CCPA 2026-naleving: Wegwijs in de nieuwe privacyregels van Californië
Californië heeft de inzet voor gegevensprivacy opnieuw verhoogd.
Belangrijkste punten
- Neurale gegevens zijn nu gevoelige persoonsgegevens. De definitie van gevoelige persoonsgegevens omvat nu expliciet neurale gegevens—informatie die wordt gegenereerd door het meten van activiteit in het zenuwstelsel van een consument. Dit weerspiegelt de groeiende zorgen over brain-computer interfaces en neurotechnologische apparaten die intieme details kunnen onthullen over iemands gedachten, emoties en mentale toestand.
- Alle gegevens van minderjarigen krijgen extra bescherming. Als jouw bedrijf persoonsgegevens verzamelt van iemand jonger dan 16 jaar, worden die gegevens nu automatisch geclassificeerd als gevoelige persoonsgegevens. Deze wijziging kan op zichzelf al aanzienlijke aanpassingen vereisen aan privacyverklaringen en gegevensverwerkingspraktijken voor bedrijven die leeftijds- of geboortedatumgegevens verzamelen.
- De 12-maanden terugkijkperiode is afgeschaft. Consumenten kunnen nu toegang vragen tot alle persoonsgegevens die een bedrijf over hen heeft verzameld, niet alleen van de afgelopen 12 maanden. Bedrijven moeten systemen implementeren om deze uitgebreide verzoeken te verwerken voor alle gegevens die sinds 1 januari 2022 zijn verzameld.
- Dark patterns worden direct verboden. De nieuwe regelgeving geeft specifieke voorbeelden van wat een “dark pattern” is in toestemmingsinterfaces—van asymmetrische knopontwerpen tot valse urgentietactieken. Het sluiten van een toestemmingspop-up zonder op accepteren te klikken, geldt niet langer als toestemming.
- Nieuwe regels voor geautomatiseerde besluitvorming. Uiterlijk januari 2027 moeten bedrijven die AI en geautomatiseerde systemen gebruiken voor belangrijke beslissingen op het gebied van werkgelegenheid, leningen, huisvesting en zorgprocessen vooraf kennisgeving doen en consumenten het recht bieden om zich af te melden.
Als je dacht dat jouw bedrijf voldeed aan de California Consumer Privacy Act (CCPA), heeft de California Privacy Protection Agency nieuws voor je. Nieuwe regels die op 1 januari 2026 van kracht zijn geworden, hebben fundamenteel veranderd hoe bedrijven met consumentengegevens moeten omgaan, toestemming moeten verkrijgen en geautomatiseerde besluitvormingstechnologie mogen inzetten. En de deadlines voor aanvullende vereisten—waaronder verplichte cybersecurity-audits—zijn al begonnen af te lopen.
Hier is de ongemakkelijke waarheid: veel bedrijven die dachten dat ze zich aan de regels hielden, zijn nu technisch gezien niet meer compliant. De uitgebreide definitie van gevoelige persoonsgegevens, strengere toestemmingsvereisten en nieuwe verplichtingen rond geautomatiseerde besluitvorming betekenen dat het privacyprogramma van gisteren vandaag niet meer voldoet.
Deze gids legt precies uit wat er is veranderd, waarom het belangrijk is en wat jouw bedrijf eraan moet doen. Geen juridisch jargon, geen vaagheden—gewoon praktische informatie waar je echt iets mee kunt.
Het grote plaatje: waarom deze veranderingen nu belangrijk zijn
Californië loopt altijd al voorop op het gebied van privacyregelgeving. Deze updates voor 2026 zijn het antwoord van de California Privacy Protection Agency op de evolutie van technologie—en hoe sommige bedrijven het systeem naar hun hand hebben gezet.
De nieuwe regels pakken drie hoofdproblemen aan: opkomende technologieën zoals neurale interfaces die nieuwe privacyrisico’s creëren, bedrijven die creatief omgaan met “dark patterns” om consumenten te manipuleren, en het besef dat 12 maanden aan gegevens niet weerspiegelt wat bedrijven daadwerkelijk over ons weten.
Voor bedrijven draait naleving niet langer om simpelweg vinkjes zetten. De Agency kijkt naar hoe privacy werkt in de praktijk van gebruikerservaringen—niet alleen naar wat er in een privacyverklaring staat die niemand leest.
