Snelle Antwoord: De California Privacy Rights Act (CPRA) heeft de oorspronkelijke California Consumer Privacy Act (CCPA) aanzienlijk gewijzigd, nieuwe consumentenrechten geïntroduceerd, een speciale handhavingsinstantie ingesteld, strengere boetes opgelegd en een geheel nieuwe categorie van gevoelige persoonlijke informatie gecreëerd. Voor website-operators is CCPA vs. CPRA: Wat Veranderde Voor Website-Operators in Californië? geen theoretische vraag; het vertaalt zich direct in bijgewerkte privacybeleid, nieuwe toestemmingsmechanismen en uitgebreide contractuele verplichtingen met derden.
Belangrijkste Punten
- De CPRA trad volledig in werking op 1 juli 2023, ter vervanging en uitbreiding van het CCPA-kader.
- Een nieuwe categorie "gevoelige persoonlijke informatie" (SPI) vereist een speciale opt-out link op websites die die gegevens verzamelen.
- Consumenten kregen het recht om onjuiste persoonlijke gegevens te corrigeren, een recht dat niet bestond onder de oorspronkelijke CCPA.
- De toepassingsdrempel steeg van 50.000 naar 100.000 consumenten of huishoudens, waardoor sommige kleinere operators zijn vrijgesteld.
- Het "delen" van persoonlijke gegevens voor cross-context gedragsadvertenties telt nu als een "verkoop", wat opt-out mechanismen vereist.
- Website-operators moeten Global Privacy Control (GPC) signalen respecteren als geldige opt-out verzoeken.
- Administratieve boetes zijn verhoogd naar $2.663 per onopzettelijke schending en $7.988 per opzettelijke schending vanaf 1 januari 2025.
- De California Privacy Protection Agency (CPPA) heeft nu onafhankelijke handhavingsautoriteit, los van de procureur-generaal.
- Transparantievereisten voor geautomatiseerde besluitvorming zullen op 1 januari 2027 van kracht worden.
- Risico-evaluaties en cybersecurity-audits zijn nu verplicht voor gegevensverwerkingsactiviteiten met een hoog risico.
Wat Is het Verschil Tussen CCPA en CPRA?
De CCPA, van kracht vanaf 1 januari 2020, gaf consumenten in Californië basisrechten over hun persoonlijke gegevens: het recht om te weten, te verwijderen en zich af te melden voor de verkoop van hun informatie. De CPRA, aangenomen door de kiezers in Californië in november 2020 en volledig handhaafbaar vanaf 1 juli 2023, verving de CCPA niet volledig, maar wijzigde en breidde deze aanzienlijk uit [1].
Belangrijke structurele verschillen zijn:
| Kenmerk | CCPA (Oorspronkelijk) | CPRA (Gewijzigd) |
|---|---|---|
| Handhavingsorgaan | Procureur-generaal van Californië | CPPA + Procureur-generaal |
| Gevoelige gegevenscategorie | Niet gedefinieerd | Formeel gedefinieerd (SPI) |
| Recht op correctie | Niet opgenomen | Opgenomen |
| Definitie van "verkoop" | Gegevensuitwisseling voor waarde | Inclusief "delen" voor advertenties |
| Toepassingsdrempel | 50.000 consumenten/huishoudens | 100.000 consumenten/huishoudens |
| Risico-evaluaties | Niet vereist | Vereist voor verwerking met hoog risico |
| GPC signaal naleving | Niet verplicht | Verplicht |
De praktische consequentie voor website-operators is dat naleving van CPRA vs. CCPA niet slechts een administratieve update is, maar architectonische veranderingen vereist in toestemmingsstromen, privacybeleid en leverancierscontracten [2].
Wanneer Ging CPRA Inwerking en Verving het CCPA?
De materiële rechten en verplichtingen van de CPRA waren van toepassing op gegevens die op of na 1 januari 2022 zijn verzameld, met handhaving die begon op 1 juli 2023. De éénjarige handhavingsgraceperiode eindigde op die datum, wat betekent dat de California Privacy Protection Agency boetes kon beginnen uit te delen zonder voorafgaande waarschuwing [4].
Voor website-operators die in 2026 nog steeds onder CCPA-beleid opereren, is de blootstelling reëel en onmiddellijk.
Welke Nieuwe Rechten Hebben Consumenten Onder CPRA Die Niet in CCPA Stonden?
