Toestemming & banners

Navigeren door Sancties en Territoriale Toepassingen: Een Blik op de Strengste Privacywetten ter Wereld

7 juli 2026 · 17 min lezen

Snelle Antwoord: De strengste privacywetten ter wereld, geleid door de GDPR van de EU, de PIPL van China en de CCPA van Californië, leggen aanzienlijke financiële sancties op en breiden hun reikwijdte ver buiten hun thuisgrenzen uit. Elke organisatie die persoonlijke gegevens verzamelt of verwerkt van inwoners in deze rechtsgebieden moet voldoen, ongeacht waar die organisatie fysiek is gevestigd. Het begrijpen van de territoriale reikwijdte en sanctiestructuren is de eerste stap naar het opbouwen van een verdedigbare nalevingshouding.

Belangrijkste Punten

Meer dan 160 landen hebben uitgebreide wetgeving inzake gegevensprivacy aangenomen, waardoor wereldwijde naleving een basisverwachting is, geen uitzondering [1].
De GDPR kent de hoogste financiële sancties van alle privacywetten: tot €20 miljoen of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van wat hoger is [1].
De boetes voor de handhaving van de GDPR zijn sinds de handhaving begon meer dan €7 miljard overschreden, met grote sancties tegen Meta, Amazon en TikTok [7].
De PIPL van China en de GDPR van de EU zijn beide extraterritoriaal van toepassing; buitenlandse bedrijven die inwoners in die rechtsgebieden bedienen, moeten voldoen [1].
De VS heeft geen uniforme federale privacywet; naleving hangt af van sector en staat, waarbij de CCPA van Californië het meest invloedrijke kader op staatsniveau is [2].
De territoriale reikwijdte bepaalt welke wet van toepassing is op uw bedrijf; meerdere wetten kunnen gelijktijdig van toepassing zijn op één organisatie.
Kleine bedrijven zijn niet automatisch vrijgesteld; de drempels van de CCPA en de "vestiging" test van de GDPR kunnen bedrijven van verschillende groottes omvatten.
Veelvoorkomende nalevingsfouten zijn onder andere onvoldoende toestemmingsmechanismen, slechte gegevensmapping en het negeren van regels voor grensoverschrijdende overdracht.
Een Consent Management Platform (CMP) zoals Biscotti CMP kan organisaties helpen om de vereisten voor toestemming onder meerdere kaders operationeel te maken.

Wat Zijn de Strengste Privacywetten ter Wereld per Land

De strengste privacywetten wereldwijd zijn de Algemene Verordening Gegevensbescherming (GDPR) van de EU, de Wet op de Bescherming van Persoonlijke Informatie (PIPL) van China, de Lei Geral de Proteção de Dados (LGPD) van Brazilië en de CCPA/CPRA van Californië. Elke wet combineert een brede territoriale reikwijdte met betekenisvolle handhavingsmogelijkheden.

Wat Zijn de Strengste Privacywetten ter Wereld per Land

Hier is een beknopte vergelijking van de belangrijkste kaders:

Wet	Jurisdictie	Max. Sanctie	Extraterritoriaal?	Van Kracht Sinds
GDPR	Europese Unie	€20M of 4% wereldwijde omzet	Ja	Mei 2018
UK GDPR	Verenigd Koninkrijk	£17,5M of 4% wereldwijde omzet	Ja	Jan 2021
PIPL	China	Tot ¥50M of 5% jaarlijkse omzet	Ja	Nov 2021
CCPA/CPRA	Californië, VS	Tot $7.988 per opzettelijke schending	Beperkt	Jan 2020
LGPD	Brazilië	Tot 2% van de omzet in Brazilië, met een maximum van R$50M	Ja	Sep 2020

De GDPR blijft de wereldwijde maatstaf. De combinatie van hoge boetes, brede reikwijdte en actieve handhaving maakt het het kader dat de meeste organisaties als eerste prioriteit stellen bij het opbouwen van internationale nalevingsprogramma's [1].

Hoe Werken de Sancties van de GDPR en Wat Zijn de Sancties

De sancties van de GDPR werken op basis van een tweelaags sanctiestructuur. Lagere schendingen, zoals het niet bijhouden van registraties van verwerkingsactiviteiten, kunnen leiden tot boetes tot €10 miljoen of 2% van de wereldwijde jaarlijkse omzet. Hogere schendingen, waaronder onrechtmatige verwerking van persoonlijke gegevens of het negeren van de rechten van betrokkenen, kunnen leiden tot sancties tot €20 miljoen of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van wat hoger is [1].