De uitgebreide definitie van gevoelige persoonsgegevens begrijpen
De California Privacy Protection Agency heeft de definitie van gevoelige persoonsgegevens niet alleen aangepast—ze hebben deze herschreven voor het tijdperk van neurotechnologie en meer aandacht voor kinderprivacy.
Neurale gegevens: het nieuwe privacyfront
Neurale gegevens zijn toegevoegd aan de lijst van categorieën gevoelige persoonsgegevens, gedefinieerd als informatie die wordt gegenereerd door het meten van de activiteit van het centrale of perifere zenuwstelsel van een consument. Dit omvat EEG-headsets, brain-computer interfaces en sommige geavanceerde fitnesswearables die neurologische signalen bijhouden.
Neurale gegevens kunnen mogelijk dingen onthullen over een persoon die hij of zij zelf niet bewust weet—stressniveaus, emotionele toestand, cognitieve functies. Als jouw bedrijf op enigerlei wijze neurale gegevens verzamelt, heb je nu te maken met gevoelige persoonsgegevens, wat extra openbaarmakingsvereisten met zich meebrengt en beperkingen oplegt aan het gebruik van die gegevens.
De minderjarigen-bom
Als je persoonsgegevens verzamelt en je weet (of redelijkerwijs zou moeten weten) dat ze toebehoren aan iemand jonger dan 16 jaar, dan zijn die gegevens nu gevoelige persoonsgegevens. Punt.
Denk na over wat dit betekent. Als je website bij het aanmaken van een account om een geboortedatum vraagt, verzamel je mogelijk gevoelige persoonsgegevens zonder het te beseffen. Als je e-commerceplatform producten verkoopt aan tieners, hetzelfde probleem. De regels vereisen geen intentie—ze vereisen bewustzijn.
Bedrijven moeten mogelijk leeftijdsverificatiesystemen implementeren, privacyverklaringen aanpassen met specifieke aandacht voor minderjarigen en opt-outmechanismen creëren voor gevoelige persoonsgegevens van gebruikers jonger dan 16 jaar.
Het einde van de 12-maandenbeperking
Jarenlang gold bij het “recht op inzage” onder de CCPA een ingebouwde beperking: consumenten konden alleen informatie opvragen over persoonsgegevens die in de afgelopen 12 maanden waren verzameld. Die beperking is nu feitelijk afgeschaft.
Als een bedrijf persoonsgegevens van een consument langer dan 12 maanden bewaart, moet het consumenten de mogelijkheid bieden om toegang te vragen tot al die gegevens. De enige uitzondering geldt voor gegevens die vóór 1 januari 2022 zijn verzameld.
Voor bedrijven levert dit nieuwe uitdagingen op. Je hebt systemen nodig die historische gegevens kunnen ophalen naar aanleiding van verzoeken van consumenten, en processen voor het specificeren van datumbereiken. Dit is ook een goed moment om te controleren wat je daadwerkelijk bewaart—elk bestand dat je bewaart is een potentiële aansprakelijkheid onder deze uitgebreide toegangsrechten.
Toestemming, dark patterns en het einde van manipulatie
De nieuwe regels richten zich direct op de trucs die sommige bedrijven gebruikten om toestemming te fabriceren die eigenlijk geen toestemming was.
Wat telt als toestemming (en wat niet)
Een cruciale wijziging: het sluiten of wegklikken van een toestemmingspop-up—zonder expliciet op een “accepteren”-knop te klikken—is geen toestemming. Hiermee wordt een veelgebruikte praktijk geëlimineerd waarbij bedrijven elke interactie met een pop-up als impliciete toestemming beschouwden.
De dark pattern-hitlijst
De Agency heeft specifieke voorbeelden gegeven van verboden dark patterns. Asymmetrische keuzes zijn niet toegestaan. Als jouw “Ja”-knop groter, opvallender of prominenter is dan je “Nee”-knop, is dat een dark pattern. Als je enige opties “Ja” en “Vraag me later” zijn zonder duidelijke mogelijkheid om te weigeren, is dat een dark pattern. Als deelname aan een programma standaard is aangevinkt, is dat een dark pattern.
De regels verbieden ook het creëren van een vals gevoel van urgentie. Geen aftelklokken of drukmiddelen meer. En cruciaal: het aantal stappen om je af te melden moet gelijk zijn aan of minder zijn dan het aantal stappen om je aan te melden.
