Alle grote privacywetten delen dezelfde kernprincipes: toestemming, transparantie, dataminimalisatie, beveiliging en rechten van gebruikers. Maar ze verschillen in bereik, handhaving en boetes. Als je weet hoe ze zich verhouden, zie je welke voor jouw bedrijf gelden en kun je een aanpak bedenken die meerdere kaders tegelijk dekt.
Kernprincipes in alle privacywetten
Elk groot privacykader (AVG, CCPA, LGPD, PIPEDA en andere) eist een versie van: openheid over dataverzameling, toestemming voordat je de meeste persoonsgegevens verzamelt, alleen bewaren wat nodig is, data beschermen tegen misbruik en mensen rechten geven over hun eigen informatie. Hier valt niet over te onderhandelen. Als je deze principes respecteert, voldoe je aan de meeste kaders.
De verschillen die tellen
Model voor toestemming: de AVG eist uitdrukkelijke toestemming vooraf (opt-in) voor de meeste tracking. De CCPA werkt met afmelden bij dataverkoop (maar gaat richting aanmelden). De meeste nieuwere wetten volgen het aanmeldmodel van de AVG.
Definitie van persoonsgegevens: de AVG en andere wetten omschrijven persoonsgegevens breed. De CCPA is nog breder. Breed omschreven betekent dat meer data onder de eisen valt.
Bereik: de AVG geldt voor inwoners van de EU. De CCPA geldt voor inwoners van Californië. De LGPD geldt voor inwoners van Brazilië. Meerdere wetten kunnen voor dezelfde gebruiker gelden, op basis van waar die is of waar je bedrijf werkt.
Boetes: AVG: tot 4% van de omzet. CCPA: $2.500 tot $7.500 per overtreding. LGPD: tot 2% van de omzet. De boetes zijn overal zwaar.
Handhaving: de AVG heeft actieve, felle handhavers (nationale toezichthouders). Handhaving van de CCPA groeit (procureur-generaal van de staat, recht op een eigen rechtszaak). Handhaving van de LGPD neemt toe. De meeste wetten worden actief gehandhaafd.
Gedetailleerde vergelijking: AVG, CCPA, LGPD, PIPEDA
Toestemming
AVG en LGPD: uitdrukkelijke toestemming vooraf is verplicht. CCPA: afmelden bij dataverkoop (maar de CPRA gaat richting aanmelden voor gevoelige data). PIPEDA: aanmelden voor de meeste doelen. Het strengst: AVG en LGPD.
Definitie van persoonsgegevens
AVG: alles wat een persoon direct of indirect identificeert. CCPA: breder, omvat afleidingen en voorspellingen. LGPD en PIPEDA: vergelijkbaar met de AVG. Winnaar: de CCPA is het breedst.
Rechten van gebruikers
Alle eisen: inzage, verwijdering en overdraagbaarheid. De AVG voegt toe: recht op rectificatie, recht om verwerking te beperken, recht van bezwaar. De CPRA voegt toe: recht op correctie, recht om gebruik te beperken. PIPEDA is minder expliciet maar vergelijkbaar. Allemaal sterk. AVG en CPRA zijn het uitgebreidst.
Dataminimalisatie
AVG, LGPD, PIPEDA: uitdrukkelijke eis om alleen te verzamelen wat nodig is. CCPA: minder expliciet. Hier is de AVG het strengst.
Beveiliging en melden van datalekken
Alle eisen redelijke beveiliging. AVG: meld aan toezichthouders binnen 72 uur. CCPA: meld aan betrokkenen binnen 30 dagen (geen eis richting toezichthouders, maar melding aan de procureur-generaal is vaak nodig). LGPD en PIPEDA lijken op de AVG. De AVG is het strengst in de meldtermijn.
Bepalen aan welke verplichtingen je moet voldoen
Stap 1: breng de herkomst van je bezoekers in kaart
Gebruik je analytics om te zien waar je verkeer vandaan komt. Komen bezoekers uit de EU, dan geldt de AVG. Uit Californië, dan geldt de CCPA. Uit Brazilië, dan geldt de LGPD. De meeste sites hebben bezoekers uit meerdere rechtsgebieden, waardoor meerdere wetten gelden.
Stap 2: kijk naar de bedrijfsvoering
Heb je kantoren, medewerkers of zakenpartners in gereguleerde rechtsgebieden? Dat kan wetten van toepassing maken, ook zonder websiteverkeer (een bedrijf met EU-medewerkers die klantdata verwerken, kan onder de AVG vallen ongeacht het websiteverkeer).
Stap 3: bepaal de strengste wet die geldt
Welke van alle wetten die voor jou gelden is het strengst? Meestal de AVG. Bouw naleving naar die norm en pas die overal toe. Dat is simpeler dan naleving per rechtsgebied.
Stap 4: voeg regionale variaties toe
Sommige regio's eisen specifieke mechanismen (bijvoorbeeld lokale dataopslag in sommige Aziatische landen, duidelijke afmeldknoppen voor de CCPA in Californië). Voeg die toe aan je basisaanpak.
De pragmatische aanpak: de AVG als basis
Voor de meeste bedrijven is de praktische aanpak: ga ervan uit dat de AVG geldt (dat is meestal zo, tenzij je puur lokaal werkt in een regio zonder regels), bouw naar de normen van de AVG en leg daar regionale eisen overheen. Naleving van de AVG gaat bijna altijd verder dan de meeste andere kaders. Dat verlaagt de complexiteit en zorgt dat je nooit in overtreding bent.
Als ik aan de AVG voldoe, voldoe ik dan ook aan de CCPA?
Grotendeels wel. De strengere eisen van de AVG voor toestemming en dataminimalisatie gaan verder dan de CCPA. Omdat de CCPA persoonsgegevens breder omschrijft, moet je beide bereiken meenemen. Voldoen aan de AVG dekt de meeste verplichtingen van de CCPA.
Welke privacywet is het duurst om aan te voldoen?
De AVG en LGPD vragen om uitgebreide infrastructuur (databeheer, beveiliging, rechten van gebruikers). De CCPA is simpeler. De echte kosten zitten in herstel als je nog niet voldeed, niet in de naleving zelf.
Kan ik één privacyverklaring gebruiken voor alle rechtsgebieden?
Ja, als die alle datapraktijken vermeldt en voldoet aan alle wetten die gelden. Sommige bedrijven gebruiken één basisverklaring plus aanvullingen per regio. Openheid over alles wat je verzamelt is de kern.
Wat is het grootste verschil tussen de AVG en de CCPA?
Het model voor toestemming: de AVG eist aanmelden vooraf, de CCPA gebruikte afmelden (en gaat richting aanmelden). Daarom gaat naleving van de AVG meestal verder dan die van de CCPA. Eén verschil, groot effect.
Als ik alleen bezoekers uit de VS bedien, welke wetten van staten gelden dan?
Alle staten met betekenisvol verkeer. Californië (CCPA), Virginia, Colorado, Connecticut, Utah, Montana en Delaware hebben allemaal wetten. De meeste bedrijven hanteren gewoon naleving op AVG-niveau voor iedereen, om configuratie per staat te vermijden.
Worden privacywetten strenger?
Ja, wereldwijd. De CCPA is strenger dan de eerste wetten, de CPRA is strenger dan de CCPA en nieuwe internationale wetten volgen het strenge model van de AVG. De eisen worden alleen maar strenger.