De CPRA voegde twee consumentenrechten toe die ontbraken in het oorspronkelijke CCPA-kader:
Recht op Correctie: Consumenten kunnen nu verzoeken dat een bedrijf onjuiste persoonlijke informatie die het over hen heeft, corrigeert. Website-operators moeten een verifieerbaar verzoekproces opzetten en binnen 45 dagen op correctieverzoeken reageren [2].
Recht om Gebruik van Gevoelige Persoonlijke Informatie te Beperken: Consumenten kunnen beperken hoe bedrijven hun SPI gebruiken buiten het doel waarvoor het oorspronkelijk is verzameld. Dit recht vereist een aparte, duidelijk gelabelde opt-out mechanism op de website [1].
Deze toevoegingen staan naast de bestaande rechten om te weten, te verwijderen, zich af te melden voor verkoop en non-discriminatie, wat een meer gelaagde nalevingsvereiste creëert voor elke site die gebruikersgegevens verzamelt buiten basisanalyses.
Wat Is het Recht op Correctie Onder CPRA?
Het recht op correctie is een van de meest operationeel veeleisende toevoegingen in de CPRA. Wanneer een consument een geverifieerd correctieverzoek indient, moet het bedrijf commercieel redelijke inspanningen leveren om de onjuiste persoonlijke informatie te corrigeren en eventuele dienstverleners of aannemers die die gegevens hebben ontvangen, instrueren om dezelfde correctie aan te brengen [2].
Voor website-operators betekent dit:
- Het opzetten van een mechanisme voor het indienen van correctieverzoeken (webformulier, e-mailproces of accountportaal).
- Het documenteren van de correctie en het informeren van downstream gegevensverwerkers.
- Reageren binnen 45 dagen, met één verlenging van 45 dagen toegestaan indien nodig.
Veelgemaakte fout: Veel operators gaan ervan uit dat het recht op correctie alleen van toepassing is op accountprofielgegevens. In de praktijk strekt het zich uit tot alle persoonlijke informatie die het bedrijf heeft, inclusief gedragsgegevens, afgeleide voorkeuren en aankoopgeschiedenis.
Welke Nieuwe Gegevenscategorieën Deckt CPRA Die CCPA Niet Deckte?
De CPRA definieerde "gevoelige persoonlijke informatie" (SPI) formeel als een aparte, hoger beschermde gegevenscategorie. De CCPA had geen equivalente classificatie [1].
SPI onder CPRA omvat:
- Sociale zekerheidsnummers en door de overheid uitgegeven ID's
- Financiële accountgegevens (inloggegevens plus beveiligingscodes)
- Nauwkeurige geolocatiegegevens
- Raciale of etnische afkomst, religieuze overtuigingen en lidmaatschap van een vakbond
- Inhoud van privécommunicaties (post, e-mail, sms)
- Genetische en biometrische gegevens die voor identificatie worden verwerkt
- Gezondheidsinformatie en seksuele leven of seksuele geaardheid
Website-operators die een van deze categorieën verzamelen, moeten een link "Beperk het Gebruik van Mijn Gevoelige Persoonlijke Informatie" bieden, functioneel vergelijkbaar met de link "Verkoop Mijn Persoonlijke Informatie Niet" die al vereist is onder CCPA [1].
CPRA vs. CCPA: Welke Geldt Voor Mijn Bedrijf?
Vanaf 2026 is het CPRA-kader van toepassing op winstgevende bedrijven die zaken doen in Californië EN aan ten minste een van deze drempels voldoen [7]:
- Jaarlijkse bruto-inkomsten van meer dan $25 miljoen.
- Koopt, verkoopt, ontvangt of deelt de persoonlijke informatie van 100.000 of meer consumenten of huishoudens in Californië per jaar (verhoogd van 50.000 onder CCPA).
- Haalt 50% of meer van de jaarlijkse inkomsten uit de verkoop of het delen van persoonlijke informatie van consumenten.
Kies CPRA-naleving als: Uw website Californië-residenten bedient en u aan een van de bovenstaande criteria voldoet. Als u eerder voldeed aan de 50.000-consumentdrempel van CCPA, maar minder dan 100.000 records jaarlijks verwerkt, valt u mogelijk niet langer direct onder de wet, hoewel contractuele verplichtingen met grotere partners nog steeds naleving kunnen vereisen.
Randgeval: Non-profitorganisaties en puur B2B-operators zijn over het algemeen vrijgesteld, maar dienstverleners en aannemers voor gedekte bedrijven hebben hun eigen CPRA-verplichtingen [3].
Hoe Beïnvloedt CPRA Het Privacybeleid Van Mijn Website?