Naast boetes kunnen toezichthoudende autoriteiten tijdelijke of permanente verboden op gegevensverwerking opleggen, wat in de praktijk schadelijker kan zijn voor een bedrijf dan de geldboete zelf. Sinds de handhaving begon, zijn de cumulatieve boetes van de GDPR meer dan €7 miljard overschreden, met belangrijke zaken tegen Meta Ireland, Amazon Luxembourg en TikTok [7].

Belangrijke factoren die toezichthouders overwegen bij het berekenen van boetes:

Aard, ernst en duur van de schending
Of de schending opzettelijk of nalatig was
Samenwerking met de toezichthoudende autoriteit
Eerdere inbreukgeschiedenis
Categorieën van persoonlijke gegevens die zijn getroffen (gezondheids-, financiële of biometrische gegevens trekken zwaardere controle)

Verschil Tussen GDPR, CCPA en Andere Privacyregelingen

De GDPR en CCPA delen hetzelfde doel, het beschermen van persoonlijke gegevens, maar verschillen aanzienlijk in reikwijdte, verleende rechten en handhavingsmechanismen [2].

GDPR is van toepassing op elke organisatie die gegevens van EU-inwoners verwerkt, ongeacht de grootte van het bedrijf. Het vereist een wettelijke basis voor elke verwerkingsactiviteit, verplicht gegevensbeschermingseffectbeoordelingen voor risicovolle verwerking en verleent individuen rechten, waaronder toegang, verwijdering, overdraagbaarheid en bezwaar.

CCPA/CPRA is alleen van toepassing op winstgevende bedrijven die aan ten minste een van deze drempels voldoen: jaarlijkse bruto-omzet van meer dan $25 miljoen, het kopen of verkopen van persoonlijke gegevens van 100.000 of meer consumenten in Californië per jaar, of het behalen van 50% of meer van de jaarlijkse omzet uit de verkoop van persoonlijke gegevens [2]. Het richt zich meer op transparantie en opt-out-rechten dan op het vereisen van een wettelijke basis voor verwerking.

PIPL (China) weerspiegelt de structuur van de GDPR, maar voegt strengere eisen voor gegevenslokalisatie toe en verplicht overheidsbeveiligingsbeoordelingen voordat "belangrijke" gegevens naar het buitenland worden overgedragen [1].

Het praktische verschil: GDPR is standaard opt-in voor de meeste verwerking; CCPA is grotendeels opt-out. PIPL mengt beide benaderingen terwijl het nationale veiligheidslagen toevoegt die de GDPR mist.

Wat Is Territoriale Toepassing in Privacywetgeving

Territoriale toepassing definieert de geografische grenzen waarbinnen een privacywet van toepassing is en, cruciaal, of het organisaties bereikt die buiten die grenzen opereren. De meeste moderne privacywetten hebben een extraterritoriaal model aangenomen, wat betekent dat fysieke aanwezigheid in een land niet langer vereist is voor nalevingsverplichtingen.

De territoriale reikwijdte van de GDPR wordt geregeld door Artikel 3, dat de verordening van toepassing maakt op elke organisatie die in de EU is gevestigd, en op organisaties buiten de EU die goederen of diensten aanbieden aan EU-inwoners of hun gedrag monitoren [1]. De UK GDPR volgt een identiek model [9].

De PIPL van China is van toepassing op buitenlandse entiteiten die producten of diensten aanbieden aan individuen in China, het gedrag van individuen in China analyseren of beoordelen, of onder omstandigheden vallen die in andere toepasselijke wetten zijn gedefinieerd [1].

Navigeren door sancties en territoriale toepassingen: een blik op de strengste privacywetten ter wereld onthult een consistent patroon: de trend is gericht op maximale reikwijdte. Toezichthouders willen voorkomen dat organisaties zich aan verplichtingen onttrekken door simpelweg offshore te incorporeren.

