De VS heeft geen brede federale privacywet, maar meerdere wetten van staten eisen nu analytics die aan de privacyregels voldoet. De CCPA in Californië (en de opvolger, de CPRA) gaf het voorbeeld. Vergelijkbare wetten bestaan nu in Virginia, Colorado, Connecticut, Utah, Montana en Delaware. Heb je een Amerikaanse website met bezoekers uit meerdere staten, dan moet je waarschijnlijk tegelijk aan meerdere van deze wetten voldoen.
Hoe de CCPA/CPRA werkt
De CCPA (California Consumer Privacy Act) geldt voor commerciële bedrijven die data van inwoners van Californië verzamelen. Ze eist een melding van de dataverzameling, openheid over welke data wordt verzameld en waarom, en rechten voor gebruikers om data in te zien, te laten verwijderen en zich af te melden voor de verkoop van data. De CPRA (California Privacy Rights Act), die de CCPA aanvulde, voegt strengere eisen voor toestemming toe en het recht van consumenten om onjuiste data te laten corrigeren.
Wanneer de CCPA geldt
De CCPA geldt als je bedrijf aan een van deze voorwaarden voldoet: $25 miljoen of meer jaaromzet, het kopen, verkopen of delen van data van 100.000 of meer mensen of huishoudens, of 50% of meer van de omzet halen uit de verkoop van consumentendata. Veel middelgrote bedrijven vallen eronder zonder het te weten.
De CCPA geldt voor "persoonlijke informatie": data die een bepaald persoon identificeert, op iemand betrekking heeft of aan iemand gekoppeld kan worden. Dat is breder dan de AVG. Het omvat ook afgeleide gegevens over voorkeuren, locatie, koopgedrag en meer. Voor analytics valt de meeste tracking eronder.
De CCPA-rechten die je moet respecteren
Recht om te weten: gebruikers kunnen vragen welke persoonlijke informatie je hebt verzameld en hoe je die hebt gebruikt. Je moet binnen 45 dagen reageren (te verlengen tot 90). Het overzicht moet volledig zijn.
Recht op verwijdering: gebruikers kunnen vragen hun persoonlijke informatie te verwijderen. Je moet binnen 45 dagen voldoen. Je mag data wel bewaren voor gerechtvaardigde zakelijke doelen (bijvoorbeeld fraudedetectie) of om aan wetten te voldoen.
Recht om je af te melden voor verkoop: gebruikers kunnen vragen dat je stopt met het verkopen van hun data. Je moet dit binnen 15 werkdagen uitvoeren. Let op: "verkoop" in de CCPA omvat ook delen voor iets van waarde, niet alleen voor geld.
Recht op correctie: onder de CPRA kunnen gebruikers vragen onjuiste data te corrigeren. Dit is nieuw en eenvoudig: klopt data niet, herstel het.
Aanmelden of afmelden
De CCPA werkt met afmelden voor de verkoop van data: gebruikers kunnen hun data laten verkopen tenzij ze zich afmelden. De CPRA en nieuwere wetten van staten werken met aanmelden voor gevoelige data: je hebt uitdrukkelijke toestemming nodig voordat je gevoelige informatie verzamelt (nauwkeurige locatie, burgerservicenummers, financiële gegevens en dergelijke). Ga er voor analytics van uit dat je onder nieuwere wetten toestemming vooraf nodig hebt.
Andere privacywetten van staten
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) en Delaware (DPDPA) hebben allemaal brede privacywetten aangenomen. Ze volgen het model van de CCPA/CPRA: ze geven gebruikers rechten om te weten, te verwijderen en zich af te melden. De details verschillen per staat, maar het patroon is hetzelfde.
Moet je aan alle wetten voldoen?
Het hangt van je publiek af. Bedien je vooral Californië, richt je dan op de CCPA/CPRA. Bedien je meerdere staten, dan hanteren de meeste bedrijven een privacynorm op AVG-niveau (die verder gaat dan de meeste Amerikaanse staatswetten) voor alle bezoekers. Dat is simpeler dan naleving per staat.
De werkelijkheid met meerdere staten
De meeste websites hebben bezoekers uit meerdere staten. Sommige bedienen alle 50 staten. In plaats van per staat andere analytics-praktijken te hanteren, kiezen de meeste bedrijven de strengste norm waaraan ze zijn gebonden en passen die overal toe. Dat verlaagt de complexiteit en zorgt dat je nooit in overtreding bent.
Naleving van de CCPA/CPRA in de praktijk
Naleving vraagt om: een privacyverklaring die uitlegt welke data je verzamelt en waarom, duidelijke manieren om je af te melden voor dataverkoop (indien van toepassing), de mogelijkheid om binnen 45 dagen te reageren op verzoeken om inzage, systemen om gebruikersdata op verzoek te verwijderen en eerlijke marketing over je datapraktijken (niet liegen over wat je verzamelt of hoe je het gebruikt).
CCPA-boetes en handhaving
De procureur-generaal van Californië kan boetes opleggen tot $2.500 per overtreding (of $7.500 per opzettelijke overtreding). Consumenten kunnen bij datalekken zelf een rechtszaak beginnen (wettelijke schadevergoeding van $100 tot $750 per persoon per incident). Class actions komen vaak voor. Het praktische effect: een overtreding van de CCPA kan makkelijk $1 tot $10 miljoen kosten als het veel gebruikers raakt.
AVG, CCPA en wetten van staten vergeleken
De AVG is strenger over toestemming. De CCPA is breder in wat telt als persoonsgegevens. Wetten van staten volgen het CCPA-model met variaties. Voldoe je aan de AVG (op toestemming gebaseerd, openheid voorop), dan voldoe je grotendeels aan de CCPA en wetten van staten. Andersom is dat niet altijd zo: naleving van de CCPA is misschien niet genoeg voor de AVG.
