per incidente, oppure il danno effettivo, a seconda di quale sia maggiore.
Quali nuove normative CPRA sono entrate in vigore nel 2026?
Le normative finalizzate dalla CPPA a settembre 2025 sono entrate in vigore il 1° gennaio 2026. Coprono tre aree principali: audit di cybersecurity obbligatori (suddivisi in fasi per fascia di fatturato, con le imprese che superano i 100 mln di dollari di fatturato tenute a completare il primo audit entro aprile 2028 e le organizzazioni più piccole entro aprile 2030), valutazioni del rischio per le attività di trattamento che presentano un rischio significativo per la privacy dei consumatori e obblighi sulle tecnologie decisionali automatizzate (ADMT), tra cui i diritti di opt-out dei consumatori e le informative preliminari all'uso per la profilazione e le decisioni significative.
Come aiuta Priverion nella conformità al CPRA per le organizzazioni multi-entità?
Priverion offre la gestione del programma privacy a livello di gruppo su tutte le filiali ed entità da un'unica piattaforma. Per la conformità CPRA in particolare, questo include la gestione e la ricertificazione automatizzate del registro dei trattamenti tra le entità (un costruttore aeronautico ha ridotto del 60% il tempo di amministrazione della conformità nei primi 6 mesi), la redazione assistita dall'IA di DPIA e valutazioni del rischio per soddisfare i nuovi requisiti del 2026, le valutazioni del rischio dei fornitori e la gestione dei contratti con terze parti, i flussi di gestione degli incidenti e di notifica delle violazioni, la gestione delle richieste degli interessati tra le entità e la mappatura dei dati tra entità per una visibilità a livello di gruppo. Tutti i dati vengono trattati all'interno dell'infrastruttura svizzera con piene garanzie di sovranità dei dati.
Il CPRA si applica alle aziende al di fuori della California?
Sì. Il CPRA si applica a qualsiasi impresa a scopo di lucro che soddisfi le soglie di fatturato o di trattamento dei dati e raccolga informazioni personali dai consumatori californiani, indipendentemente da dove abbia sede l'impresa. Questo include le aziende europee e internazionali che fanno affari con i residenti della California. Per le organizzazioni multi-entità, ogni filiale con punti di contatto con consumatori californiani può necessitare di una verifica indipendente della conformità. L'operazione di enforcement congiunta di settembre 2025 tra California, Colorado e Connecticut ha ulteriormente dimostrato che l'enforcement della privacy a livello statale è sempre più coordinato tra le giurisdizioni.
Cosa copre questa checklist che le guide CPRA generiche non coprono?
La nostra checklist mappa tutte le 47 misure specifiche con passaggi di verifica concreti, comprese le normative del 2026 che la maggior parte delle guide esistenti non ha ancora integrato. Copre le scadenze degli audit di cybersecurity suddivise in fasi per fascia di fatturato, i nuovi obblighi ADMT, i requisiti aggiornati per le valutazioni del rischio e le specifiche clausole contrattuali per i fornitori di servizi (inclusa la notifica entro 5 giorni) che le organizzazioni multi-entità devono verificare in ogni relazione con i fornitori di ciascuna filiale. Ogni misura include la citazione normativa pertinente, così il tuo team legale può verificare in autonomia.
Il tuo assetto di conformità non può aspettare
Smetti di gestire la conformità privacy tra fogli di calcolo. Inizia a dormire sonni tranquilli.
Le sanzioni GDPR hanno raggiunto 1,2 miliardi di euro nel solo 2025, con le autorità europee che ora elaborano oltre 400 notifiche di violazione al giorno. Per le organizzazioni multi-entità, il margine di errore non è mai stato così ridotto. In 30 minuti ti mostreremo come Priverion sostituisce strumenti frammentati e processi manuali con una gestione del programma privacy automatizzata e a livello di gruppo.
60%
in meno di tempo di amministrazione della conformità
Costruttore aeronautico, primi 6 mesi
200+
ore risparmiate nella preparazione ISO 27001
Medtec
100%
tasso di ricertificazione del registro dei trattamenti
AXA, completamente automatizzato
Progettato in Svizzera. Ospitato in Svizzera. Assistito dall'IA con piena supervisione umana. Nessun dato dei clienti utilizzato per l'addestramento dei modelli. Prezzi prevedibili senza trappole per utente.
Nessun impegno richiesto. Vedi i flussi di lavoro reali dei clienti in un ambiente dal vivo.
The Privacy Compliance Briefing
Approfondimenti mensili sull'enforcement del GDPR, sugli aggiornamenti della nLPD svizzera e sulle strategie di automazione per i RPD e i team di conformità.
Niente spam. Disiscriviti in qualsiasi momento.
