CCPA, CPRA en Amerikaanse staatsprivacywetten voor websites
Wat de CCPA (gewijzigd door de CPRA) en andere Amerikaanse privacywetten vragen van websites met cookies: melding, opt-out van verkoop en delen, en GPC.
Opt-out in plaats van opt-in
Amerikaanse staatsprivacywetten werken meestal met opt-out: een website mag cookies voor statistiek en advertenties gebruiken, maar moet bezoekers informeren en hen bezwaar laten maken tegen de verkoop van hun persoonsgegevens, het delen ervan voor gedragsgerichte advertenties over contexten heen en, in de meeste staten, gerichte advertenties. Advertentiecookies en pixels van derden zijn onder deze wetten vaak een „verkoop” of „delen”.
De California Consumer Privacy Act
De CCPA, gewijzigd door de CPRA (van kracht sinds 2023), geldt voor commerciële bedrijven die zaken doen in Californië en aan één van drie drempels voldoen: een jaarlijkse bruto-omzet boven 25 miljoen dollar (gecorrigeerd voor inflatie), het kopen, verkopen of delen van persoonsgegevens van 100.000 of meer consumenten of huishoudens, of minstens de helft van de omzet halen uit het verkopen of delen van persoonsgegevens. De wet eist:
- een melding bij het verzamelen die uitlegt wat wordt verzameld en waarom;
- een link „Do Not Sell or Share My Personal Information” of een alternatieve opt-outlink;
- het respecteren van browsersignalen van Global Privacy Control (GPC) als geldige opt-out;
- antwoord op inzage-, verwijder- en correctieverzoeken binnen 45 dagen.
De California Privacy Protection Agency en de Attorney General handhaven de wet, met boetes per overtreding die voor inflatie worden gecorrigeerd en hoger zijn bij opzettelijke overtredingen en overtredingen die minderjarigen betreffen.
Andere staten
Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana en steeds meer andere staten hebben brede privacywetten met vergelijkbare opt-outrechten. Verschillende daarvan, waaronder Colorado, Connecticut, Texas en Oregon, eisen dat bedrijven universele opt-outsignalen zoals GPC respecteren. Drempels, regels voor gevoelige gegevens en termijnen verschillen per staat.
Hoe Consentl helpt
- Een kant-en-klare VS-regel: opt-out, met een melding en een link naar de voorkeuren waar bezoekers de verkoop of het delen van hun gegevens kunnen uitzetten.
- Global Privacy Control automatisch gerespecteerd: een GPC-signaal telt als opt-out, en het record vermeldt dat.
- Tags tegengehouden na een opt-out, en Google Consent Mode bijgewerkt.
- Een verzoekformulier met de CCPA-termijn van 45 dagen in je dashboard, en „Do Not Sell or Share”- verzoeken zonder identiteitscontrole, zoals de regels vereisen.
Veelgestelde vragen
Geldt de CCPA voor een kleine website?
Alleen als het bedrijf aan een van de drempels voldoet. Andere staten hebben eigen drempels, vaak op basis van het aantal inwoners van wie je gegevens verwerkt.
Heb ik voor de CCPA een cookiebanner nodig?
De CCPA eist geen opt-in-banner, maar je moet informeren en een eenvoudige opt-out bieden. Een banner met een link naar de voorkeuren is een gebruikelijke manier om beide te doen.
Deze pagina geeft algemene informatie, geen juridisch advies. Wetten en richtlijnen veranderen; controleer de actuele regels voor jouw situatie.