Een privacybeleid dat voldoet aan CCPA is niet langer voldoende. CPRA vereist dat website-operators hun privacybeleid bijwerken om [2][3]:
- De nieuwe SPI-categorie en het recht om het gebruik ervan te beperken.
- Het recht om onjuiste persoonlijke informatie te corrigeren.
- De uitgebreide definitie van "verkoop" om "delen" voor cross-context gedragsadvertenties in te sluiten.
- Hoe het bedrijf reageert op GPC-signalen.
- Gegevensbewaarperiodes voor elke categorie van verzamelde persoonlijke informatie.
- Of geautomatiseerde besluitvorming wordt gebruikt en hoe consumenten zich kunnen afmelden.
Privacybeleid moet minstens één keer per 12 maanden worden herzien en bijgewerkt om de huidige gegevenspraktijken weer te geven. Verouderde beleidsdocumenten die CCPA-rechten beschrijven zonder CPRA-toevoegingen zijn een veelvoorkomende trigger voor handhaving.
Moet Ik Mijn Toestemmingsformulieren Bijwerken Voor CPRA-naleving?
Ja. Toestemmingsmechanismen die voldoende waren onder CCPA vereisen significante updates voor CPRA. Specifiek moeten website-operators [3][5]:
- Een "Beperk het Gebruik van Mijn Gevoelige Persoonlijke Informatie" opt-out link toevoegen als de site SPI verzamelt.
- GPC-browser signalen respecteren als een geldige opt-out voor verkoop en delen; dit mag de gebruiker niet dwingen om extra stappen te ondernemen.
- Bevestigende opt-in toestemming verkrijgen voordat persoonlijke informatie van consumenten onder de 16 jaar wordt verkocht of gedeeld.
- Zorgen dat toestemming voor cross-context gedragsadvertenties (retargeting, publiek delen met advertentieplatforms) duidelijk wordt onderscheiden van andere gegevensgebruik.
Een toestemmingsbeheerplatform kan helpen bij het automatiseren van GPC-detectie en voorkeurregistratie. Biscotti CMP (www.biscotti-cmp.com) is ontworpen om deze CPRA-specifieke vereisten te verwerken, inclusief SPI opt-outstromen en GPC signaalnaleving, zonder dat maatwerkontwikkeling van de website-operator vereist is.
Wat Zijn de Boetes Voor Het Niet Naleven Van CPRA?
Vanaf 1 januari 2025 zijn de administratieve boetes onder het CPRA-kader [5]:
- $2.663 per onopzettelijke schending.
- $7.988 per opzettelijke schending.
- $7.988 per schending (verdrievoudigd) voor schendingen die de persoonlijke informatie van consumenten onder de 16 jaar betreffen.
Deze bedragen worden periodiek aangepast voor inflatie. Boetes worden per schending opgelegd, wat betekent dat een enkele niet-nalevende gegevenspraktijk die duizenden consumenten beïnvloedt, een totale aansprakelijkheid in de miljoenen kan genereren. De CPPA heeft onafhankelijke autoriteit om handhavingsacties te starten zonder verwijzing van de procureur-generaal [4].
Belangrijk: De CPRA heeft de 30-daagse herstelperiode die onder CCPA voor de meeste schendingen bestond, geëlimineerd, waardoor een vangnet is verwijderd waar veel operators op vertrouwden.
Wat Zijn Veelvoorkomende Fouten Die Websites Maken Met CPRA-naleving?
Op basis van de uitgebreide vereisten zijn de meest voorkomende nalevingsfouten [3][6]:
- GPC-signalen negeren: Het niet detecteren en respecteren van browser-niveau opt-out signalen is een van de handhavingsprioriteiten van de CPPA.
- Ontbrekende SPI opt-out link: Alleen een "Verkoop Niet" link toevoegen zonder de aparte "Beperk SPI Gebruik" link wanneer SPI wordt verzameld.
- Verouderde leverancierscontracten: Het niet bijwerken van gegevensverwerkingsovereenkomsten met dienstverleners om CPRA-vereiste voorwaarden op te nemen.
- Geen gegevensbewaarschema: CPRA vereist dat bedrijven de bewaartermijnen openbaar maken en naleven; veel privacybeleid omzeilen dit nog steeds.
- Aannemen dat de herstelperiode nog steeds van toepassing is: Operators die wachten op een kennisgeving voordat ze schendingen verhelpen, kunnen onmiddellijke boetes krijgen.
- Het recht op correctie over het hoofd zien: Alleen workflows voor verwijdering opbouwen zonder afhandelingsverzoeken voor correctie.
