Healthline ha pagato 1,55 milioni per un “cancella i miei dati” ignorato

La sanzione californiana arriva mentre IAB Tech Lab finalizza gli standard tecnici per la trasmissione delle richieste di cancellazione

Partiamo da un numero che fa rumore: 1,55 milioni di dollari. È la cifra che Healthline Media ha dovuto versare per chiudere un accordo con la California Attorney General, dopo che le era stato contestato di non aver imposto limiti adeguati all’uso a valle dei dati personali dei suoi visitatori. Non un dettaglio da manuale tecnico, ma un caso concreto: qualcuno chiede di cancellare i propri dati, l’azienda non riesce (o non vuole) garantire che quella richiesta venga rispettata fino in fondo, e alla fine paga. Caro. Mentre storie come questa si moltiplicano, IAB Tech Lab ha annunciato di aver finalizzato la Versione 2.0 del Data Deletion Request Framework (DDRF), dopo un periodo di commento pubblico partito nell’autunno 2025, insieme a una serie di aggiornamenti al Global Privacy Protocol (GPP) pensati proprio per evitare che il caso Healthline si ripeta all’infinito, con protagonisti diversi. Ma cosa significa esattamente per le aziende che già faticano a gestire le richieste di cancellazione? In pratica, significa che il problema non è più (solo) legale: è diventato tecnico. E la tecnica, per fortuna, oggi ha uno strumento in più.

Dentro il nuovo framework: cosa devono fare le imprese

Per rispondere, guardiamo alle modifiche tecniche annunciate. Il DDRF era nato nel 2024 come primo meccanismo tecnico del settore per trasmettere richieste di cancellazione: prima di allora, ogni azienda inventava il proprio modo — spesso artigianale, spesso fallace — di far arrivare un “cancella i miei dati” dal browser dell’utente fino ai server di chissà quanti fornitori a valle. Il “Right to Delete” non è un capriccio normativo isolato: è un diritto dell’interessato protetto dal GDPR, da 15 leggi statali americane sulla privacy e da altre normative, inclusa la Quebec Law 25. Insomma, non è più un problema solo europeo o solo californiano: è ovunque, e si moltiplica. Con la Versione 2.0 ora finalizzata, le aziende che già utilizzano il DDRF devono fare i compiti a casa: rivedere l’intero flusso di cancellazione, cioè come le richieste vengono autenticate, come vengono passate ai fornitori a valle, come vengono monitorate e — punto delicato — come viene confermata l’effettiva esecuzione. È esattamente qui che Healthline è scivolata: nel passaggio a valle, quello che l’utente non vede ma che l’azienda dovrebbe controllare come un capostazione controlla ogni scambio. In parallelo, il GPP — il protocollo pensato per semplificare la trasmissione dei segnali di privacy, consenso e scelta del consumatore da siti e app ai fornitori di tecnologia pubblicitaria — riceve aggiornamenti che toccano direttamente il Multi-State Privacy Agreement (MSPA), l’insieme di termini contrattuali che si attivano automaticamente tra tutti i firmatari che ricevono dati personali, creando un rapporto diretto con ciascuna entità, come richiesto dalle leggi statali statunitensi. Chi utilizza GPP ha un compito immediato e nient’affatto banale: capire come i cambiamenti proposti influenzano le implementazioni già esistenti, soprattutto quelle costruite attorno a segnali MSPA specifici per singolo stato o a campi che sono destinati a essere rimossi. Non è un aggiornamento che si installa e si scorda: è più simile a una ristrutturazione della tubatura mentre l’acqua continua a scorrere. Tutto questo lavoro tecnico — vale la pena ricordarlo — nasce dalla collaborazione tra il Global Privacy Working Group e il Privacy Rearc Commit Group (PRCG) di IAB Tech Lab, quindi non è la mossa di un’azienda isolata ma il risultato di un confronto tra chi il settore lo vive ogni giorno. Resta il problema di adattarsi in tempo, prima che le autorità bussino alla porta.

Il countdown è partito: cosa guardare nei prossimi mesi

Il tempo stringe: il periodo di commento pubblico chiuderà l’11 settembre 2026. Da qui a quella data, le aziende che si occupano di pubblicità digitale — dai siti editoriali alle piattaforme adtech — hanno una finestra precisa per far sentire la propria voce prima che gli standard vengano fissati e diventino, di fatto, il nuovo linguaggio comune del settore. E il contesto in cui questo avviene non è statico, tutt’altro. Quando IAB Tech Lab aveva finalizzato per la prima volta il GPP, nel lontano settembre 2022, lo aveva presentato esplicitamente come il successore delle vecchie specifiche sulla privacy statunitensi: un salto generazionale. Poi, nel 2025, IAB Tech Lab ha rinominato la Global Privacy Platform in Global Privacy Protocol, un cambio di nome che sembra un dettaglio ma che segnala qualcosa di più profondo — il passaggio da “piattaforma” (uno spazio) a “protocollo” (una regola condivisa che tutti devono parlare). Secondo la pagina di posizionamento di Usercentrics, che documenta proprio questa rinomina, oggi GPP e MSPA insieme sono presentati come il framework tecnico unico per gestire i segnali di privacy in oltre 20 leggi statali americane. Venti. E il numero, verosimilmente, non farà che crescere. Quindi la domanda da farsi non è se un altro stato adotterà una legge sul diritto alla cancellazione, ma quando — e se la tua azienda sarà pronta quel giorno, o si troverà a spiegare a un’autorità perché un “cancella i miei dati” si è perso da qualche parte tra un server e l’altro.

La privacy digitale, insomma, ha smesso da tempo di essere un capitolo per avvocati e compliance officer da consultare una volta l’anno. È diventata un requisito tecnico stringente, fatto di flussi di autenticazione, campi di dati da tracciare, conferme da registrare. Chi tratta questi aggiornamenti come un fastidio burocratico da rimandare rischia di trovarsi, prima o poi, dall’altra parte di un accordo milionario come quello di Healthline. Chi invece li prende sul serio adesso — mentre la finestra di commento pubblico è ancora aperta — ha la possibilità di arrivare preparato, prima che il conto arrivi a lui.