De CCPA is de privacywet van de Verenigde Staten. Als je bedrijf ergens in de VS actief is, heb je waarschijnlijk bezoekers uit Californië. Verzamel je hun gegevens via formulieren, dan geldt de CCPA. Maar de CCPA is niet de enige privacywet. Inmiddels hebben meer dan een dozijn Amerikaanse staten vergelijkbare privacyregels en er komen er meer bij.
De CCPA en andere privacywetten van Amerikaanse staten zijn het Amerikaanse equivalent van de Europese AVG (GDPR). Weten welke privacywetten voor je formulieren gelden en wat elke wet vraagt, is essentieel om in verschillende Amerikaanse regio's aan de regels te voldoen.
Wat je leert: wat de CCPA is en hoe die verschilt van de AVG (GDPR), welke andere Amerikaanse staten privacywetten hebben, wat deze wetten van formulieren eisen, hoe je weet welke wetten voor jouw bedrijf gelden en hoe je formulieren bouwt die tegelijk aan meerdere regelgevingen voldoen.
Wat is de CCPA?
De CCPA (California Consumer Privacy Act) is een privacywet die geldt voor commerciële bedrijven die persoonsgegevens van inwoners van Californië verzamelen. Ze ging in op 1 januari 2020 en is sindsdien aangescherpt met aanvullende regels.
De CCPA geldt voor je formulieren als:
- Je bedrijf gegevens verzamelt van mensen in Californië
- Je jaarlijkse omzet hoger is dan 25 miljoen dollar, of
- Je gegevens verzamelt van 100.000 of meer inwoners (of huishoudens), of
- Je consumentengegevens verkoopt als bedrijfsactiviteit
Ook kleine bedrijven voldoen vaak aan deze drempels zonder het te beseffen. Heb je een contactformulier en heb je gegevens verzameld van een paar honderd inwoners van Californië, dan val je er waarschijnlijk onder.
Belangrijkste CCPA-eisen voor formulieren
Openheid in een privacyverklaring
Je moet een privacyverklaring bieden die bezoekers uit Californië vertelt over:
- Welke categorieën persoonsgegevens je verzamelt (naam, e-mailadres, aankoopgeschiedenis, enzovoort)
- Waarom je ze verzamelt (om vragen te beantwoorden, om diensten te leveren, voor marketing)
- Waar de gegevens vandaan komen (direct van de consument via een formulier, van derden, uit analytics)
- Hoe lang je ze bewaart
- Met wie je ze deelt (dienstverleners, andere bedrijven, enzovoort)
De privacyverklaring moet makkelijk te vinden zijn. Een link in de footer of een verstopte beleidspagina is niet genoeg. Zet haar waar bezoekers haar zien voordat ze je formulier invullen.
Het recht om te weten
Inwoners van Californië kunnen vragen welke persoonsgegevens je over hen hebt verzameld. Je moet deze informatie binnen 45 dagen kunnen geven. Dat betekent dat je systemen nodig hebt om bij te houden welke gegevens je over elke persoon hebt en een proces om op deze verzoeken te reageren.
Het recht op verwijdering
Inwoners van Californië kunnen je vragen hun persoonsgegevens te verwijderen. Je moet daaraan voldoen, tenzij je een wettelijke reden hebt om ze te bewaren (zoals belastingadministratie of fraudepreventie). Dit geldt voor alle formulierinzendingen en klantgegevens die je over hen hebt.
Het recht om bezwaar te maken tegen verkoop
Verkoop je persoonsgegevens aan andere bedrijven (ook als je het zelf geen "verkopen" vindt), dan kunnen inwoners van Californië zich daartegen verzetten. Onder de CCPA omvat "verkopen" het delen van gegevens met derden voor geld, diensten of andere waardevolle voordelen. Je moet op je website een link "Verkoop mijn persoonsgegevens niet" (Do Not Sell My Personal Information) bieden.
Het recht op correctie
Consumenten kunnen vragen om onjuiste persoonsgegevens over hen te corrigeren. Je hoeft niet alles te wijzigen wat ze vragen, maar je moet een proces hebben om deze verzoeken te beoordelen en erop te reageren.
Geen discriminatie
Je mag niemand discrimineren omdat hij zijn CCPA-rechten uitoefent. Vraagt iemand om verwijdering van zijn gegevens, dan mag je niet weigeren hem te bedienen of hem meer te laten betalen voor je diensten.
CCPA of AVG (GDPR): de belangrijkste verschillen
De CCPA en de AVG (GDPR) beschermen allebei persoonsgegevens, maar hebben belangrijke verschillen:
| Kenmerk | AVG (GDPR) | CCPA | |-|-|-| | Geldt voor | Gegevens van inwoners van de EU, van elk bedrijf | Gegevens van inwoners van Californië, van grotere bedrijven | | Toestemming | Expliciete opt-in vereist (behalve voor essentiële gegevens) | Opt-outmodel (gegevens worden verzameld tenzij je vraagt om dat niet te doen) | | Recht om vergeten te worden | Ja | Ja, maar met meer uitzonderingen | | Boetes | Tot 20 miljoen euro of 4% van de omzet | Tot 2.500 per overtreding, tot 7.500 per opzettelijke overtreding | | Verkoop van gegevens | Niet toegestaan zonder toestemming | Toegestaan tenzij de consument zich verzet |Het belangrijkste verschil is dat de AVG (GDPR) vraagt dat je toestemming vraagt voordat je gegevens verzamelt. De CCPA vraagt dat je mensen vertelt dat ze zich kunnen afmelden.
Andere privacywetten van Amerikaanse staten
Meer dan een dozijn andere staten heeft privacywetten aangenomen die op de CCPA lijken. Dit zijn de belangrijkste:
Virginia (VCDPA)
De Virginia Consumer Data Protection Act geldt voor commerciële bedrijven die persoonsgegevens van inwoners van Virginia verwerken. Ze eist consumentenrechten voor inzage, verwijdering, correctie en bezwaar tegen verkoop van gegevens.
Colorado (CPA)
De Colorado Privacy Act geldt voor bedrijven die gegevens van inwoners van Colorado verwerken. Vergelijkbaar met de CCPA, maar met enkele verschillen in bereik en handhaving.
Connecticut (CTDPA)
De Connecticut Data Privacy Act, van kracht sinds juli 2024. Vergelijkbare consumentenrechten als de CCPA en de VCDPA.
Utah (UCPA)
De Utah Consumer Privacy Act is merkbaar minder streng dan de andere, maar vereist nog steeds rechten voor consumenten om bezwaar te maken.
Montana, Delaware, Iowa en andere
Meer staten hebben privacywetten aangenomen of overwegen die. De meeste volgen het CCPA-model van opt-outrechten voor consumenten, met enige variatie in de eisen.
Hoe je weet welke wetten voor je formulieren gelden
Zo zoek je uit aan welke privacywetten je moet voldoen:
- Bepaal waar je bezoekers vandaan komen. Gebruik analytics om te zien welke staten en regio's vertegenwoordigd zijn.
- Zoek de wet op voor elke regio. Kijk voor Amerikaanse staten op de website van de procureur-generaal van de staat. Zoek voor andere landen hun privacywetten uit.
- Controleer de drempelwaarden. Voldoet je bedrijf aan de groottedrempels? Heb je genoeg klanten in die regio?
- Raadpleeg een jurist als je twijfelt. Privacywetgeving is complex en verschilt per regio. Verzamelt je bedrijf grote hoeveelheden gegevens, praat dan met een advocaat.
Formulieren bouwen die aan meerdere privacywetten voldoen
Komen je bezoekers uit verschillende staten en landen, dan moet je de strengste regels volgen die gelden.
Ga voor iedereen uit van de AVG-regels
Heb je bezoekers uit de EU, volg dan de AVG-regels (GDPR). De AVG is een van de strengste privacywetten, dus voldoen aan de AVG betekent vaak dat je ook aan andere wetten voldoet.
Gebruik expliciete toestemming voor gevoelige gegevens
Probeer niet verschillende regels voor verschillende bezoekers te volgen, maar gebruik expliciete toestemming (de AVG-standaard) voor alles. Dat is overzichtelijker en beschermt meer. Maak toestemmingskeuzes duidelijk, specifiek en apart voor verschillende gebruiksdoelen van gegevens.
Zet een privacyverklaring op het formulier
Neem op de formulierpagina een duidelijke, leesbare samenvatting van je gegevenspraktijken op. Link naar je volledige privacybeleid. Zo voldoe je tegelijk aan de openheidseisen van meerdere wetten.
Maak afmelden makkelijk
Zorg dat mensen zich kunnen afmelden voor marketing-e-mails of om verwijdering van hun gegevens kunnen vragen. Neem dit op in elke marketingmail die je verstuurt (wettelijk verplicht) en op je website (goede praktijk).
Houd goede administratie bij
Leg vast welke gegevens je verzamelt, waarom je ze verzamelt, hoe lang je ze bewaart en wie er toegang toe heeft. Zo kun je snel reageren op gegevensverzoeken en kun je bewijzen dat je aan de regels voldoet als een toezichthouder erom vraagt.
Boetes en sancties bij privacywetten
De CCPA en privacywetten van staten kennen financiële sancties:
- CCPA (Californië): tot 2.500 dollar per overtreding, 7.500 dollar per opzettelijke overtreding. De procureur-generaal van de staat handhaaft dit en consumenten kunnen in bepaalde gevallen zelf een rechtszaak beginnen.
- Virginia, Colorado, Connecticut enzovoort: de boetes lopen uiteen van 2.500 tot 10.000 dollar per overtreding en sommige staten laten consumenten ook zelf procederen.
Deze boetes zijn lager dan AVG-boetes, maar ze lopen snel op bij meerdere overtredingen of als een datalek duizenden mensen treft.
Wat WEMASY doet voor naleving van privacywetten
WEMASY-formulieren hebben hulpmiddelen om je te helpen aan Amerikaanse staats- en federale privacywetten te voldoen. Je kunt privacyverklaringen aan je formulieren toevoegen, bijhouden welke versie van je toestemmingsvoorwaarden elke bezoeker accepteerde en je team processen geven voor verzoeken om inzage en verwijdering van gegevens. WEMASY registreert ook welke gegevens zijn opgeslagen en wanneer ze zijn ingestuurd, zodat je de administratie hebt die je nodig hebt voor nalevingsaudits.
Bekijk op de prijspagina welke functies voor privacynaleving in jouw abonnement beschikbaar zijn.