Het onderliggende principe is symmetrie—het moet net zo makkelijk zijn om nee te zeggen als om ja te zeggen. Bekijk je huidige toestemmingsflows. Tel de klikken, meet de knoppen, bekijk de kleurkeuzes. Als er een onevenwicht is ten gunste van jouw voorkeursoptie, moet je aan de slag.
Nieuwe bevestigingsvereisten bij opt-out
De regels vereisen nu dat bedrijven bevestigen dat opt-outverzoeken zijn verwerkt—of het verzoek nu via een cookiebanner, een websitelink of een universeel opt-outsignaal zoals Global Privacy Control is binnengekomen.
Een manier om aan deze eis te voldoen is door direct na het verzoek een bericht “Opt-outverzoek gehonoreerd” te tonen. Je systemen moeten opt-outverzoeken in realtime verwerken—batchprocessen die ’s nachts draaien zijn niet voldoende.
Tijdstip van kennisgeving: consumenten bereiken waar ze zijn
Privacyverklaringen moeten worden verstrekt “voor of op het moment van verzameling”. Voor smart-tv’s, smartwatches, verbonden apparaten in huis en AR/VR-toepassingen betekent dit dat privacyverklaringen in de gebruikerservaring van het apparaat zelf moeten worden geïntegreerd—en niet verstopt in algemene voorwaarden die maanden geleden zijn geaccepteerd.
Voor VR en AR is kennisgeving vereist voordat of op het moment dat een consument “het bedrijf betreedt of tegenkomt in de virtuele realiteit”. Dit dwingt bedrijven om privacy als onderdeel van het ontwerp van de gebruikerservaring te zien, niet alleen als juridische bijzaak.
Geautomatiseerde besluitvormingstechnologie: de deadline van 2027
De regels stellen aanzienlijke nieuwe verplichtingen vast voor bedrijven die geautomatiseerde besluitvormingstechnologie (ADMT) gebruiken—met naleving vereist vanaf 1 januari 2027.
Wat valt onder ADMT
ADMT is technologie die persoonsgegevens verwerkt en met behulp van berekeningen menselijke besluitvorming vervangt of grotendeels vervangt. Dit omvat AI-gestuurde wervingshulpmiddelen, geautomatiseerde kredietbeslissingen en algoritmische systemen die belangrijke uitkomsten beïnvloeden.
Waar de regels van toepassing zijn
De vereisten richten zich specifiek op ADMT die wordt gebruikt in de financiële sector, leningen, huisvesting, onderwijs, werkgelegenheid en zorgprocessen—gebieden waar geautomatiseerde beslissingen de grootste impact hebben op het leven van mensen.
Belangrijkste vereisten
- Voordat ADMT wordt gebruikt voor belangrijke beslissingen, moeten bedrijven vooraf een kennisgeving verstrekken waarin het doel van het gebruik van ADMT wordt uitgelegd, het recht van de consument om zich af te melden wordt genoemd en wordt toegelicht hoe consumenten informatie kunnen opvragen over hoe de technologie werkt.
- Consumenten krijgen het recht om zich af te melden voor het gebruik van ADMT voor beslissingen die hen significant raken, wat betekent dat bedrijven mogelijk parallelle processen moeten onderhouden die niet afhankelijk zijn van geautomatiseerde systemen.
Cybersecurity-audits: de nalevingstijdlijn
Vanaf 2028 moeten bedrijven waarvan de gegevensverwerking aanzienlijke beveiligingsrisico’s met zich meebrengt, jaarlijks cybersecurity-audits uitvoeren. De deadlines zijn afhankelijk van de omvang: 1 april 2028 voor bedrijven met meer dan $100 miljoen omzet; 1 april 2029 voor $50-$100 miljoen; en 1 april 2030 voor kleinere bedrijven.
Audits moeten de componenten van het cybersecurityprogramma, authenticatiemechanismen, encryptie van gegevens in rust en onderweg, en accountbeheercontroles omvatten. Dit is geen papieren exercitie—begin nu met het evalueren van je beveiligingsstatus.