Hoe Toepassen Privacywetten op Bedrijven Buiten Hun Land

Privacywetten zijn van toepassing op buitenlandse bedrijven via het concept van extraterritoriale jurisdictie. Een bedrijf met hoofdkantoor in Singapore dat een website runt die zich richt op Duitse consumenten en hun e-mailadressen verzamelt, valt onder de GDPR, zelfs zonder een enkele EU-werknemer of kantoor.

De triggers voor extraterritoriale toepassing zijn doorgaans:

Actief adverteren aan inwoners van de jurisdictie (taal, valuta, lokale betaalmethoden)
Persoonlijke gegevens van inwoners verwerken, zelfs passief via analyses of cookies
Gedrag monitoren (gedragsadvertenties, trackingpixels)
Een lokale vestiging hebben, zelfs een klein vertegenwoordigerskantoor

Het Data Security Program van het Amerikaanse DOJ, dat op 8 april 2025 van kracht wordt, voegt een extra laag toe: het legt exportbeperkingen op om te voorkomen dat buitenlandse tegenstanders toegang krijgen tot gevoelige Amerikaanse persoonlijke gegevens, en verbiedt bepaalde gegevenstransacties met aangewezen "Countries of Concern" [5].

Veelgemaakte fout: Aannemen dat omdat een bedrijf geen fysieke aanwezigheid in een jurisdictie heeft, het daar geen nalevingsverplichtingen heeft. Dit is onjuist voor GDPR, PIPL, UK GDPR en LGPD.

Welke Privacywet is het Moeilijkst om aan te Voldoen

De GDPR wordt algemeen beschouwd als de meest veeleisende privacywet om aan te voldoen, om drie redenen: de breedte van de vereisten, de strengheid van de toestemmingsnormen en het aantal handhavingsacties dat door EU-toezichthoudende autoriteiten is ondernomen.

Naleving van de GDPR vereist dat organisaties elke verwerkingsactiviteit documenteren, in bepaalde gevallen een Functionaris Gegevensbescherming aanstellen, Gegevensbeschermingseffectbeoordelingen uitvoeren voor risicovolle verwerking en "privacy by design and by default" implementeren in alle systemen. De toestemmingsnorm onder de GDPR, vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig, is aanzienlijk veeleisender dan het opt-out model onder de CCPA [2].

De PIPL van China staat op een tweede plaats, vooral voor multinationale bedrijven, omdat het de vereisten voor toestemming op GDPR-niveau combineert met eisen voor gegevenslokalisatie en overheidsbeveiligingsbeoordelingsprocessen voor grensoverschrijdende overdrachten [1][4].

Kies GDPR als uw basisnorm voor naleving als uw organisatie enige EU- of VK-inwoners bedient. Voldoen aan de vereisten van de GDPR zal voldoen aan de meeste van de inhoudelijke eisen van de UK GDPR en u goed positioneren voor naleving van LGPD en PIPL met incrementele aanpassingen.

Wat Gebeurt Er Als U de GDPR of CCPA Regels Overtreedt

Schendingen van de GDPR kunnen leiden tot boetes tot €20 miljoen of 4% van de wereldwijde jaarlijkse omzet, handhavingsbevelen, verwerkingsverboden en reputatieschade door verplichte inbreukmeldingen [1]. Toezichthoudende autoriteiten in de EU-lidstaten hebben een duidelijke bereidheid getoond om aanzienlijke boetes op te leggen aan bedrijven van alle groottes.

Schendingen van de CCPA worden gehandhaafd door de California Privacy Protection Agency (CPPA). Civiele sancties kunnen oplopen tot $2.663 per onopzettelijke schending en $7.988 per opzettelijke schending, jaarlijks aangepast voor inflatie [3]. In tegenstelling tot de GDPR biedt de CCPA ook een privé recht van actie voor datalekken, waardoor consumenten rechtstreeks kunnen aanklagen.

Naast financiële sancties zijn de secundaire gevolgen vaak schadelijker:

Verplichte openbare bekendmaking van handhavingsacties
Verlies van consumentenvertrouwen en merkkapitaal
Operationele verstoring door verwerkingsverboden
Verhoogde regulatoire controle in andere rechtsgebieden

Zijn Privacywetten Van Toepassing op Kleine Bedrijven of Alleen op Grote Bedrijven

Privacywetten kunnen van toepassing zijn op kleine bedrijven, hoewel de drempels per kader verschillen. De GDPR heeft geen omzet- of grootte-drempel; als een klein bedrijf persoonlijke gegevens van EU-inwoners verwerkt, is het onderworpen aan de GDPR. De CCPA daarentegen is alleen van toepassing op winstgevende bedrijven die voldoen aan specifieke omzet- of gegevensvolume-drempels, wat betekent dat veel kleine bedrijven buiten de reikwijdte vallen [2].

GDPR-exempties voor kleine organisaties zijn smal: Bedrijven met minder dan 250 werknemers zijn gedeeltelijk vrijgesteld van het bijhouden van gedetailleerde registraties van verwerkingsactiviteiten, maar alleen als hun verwerking waarschijnlijk geen risico voor de rechten van individuen met zich meebrengt, niet incidenteel is of geen speciale categorieën van gegevens omvat.

Randgeval: Een eenmanszaak die een niche e-commerce winkel runt die zich richt op EU-klanten en gedragsadvertentietools gebruikt, valt vrijwel zeker onder de GDPR, ongeacht de jaarlijkse omzet.

Veelvoorkomende Fouten die Bedrijven Maken met Naleving van Privacywetten

De meest voorkomende nalevingsfouten zijn niet technisch, maar organisatorisch. Bedrijven onderschatten routinematig de reikwijdte van hun gegevensverzameling, falen om privacyverklaringen bij te werken om de werkelijke verwerking weer te geven, en beschouwen toestemming als een eenmalige checkbox in plaats van een voortdurende relatie.

De belangrijkste nalevingsfouten, gerangschikt op frequentie:

Onvoldoende toestemmingsmechanismen, Gebruik van vooraf aangevinkte vakjes, gebundelde toestemming of toestemming die in de gebruiksvoorwaarden is verborgen.
Geen wettelijke basis gedocumenteerd, Gegevens verwerken zonder een geldige juridische basis onder Artikel 6 van de GDPR te identificeren en vast te leggen.
Negeren van regels voor grensoverschrijdende overdracht, Persoonlijke gegevens naar derde landen overdragen zonder Standaardcontractbepalingen of equivalente waarborgen.
Onvolledige gegevensmapping, Niet weten welke persoonlijke gegevens worden verzameld, waar ze worden opgeslagen en wie toegang heeft.
Verzuimen om verzoeken van betrokkenen te honoreren, Het missen van de 30-dagenreactietermijn voor toegang-, verwijdering- of overdrachtsverzoeken.
Verouderde privacyverklaringen, Het publiceren van een verklaring die de huidige verwerkingsactiviteiten niet nauwkeurig beschrijft.

Een goed geconfigureerd CMP zoals Biscotti CMP pakt verschillende van deze faalpunten direct aan door het beheer van toestemmingverzameling, opslag en intrekking over meerdere regelgevende kaders.

Hoe Bepaal Je Welke Privacywetten Van Toepassing Zijn op Jouw Bedrijf

Het bepalen van toepasselijke privacywetten vereist het beantwoorden van vier vragen: Waar is jouw organisatie gevestigd? Waar zijn jouw gebruikers of klanten gevestigd? Welke categorieën persoonlijke gegevens verwerk je? En voldoe je aan specifieke drempels van de jurisdictie?

Een praktisch beslissingskader:

Als je een vestiging in de EU of VK hebt, of je richt je actief op EU/VK-inwoners: GDPR en/of UK GDPR zijn van toepassing [1][9].
Als je goederen of diensten aanbiedt aan Chinese consumenten of hun gedrag analyseert: PIPL is van toepassing [1].
Als je een winstgevend bedrijf bent dat voldoet aan de omzet- of gegevensvolume-drempels van Californië: CCPA/CPRA is van toepassing [2].
Als je in Brazilië opereert en persoonlijke gegevens van Braziliaanse inwoners verwerkt: LGPD is van toepassing.
Als jouw bedrijf betrokken is bij het internationaal overdragen van gevoelige Amerikaanse persoonlijke gegevens: bekijk de vereisten van het DOJ Data Security Program [5].

Meerdere wetten kunnen gelijktijdig van toepassing zijn. Een in de VS gevestigd SaaS-bedrijf met EU-klanten, werknemers in Californië en een marketingdatabase die Braziliaanse leads omvat, moet mogelijk gelijktijdig voldoen aan de GDPR, CCPA en LGPD.

