VS-recht & CCPA

CCPA Uitleg: Hoe Opt-Outs te Beheren voor Consumenten in Californië

7 juli 2026 · 16 min lezen

Snelle Antwoord: De California Consumer Privacy Act (CCPA) geeft inwoners van Californië het recht om zich af te melden voor de verkoop of het delen van hun persoonlijke informatie. Vanaf 1 januari 2026 vereisen de gewijzigde regels nu dat bedrijven opt-out voorkeurssignalen (zoals Global Privacy Control) respecteren, zichtbaar bevestigen dat deze signalen zijn verwerkt en ervoor zorgen dat opt-out processen niet complexer zijn dan opt-in processen. Niet-naleving kan resulteren in civiele boetes tot $7.500 per opzettelijke overtreding.

Belangrijkste Punten

De CCPA is van toepassing op winstgevende bedrijven die voldoen aan specifieke omzet-, datavolume- of dataverkoopdrempels, niet elk bedrijf dat in Californië opereert.
Vanaf 1 januari 2026 moeten bedrijven zichtbare bevestiging tonen wanneer een opt-out voorkeurssignaal (zoals Global Privacy Control) is herkend en gerespecteerd. [3]
Opt-out mechanismen moeten net zo eenvoudig te gebruiken zijn als opt-in processen; donkere patronen die opt-outs ontmoedigen zijn expliciet verboden onder de wijzigingen van 2026. [7]
Bedrijven hebben 15 werkdagen om een verzoek tot opt-out van een consument te honoreren na ontvangst. [2]
"Persoonlijke informatie" onder de CCPA is breed gedefinieerd: het omvat IP-adressen, browsegeschiedenis, geolocatiegegevens, afgeleiden conclusies uit consumentengedrag, en meer.
De CCPA en GDPR werken op fundamenteel verschillende toestemmingsmodellen, opt-out versus opt-in, en veel bedrijven moeten aan beide tegelijkertijd voldoen.
Het niet bijwerken van uw privacybeleid om de rechten onder de CCPA weer te geven, is op zichzelf een nalevingshiatus, los van technische opt-out falen.
Een toestemmingsbeheerplatform zoals Biscotti CMP kan signaaldetectie, opt-out bevestiging en voorkeurregistratie automatiseren.

Wat Is de CCPA en Waarom Is Het Belangrijk voor Uw Bedrijf

De California Consumer Privacy Act is een privacywet op staatsniveau die inwoners van Californië specifieke rechten geeft over hoe bedrijven hun persoonlijke gegevens verzamelen, gebruiken en verkopen. Het is belangrijk omdat Californië de vijfde grootste economie ter wereld is, en elk bedrijf dat consumenten in Californië bedient, ongeacht waar het bedrijf is gevestigd, mogelijk wettelijk verplicht is om te voldoen.

De CCPA werd oorspronkelijk aangenomen in 2018, versterkt door de California Privacy Rights Act (CPRA) in 2020, en materieel opnieuw bijgewerkt met regels die zijn goedgekeurd door het California Office of Administrative Law op 22 september 2025, met ingang van 1 januari 2026. [1][5] Deze wijzigingen van 2026 voegden nieuwe verplichtingen toe rond geautomatiseerde besluitvormingstechnologie (ADMT), risico-evaluaties, en, cruciaal voor de meeste bedrijven, vereisten voor het ontwerp en de bevestiging van opt-out mechanismen. [1][7]

Het begrijpen van CCPA uitgelegd: hoe opt-outs te beheren voor consumenten in Californië is niet langer optioneel voor de gedekte bedrijven. De regulatoire basis is verhoogd, en de handhaving is gevolgd.

Hoe Weet Ik Of de CCPA Van Toepassing Is op Mijn Bedrijf

De CCPA is van toepassing op winstgevende bedrijven die zaken doen in Californië en ten minste één van de volgende drempels bereiken:

Jaarlijkse bruto-omzet van meer dan $25 miljoen
Jaarlijks kopen, verkopen, ontvangen of delen van de persoonlijke informatie van 100.000 of meer consumenten of huishoudens in Californië
Meer dan 50% van de jaarlijkse omzet halen uit de verkoop of het delen van persoonlijke informatie van consumenten in Californië [4][6]

Is de CCPA van toepassing op kleine bedrijven onder een bepaalde omzet? Over het algemeen niet. Als een bedrijf onder alle drie de drempels valt, is het geen gedekt bedrijf onder de CCPA. Echter, dienstverleners en aannemers die gegevens verwerken namens gedekte bedrijven zijn onderworpen aan contractuele CCPA-verplichtingen, zelfs als ze anderszins niet onafhankelijk zouden kwalificeren. [2]

Randgeval: Een klein SaaS-bedrijf met minder dan $25 miljoen aan omzet maar een grote gebruikersbasis in de gratis laag kan gemakkelijk de drempel van 100.000 consumenten overschrijden zonder het te beseffen.

