Online Privacy Act 2026: Herdefiniëring van Amerikaanse gegevensnaleving

Op 19 maart 2026 introduceerde afgevaardigde Zoe Lofgren (D-CA-18) H.R. 8014, de Online Privacy Act van 2026 in het Amerikaanse Huis van Afgevaardigden. Met 151 pagina’s verdeeld over zes titels is het wetsvoorstel het meest uitgebreide federale privacyvoorstel dat dit decennium het Huis heeft bereikt — en de introductie, midden in een jaar waarin staatsprivacywetten en AI-regelgeving zich snel uitbreiden, heeft het gesprek over hoe gegevensbeheer van Amerikaanse ondernemingen er in 2028 uit moet zien, opnieuw vormgegeven.

Belangrijkste inzichten

1. H.R. 8014 stelt de meest uitgebreide federale privacybasis in de VS ooit voor. Afgevaardigde Zoe Lofgren introduceerde op 19 maart 2026 de 151 pagina’s tellende Online Privacy Act van 2026. Het wetsvoorstel creëert individuele rechten, verplichtingen voor bedrijven rondom data, beveiligingsverplichtingen, meldingsvereisten bij datalekken en een speciaal Digital Privacy Agency met bevoegdheden voor regelgeving en handhaving.
2. Het wetsvoorstel verschuift compliance van notice-and-choice naar dataminimalisatie. Onder de wet mogen betrokken organisaties niet meer persoonsgegevens verzamelen dan redelijkerwijs nodig is om een gevraagde dienst of product te leveren en mogen zij deze informatie niet hergebruiken zonder gespecificeerde rechtvaardiging. Dit betekent een structurele breuk met twintig jaar Amerikaanse privacypraktijk.
3. Een “recht op vergankelijkheid” verandert de economische logica van databehoud. Het wetsvoorstel geeft individuen het recht om te bepalen hoe lang organisaties hun persoonsgegevens mogen bewaren. In combinatie met dataminimalisatie dwingt dit ondernemingen om retentiebeheer in de data-architectuur te integreren, in plaats van het via beleidsdocumenten te regelen.
4. Handhaving schaalt aanzienlijk verder dan de huidige FTC-praktijk. Het Digital Privacy Agency zou bepaalde privacyfuncties van de FTC overnemen, regelgevende bevoegdheden krijgen, civiele boetes opleggen en samenwerken met procureurs-generaal van staten en de California Privacy Protection Agency. Een privaat recht van actie maakt de handhavingsstructuur compleet.
5. De kans op goedkeuring is onzeker — maar bedrijven moeten niet wachten met reageren. Het wetsvoorstel ligt momenteel bij de House Energy and Commerce Committee met slechts één sponsor, en eerdere versies zijn niet verder gekomen. Maar staatswetten zoals de Maryland Online Data Privacy Act en komende verplichtingen uit de Colorado AI Act convergeren al naar vergelijkbare vereisten. Organisaties die nu hun governance-infrastructuur opbouwen, zullen minder kosten hebben aan aanpassingen, ongeacht of H.R. 8014 wet wordt.

De kans op goedkeuring blijft onzeker. Het wetsvoorstel heeft één sponsor en ligt bij de House Energy and Commerce Committee, met extra verwijzingen naar de commissies Judiciary en Science, Space, and Technology. Eerdere versies van de Online Privacy Act werden geïntroduceerd in 2019, 2021 en 2023, maar kwamen niet verder. Wat in 2026 anders is, is de veranderende regelgevende omgeving: de Maryland Online Data Privacy Act is van kracht, Connecticut heeft zijn privacywet aangescherpt, de Colorado AI Act wordt in 2026 van kracht en de California Privacy Protection Agency start in januari 2027 met de handhaving van regelgeving rond Automated Decision-Making Technology. De federale basis zal mogelijk niet worden aangenomen, maar de regelgevende ondergrens stijgt per staat, en H.R. 8014 laat zien waar die grens naartoe beweegt.

Wat de Online Privacy Act daadwerkelijk zou doen

Het wetsvoorstel creëert een op rechten gebaseerd federaal privacykader met bepalingen die veel meer lijken op de GDPR dan op de sectorale Amerikaanse privacywetten die het aanvult. Titel I stelt individuele rechten vast, waaronder inzage, correctie, verwijdering, dataportabiliteit, menselijke beoordeling van impactvolle geautomatiseerde beslissingen en een “recht op vergankelijkheid” waarmee gebruikers bepalen hoe lang bedrijven hun gegevens mogen bewaren. Titel II legt verplichtingen op aan betrokken organisaties: dataminimalisatie, beperkingen op toegang door werknemers en opdrachtnemers, verboden op het openbaar maken van communicatie-inhoud, verbod op “dark patterns” in toestemmingsprocessen en expliciete kennisgevings- en toestemmingsvereisten.

