Federale privacy-preëmptie wordt werkelijkheid: wat de SECURE Act betekent
Belangrijkste punten
- Gecoördineerde federale preëmptie-inzet. De SECURE Data Act, GUARD Financial Data Act en het White House AI-framework vervangen samen de lappendeken van staatswetten door één nationale standaard.
- 21 staatsprivacywetten in gevaar. Omvattende wetten zoals CCPA, CDPA en CPA dreigen te worden gepreëmpt via een “plafond, geen vloer”-benadering, waardoor de handhaving verschuift naar de FTC en staats-AG’s.
- Naleving wordt opnieuw vastgesteld. Vereisten zoals dataminimalisatie, opt-in toestemming en consumentenrechten blijven bestaan, maar moeten nu worden afgestemd op federale kaders in plaats van staatswetten.
- Eén platform voor meerdere kaders. Architecturale controles zoals op attributen gebaseerde toegangscontrole (ABAC), encryptie en audittrail stellen organisaties in staat zich aan te passen aan federale, staats- en sectorspecifieke regels zonder alles opnieuw te bouwen.
Al zeven jaar verloopt Amerikaanse privacywetgeving via twee parallelle sporen. Staatswetgevers voerden uitgebreide privacywetten in — Californië als eerste in 2018, daarna nog 20 anderen — terwijl het Congres er herhaaldelijk niet in slaagde een federale wet aan te nemen. Elke eerdere poging liep stuk op dezelfde breuklijnen: preëmptie van staatswetgeving, het privé-recht op actie en partijdige onenigheid over de reikwijdte van de handhaving.
Die impasse werd doorbroken op 22 april 2026. Republikeinen in het Huis introduceerden twee gecoördineerde wetsvoorstellen die samen moesten werken: de SECURE Data Act (HR 8413) en de GUARD Financial Data Act (HR 8398). Samen zouden ze één nationale standaard vaststellen en de lappendeken van staatswetten vervangen door brede federale preëmptie. Dit gebeurde tegen de achtergrond van het White House National Policy Framework for AI (20 maart 2026), dat parallelle preëmptie van staats-AI-wetten voorstelt — waarbij de AI-wet van Colorado expliciet als doelwit wordt genoemd. De federale preëmptie-inzet is nu een gecoördineerde drievoudige inspanning waar organisaties nu al rekening mee moeten houden.
5 belangrijkste punten
1. De federale preëmptie-inzet is nu een gecoördineerde drievoudige inspanning.
De SECURE Data Act, GUARD Financial Data Act en het White House AI-framework zouden samen één nationale standaard vestigen en de lappendeken van staatswetten die de Amerikaanse privacy- en AI-regulering de afgelopen zeven jaar hebben bepaald, overrulen. Dit is de meest ingrijpende verschuiving in Amerikaanse privacywetgeving sinds de CCPA. Beslissingen over compliance-architectuur die in de komende 12 maanden worden genomen, bepalen of organisaties controles opnieuw afstemmen of volledig herbouwen.
2. Eenentwintig staatsprivacywetten staan op het spel.
De CCPA van Californië, de CDPA van Virginia, de CPA van Colorado en 18 andere uitgebreide staatsprivacywetten — plus staatsregisters voor databrokers en de California Delete Act — zouden worden gepreëmpt via de “plafond, geen vloer”-benadering van het wetsvoorstel. De handhaving door de staat zou verschuiven naar de FTC en staats-AG’s die opereren onder federale wetgeving. De lappendeken van staatsprivacywetten die zeven jaar lang investeringen in compliance heeft aangewakkerd, loopt nu structureel gevaar.
3. Naleving wordt niet eenvoudiger — het wordt opnieuw vastgesteld.
De SECURE Data Act legt nog steeds dataminimalisatie, consumentenrechten-workflows, opt-in toestemming voor gevoelige gegevens, controller-processor governance en directe verplichtingen voor databrokers op. De GUARD Act voegt AI-openbaarmakingsvereisten toe voor financiële instellingen. Organisaties hebben nog steeds dezelfde architecturale controles nodig — ze moeten deze alleen aan een ander kader koppelen. De Kiteworks 2026 Forecast toonde aan dat 33% volledig geen ABAC-mogelijkheden heeft.