Zijn Er Privacywetten Die Geen Territoriale Toepassing Hebben

Sommige privacykaders zijn opzettelijk beperkt in territoriale reikwijdte. De DIFC Data Protection Law in Dubai, bijvoorbeeld, is van toepassing op controllers en verwerkers die zijn opgericht in de DIFC, of die gegevens binnen de DIFC verwerken, maar claimt geen brede extraterritoriale reikwijdte vergelijkbaar met de GDPR [8]. Evenzo zijn veel oudere of sectorspecifieke Amerikaanse federale wetten (HIPAA voor gezondheidsgegevens, FERPA voor onderwijsrecords) van toepassing op basis van de aard van de gegevens en het type entiteit, niet op de locatie van de gegevenssubjecten.

De wereldwijde trend is echter duidelijk gericht op bredere territoriale reikwijdte. Navigeren door sancties en territoriale toepassingen: een blik op de strengste privacywetten ter wereld toont aan dat nieuwere wetgeving, PIPL, LGPD en de UK GDPR na de Brexit, allemaal extraterritoriale modellen hebben aangenomen, wat aangeeft dat kaders met beperkte reikwijdte de uitzondering in plaats van de regel worden.

Hoe Verschillen Sancties Tussen GDPR en Andere Privacykaders

GDPR-sancties zijn de zwaarste en het meest actief gehandhaafde van elk wereldwijd privacykader, maar de mechanismen verschillen betekenisvol tussen de regimes.

Kader	Handhavingsorgaan	Max. Financiële Sanctie	Privé Recht van Actie
GDPR	Nationale toezichthoudende autoriteiten	€20M of 4% wereldwijde omzet	Beperkt (verschilt per lidstaat)
UK GDPR	ICO	£17,5M of 4% wereldwijde omzet	Beperkt
PIPL	CAC / sectorale toezichthouders	¥50M of 5% jaarlijkse omzet	Ja (voor individuen)
CCPA/CPRA	CPPA	$7.988 per opzettelijke schending	Ja (voor datalekken)
LGPD	ANPD	2% van de omzet in Brazilië, max R$50M	Ja

Het handhavingsmodel van de GDPR is uniek omdat het opereert via een netwerk van 27 nationale gegevensbeschermingsautoriteiten, wat inconsistentie creëert in hoe agressief verschillende lidstaten schendingen nastreven. De DPC van Ierland, die veel grote Amerikaanse technologiebedrijven superviseert vanwege hun EU-hoofdkantoor daar, heeft kritiek gekregen op trage handhaving, hoewel belangrijke boetes tegen Meta en TikTok aantonen dat het systeem aanzienlijke resultaten kan opleveren [7].

Conclusie: Actiepunten voor het Navigeren door Sancties en Territoriale Toepassingen

Navigeren door sancties en territoriale toepassingen: een blik op de strengste privacywetten ter wereld maakt één ding duidelijk, het tijdperk waarin privacy-naleving als een regionale kwestie wordt behandeld, is voorbij. Elke organisatie met een online aanwezigheid en een internationale gebruikersbasis is, in alle waarschijnlijkheid, onderworpen aan ten minste één belangrijk privacykader met echte handhavingsgevolgen.

Onmiddellijke acties om te ondernemen:

Voer een gegevensmapping-oefening uit om elke categorie persoonlijke gegevens die wordt verzameld, de bron, de opslaglocatie en het verwerkingsdoel te identificeren.
Identificeer toepasselijke wetten met behulp van de hierboven beschreven criteria voor territoriale reikwijdte, neem niet aan dat alleen geografie jouw verplichtingen bepaalt.
Voer een audit uit van jouw toestemmingsmechanismen om ervoor te zorgen dat ze voldoen aan de hoogste toepasselijke norm (GDPR-toestemming is de strengste maatstaf).
Beoordeel grensoverschrijdende gegevensoverdrachtsregelingen en zorg ervoor dat Standaardcontractbepalingen of equivalente waarborgen zijn geïmplementeerd.
Implementeer een compliant CMP, Biscotti CMP biedt de infrastructuur om toestemmingverzameling en documentatie te beheren over meerdere regelgevende kaders.
Stel een proces voor verzoeken van betrokkenen in met gedocumenteerde workflows en reactietijdlijnen.
Beoordeel jaarlijks, privacywetgeving is niet statisch. Het DOJ Data Security Program (van kracht in 2025), evoluerende PIPL-implementatieregels en potentiële federale privacywetgeving in de VS vertegenwoordigen allemaal bewegende doelen [5].