Hebben Kleine Bedrijven Andere CPRA-vereisten?
De drempelverhoging van 50.000 naar 100.000 consumenten vermindert direct de nalevingslast voor kleinere website-operators [7]. Een kleine e-commerce site of SaaS-product dat jaarlijks minder dan 100.000 consumenten in Californië bedient, met inkomsten onder de $25 miljoen en geen inkomsten uit gegevensverkopen, valt buiten de directe reikwijdte van de CPRA.
Kleine bedrijven moeten echter opmerken:
- Als ze als dienstverlener voor een gedekt bedrijf optreden, erven ze contractuele CPRA-verplichtingen ongeacht de grootte.
- Vrijwillige naleving wordt steeds meer verwacht door zakelijke klanten en kan een concurrentievoordeel zijn.
- Andere staten hebben soortgelijke wetten aangenomen, en federale privacywetgeving blijft actief in discussie tot 2026.
Hoeveel Kost Het Om CPRA-naleving Te Bereiken?
Er zijn geen vaste nalevingskosten; deze variëren aanzienlijk op basis van de complexiteit van het gegevensecosysteem van een website. Algemene kostenfactoren zijn:
- Privacybeleid update: Lage kosten als dit intern wordt gedaan; $500, $3.000+ als juridische bijstand wordt ingeschakeld.
- Toestemmingsbeheerplatform: Doorlopende SaaS-abonnement; prijzen variëren op basis van verkeersvolume en functieset.
- Technische implementatie: Ontwikkeltijd om opt-out links, GPC-detectie en workflows voor correctieverzoeken toe te voegen.
- Leverancierscontractbeoordeling: Juridische beoordeling van gegevensverwerkingsovereenkomsten met alle derde partijen.
- Risico-evaluaties: Voor verwerking met hoog risico kunnen formele evaluaties externe consultants vereisen.
Voor de meeste middelgrote website-operators liggen de initiële nalevingsremediëringskosten in de orde van enkele duizenden dollars, met doorlopende operationele kosten voor beleidsonderhoud en toestemmingsbeheer. De kosten van niet-naleving, gezien de boetes per schending, wegen aanzienlijk zwaarder dan de investering.
Hoe Weet Ik Of CPRA Van Toepassing Is Voor Mijn Websitebezoekers?
De CPRA is van toepassing op basis van de woonplaats van de consument, niet de locatie van het bedrijf. Als een website bezoekers uit Californië heeft en de operator aan een van de drie bedrijfsdrempels voldoet, zijn de CPRA-verplichtingen van toepassing op de gegevens die van die bezoekers zijn verzameld [7][8].
Praktische indicatoren dat CPRA waarschijnlijk van toepassing is:
- De website accepteert bestellingen, registraties of advertentiedoelstellingen van Amerikaanse gebruikers zonder geo-blocking van Californië.
- Het bedrijf gebruikt derde partijen advertentienetwerken die zich bezighouden met cross-context gedragsadvertenties.
- De website verzamelt enige vorm van SPI van gebruikers (gezondheidsvragenlijsten, financiële gegevens, nauwkeurige locatie).
Bij twijfel is de conservatieve en juridisch verdedigbare positie om alle Amerikaanse websitebezoekers als potentieel gedekt onder CPRA te beschouwen en dienovereenkomstig nalevingsstromen te implementeren.
Verplichte Risico-evaluaties, Cybersecurity-audits en Wat Komt Er Volgend?
De CPRA vereist dat bedrijven die zich bezighouden met verwerking met hoog risico regelmatig risico-evaluaties en cybersecurity-audits uitvoeren. Regelgeving die deze vereisten in detail beschrijft, werd in 2025 afgerond en trad in 2026 in werking [6]. Activiteiten met hoog risico omvatten het op grote schaal verwerken van SPI, het profileren van consumenten voor belangrijke beslissingen en het verkopen of delen van gegevens met een groot aantal derde partijen.
Bovendien zullen transparantievereisten voor geautomatiseerde besluitvorming, die het profileren voor werk, krediet, huisvesting en soortgelijke belangrijke beslissingen dekken, op 1 januari 2027 van kracht worden [6]. Website-operators die algoritmische aanbevelingssystemen, kredietbeoordelingshulpmiddelen of gedragsprofilering gebruiken, moeten nu beginnen met nalevingsplanning.