Wat Telt Als Persoonlijke Informatie Onder de CCPA

Persoonlijke informatie onder de CCPA wordt breed gedefinieerd als elke informatie die een specifieke consument of huishouden identificeert, betrekking heeft op, beschrijft of redelijkerwijs kan worden gekoppeld aan. Dit gaat veel verder dan namen en e-mailadressen.

Gedekte categorieën zijn onder andere:

Categorie	Voorbeelden
Identifiers	Naam, e-mail, IP-adres, apparaat-ID
Commerciële informatie	Aankoopgeschiedenis, browsegedrag
Biometrische gegevens	Vingerafdrukken, gezichtsherkenningsgegevens
Internetactiviteit	Cookies, zoekgeschiedenis, site-interacties
Geolocatie	Nauwkeurige locatie van mobiele apparaten
Inferenties	Profielen opgebouwd uit gedragsgegevens
Gevoelige persoonlijke informatie	Burgerservicenummers, gezondheidsgegevens, nauwkeurige geolocatie

Inferenties die uit consumentengegevens zijn getrokken om profielen over voorkeuren, kenmerken of gedrag te creëren zijn expliciet inbegrepen. [4] Dit is belangrijk voor advertentietechnologie, analytics en personalisatiepijplijnen.

Wat Is het Verschil Tussen CCPA Opt-Out en Opt-In

De CCPA werkt op een opt-out model: bedrijven mogen standaard consumentengegevens verzamelen en gebruiken, maar consumenten hebben het recht om te eisen dat hun gegevens niet worden verkocht of gedeeld. Opt-in toestemming is alleen vereist in specifieke omstandigheden, zoals bij het omgaan met de persoonlijke informatie van consumenten onder de 16 jaar. [4][6]

Dit is het fundamentele structurele verschil met de GDPR, die werkt op een opt-in model dat bevestigende toestemming vereist voordat de meeste gegevensverwerking begint. Onder de CCPA is stilte geen toestemming, maar het is ook geen belemmering voor verwerking. Onder de GDPR is stilte geen toestemming en kan verwerking niet beginnen zonder.

Kies opt-in logica als: u gegevens van minderjarigen (onder de 16) verwerkt of gevoelige persoonlijke informatiecategorieën verwerkt die expliciete toestemming vereisen onder de Californische wet.

Kies opt-out logica als: u standaard consumentengegevens van volwassenen verwerkt en een gedekt bedrijf onder de CCPA bent.

Hoe Stel Ik een "Do Not Sell or Share My Personal Information" Link In

Elk gedekt bedrijf dat persoonlijke informatie verkoopt of deelt, moet een duidelijke en opvallende link met de titel "Do Not Sell or Share My Personal Information" op zijn homepage en in zijn privacybeleid aanbieden. [4][6]

Stapsgewijze installatie:

Controleer uw gegevensstromen om te bepalen of uw bedrijf persoonlijke informatie verkoopt of deelt zoals gedefinieerd door de CCPA.
Voeg de vereiste link toe aan de voettekst van uw website en het instellingenmenu van uw mobiele app.
Configureer uw toestemmingsbeheerplatform om opt-out verzoeken vast te leggen en te timestampen.
Zorg ervoor dat de opt-out stroom niet meer stappen vereist dan de opt-in stroom; de regels van 2026 verbieden expliciet asymmetrische wrijving. [7]
Honor Global Privacy Control (GPC) signalen automatisch als uw bedrijf browsergebaseerde gegevens verwerkt.
Toon zichtbare bevestiging dat de opt-out is erkend, bijvoorbeeld een banner of schakeltoestand die "Opt-Out Preference Signal Honored" aangeeft. [3]

Een platform zoals Biscotti CMP kan stappen 3 tot en met 6 automatiseren, inclusief GPC signaaldetectie en conforme bevestigingsweergave.