4. Het AI-preëmptiespoor verhoogt de architecturale inzet.
Het White House-framework preëmpt expliciet staatswetten die AI-modelontwikkeling reguleren, waaronder de AI-wet van Colorado. Voor organisaties die AI-agenten inzetten op gereguleerde gegevens, consolideert dit het compliance-oppervlak, maar vermindert het de handhavingslast niet. Federale controle op AI-gegevensbeheer neemt toe, niet af — de FTC, HHS, SEC en DoD behouden en breiden hun eigen AI-gerelateerde verwachtingen uit.
5. Het architecturale antwoord is één platform, meerdere kaders.
Welke wet er ook wordt aangenomen, de onderliggende controlevereisten — geauthenticeerde identiteit, op attributen gebaseerde toegangscontrole, gevalideerde encryptie, manipulatiebestendige audittrail — zijn gemeenschappelijk voor elk kader. Organisaties die compliance rond architecturale controles hebben opgebouwd, zullen opnieuw afstemmen. Organisaties die zich baseerden op specifieke staatswetteksten zullen opnieuw moeten bouwen.
Welke Data Compliance Standards zijn belangrijk?
Lees nu
Wat doet de SECURE Data Act daadwerkelijk?
De SECURE Data Act is het breedste federale consumentenprivacywetsvoorstel dat sinds de CCPA serieuze wetgevende vooruitgang boekt. De bepalingen volgen het model van Virginia: opt-out rechten voor verkoop, gerichte reclame en profilering; rechten op inzage, correctie, verwijdering en overdraagbaarheid; opt-in toestemming voor gevoelige gegevens; verplichtingen voor controller en processor; en directe verplichtingen voor databrokers.
Het structurele kenmerk dat de wet definieert is preëmptie. Sectie 15 verbiedt staten om enige wet voor te schrijven of te handhaven die betrekking heeft op de bepalingen van de Act. De California Privacy Protection Agency heeft dit gekarakteriseerd als totale preëmptie — niet een federale ondergrens, maar een plafond dat staatsregimes volledig vervangt. De brief van de CPPA aan het Congres merkt op dat 40 miljoen Californiërs geen toegang meer zouden hebben tot het Delete Request en Opt-out Platform van de staat als het wetsvoorstel in huidige vorm wordt aangenomen.
De handhaving komt bij de FTC en staats-AG’s te liggen. Er is geen privé-recht op actie. De ingangsdata zijn gesplitst: één jaar (consumentenrechten, gegevensbeveiliging, databroker-bepalingen) en twee jaar (de meeste andere bepalingen) na inwerkingtreding. De wet is van toepassing op entiteiten die persoonsgegevens verwerken van meer dan 200.000 Amerikaanse inwoners of meer dan 50% van hun omzet halen uit de verkoop van persoonsgegevens — drempels die elke middelgrote en grote onderneming omvatten.
Wat opvallend ontbreekt: expliciete AI-bepalingen. Het AI-spoor wordt parallel gevoerd via het White House-framework. Organisaties die de SECURE Data Act losstaand lezen, missen de gecoördineerde architectuur van de volledige preëmptie-inzet.
Wat voegt de GUARD Financial Data Act toe?
De GUARD Financial Data Act moderniseert de Gramm-Leach-Bliley Act — de wet uit 1999 die al meer dan twintig jaar privacy in de financiële sector regelt. De twee wetsvoorstellen zijn zo gestructureerd dat overlap wordt voorkomen: de SECURE Data Act sluit GLBA-gereguleerde entiteiten uit; de GUARD Act regelt deze.
De GUARD Act voegt dataminimalisatie toe, waardoor verzameling en openbaarmaking worden beperkt tot wat “adequaat, relevant en redelijkerwijs noodzakelijk” is; een blijvend consumentenrecht op opt-out; beperkingen op het gebruik van accounttoegangsgegevens; uitgebreidere privacyverklaringen; rechten voor klanten en voormalige klanten; verwijderingsrechten met uitzonderingen voor FCRA en wettelijke bewaarplichten; reactietermijnen van 45 dagen; en opt-in toestemming voor gevoelige niet-openbare persoonsgegevens.