Val ik echt onder de CCPA? Hoe weet ik of ik de drempel van $25 miljoen haal?
Je valt onder de CCPA als je aan een van drie voorwaarden voldoet: $25 miljoen of meer jaaromzet, het kopen, verkopen of delen van data van 100.000 of meer mensen, of 50% of meer van de omzet uit dataverkoop. De drempel van $25 miljoen is duidelijk (omzet van vorig jaar). De grens van 100.000 is lastiger: verwerkt je analytics-leverancier data van 100.000 of meer bezoekers, dan kan dit meetellen (je deelt data). De grens van 50% geldt als dataverkoop je hoofdactiviteit is (zeldzaam). Voor de meeste middelgrote bedrijven is de drempel van $25 miljoen de vangst. Controleer: was je omzet vorig jaar hoger dan $25 miljoen? Zo ja, dan geldt de CCPA.
Wat telt als persoonsgegevens onder de CCPA en wat onder de AVG? Waarom is de CCPA breder?
AVG: identificeert een persoon direct (naam, e-mail) of indirect (IP-adres). CCPA: breder, omvat alles wat de AVG dekt PLUS afleidingen en voorspellingen. Voorbeeld: vijf bezoeken aan webshoppagina's. AVG = persoonsgegevens (sessie-ID). CCPA = persoonsgegevens PLUS afgeleide voorkeur (de afleiding dat je graag winkelt). De CCPA omvat gedrags- en voorspellingsdata die de AVG mogelijk niet dekt. Voor analytics: een paginaweergave is in beide gevallen een persoonsgegeven. Een afleiding over gedrag ("geïnteresseerd in luxeproducten") is zeker CCPA-persoonsgegeven, mogelijk niet voor de AVG. De breedte van de CCPA betekent dat meer data onder de regels valt, waardoor het voor sommige bedrijven lastiger is dan de AVG.
Als een gebruiker verwijdering vraagt, welke gerechtvaardigde doelen laten mij data bewaren?
De verwijdering onder de CCPA kent uitzonderingen. Bewaar data voor: (1) Fraudedetectie en beveiliging. (2) Naleving van wetten (belasting, contracten, rechtszaken). (3) Producten verbeteren (alleen als het geanonimiseerd of samengevoegd is). (4) Interne analytics (alleen als het geanonimiseerd is). (5) Verwachtingen van gebruikers waarmaken (als je beloofde het te bewaren). Voor analytics: beveiligingsinbreuk onderzoeken = bewaren. Juridische bewaarplicht = bewaren. "Kan later nuttig zijn" = verwijderen. Test: kun je dit uitleggen aan een toezichthouder en houdt het stand? Zo ja, bewaren. Is het speculatief, verwijder.
Waarom is de termijn voor afmelden 15 dagen maar die voor inzage 45 dagen?
Het verschil in complexiteit. Afmelden voor dataverkoop is simpel: zet de gebruiker op de lijst met niet verkopen (een configuratiewijziging, dagen werk). 15 werkdagen (3 weken) is redelijk. Verzoeken om inzage zijn lastiger: alle data uit alle systemen ophalen, samenvoegen, leesbaar opmaken en leveren. Daarvoor moet je meerdere databases doorzoeken, gevoelige data markeren en een leesbaar document maken. 45 dagen (9 weken) is realistisch voor dit werk. De wet erkent het verschil in complexiteit. Voor analytics: afmelden kost 2 tot 3 dagen (toevoegen aan de uitsluitlijst). Een verzoek om inzage kost 30 dagen of meer (ophalen uit analytics, CRM, support en meer).
Het recht op een eigen rechtszaak is $100 tot $750 per persoon. Hoe wordt dat berekend?
Wettelijke schadevergoeding: een vast bedrag per persoon per incident, niet gebaseerd op echte schade. Voorbeeld: een datalek raakt 10.000 mensen. 10.000 × $100 minimum = $1 miljoen wettelijke schadevergoeding. Claim $750 per persoon = $7,5 miljoen. De verweerder schikt ergens tussenin. "Per incident" betekent dat één datalek één incident is (niet 10.000). Meerdere datalekken tellen op. In de praktijk: een datalek bij 10.000 mensen kost makkelijk $1 tot $10 miljoen aan wettelijke schadevergoeding plus advocaatkosten. Verweerders schikken class actions voor 50 tot 70% van de geëiste wettelijke schadevergoeding. Daarom is voorkomen zo belangrijk: wettelijke schadevergoeding is automatisch zodra het datalek bewezen is.
Moet ik voor naleving in meerdere staten de regels per staat invoeren of de AVG-norm gebruiken?
Gebruik de AVG-norm voor iedereen. De AVG is strenger dan alle Amerikaanse staatswetten. Voldoe je aan de AVG, dan ga je automatisch verder dan de meeste eisen van staten. Regels per staat zijn lastig in het werk (andere banners, bewaartermijnen en afmeldingen per staat). De AVG-norm is simpeler: één set regels dekt alle staten. Uitzondering: bedien je maar een of twee staten, dan kun je daarvoor optimaliseren. Maar bij 5 of meer staten of alle 50 is de AVG-norm makkelijker. Strategie: bouw naar de AVG, voeg een Californië-specifieke knop toe (afmeldlink) en stel analytics in alsof de AVG voor alle staten geldt. Je doet dan voor de meeste staten meer dan nodig, en dat is veiliger dan te weinig.