Hoe Lang Heb Ik Om Te Reageren Op Een Verzoek Tot Opt-Out Van Een Consument

Bedrijven moeten een verzoek tot opt-out van een consument binnen 15 werkdagen na ontvangst honoreren. [2] Dit is verschillend van de 45-daagse reactietermijn die van toepassing is op andere verzoeken om consumentenrechten (zoals toegang of verwijdering).

Zodra het verzoek is gehonoreerd, moet het bedrijf ook alle derde partijen aan wie het de gegevens van de consument heeft verkocht of gedeeld binnen de voorgaande 90 dagen op de hoogte stellen en hen vragen te stoppen met het gebruik van die gegevens. [6] Deze downstream notificatieverplichting wordt vaak over het hoofd gezien en vertegenwoordigt een veelvoorkomende nalevingshiatus.

Kan Ik Nog Steeds Gegevens Gebruiken Nadat Een Klant Zich Heeft Afgemeld

Nadat een consument zich heeft afgemeld voor verkoop of delen, mag het bedrijf de persoonlijke informatie van die consument niet meer verkopen of delen. Het bedrijf mag echter de gegevens nog steeds gebruiken voor interne doeleinden die consistent zijn met de relatie van de consument met het bedrijf. [4]

Specifiek verboden na opt-out:

Het verkopen of delen van de gegevens met derden voor cross-context gedragsadvertenties
Het gebruiken van de gegevens op manieren die incompatibel zijn met de context waarin ze zijn verzameld

Nog steeds toegestaan na opt-out:

Het vervullen van de transactie of dienst die de consument heeft aangevraagd
Interne analytics en fraudepreventie
Naleving van wettelijke verplichtingen

Veelgemaakte fout: Aannemen dat opt-out volledige gegevensverwijdering betekent. Dat is niet het geval. Consumenten moeten een afzonderlijk verwijderingsverzoek indienen om dat recht te activeren.

CCPA vs. GDPR: Welke Moet Ik Volgen

Als uw bedrijf zowel inwoners van Californië als inwoners van de Europese Unie bedient, moet u waarschijnlijk aan beide voldoen. De CCPA en GDPR zijn niet wederzijds exclusief, en de nalevingsvereisten verschillen voldoende zodat een enkel beleid zelden aan beide voldoet.

Factor	CCPA	GDPR
Toestemmingsmodel	Opt-out (standaardverwerking toegestaan)	Opt-in (toestemming vereist eerst)
Geografische reikwijdte	Inwoners van Californië	Inwoners van de EU/EEA
Wie het dekt	Winstgevende bedrijven die aan drempels voldoen	Elke entiteit die gegevens van EU-inwoners verwerkt
Boetes	Tot $7.500 per opzettelijke overtreding	Tot 4% van de wereldwijde jaarlijkse omzet
Recht op verwijdering	Ja	Ja (Recht op Verwijdering)
Gegevensportabiliteit	Ja	Ja

De praktische implicatie: GDPR-conforme toestemmingsbanners zijn niet automatisch CCPA-conform, omdat de CCPA een specifiek opt-out mechanisme vereist in plaats van een toestemmingspoort.

Wat Gebeurt Er Als Ik Niet Voldoen Aan de CCPA Vereisten

Niet-naleving stelt bedrijven bloot aan civiele boetes tot $2.500 per onopzettelijke overtreding en $7.500 per opzettelijke overtreding, gehandhaafd door de California Privacy Protection Agency (CPPA). [4][6] Overtredingen met betrekking tot gegevens van minderjarigen worden standaard als opzettelijk behandeld.

Consumenten hebben ook een privé recht van actie voor datalekken die voortvloeien uit het falen van een bedrijf om redelijke beveiligingsmaatregelen te implementeren, met wettelijke schadevergoeding variërend van $100 tot $750 per consument per incident. [4]

De wijzigingen van 2026 hebben de auditbevoegdheid van de CPPA uitgebreid, wat betekent dat bedrijven die onderworpen zijn aan risico-evaluatievereisten proactieve regelgevende controle kunnen ondervinden, niet alleen reactieve handhaving. [1][7]

Moet Ik Mijn Privacybeleid Bijwerken Voor de CCPA

Ja. Gedekte bedrijven moeten een privacybeleid onderhouden dat minimaal het volgende openbaar maakt:

