La California ha spento l’allarme, non l’incendio

La riforma sposta l’applicazione della norma dal giudice privato al procuratore generale, ma le altre disposizioni del CIPA restano invariate

La California ha appena spento l’allarme, non l’incendio. Lo scorso 31 agosto 2026, con l’approvazione di SB 690, la legislatura californiana ha ristretto l’azione privata per alcune rivendicazioni di tracciamento web ai sensi del California Invasion of Privacy Act. Ma il testo non rende legale il tracciamento: toglie ai privati la leva per far rispettare il §638.51 e la trasferisce all’Attorney General. È un paradosso da manuale di sperimentazione: rimuovi la metrica che segnala il problema, e il problema resta lì, solo invisibile.

Il paradosso del test legislativo

Se firmato nella forma attuale, SB 690 modifica il Codice Penale della California §637.2: per le condotte su sito web, applicazione online o applicazione mobile che violano il §638.51 — la disposizione CIPA sui pen register e trap-and-trace — l’azione contro un attore privato potrà essere intentata soltanto dal Procuratore Generale. La conseguenza più controintuitiva è la retroattività: il testo prevede che le modifiche si applichino retroattivamente a qualsiasi rivendicazione pendente in un’azione avviata nei due anni precedenti la data operativa della legge.

Qui sta il nodo. Come sintetizza l’analisi di Troutman, SB 690 non legalizza il tracciamento dei siti web: sposta l’applicazione delle rivendicazioni §638.51 al Procuratore Generale lasciando irrisolta la legalità della condotta sottostante. Non è un dettaglio da giuristi. È come disattivare l’alert di una variante in un test A/B: la variante resta live, smetti solo di misurarla. Il tracciamento che fino a ieri esponeva a una class action resta identico; cambia solo chi può chiamare il problema per nome.

Il contesto spiega perché il legislatore abbia scelto la rimozione della metrica invece della risoluzione del conflitto. I tribunali statali e federali della California sono in disaccordo sull’applicabilità della §638.51 alle tecnologie di tracciamento web che condividono indirizzi IP. E secondo la California Assembly Privacy and Consumer Protection Committee, il disegno di legge è stato modificato da una proposta più ampia perché l’esenzione originale per “scopo commerciale” era “troppo grossolana”. In altre parole, invece di capire se un IP condiviso è o non è un pen register, si è scelto di togliere il tester privato dall’equazione.

Le leve che il legislatore non ha toccato

Se il paradosso vale solo per una frazione del funnel, conviene guardare cosa non è cambiato. SB 690 non elimina le rivendicazioni private ai sensi del CIPA §631, §632, §632.7, né le altre teorie statutarie e di common law. Questo è il dato che ridimensiona l’effetto della legge. La §631, che vieta le intercettazioni e porta la stessa esposizione da 5.000 dollari a violazione, resta intatta. Lo stesso vale per la §632, che proibisce la registrazione di comunicazioni confidenziali.

Già da aprile 2026, secondo l’alert di Barnes & Thornburg, i querelanti stanno affiancando o sostituendo le rivendicazioni CIPA con azioni basate sull’ECPA federale, sulla Florida Security of Communications Act, sulla Pennsylvania Wiretapping and Electronic Surveillance Control Act e su teorie adiacenti come il Video Privacy Protection Act, i tort privacy statali e le norme a tutela dei consumatori. In pratica, la migrazione delle cause era già iniziata mesi prima del voto sul SB 690: chi contesta il tracciamento web ha già iniziato a diversificare le basi giuridiche, riducendo l’importanza relativa della singola leva §638.51.

Il risultato netto è un trasferimento di rischio, non una sua eliminazione. Le aziende che fanno tracking web in California non sono più esposte alla class action §638.51 con effetto retroattivo, ma restano esposte alle stesse teorie di intercettazione e registrazione, con la stessa esposizione unitaria, e alle azioni parallele già attive su altri fronti statutari.

La prossima variante da testare

Da qui la domanda che nessun comunicato ha ancora testato: riuscirà un solo attore pubblico a presidiare migliaia di siti e app, quando la retroattività colpisce i casi pendenti e il contrasto tra tribunali resta irrisolto? La sezione 638.51 è stata, per anni, una leva privata con migliaia di potenziali controllori; oggi la metrica di enforcement si concentra in un unico ufficio, con risorse e priorità proprie.

SB 690 non chiude la pratica: ha solo trasferito il rischio di enforcement. Chi fa tracking web in California non è più esposto alla class action §638.51, ma resta esposto a §631, §632, alle teorie ECPA/FSCA/WESCA e all’intervento dell’Attorney General. Il test non è concluso: è solo cambiato il gruppo di controllo.