Risicobeoordelingen: nieuwe rapportageverplichtingen
Bedrijven die zich bezighouden met bepaalde gegevenspraktijken—zoals het verkopen of delen van persoonsgegevens, het verwerken van gevoelige informatie, of het gebruik van ADMT voor belangrijke beslissingen—moeten formele risicobeoordelingen uitvoeren en rapporten indienen bij de Agency.
De meeste bedrijven moeten hun eerste rapporten indienen vóór 31 december 2027 of 1 april 2028, met daarna jaarlijkse rapportages. Deze beoordelingen moeten potentiële privacyrisico’s evalueren en vastleggen welke waarborgen zijn geïmplementeerd—proactieve naleving die aantoont dat je hebt nagedacht over de gevolgen van je gegevenspraktijken.
Praktische vervolgstappen voor naleving
De omvang van deze veranderingen vereist actie op meerdere fronten. Begin met het in kaart brengen van je gegevenspraktijken: Welke informatie verzamel je? Van wie? Kunnen er minderjarigen tussen zitten? Verzamel je neurale gegevens? Hoe lang bewaar je gegevens?
Bekijk je toestemmingsinterfaces in het licht van het dark pattern-verbod. Zijn je keuzes symmetrisch? Zijn knoppen even prominent? Is afmelden net zo makkelijk als aanmelden?
Controleer je opt-outprocessen—kun je verzoeken direct bevestigen? Gebruik je ADMT in gereguleerde sectoren, begin dan nu met de voorbereiding op de vereisten voor 2027. En als je aan de omzetdrempels voldoet, start dan met de voorbereidingen op cybersecurity-audits.
Wat dit betekent voor jouw bedrijf
De CCPA 2026-regels vormen een aanzienlijke uitbreiding van de privacyrechten van consumenten en de nalevingsverplichtingen van bedrijven. Ze spelen in op opkomende technologieën, sluiten mazen in toestemmingspraktijken en stellen nieuwe transparantievereisten voor geautomatiseerde besluitvorming vast.
De California Privacy Protection Agency heeft duidelijk gemaakt dat privacy in realtime moet functioneren—in de daadwerkelijke ervaringen die consumenten hebben met producten, diensten en websites. Papieren naleving is niet genoeg. Bedrijven moeten onderzoeken hoe hun systemen daadwerkelijk werken en of die systemen echt de keuzevrijheid en autonomie van consumenten respecteren.
Het goede nieuws is dat de zwaarste vereisten gefaseerde deadlines hebben, waardoor bedrijven tijd krijgen om zich voor te bereiden. Het slechte nieuws is dat sommige vereisten—waaronder de uitgebreide definitie van gevoelige persoonsgegevens en de nieuwe toestemmingsnormen—al van kracht zijn. Als je nog niet bent begonnen met je nalevingsbeoordeling, is vandaag het moment om te starten.
Californië blijft vooroplopen in privacyregelgeving, en andere staten kijken actief mee en volgen vaak het voorbeeld. Dit goed regelen draait niet alleen om het vermijden van handhaving in Californië—het gaat om het opbouwen van een privacyprogramma dat jouw bedrijf ook in de toekomst zal dienen, naarmate privacyverwachtingen nationaal en mogelijk wereldwijd blijven evolueren.
Bedrijven die deze regels als kans zien in plaats van als last, zullen voorop blijven lopen. Consumentenverwachtingen rond gegevensprivacy gaan maar één kant op, en de bedrijven die daar nu op vooruitlopen, krijgen een aanzienlijk competitief voordeel ten opzichte van bedrijven die later moeten inhalen.
Veelgestelde vragen
Elk bedrijf dat actief is in Californië en aan bepaalde drempels voldoet, moet voldoen aan de CCPA-regels, inclusief de updates voor 2026. Dit omvat doorgaans bedrijven met een jaarlijkse bruto-omzet van meer dan $25 miljoen, bedrijven die jaarlijks persoonsgegevens van 100.000 of meer consumenten of huishoudens kopen, verkopen of delen, of bedrijven die 50% of meer van hun jaarlijkse omzet halen uit het verkopen of delen van persoonsgegevens van consumenten. De uitgebreide vereisten rond cybersecurity-audits en risicobeoordelingen kennen aanvullende drempels op basis van omvang.