De categorieën van persoonlijke informatie die worden verzameld en de doeleinden voor verzameling
Of persoonlijke informatie wordt verkocht of gedeeld, en de categorieën van betrokken derden
De consumentenrechten die beschikbaar zijn onder de CCPA (opt-out, verwijdering, toegang, correctie, portabiliteit)
Hoe consumenten verzoeken kunnen indienen om die rechten uit te oefenen
De bewaartermijn voor elke categorie van persoonlijke informatie [4][6]

Privacybeleid moet minstens één keer per 12 maanden worden bijgewerkt. Het niet bijwerken van het beleid na een materiële wijziging in gegevenspraktijken, zoals het toevoegen van een nieuwe analytics-leverancier, is op zichzelf een nalevingsschending.

Hoe Verifieer Ik Of Een Verzoek Tot Opt-Out Van Een Consument Legitiem Is

Voor opt-out verzoeken vereist de CCPA niet dat bedrijven de identiteit van de consument die het verzoek indient verifiëren. [2] Dit is opzettelijk: het vereisen van identiteitsverificatie voor opt-outs zou wrijving creëren die het recht ondermijnt.

Bedrijven kunnen echter redelijke middelen gebruiken om te bevestigen dat een verzoek niet frauduleus is, zoals het bevestigen van het e-mailadres dat aan het account is gekoppeld. De standaard voor opt-out verificatie is opzettelijk lager dan voor verwijderings- of toegang verzoeken, waarbij identiteitsverificatie gepast is omdat die verzoeken het openbaar maken of vernietigen van gegevens met zich meebrengen.

Randgeval: Als een opt-out verzoek via een geautomatiseerd signaal (GPC) binnenkomt, is er geen aanvullende verificatiestap vereist of toegestaan, het signaal zelf vormt een geldig verzoek. [3][7]

Hoe Werken Opt-Out Mechanismen op Mobiele Apps versus Websites

Op websites moeten opt-out mechanismen de link "Do Not Sell or Share My Personal Information" in de voettekst bevatten en moeten ze browserniveau GPC signalen honoreren. [3][7] Op mobiele apps zijn de vereisten functioneel gelijk, maar de implementatie verschilt:

Mobiele apps moeten de opt-out optie opnemen in het instellingenmenu van de app of de sectie privacyvoorkeuren.
Apps die via app stores worden verspreid, moeten voldoen aan eventuele aanvullende privacyvereisten op platformniveau (zoals App Tracking Transparency op iOS), maar die platformvereisten vervangen de naleving van de CCPA niet.
Geautomatiseerde signalen van mobiele besturingssystemen moeten op dezelfde manier worden gerespecteerd als browsergebaseerde GPC signalen als het bedrijf die gegevens verwerkt.

De regels van 2026 maken duidelijk dat het kanaal (web versus app) de onderliggende verplichting niet verandert, alleen de technische implementatie verschilt.

Wat Zijn Veelvoorkomende Fouten Die Bedrijven Maken Met CCPA Naleving

Zelfs goedbedoelende bedrijven maken vaak de volgende fouten:

Opt-out behandelen als opt-in: Consumenten verplichten om hun opt-out bevestigend te bevestigen via meerdere stappen, wat in strijd is met de symmetrievereiste in de wijzigingen van 2026. [7]
GPC signalen negeren: Hun technologie-stack niet configureren om Global Privacy Control browser signalen te detecteren en te honoreren, die nu worden behandeld als geldige opt-out verzoeken. [3]
Opt-out bevestiging niet tonen: De regels van 2026 vereisen zichtbare bevestiging dat een signaal is verwerkt, een backend logboekvermelding is niet voldoende. [3]
Downstream leveranciers over het hoofd zien: Derde partijen die gegevens ontvangen niet op de hoogte stellen nadat een opt-out is ontvangen.
Statische privacybeleid: Het beleid niet jaarlijks bijwerken of na materiële wijzigingen in gegevenspraktijken.
Dienstverleners verwarren met derden: Dienstverleners die gegevens onder contract verwerken hebben andere verplichtingen dan derden die gegevens voor hun eigen doeleinden ontvangen.

FAQ

Is de CCPA van toepassing op non-profitorganisaties? Nee. De CCPA is alleen van toepassing op winstgevende bedrijven. Non-profitorganisaties zijn geen gedekte bedrijven, hoewel ze mogelijk onderworpen zijn aan andere Californische privacywetten.

