Vendere la posizione esatta di una persona, dove si è curata, quale manifestazione ha raggiunto o quale studio legale ha visitato, è stato per anni un affare legale e redditizio negli Stati Uniti. Il Massachusetts ha deciso di vietarlo. La Camera dei rappresentanti dello Stato ha approvato il Consumer Data Privacy Act con 146 voti a favore e nessun contrario, dopo che il Senato statale aveva già espresso un consenso unanime di 40 a 0 nel settembre 2025. I due testi verranno ora unificati in commissione mista e trasmessi al governatore, che si prevede li firmerà in legge.
Cosa vieta la legge e a chi si applica
Il provvedimento proibisce la condivisione o la vendita di dati sensibili senza il consenso esplicito dell’utente. Rientrano in questa categoria i dati biometrici come impronte digitali, scansioni del volto, informazioni genetiche, la geolocalizzazione precisa, i dati sanitari, quelli relativi alla religione, allo status migratorio e all’orientamento sessuale. La soglia di applicazione è fissata a 100.000 consumatori: oltre quella cifra, ogni azienda che tratta dati personali di residenti o visitatori del Massachusetts è soggetta alla norma, indipendentemente dalla propria sede legale.
Vale la pena soffermarsi sull’estensione territoriale della legge. Applicando il divieto anche ai visitatori temporanei, il Massachusetts produce di fatto una copertura totale sul proprio territorio: chiunque si trovi fisicamente nello Stato, anche solo di passaggio, risulta tutelato. Per le startup che costruiscono il proprio modello di business sulla raccolta e rivendita di dati di localizzazione, un settore che serve inserzionisti, agenzie di intelligence private e, come documentato, anche organi governativi, si tratta di un cambiamento operativo di rilievo, con effetti che vanno oltre i confini del New England. La legge include anche un private right of action, una disposizione che consente agli utenti di agire direttamente in giudizio contro le aziende per violazioni accertate: una misura sopravvissuta al lobbying intenso delle grandi aziende tecnologiche e assente nella maggior parte delle leggi sulla privacy approvate da altri Stati.
Il commercio di dati di localizzazione alimenta da anni un mercato parallelo in cui i data broker acquistano informazioni dagli sviluppatori di app per rivenderle a chiunque possa pagare. Governi, militari, inserzionisti, ma anche soggetti privati con finalità di sorveglianza individuale hanno avuto accesso a questi dati senza che gli interessati ne fossero consapevoli. Il governo federale ha a lungo sostenuto di non aver bisogno di un mandato per acquistare dati disponibili sul mercato aperto.
Il vuoto federale e la risposta degli Stati
Gli Stati Uniti rimangono privi di una legge nazionale sulla privacy, a differenza della quasi totalità delle grandi democrazie. Il vuoto è stato finora colmato da un insieme disomogeneo di normative statali, ciascuna valida solo nel proprio territorio. L’amministrazione Biden si era avvicinata a un divieto federale sulla vendita dei dati sensibili degli americani, ma la successiva amministrazione Trump ha archiviato quella proposta nel maggio 2025, lasciando agli Stati la gestione del problema. Il Massachusetts si inserisce in questo contesto con uno dei testi più avanzati del Paese. Evan Greer, direttore di Fight for the Future, ha parlato di un passo significativo contro gli abusi di sorveglianza delle Big Tech. L’ACLU ha definito il Massachusetts un punto di riferimento nella protezione della privacy personale e nel contrasto alla sorveglianza digitale. Lo Speaker della Camera Ronald Mariano ha inquadrato il voto come una risposta a un’economia sempre più costruita sulla raccolta e vendita di dati personali, richiamando la tradizione giuridica dello Stato che risale all’articolo del 1890 di Warren e Brandeis sul diritto a essere lasciati in pace. L’iter non è ancora concluso in quanto i due testi approvati separatamente da Camera e Senato dovranno essere riconciliati in commissione mista prima della firma finale.