Twee bepalingen verdienen bijzondere aandacht. Ten eerste verplichte openbaarmakingen over hoe financiële instellingen AI gebruiken bij het verzamelen, verwerken en gebruiken van niet-openbare persoonsgegevens — inclusief of consumentengegevens worden verwerkt in of bekendgemaakt aan een “gedekt land”. Ten tweede preëmpt de GUARD Act expliciet staatswetten die privacy- of beveiligingsvereisten opleggen aan GLBA-gereguleerde financiële instellingen — hiermee wordt een van de meest omstreden kwesties in privacy binnen de financiële sector aangepakt.
Beide wetsvoorstellen samen verlichten de compliance niet — ze stellen deze opnieuw vast. Elke workflow voor consumentenrechten, controle op dataminimalisatie, opt-in toestemmingspoort en databroker-verplichting die voor staatswetgeving is gebouwd, moet opnieuw worden afgestemd op federale vereisten.
Het AI-preëmptiespoor verhoogt de architecturale inzet
Het White House AI-framework adviseert het Congres om staatswetten die AI-modelontwikkeling reguleren te preëmpten en geeft de FTC en FCC opdracht om regelgeving te starten die federale preëmptie onder bestaande wetgeving verduidelijkt. De AI-wet van Colorado wordt expliciet als doelwit genoemd.
Voor organisaties die AI-agenten inzetten op gereguleerde gegevens, consolideert dit het compliance-oppervlak, maar vermindert het de handhavingslast niet. Federale AI-controle neemt toe: de bevoegdheid van de FTC inzake misleidende praktijken onder Sectie 5 wordt expliciet uitgebreid naar AI-modelgedrag. Sectorspecifieke toezichthouders — HHS voor HIPAA, SEC voor financiële rapportage, DoD voor CMMC — behouden hun eigen AI-gerelateerde verwachtingen, los van staats-preëmptie.
De Kiteworks 2026 Forecast benadrukt het gat: 51% van de organisaties heeft al AI-agenten in productie, maar 41%–44% mist basis governance-controles zoals human-in-the-loop toezicht, monitoring en dataminimalisatie. Beheersing is nog slechter: 55%–63% mist doelbinding, kill switches of netwerkisolatie. Het federale AI-preëmptiespoor verschuift de handhaving van gefragmenteerde staatsregulatoren naar de FTC en sectorspecifieke toezichthouders — die beide bewijs van operationele controle zullen eisen, niet alleen beleidsclaims.
Waarom de compliance-werkdruk niet afneemt
Preëmptie vervangt 21 staatsprivacywetten door één federale wet plus voortdurende sectorspecifieke regelgeving (HIPAA, GLBA, FERPA, COPPA) en blijvende internationale verplichtingen (GDPR, UK GDPR, LGPD, PIPEDA). Een multinationale organisatie moet nog steeds voldoen aan de vereisten voor rechtmatige grondslag van de GDPR, de doelbeperkingen van de SECURE Data Act, HIPAA’s minimumtoegangsvereiste, de access control families van CMMC en de AI-openbaarmakingsvereisten van de GUARD Act — allemaal tegelijkertijd.
De Kiteworks 2026 Forecast kwantificeert waar de meeste organisaties staan op het gebied van onderliggende controles: 33% mist audittrails van bewijskwaliteit, 87% mist gezamenlijke incident response-plannen met partners, 89% heeft nooit IR geoefend met externe leveranciers, 33% mist volledig ABAC-mogelijkheden.
Dit zijn de controles die elk kader — staats-, federale, sectorale, internationale — fundamenteel vereist, alleen onder verschillende benamingen. De onderliggende verplichtingen convergeren: geauthenticeerde identiteit, op attributen gebaseerde toegangsbeleid, gevalideerde encryptie, manipulatiebestendige audittrails, dataminimalisatie, doelbeperking. Deze elementen komen voor in CCPA, GDPR, CMMC, HIPAA, PCI DSS, SOX, de SECURE Data Act en de GUARD Act — onder verschillende terminologieën maar met convergerende inhoud.
Hoe Kiteworks “One Platform, Multiple Frameworks” operationaliseert
Het Kiteworks Private Data Network consolideert de kanalen voor gegevensuitwisseling — e-mail, bestandsoverdracht, SFTP, MFT, webformulieren, API’s, AI-integraties — die centraal staan in elke privacy- en compliance-regelgeving, en past één set architecturale controles toe op al deze kanalen.