Wat is Global Privacy Control (GPC) en moet ik het honoreren? GPC is een browserniveau signaal dat automatisch de opt-out voorkeur van een consument communiceert. Vanaf 1 januari 2026 moeten gedekte bedrijven die browsergegevens verwerken GPC signalen honoreren als geldige opt-out verzoeken en bevestigen dat het signaal is verwerkt. [3][7]

Kan een bedrijf een andere prijs vragen aan consumenten die zich afmelden? Over het algemeen niet. De CCPA verbiedt bedrijven om te discrimineren tegen consumenten die hun privacyrechten uitoefenen, inclusief door verschillende prijzen te vragen, tenzij het verschil redelijk gerelateerd is aan de waarde van de gegevens van de consument. [4]

Hoe lang moeten opt-out registraties worden bewaard? De CCPA specificeert geen universele bewaartermijn voor opt-out registraties, maar bedrijven moeten registraties lang genoeg bewaren om naleving aan te tonen in het geval van een audit of handhavingsactie, doorgaans wordt minstens 24 maanden als een redelijke basislijn beschouwd. [6]

Voldoet een cookiebanner aan de CCPA opt-out vereisten? Een cookiebanner alleen is niet voldoende. De CCPA vereist een specifieke link "Do Not Sell or Share My Personal Information", en de wijzigingen van 2026 vereisen dat bedrijven GPC signalen onafhankelijk van enige cookie-toestemming interactie honoreren en bevestigen. [3][7]

Wat is het verschil tussen een "verkoop" en "delen" onder de CCPA? "Verkoop" houdt in dat persoonlijke informatie wordt uitgewisseld voor financiële vergoeding. "Delen" omvat het openbaar maken van persoonlijke informatie voor cross-context gedragsadvertenties, zelfs zonder betaling. Beide activeren opt-out rechten. [4]

Heb ik aparte opt-out mechanismen nodig voor elke categorie gegevens? Nee. Een enkel opt-out mechanisme dat verkoop en delen dekt is voldoende, hoewel bedrijven duidelijk moeten beschrijven in hun privacybeleid welke categorieën gegevens zijn gedekt.

Wat is een risico-evaluatie onder de wijzigingen van de CCPA in 2026? Bedrijven die persoonlijke informatie verwerken op manieren die aanzienlijke privacyrisico's met zich meebrengen, inclusief het gebruik van geautomatiseerde besluitvormingstechnologie, moeten risico-evaluaties uitvoeren en documenteren voordat ze met die verwerking beginnen. [1][7]

Conclusie

CCPA uitgelegd: hoe opt-outs te beheren voor consumenten in Californië is een voortdurend veranderend doel, en de wijzigingen van 2026 hebben de lat aanzienlijk hoger gelegd. De kernverplichtingen, het bieden van een duidelijk opt-out mechanisme, het honoreren van consumentenverzoeken binnen 15 werkdagen, en het bijwerken van uw privacybeleid, blijven fundamenteel. Maar de nieuwe vereisten rond GPC signaalbevestiging, het verbod op donkere patronen, en risico-evaluaties voor ADMT vereisen een meer systematische aanpak dan een statische voettekstlink kan bieden.

Actiegerichte volgende stappen voor gedekte bedrijven:

Controleer uw huidige opt-out stroom tegen de symmetrievereiste van 2026: tel de stappen om zich af te melden en vergelijk deze met de stappen om in te schrijven.
Verifieer dat uw website en mobiele app Global Privacy Control signalen detecteren en honoreren, en dat een zichtbare bevestigingsboodschap wordt weergegeven wanneer een signaal wordt ontvangen.
Beoordeel uw lijst met derde partijen en bevestig dat procedures voor downstream notificatie zijn ingesteld voor gegevensstromen na opt-out.
Werk uw privacybeleid bij om de huidige gegevenspraktijken, bewaartermijnen en de volledige lijst van consumentenrechten weer te geven.
Evalueer een toestemmingsbeheerplatform zoals Biscotti CMP om signaaldetectie, opt-out bevestiging en voorkeurregistratie te automatiseren over web- en mobiele kanalen.

Naleving is geen eenmalig project. De CPPA heeft bereidheid getoond om richtlijnen uit te geven en handhaving na te streven, en de regelgevende omgeving zal blijven evolueren. Het opbouwen van herhaalbare, controleerbare processen nu is de meest verdedigbare positie die een gedekt bedrijf kan innemen.