Als jouw bedrijf informatie verzamelt waaruit blijkt dat een gebruiker jonger is dan 16—zoals geboortedatum, leeftijd of schooljaar—worden de persoonsgegevens van die gebruiker nu geclassificeerd als gevoelige persoonsgegevens. Deze classificatie brengt extra vereisten met zich mee, waaronder uitgebreidere informatieverplichtingen in privacyverklaringen en de plicht om mechanismen te bieden waarmee consumenten het gebruik of de verzameling van hun gevoelige persoonsgegevens kunnen beperken. Bedrijven die eerder leeftijdsgegevens verzamelden voor routinematige doeleinden zoals leeftijdsverificatie, moeten hun praktijken mogelijk heroverwegen en hun privacyprogramma’s aanpassen.
Een dark pattern is een ontwerpkeuze in de gebruikersinterface die de autonomie, besluitvorming of keuzevrijheid van consumenten ondermijnt of belemmert. Onder de regels van 2026 zijn specifieke voorbeelden onder meer toestemmingsinterfaces waarbij de accepteren-knop groter of opvallender is dan de weigeren-knop, keuzestructuren die alleen “Ja” en “Vraag me later” tonen zonder duidelijke optie om te weigeren, vooraf geselecteerde standaardinstellingen die gegevensclassificatie of automatische deelname aan programma’s bevorderen, en het creëren van valse urgentie om directe beslissingen af te dwingen. Het basisprincipe is dat afmelden net zo makkelijk moet zijn als aanmelden, met gelijke visuele nadruk en een gelijk aantal stappen.
Bedrijven waarvan de verwerking van persoonsgegevens een aanzienlijk risico vormt voor de beveiliging van consumenten, moeten vanaf 2028 jaarlijks cybersecurity-audits uitvoeren. De deadline hangt af van de omvang van het bedrijf: 1 april 2028 voor bedrijven met meer dan $100 miljoen jaarlijkse omzet; 1 april 2029 voor bedrijven tussen $50 miljoen en $100 miljoen; en 1 april 2030 voor kleinere bedrijven. Audits moeten worden uitgevoerd door gekwalificeerde auditors (intern of extern) en moeten de componenten van het cybersecurityprogramma, authenticatiepraktijken, encryptieprotocollen voor gegevens in rust en onderweg, en accountbeheer- en toegangscontroles beoordelen.
Vanaf 1 januari 2027 moeten bedrijven die ADMT gebruiken in de financiële sector, leningen, huisvesting, onderwijs, werkgelegenheid of zorgprocessen consumenten voorafgaand aan het gebruik van de technologie voor belangrijke beslissingen een kennisgeving verstrekken. Deze kennisgeving moet het doel van het gebruik van ADMT uitleggen, het recht van de consument om zich af te melden toelichten en uitleggen hoe consumenten extra informatie kunnen opvragen over hoe de technologie werkt. Consumenten krijgen het recht om zich af te melden voor het gebruik van ADMT voor beslissingen die hen significant raken, wat betekent dat bedrijven alternatieve besluitvormingsprocessen moeten kunnen aanbieden.
Bedrijven moeten consumenten nu toegang geven tot alle persoonsgegevens die over hen zijn verzameld, niet alleen gegevens uit de afgelopen 12 maanden. De enige uitzondering geldt voor persoonsgegevens die vóór 1 januari 2022 zijn verzameld. Om te voldoen, moeten bedrijven methoden bieden waarmee consumenten het datumbereik van hun inzageverzoek kunnen specificeren of de optie bieden om alle verzamelde informatie op te vragen. Dit vereist dat bedrijven toegankelijke archieven van historische gegevensverzameling bijhouden en systemen hebben die deze gegevens kunnen ophalen naar aanleiding van verzoeken van consumenten.
Bedrijven die gegevenspraktijken hanteren die aanzienlijke privacyrisico’s met zich meebrengen—zoals het verkopen of delen van persoonsgegevens, het verwerken van gevoelige informatie of het gebruik van ADMT voor belangrijke beslissingen—moeten risicobeoordelingen uitvoeren en rapporten indienen bij de California Privacy Protection Agency. Afhankelijk van wanneer de betreffende activiteit is gestart, moeten de eerste rapporten uiterlijk 31 december 2027 of 1 april 2028 worden ingediend. Na de eerste indiening moeten bedrijven jaarlijks geactualiseerde risicobeoordelingsrapporten indienen. Deze beoordelingen moeten potentiële privacyrisico’s evalueren en de geïmplementeerde waarborgen documenteren.