Geauthenticeerde identiteit wordt afgedwongen via OAuth 2.0 en SAML/SSO met cryptografische verificatie bij elk toegangsverzoek. De Kiteworks Data Policy Engine beoordeelt elk verzoek op basis van op attributen gebaseerde toegangscontrole, waarbij gebruikersidentiteit (of AI-agent), gegevensclassificatie en context van het verzoek in realtime worden gecombineerd. FIPS 140-3 gevalideerde encryptie dekt gegevens in rust en onderweg. De audittrail is manipulatiebestendig, genormaliseerd over alle uitwisselingskanalen en wordt in realtime naar SIEM gestreamd.
Vooraf gebouwde compliance-dashboards koppelen deze controles aan specifieke kadervereisten: GDPR Artikelen 5, 25 en 32; HIPAA §164.312; CMMC 2.0 access control families; PCI DSS Vereisten 7 en 10; SOX IT general controls; SECURE Data Act dataminimalisatiebepalingen; GUARD Act AI-openbaarmakingsverplichtingen. Wanneer het regelgevingslandschap verandert, veranderen de onderliggende controles niet — alleen de mapping. Bouw de controles één keer; koppel ze aan elke regelgeving zodra deze van kracht wordt.
Wat organisaties moeten doen voordat de wetsvoorstellen in behandeling gaan
Ten eerste inventariseer de kanalen voor gegevensuitwisseling en de gereguleerde gegevensstromen daarin. De Kiteworks 2026 Forecast toonde aan dat slechts 33% van de organisaties volledig inzicht heeft in waar hun gevoelige gegevens zijn opgeslagen — een gat dat onder elk kader een bevinding wordt.
Ten tweede consolideer naar architecturale controles die aan meerdere kaders tegelijk voldoen. ABAC-handhaving, FIPS 140-3 encryptie, manipulatiebestendige audit logs en geauthenticeerde identiteit voldoen aan CCPA, GDPR, HIPAA, CMMC, PCI, SOX en de federale wetsvoorstellen die nu worden besproken. 33% van de organisaties mist volledig ABAC-mogelijkheden — het dichten van dat gat is de meest impactvolle actie die mogelijk is.
Ten derde bouw nu de AI-governancelayer, niet pas na het aannemen van het AI-preëmptiespoor. 51% van de organisaties heeft AI-agenten in productie, maar 55%–63% mist beheersingsmaatregelen. De AI Data Gateway en Secure MCP Server bieden het governance op datalaag-niveau — geauthenticeerde agentidentiteit, ABAC-handhaving, audit logs — die elk AI-kader zal vereisen.
Ten vierde sluit het third-party readiness-gat. Beide wetsvoorstellen leggen verplichtingen op aan gegevensstromen naar derden. 87% van de organisaties mist gezamenlijke IR-playbooks met partners en 89% heeft nooit IR geoefend met externe leveranciers. Het opnieuw afstemmen op federale kaders lost het onderliggende coördinatiegat niet op.
Ten vijfde behandel audittrail-kwaliteit als een architecturale vereiste van de eerste orde. Elk kader vereist aantoonbaar bewijs van handhaving. Hetzelfde gat dat een GDPR-audit laat falen, zorgt ook voor falen bij een CCPA-, HIPAA-, CMMC- en SECURE Data Act-audit. Bouw audittrails van bewijskwaliteit voordat een van deze kaders erom vraagt.
De uitkomsten van de wetgeving zijn onzeker. De architecturale vereisten zijn dat niet.
Meer weten over AI-gegevensbeheer en naleving van regelgeving? Plan vandaag nog een persoonlijke demo.
Veelgestelde vragen
Die staatswetten zouden worden gepreëmpt en de naleving verschuift naar het federale kader. De inhoudelijke verplichtingen zijn vergelijkbaar — opt-out rechten, dataminimalisatie, consumentenrechten-workflows — maar de handhaving wordt geconsolideerd bij de FTC en staats-AG’s zonder privé-recht op actie. Organisaties die hun compliance rond architecturale controles hebben opgebouwd, zullen opnieuw afstemmen; wie zich baseerde op specifieke staatswetteksten zal opnieuw moeten bouwen. De Kiteworks 2026 Forecast toonde aan dat 33% geen ABAC-toegangscontroles heeft — de onderliggende vereiste die elk kader deelt.
