Veelgestelde vragen over de CCPA en CPRA

Wat je leert

Lees meer over veelgestelde vragen over de CCPA (California Consumer Privacy Act) en CPRA (California Privacy Rights Act).

Wat is de CCPA?

De CCPA is een wet die op 1 januari 2020 van kracht werd en bepaalt hoe bedrijven omgaan met de persoonsgegevens van inwoners van Californië.

De CCPA is een reactie op een vermeende lacune in privacybescherming in de Verenigde Staten. Bedrijven die de persoonlijke gegevens van inwoners van Californië verwerken, zijn verplicht inwoners te informeren over de privacypraktijken en privacyrechten van het bedrijf, waaronder het recht om:

• Weten welke persoonlijke informatie een bedrijf over hen verzamelt en hoe die wordt gebruikt
• Verwijder de verzamelde persoonlijke gegevens (met enkele uitzonderingen)
• Afmelden voor de verkoop van hun persoonlijke informatie
• Niet-discriminatie bij het uitoefenen van hun CCPA-rechten

Wat is de CPRA?

CPRA is een wet die de vereisten van de CCPA wijzigt en uitbreidt, waaronder:

• Een categorie "gevoelige persoonlijke informatie" toevoegen
• Het vastleggen van het recht om het gebruik en de openbaarmaking van gevoelige persoonsgegevens te beperken
• Het vaststellen van het recht om onjuiste persoonsgegevens te corrigeren
• De vereiste om je af te melden voor het opt-out van 'Niet verkopen' uitbreiden naar het 'delen' van persoonsgegevens voor doeleinden van cross-context-(of externe) advertenties

De CPRA treedt in werking op 1 januari 2023.

Wie moet voldoen aan de CCPA en CPRA?

Bedrijven

De meeste CCPA- en CPRA-vereisten zijn van toepassing op 'bedrijven', gedefinieerd als bedrijven die persoonlijke informatie van consumenten in Californië verzamelen, hetzij zelf, hetzij met behulp van leveranciers.

De CCPA is van toepassing op bedrijven die aan een van de volgende voorwaarden voldoen:

• Behandelt persoonlijke informatie van inwoners van Californië
• Is "zakendoen" in Californië (inclusief contact met personen in Californië via een e-commerce- of interactieve website of applicatie)
• Voldoet aan een of meer van de volgende drempelwaarden:
  • Heeft een jaarlijkse brutowinstomzet van meer dan $ 25 miljoen
  • Koopt, ontvangt of verkoopt jaarlijks persoonlijke informatie van 50.000 of meer inwoners van Californië, huishoudens of apparaten
  • Haalt 50% of meer van de jaarlijkse omzet uit het ‘verkopen’ van persoonlijke informatie van inwoners van Californië (d.w.z. verkopen omvat het verstrekken, beschikbaar stellen, overdragen of communiceren van persoonlijke informatie aan derden in ruil voor geld of andere waardevolle tegenprestaties)

De CPRA wijzigt deze toepasselijkheid als volgt:

• Voldoet aan een of meer van de volgende drempelwaarden:
  • Had vorig jaareen jaarlijkse brutowinst van meer dan $ 25 miljoen
  • Koopt, verkoopt of deelt jaarlijks persoonlijke informatie van 100.000 of meer inwoners of huishoudens in Californië
  • Haal 50% of meer van de jaarlijkse omzet uit het verkopen of delen van persoonlijke informatie van inwoners van Californië (delen omvat het bekendmaken, beschikbaar stellen, overdragen of communiceren van persoonlijke informatie aan een derde partij voor cross-content gedragsadvertenties, al dan niet tegen geldelijke of andere waardevolle tegenprestatie.)

Serviceproviders en aannemers

Om als dienstverlener te worden beschouwd, moet een persoon of rechtspersoon:

• Persoonlijke informatie verwerken namens een bedrijf
• Gebonden zijn aan een schriftelijk contract dat bepaalde beperkingen en verplichtingen oplegt rond het gebruik van persoonlijke informatie, waaronder dat je niet verder:
  • Bezig met verzamelen
  • Verkoop
  • Het gebruiken van de persoonsgegevens, behalve voor zover nodig om het zakelijke doel uit te voeren

Net als bij serviceproviders geldt de uitzondering op een verkoop of delen ook voor aannemers onder de CPRA. Aannemers zijn personen of entiteiten aan wie persoonsgegevens door een bedrijf beschikbaar worden gesteld, op grond van een schriftelijk contract dat vergelijkbare beperkingen en verplichtingen oplegt als die voor een serviceprovider gelden. Aannemers moeten ook een certificering hebben dat de aannemer de beperkingen begrijpt en zich eraan zal houden.

Let op: het verstrekken van gegevens door een bedrijf aan een dienstverlener of aannemer wordt niet beschouwd als een verkoop of het delen van gegevens wanneer dit noodzakelijk is om een bedrijfsdoeleinde uit te voeren.

Wat wordt geclassificeerd als personal comply?

De CCPA definieert persoonlijke informatie zeer breed, waaronder informatie die een bepaalde consument of huishouden identificeert, beschrijft of redelijkerwijs ermee in verband kan worden gebracht. In de praktijk betekent deze brede definitie dat informatie zoals contactgegevens, transactiegegevens, Internet Protocol (IP)-adressen, identificatiegegevens van mobiele apparaten, clickstreamgegevens en bestelgegevens binnen het bereik van de CCPA-definitie van persoonlijke informatie kan vallen en onderhevig kan zijn aan de vereisten van de CCPA.

De CPRA creëert een nieuwe categorie persoonsgegevens, "gevoelige persoonsgegevens", en geeft consumenten een nieuw recht om het gebruik en de openbaarmaking van hun gevoelige gegevens te beperken.

Gevoelige persoonlijke informatie onder CPRA omvat:

• Burgerservicenummer
• Rijbewijsnummer
• Paspoortnummer
• Account-inloggegevens
• Nauwkeurige geolocatie
• Raciale of etnische afkomst
• Religieuze overtuigingen
• Biometrische gegevens
• Genetische gegevens
• Gezondheidsgegevens
• Informatie over iemands seksleven of seksuele geaardheid
• De inhoud van de post, e-mail en tekstberichten van een consument, tenzij het bedrijf de beoogde ontvanger van de communicatie is

Wat moet ik doen ter voorbereiding?

De CCPA en CPRA zijn complexe wetten. Dit artikel geeft de belangrijkste verplichtingen onder de CCPA en CPRA weer voor zover die betrekking kunnen hebben op het gebruik van Klaviyo Service, maar houdt geen rekening met alle vereisten die mogelijk van toepassing zijn op je bedrijf. Neem contact op met je juridisch adviseur voor specifiek advies.

Als de CCPA en CPRA van toepassing zijn op je bedrijf, moet je de volgende rechten en openbaarmakingen overwegen.

Kennisgeving

Je bedrijf moet een privacybeleid op je website hebben dat toegankelijk is op alle punten waar je persoonlijke gegevens verzamelt, zoals aanmeldingsformulier. Het beleid moet onder andere het volgende bevatten:

• Categorieën persoonsgegevens die het verzamelt, verkoopt en anderszins verstrekt voor een zakelijk doel
• Categorieën van bronnen van de persoonlijke informatie
• Zakelijke of commerciële doeleinden voor het verzamelen of verkopen van de persoonlijke gegevens
• Beschrijving van de volgende rechten van consumenten en de aangewezen methoden voor het indienen van verzoeken:
  • Het recht om persoonlijke informatie te verwijderen
  • Het recht op toegang tot categorieën en specifieke onderdelen van persoonsgegevens
  • Het recht om je af te melden voor de verkoop of het delen van persoonsgegevens
  • Het recht op geen represailles

De CPRA breiden deze lijst met consumentenrechten uit met:

• Het recht om onjuiste informatie te corrigeren
• Het recht om het gebruik en de openbaarmaking van gevoelige persoonlijke informatie te beperken
• Het recht om je af te melden voor geautomatiseerde besluitvormingstechnologie

De CPRA vereist ook dat bedrijven de volgende aanvullende disclosures opnemen:

• Of de persoonlijke informatie van de persoon wordt verkocht of gedeeld
• De periode waarin het bedrijf van plan is om elke categorie persoonsgegevens te bewaren, of de criteria die het gebruikt om te bepalen hoe lang het dergelijke gegevens bewaart
• Als het bedrijf "gevoelige persoonlijke informatie" verzamelt:
  • Een afzonderlijke openbaarmaking waarin de categorieën gevoelige informatie worden geïdentificeerd die worden verzameld
  • Het gebruik en doel van deze data
  • Of dergelijke informatie wordt verkocht of gedeeld

Rechten om je af te melden

Consumenten hebben op elk moment het recht om bezwaar te maken tegen de verkoop van hun persoonsgegevens aan derden. Je bedrijf moet stoppen met het verkopen van persoonlijke informatie zodra het verzoek is ontvangen, tenzij de consument daarna uitdrukkelijk toestemming geeft. Bedrijven moeten minimaal 12 maanden wachten voordat ze een consument vragen om opnieuw toestemming te geven voor de verkoop van persoonsgegevens. Om dit opt-outrecht mogelijk te maken, moeten bedrijven onder andere:

• Zorg voor een duidelijke en opvallende link op de homepage van het bedrijf met de titel "Mijn persoonlijke gegevens niet verkopen." Via de link moet een consument, of iemand die door de consument is gemachtigd, zich kunnen afmelden voor de verkoop van de persoonlijke gegevens van de consument
• Een consument niet verplichten om een account aan te maken om het bedrijf te laten weten dat het de persoonlijke gegevens van de consument niet mag verkopen.

Consumenten hebben ook het recht om op elk moment bezwaar te maken tegen de verkoop van hun persoonsgegevens door een derde partij die de persoonsgegevens van de consument bij een bedrijf heeft gekocht. De derde partij moet stoppen met verkopen zodra het opt-outverzoek is ontvangen, tenzij de consument daarna uitdrukkelijk toestemming geeft.

Andere consumentenrechten

Bedrijven moeten processen hebben om de identiteit van een inwoner van Californië te verifiëren bij het reageren op verzoeken om toegang tot of verwijdering van persoonsgegevens. Zodra er een verzoek is ontvangen van een inwoner van Californië en hun identiteit is bevestigd, zorg je ervoor dat je het volgende opneemt bij het afhandelen van het verzoek, indien van toepassing, om hun rechten te respecteren.

Recht om te weten: Een consument kan verzoeken dat het bedrijf de verzameling en verwerking van zijn persoonsgegevens openbaar maakt, waaronder de:

• Categorieën persoonsgegevens die over die consument zijn verzameld (in de voorafgaande 12 maanden)
• Categorieën van bronnen waaruit de persoonsgegevens worden verzameld
• Zakelijk of commercieel doel voor het verzamelen of verkopen van persoonsgegevens
• Categorieën van derden aan wie het bedrijf persoonlijke informatie heeft verstrekt
• Categorieën informatie die het bedrijf verkoopt of deelt met derden
• Specifieke stukken persoonlijke informatie die het over die consument heeft verzameld

De CPRA wijzigt en breidt dit recht uit door te vereisen dat:

• Informatie verstrekken over de categorieën persoonlijke informatie die met derden wordt "gedeeld"
• Het opheffen van de terugkijklimiet van 12 maanden door een bedrijf te verplichten om meer dan 12 maanden aan informatie te verstrekken, zolang zo’n openbaarmaking niet “onmogelijk” is of “onevenredige inspanning” vergt (deze vereiste is niet van toepassing op gegevens die het bedrijf vóór 1 januari 2022 heeft verzameld)

Recht op verwijdering: het bedrijf moet de informatie van de consument verwijderen (met bepaalde uitzonderingen) en zijn dienstverleners op de hoogte stellen om de informatie van de consument te verwijderen. Onder de CPRA moet het bedrijf zijn dienstverleners en aannemers op de hoogte stellen en ook eventuele derden op de hoogte stellen aan wie het bedrijf de persoonsgegevens van de consument heeft verkocht of gedeeld (voor cross-contextuele advertentiedoeleinden), tenzij dit "onmogelijk blijkt of onevenredig veel inspanning vergt." Daarnaast moet elke dienstverlener ook zijn eigen onderliggende dienstverleners op de hoogte stellen om de informatie van de consument te verwijderen.

Recht om onjuiste persoonsgegevens te corrigeren: Zodra een bedrijf een geverifieerd verzoek ontvangt om onjuiste persoonsgegevens te corrigeren, moet het bedrijf "commercieel redelijke inspanningen" leveren om deze persoonsgegevens te corrigeren zoals aangegeven door de consument. Aanvullende richtlijnen over deze verplichting worden verwacht van de procureur-generaal van Californië.

Je moet er ook rekening mee houden dat als de consument jonger is dan 13 jaar, expliciete toestemming (opt-in) van een ouder of voogd vereist is voordat je zijn of haar persoonlijke gegevens verkoopt. Als de consument tussen 13 en 16 jaar oud is, is expliciete toestemming van de persoon vereist voordat je zijn of haar persoonlijke gegevens verkoopt.

Consumentenverzoeken afhandelen

Je moet minstens 2 aangewezen methoden hebben waarmee consumenten verzoeken om informatie kunnen indienen.

Deze moeten minimaal het volgende bevatten:

• Een gratis telefoonnummer (bepaalde bedrijven die uitsluitend online opereren en een directe relatie hebben met de consument van wie ze persoonsgegevens verzamelen, zijn vrijgesteld van de vereiste voor een gratis telefoonnummer)
• Webadres, als het bedrijf een website heeft

Consumentenverzoeken moeten binnen 45 dagen na ontvangst van het verzoek worden behandeld, per post of elektronisch (in een format waarmee de consument het aan een andere entiteit kan verstrekken) of via een gebruikersaccount. De responstijd kan met nog eens 45 dagen worden verlengd als dat redelijkerwijs noodzakelijk is op basis van complexiteit en het aantal verzoeken, en als de aanvrager op de hoogte wordt gesteld van de verlenging (met details over de redenen waarom). Het aanvraagproces moet ook gratis zijn.

Bedrijven zijn niet verplicht om in een periode van 12 maanden meer dan twee verzoeken per consument uit te voeren.

Wat is de rol van Klaviyo onder de CCPA en CPRA in relatie tot de Klaviyo Service?

Klaviyo heeft geen directe relatie met de personen van wie onze klanten persoonsgegevens verzamelen en op ons platform opslaan. Klaviyo fungeert als dienstverlener, terwijl onze klanten de bedrijven zijn, omdat we de persoonsgegevens namens onze klanten verwerken.

Klaviyo's verplichtingen aan klanten als dienstverlener staan beschreven in onze Verwerkersovereenkomst.

Wat doet Klaviyo om klanten in staat te stellen om te voldoen?

Klaviyo-klanten hebben de mogelijkheid en tools om verzoeken van inwoners van Californië te verwerken om hun consumentenrechten uit te oefenen om persoonlijke gegevens in te zien, te verwijderen of te corrigeren volgens de CCPA en CPRA. Specifiek:

• Met het platform kunnen klanten rapporteren over de persoonsgegevens die het over eindgebruikers bewaart als reactie op toegangsverzoeken.
• Het platform maakt het mogelijk om, als reactie op verwijderverzoeken, persoonlijke informatie te verwijderen die het over eindgebruikers bewaart en om onjuiste persoonlijke informatie te corrigeren op profielen in Klaviyo.
• Klaviyo ondersteunt niet en beperkt het verzamelen en opslaan van gevoelige persoonlijke informatie, volgens ons Acceptable Use Policy.