Conclusie
Het begrijpen van CCPA vs. CPRA: Wat Veranderde Voor Website-Operators in Californië? is niet optioneel voor elk bedrijf dat op grote schaal Californië-residenten bedient. De CPRA introduceerde substantiële nieuwe verplichtingen, gevoelige gegevenscategorieën, het recht op correctie, GPC signaalnaleving, uitgebreide leveranciersvereisten en een speciale handhavingsinstantie met echte boetebevoegdheid, die concrete operationele reacties vereisen, niet alleen beleidsupdates.
Actiegerichte volgende stappen voor website-operators in 2026:
- Controleer uw huidige gegevensverzamelpraktijken aan de hand van de SPI-categorielijst en voeg de vereiste opt-out link toe indien van toepassing.
- Werk uw privacybeleid bij om CPRA-rechten, gegevensbewaarperiodes en de uitgebreide definitie van "verkoop" weer te geven.
- Implementeer GPC signaaldetectie; dit is een handhavingsprioriteit en kan niet worden uitgesteld.
- Beoordeel en werk alle gegevensverwerkingsovereenkomsten met dienstverleners en aannemers bij.
- Bouw een correctieverzoekworkflow naast uw bestaande verwijderingsproces.
- Als uw site zich bezighoudt met verwerking met hoog risico, laat dan een formele risico-evaluatie uitvoeren voordat de toezichthouders er een voor u initiëren.
- Evalueer een toestemmingsbeheeroplossing zoals Biscotti CMP (www.biscotti-cmp.com) om opt-outstromen, GPC-naleving en voorkeurregistratie te automatiseren.
De handhavingsrichting van de CPRA in 2026 maakt proactieve naleving de enige rationele strategie.
FAQ
V: Is de CPRA hetzelfde als CCPA 2.0?
De CPRA wordt vaak "CCPA 2.0" genoemd omdat het de CCPA heeft gewijzigd in plaats van deze te vervangen. Het voegde nieuwe rechten, een nieuwe handhavingsinstantie en nieuwe gegevenscategorieën toe, terwijl het het oorspronkelijke CCPA-kader behoudt.
V: Wanneer begon de handhaving van CPRA?
De volledige handhaving begon op 1 juli 2023. De CPPA kan boetes opleggen voor schendingen die na die datum plaatsvinden zonder een voorafgaande herstelperiode voor de meeste schendingen.
V: Geldt CPRA voor bedrijven buiten Californië?
Ja. Elk winstgevend bedrijf dat persoonlijke informatie verzamelt van inwoners van Californië en voldoet aan de toepassingsdrempels, moet voldoen, ongeacht waar het bedrijf is gevestigd.
V: Wat is een GPC-signaal en waarom is het belangrijk?
Een Global Privacy Control (GPC) is een browserinstelling die de opt-out voorkeur van een consument aangeeft. Onder CPRA moeten website-operators GPC-signalen detecteren en respecteren als geldige opt-out verzoeken; het negeren ervan is een nalevingsschending.
V: Geldt CPRA voor werknemersgegevens?
Ja. Vanaf 1 januari 2023 zijn de tijdelijke vrijstellingen voor werknemers- en B2B-gegevens vervallen. Persoonlijke informatie van werknemers valt nu onder de volledige CPRA-bescherming.
V: Wat is het verschil tussen een "verkoop" en "delen" onder CPRA?
Onder de oorspronkelijke CCPA vereiste "verkoop" een uitwisseling voor monetaire waarde. CPRA breidde dit uit om "delen" van persoonlijke gegevens met derden voor cross-context gedragsadvertenties in te sluiten, zelfs zonder directe betaling.
V: Hoe vaak moet een privacybeleid worden bijgewerkt onder CPRA?
Minimaal één keer per 12 maanden. Het moet ook worden bijgewerkt wanneer de gegevenspraktijken materieel veranderen.
V: Zijn non-profitorganisaties vrijgesteld van CPRA?
Over het algemeen ja, CPRA is van toepassing op winstgevende bedrijven. Non-profitorganisaties die als dienstverleners voor gedekte bedrijven optreden, kunnen echter contractuele nalevingsverplichtingen hebben.
V: Wat gebeurt er als een consument een correctieverzoek indient en het bedrijf het niet eens is?
Het bedrijf kan de correctie weigeren als het vaststelt dat de informatie juist is, maar moet de beslissing documenteren en de consument informeren over de reden voor de weigering.
V: Is er een privé recht van actie onder CPRA?
Een beperkt privé recht van actie bestaat voor datalekken die bepaalde categorieën persoonlijke informatie betreffen. De meeste andere schendingen worden gehandhaafd door de CPPA of de procureur-generaal, niet via privérechtszaken.
Interactieve CPRA Nalevingschecker
Referenties
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai