Privacywetgeving versnelt wereldwijd. Naast de AVG en CCPA hebben tientallen landen nu brede privacykaders. Canada heeft PIPEDA, Brazilië heeft de LGPD, in India worden regels ontwikkeld en vrijwel elke ontwikkelde economie voert privacywetten in of scherpt ze aan. Bedien je internationale bezoekers, dan moet je de belangrijkste kaders buiten Europa en de VS kennen.
Belangrijke privacykaders wereldwijd
Canada: PIPEDA en wetten van provincies
PIPEDA (Personal Information Protection and Electronic Documents Act) is de federale privacywet van Canada. Ze geldt voor organisaties die persoonsgegevens van inwoners van Canada verzamelen. PIPEDA lijkt qua opzet op de AVG: ze eist toestemming, dataminimalisatie, beveiliging en rechten voor gebruikers. Sommige provincies (Quebec, Alberta) hebben eigen privacywetten die nog strenger zijn dan PIPEDA.
PIPEDA wordt gehandhaafd door de Canadese privacytoezichthouder. Boetes kunnen oplopen tot miljoenen dollars. De wet wordt actief gehandhaafd, het is geen theoretische zorg.
Brazilië: LGPD
De LGPD van Brazilië (Lei Geral de Proteção de Dados) wordt vaak "de AVG van Brazilië" genoemd. Het is een breed kader dat toestemming, dataminimalisatie, beveiliging en rechten voor gebruikers eist. De boetes onder de LGPD zijn zwaar: tot 2% van de omzet (of 50 miljoen Braziliaanse real). De wet geldt voor organisaties die data van inwoners van Brazilië verwerken, ongeacht waar het bedrijf zit.
De handhaving van de LGPD neemt toe. Brazilië handhaaft actief. Heb je bezoekers uit Brazilië, dan is naleving belangrijk.
Mexico: LFPDPPP
De LFPDPPP van Mexico (Ley Federal de Protección de Datos Personales en Posesión de Particulares) lijkt op de AVG en eist toestemming en rechten voor gebruikers. Ze wordt minder fel gehandhaafd dan de AVG of LGPD, maar overtredingen kunnen tot forse boetes leiden. Werk je in Mexico, dan moet je op basisniveau aan de AVG voldoen.
India: Digital Personal Data Protection Act
India nam onlangs de Digital Personal Data Protection Act (DPDPA) aan, van kracht in 2024. De wet is minder streng dan de AVG, maar eist toestemming voor de meeste dataverzameling en geeft gebruikers rechten op inzage en verwijdering. De handhaving in India is nog in opbouw, maar naleving wordt van nu af aan verwacht.
Azië en Oceanië: uiteenlopende kaders
Australië heeft wijzigingen in de Privacy Act die strengere toestemming eisen. Singapore heeft de PDPA. Hongkong heeft de PDPO. Zuid-Korea heeft de PIPA. Japan heeft de APPI. Thailand heeft de PDPA. Elk kader is net anders, maar allemaal eisen ze een vorm van toestemming en rechten voor gebruikers. Werk je in Azië en Oceanië, ga er dan van uit dat naleving op AVG-niveau de minimale veilige norm is.
Het patroon van wereldwijde convergentie
Privacywetgeving komt wereldwijd uit op een paar gemeenschappelijke principes: transparantie (gebruikers moeten weten wat wordt verzameld), toestemming (vooraf toestemming vragen), dataminimalisatie (alleen verzamelen wat nodig is), beveiliging (bescherm wat je hebt) en rechten van gebruikers (inzage, verwijdering, overdracht van data). Bouw je analytics die deze principes respecteert, dan voldoe je aan de meeste kaders wereldwijd.
Adequaatheidsbesluiten en wederzijdse erkenning
Sommige landen erkennen de privacywetten van andere landen als "adequaat". De EU erkent het Verenigd Koninkrijk, Zwitserland en andere landen als adequaat, wat doorgifte van data makkelijker maakt. De adequaatheidsbesluiten van de AVG zijn de strengste. Voldoe je aan de AVG, dan ben je waarschijnlijk adequaat voor de meeste bilaterale datadoorgiften.
Praktische naleving voor wereldwijd werken
Voor de meeste bedrijven is de aanpak: bepaal waar je veel bezoekersverkeer hebt, geef die rechtsgebieden voorrang en bouw analytics die aan de strengste geldende norm voldoet. Pas die norm daarna overal toe. Dat is simpeler dan per rechtsgebied een andere analytics-configuratie bij te houden.
Regionale variatie zonder versnippering
Je hebt geen ander analytics-systeem nodig per land. Je hebt één systeem nodig dat is gebouwd naar de hoogste geldende norm (meestal de AVG) en ruimte biedt voor regionale variaties (bijvoorbeeld uitdrukkelijke afmeldmogelijkheden waar dat nodig is, dataopslag in het land waar dat verplicht is).
Hoe stel ik vast welke wetten van welke landen gelden? Moet ik daarvoor analytics-verkeersdata gebruiken?
Ja, gebruik analytics om het af te bakenen. Haal de herkomst van bezoekers over de afgelopen 12 maanden op: welke landen hebben een betekenisvol aandeel verkeer (5% of meer)? Die wetten gelden waarschijnlijk. Zoek per land met veel verkeer uit wat geldt: EU = AVG, Canada = PIPEDA, Brazilië = LGPD, India = DPDPA, Australië = Privacy Act. Geef voorrang op basis van verkeer: 40% EU-verkeer betekent eerst de AVG. Kijk ook: heb je medewerkers, kantoren of zakenpartners in bepaalde landen? Zo ja, dan gelden die wetten ongeacht het verkeer. Gebruik analytics als startpunt en vul aan met vragen over je bedrijfsvoering. Nu heb je je kaart van regels.
De LGPD is 2% van de omzet maar de AVG 4%. Welke is eigenlijk strenger?
De AVG met 4% heeft het hogere maximum. Maar de berekening telt. AVG: 4% van de wereldwijde omzet. LGPD: 2% van de omzet (onduidelijk of alleen Brazilië of wereldwijd). In de praktijk: beide richten handhaving vooral op grote bedrijven. Overtreding door een klein bedrijf: €50.000 tot €500.000 onder beide. De omvang telt meer dan het percentage. Praktisch: behandel beide als zwaar. Voorkom overtredingen in plaats van te gokken op verschillen in percentage. Beide zijn serieus.
Welke landen eisen dat data lokaal wordt opgeslagen en wat betekent dat voor mijn analytics?
Lokale dataopslag is verplicht in: Rusland, China, India, Indonesië (vanaf 2022), Vietnam. De EU regelt het losser via SCC's en adequaatheidsbesluiten. Voor analytics: gebruik je een Amerikaanse leverancier (Google Analytics), dan overtreden hun Amerikaanse servers de eis voor lokale opslag. Oplossingen: leveranciers met lokale servers (EU-servers van Google Analytics voor de AVG, servers in India voor de wet van India) of lokale platformen met privacy voorop. Controleer je leverancier: waar wordt data opgeslagen? Is dat niet in de vereiste landen, dan heb je een gat. Dit is een keuze van leverancier (inrichting), niet van bedrijfsvoering (naleving is infrastructuur).
De wet van India ging in 2024 in en Brazilië handhaaft steeds meer. Hoe ga ik om met bewegende doelen?
Drie aanpakken: (1) Afwachten (riskant maar gebruikelijk bij handhaving in opbouw). (2) Meer doen dan nodig (AVG-norm, ook als de lokale wet minder streng is, veiliger maar meer werk). (3) Volgen en bijstellen (bouw naar de huidige eisen en plan updates als de wet verandert). DPDPA in India: sinds 2024 van kracht, handhaving in opbouw. De meeste bedrijven kiezen ook voor India naleving op AVG-niveau. LGPD in Brazilië: actief, maar handhaving richt zich op grote bedrijven. Kleinere bedrijven lopen minder risico. Veilige strategie: bouw naar de AVG voor landen waar handhaving zich ontwikkelt, volg elk kwartaal updates van regelgeving en pas aan bij grote veranderingen.
Wat is Schrems II en wat betekent het voor mijn doorgifte van analytics-data tussen de EU en de VS?
Schrems II (2020) verklaarde het Privacy Shield ongeldig en verzwakte de standaardcontractbepalingen voor doorgifte tussen de EU en de VS. Het Hof zei: SCC's alleen garanderen geen bescherming als het ontvangende land massale surveillance toestaat. Gevolg: je hebt SCC's PLUS aanvullende waarborgen nodig (versleuteling, toegangscontrole, dataminimalisatie). Voor analytics: gebruik je een Amerikaanse leverancier, dan heeft die SCC's plus aanvullende maatregelen nodig. Veel leveranciers, waaronder Google, hebben die toegevoegd. Controleer je leverancier: pakken ze Schrems II aan? Zijn er alleen SCC's, dan loop je risico. Veel leveranciers bieden dataopslag in de EU als simpelste oplossing (data in de EU opslaan, geen doorgifte).
Verschillen regio's in aanmelden of afmelden? Moet ik toestemming per regio regelen?
Regio's verschillen, maar je hebt geen aparte werking per regio nodig. Het patroon: de meeste zijn overgestapt op aanmelden vooraf (uitdrukkelijke toestemming vóór tracking). AVG = aanmelden. CCPA was historisch = afmelden (de CPRA gaat voor gevoelige data naar aanmelden). LGPD = aanmelden. PIPEDA = aanmelden. India = aanmelden. De meeste moderne wetten kiezen voor aanmelden. Voer aanmelden overal in (gaat verder dan de eisen voor afmelden). Eén toestemmingsmechanisme: "Mogen we je volgen?" Ja of nee. Voor het historische afmelden onder de CCPA voeg je een link "Verkoop mijn gegevens niet" toe (voldoet voor Californië). Eén wereldwijde toestemming dekt regionale variatie: aanmelden als basis plus een link voor Californië. Geen analytics-configuratie per regio nodig.