De GUARD Act moderniseert GLBA met nieuwe dataminimalisatie-standaarden, uitgebreidere consumentenrechten (inzage, verwijdering, opt-in toestemming voor gevoelige gegevens) en verplichte AI-openbaarmakingen. Ook preëmpt het staatsprivacyverplichtingen voor GLBA-gereguleerde instellingen. De Kiteworks 2026 Forecast toonde aan dat 87% van de organisaties geen gezamenlijke incident response-plannen met partners heeft — een gat dat blijft bestaan na GLBA-modernisering en direct van toepassing is onder de verplichtingen van de GUARD Act voor gegevensstromen naar derden.
HIPAA blijft ongewijzigd — het blijft de geldende federale privacywet voor PHI. Het White House AI-framework richt zich op staats-AI-wetten, niet op sectorspecifieke federale regelgeving. HIPAA’s vereiste voor geautoriseerd personeel geldt nog steeds voor AI-agenttoegang. FIPS 140-3 encryptie, ABAC-handhaving en manipulatiebestendige audittrails voldoen aan HIPAA, ongeacht of staats-AI-wetten worden gepreëmpt.
CMMC 2.0 blijft ongewijzigd door federale privacy-preëmptie — het valt onder DoD-autoriteit en staat los van de SECURE Data Act en het AI-preëmptiekader. De Kiteworks 2026 Forecast toonde aan dat slechts 46% van de DIB-organisaties zichzelf voorbereid acht op CMMC. Gegevensbeheer op datalaag-niveau met geauthenticeerde agentidentiteit, ABAC, FIPS 140-3 encryptie en manipulatiebestendige logs voldoet aan CMMC AC-, AU- en IA-control families, ongeacht hoe privacy-preëmptie wordt opgelost.
Plan rond architecturale controles die aan elk kader voldoen: geauthenticeerde identiteit, ABAC-handhaving, gevalideerde encryptie, manipulatiebestendige audittrails. De Kiteworks 2026 Forecast toonde aan dat 33% van de organisaties geen audittrails van bewijskwaliteit heeft — een gat dat zorgt voor falen bij CCPA, GDPR, HIPAA, CMMC, PCI en de SECURE Data Act tegelijk. De uitkomsten van de wetgeving zijn onzeker; de onderliggende controlevereisten zijn dat niet.
Aanvullende bronnen
- Blog Post Het touwtrekken om uw data: hoe de CLOUD- en SHIELD-wetten beveiliging en privacy tegenover elkaar zetten
- Blog Post Beveilig gevoelige data door DSPM te koppelen aan uw compliance-doelen
- Brief Top 3 FERPA-overtredingen en hoe u ze voorkomt
- Blog Post Executive Order 14117: Bescherming van Amerikaanse gevoelige bulkdata
- Blog Post NIS2-naleving nodig? Begin met ISO 27001
Veelgestelde vragen
De SECURE Data Act heeft als doel één nationale privacystandaard vast te stellen die bestaande staatswetten preëmpt, waardoor de lappendeken van 21 staatsprivacyregels wordt vervangen door uniforme federale regels over consumentenrechten, dataminimalisatie en verplichtingen voor databrokers, gehandhaafd door de FTC en staats-AG’s.
De GUARD Act moderniseert GLBA door dataminimalisatievereisten toe te voegen, uitgebreidere consumentenrechten zoals verwijdering en opt-in toestemming voor gevoelige gegevens, verplichte AI-openbaarmakingen en expliciete preëmptie van staatsprivacywetten voor GLBA-gereguleerde financiële instellingen, terwijl de SECURE Data Act deze entiteiten uitsluit om overlap te voorkomen.
Het White House National Policy Framework for AI stelt voor dat het Congres staats-AI-regelgeving preëmpt, met als expliciet doel wetten zoals de AI-wet van Colorado, waardoor de handhaving verschuift naar federale instanties zoals de FTC, terwijl sectorspecifieke regels zoals HIPAA en CMMC van kracht blijven.
Preëmptie vervangt staatswetten door één federale standaard, maar organisaties moeten nog steeds voldoen aan sectorspecifieke regels zoals HIPAA en GLBA, internationale verplichtingen zoals GDPR en nieuwe vereisten zoals AI-openbaarmakingen, die allemaal vertrouwen op dezelfde kernarchitecturale controles zoals toegangsbeheer en audittrails.