Organisaties die privacy-naleving beschouwen als een continue operationele discipline in plaats van een eenmalig project, zullen veel beter gepositioneerd zijn om de sancties te vermijden die het handhavingslandschap van de afgelopen jaren hebben gedefinieerd.

FAQ

V: Is de GDPR van toepassing op een Amerikaans bedrijf zonder EU-kantoor? Ja. Als een Amerikaans bedrijf actief EU-inwoners target, bijvoorbeeld door diensten aan te bieden in Europese talen of valuta, is de GDPR van toepassing, ongeacht waar het bedrijf is opgericht [1].

V: Wat is het verschil tussen een gegevenscontroller en een gegevensverwerker onder de GDPR? Een gegevenscontroller bepaalt de doeleinden en middelen voor de verwerking van persoonlijke gegevens. Een gegevensverwerker verwerkt gegevens namens een controller. Beide hebben distincte verplichtingen onder de GDPR, en verwerkers kunnen direct aansprakelijk worden gesteld voor bepaalde schendingen.

V: Kan een bedrijf gelijktijdig boetes onder de GDPR en CCPA krijgen? Ja. Een bedrijf dat zowel EU- als Californische inwoners bedient, kan handhavingsacties onder beide kaders ondergaan voor dezelfde onderliggende gegevenspraktijken, aangezien de wetten onafhankelijk van elkaar zijn.

V: Wat is een wettelijke basis voor verwerking onder de GDPR? Artikel 6 van de GDPR vereist dat elke verwerkingsactiviteit steunt op een van de zes wettelijke bases: toestemming, contractuitvoering, wettelijke verplichting, vitale belangen, publieke taak of legitieme belangen. Verwerking zonder gedocumenteerde wettelijke basis is een hogere schending.

V: Hoe verschilt de PIPL van China van de GDPR met betrekking tot grensoverschrijdende gegevensoverdrachten? De PIPL vereist een overheidsbeveiligingsbeoordeling voordat "belangrijke" gegevens naar het buitenland worden overgedragen, naast vereisten op basis van toestemming. De GDPR vertrouwt op adequaatheidsbesluiten, Standaardcontractbepalingen of Bindende Bedrijfsregels; het vereist geen overheidsgoedkeuring voor de meeste overdrachten [1][4].

V: Zijn er sancties voor het niet aanstellen van een Functionaris Gegevensbescherming onder de GDPR? Ja. Het niet aanstellen van een DPO wanneer dit vereist is (voor openbare autoriteiten, grootschalige systematische monitoring of grootschalige verwerking van speciale categorieën van gegevens) is een lagere schending van de GDPR, onderhevig aan boetes tot €10 miljoen of 2% van de wereldwijde omzet.

V: Is de CCPA van toepassing op non-profitorganisaties? Nee. De CCPA is alleen van toepassing op winstgevende bedrijven die voldoen aan de drempels. Non-profitorganisaties zijn over het algemeen vrijgesteld, hoewel ze mogelijk onderworpen zijn aan andere privacywetten in Californië.

V: Wat is het DOJ Data Security Program? Van kracht op 8 april 2025, legt het Data Security Program van het Amerikaanse DOJ exportbeperkingen op om te voorkomen dat buitenlandse tegenstanders toegang krijgen tot gevoelige Amerikaanse persoonlijke gegevens. Het verbiedt bepaalde gegevenstransacties met aangewezen "Countries of Concern" [5].

V: Hoe snel moet een datalek onder de GDPR worden gemeld? Controllers moeten hun toezichthoudende autoriteit binnen 72 uur na kennisgeving van een datalek op de hoogte stellen, waar mogelijk. Als het lek waarschijnlijk een hoog risico voor individuen met zich meebrengt, moeten die individuen ook zonder onredelijke vertraging worden geïnformeerd.

V: Kan een consent management platform helpen bij naleving in meerdere jurisdicties? Ja. Een CMP zoals Biscotti CMP kan toestemmingverzameling, opslag en intrekking beheren over verschillende regelgevende kaders, waardoor organisaties gedocumenteerd bewijs van toestemming kunnen behouden, een kernvereiste onder zowel de GDPR als de PIPL.