Titel III creëert het Digital Privacy Agency, een nieuw onafhankelijk federaal agentschap met regelgevende bevoegdheden, onderzoeksbevoegdheden en een eigen begroting. Dit agentschap zou bepaalde privacyfuncties van de FTC overnemen, handhaving verzorgen, klachten afhandelen en regelgeving uitvaardigen. Titel IV gaat over handhaving: administratief onderzoek, civiele boetes, handhaving door procureurs-generaal van staten, een privaat recht van actie, klokkenluidersbescherming en strafrechtelijke verwijzingen in bepaalde gevallen. Titel V behoudt sterkere staatsbescherming in plaats van deze te overrulen, en Titel VI geeft NIST en NSF de opdracht om richtlijnen voor privacy-risicobeheer te ontwikkelen.

De structurele logica is bewust gekozen. In plaats van sectorale wetten zoals HIPAA, GLBA en COPPA aan te vullen met een smalle federale basis, stelt H.R. 8014 een brede basis vast en laat sectorale en staatswetten als extra lagen bestaan. Die architectuur lijkt meer op de verhouding tussen GDPR en nationale wetgeving dan op eerdere Amerikaanse federale privacyvoorstellen.

De dataminimalisatieverplichting zou bedrijfsdatapraktijken herstructureren

De bepalingen over dataminimalisatie in het wetsvoorstel, geconcentreerd in Section 201, vormen de meest ingrijpende operationele verandering voor compliance binnen ondernemingen. Organisaties mogen niet meer persoonsgegevens verzamelen dan redelijkerwijs nodig is om een door de gebruiker gevraagd product of dienst te leveren, en mogen deze informatie niet voor andere doeleinden verwerken zonder gespecificeerde voorwaarden. Dit is een structurele breuk met het Amerikaanse notice-and-choice paradigma, dat feitelijk elke gegevensverzameling toestond die in een privacybeleid werd vermeld.

Onder een minimalisatieregime verschuift de compliancevraag van “Hebben we deze verwerking bekendgemaakt?” naar “Is deze verwerking noodzakelijk voor het door de gebruiker gevraagde product of dienst?” Dat is voor de meeste bedrijfsdatapraktijken een veel moeilijker vraag om te beantwoorden. Klantgedragsanalyse, marketingpersonalisatie, productontwikkelingstelemetrie, AI-trainingsdatasets en overeenkomsten voor het delen van data met derden vereisen allemaal een onderbouwde noodzaak. Veel van deze praktijken zullen deze toets niet doorstaan.

Het 2026 Thales Data Threat Report toonde aan dat slechts 34% van de organisaties volledig weet waar hun data zich bevindt — en kennis van de locatie is een voorwaarde om te beoordelen of verzameling en verwerking daadwerkelijk noodzakelijk zijn. Een minimalisatieverplichting, gehandhaafd via civiele boetes en private rechten van actie, creëert directe druk om data-inventarissen op te bouwen die verzameldoelen koppelen aan operationele noodzaak per dataset.

De bijbehorende beperking op toegang door werknemers en opdrachtnemers versterkt de operationele verandering. Section 202 vereist dat organisaties interne toegang tot persoonsgegevens en communicatie-inhoud beperken tot wat noodzakelijk is voor de functie van de werknemer. Dit gaat in tegen het gangbare patroon waarbij brede toegang wordt verleend aan analytics-, engineering- en productteams en waarbij wordt vertrouwd op beleid in plaats van technische controles om misbruik te voorkomen.

Het “recht op vergankelijkheid” verandert data-architectuur, niet alleen beleid

De introductie van een “recht op vergankelijkheid” — het recht van individuen om te bepalen hoe lang organisaties hun persoonsgegevens mogen bewaren — is een architecturale vereiste vermomd als een rechtenbepaling. Retentiebeheer werd historisch geregeld via beleidsdocumenten, geplande verwijderingsopdrachten en archiveringsprocessen. Een individueel recht dat afdwingbaar is via private actie, gecombineerd met dataminimalisatie die een onderbouwde noodzaak voor voortgezette retentie vereist, maakt retentie tot een operationele vraag per datasubject en per dataset.

De praktische consequentie is dat de data-architectuur van ondernemingen gebruikersgestuurd retentiebeheer moet ondersteunen. Datapijplijnen die persoonsgegevens aggregeren, transformeren, denormaliseren of repliceren, moeten verwijderingssignalen downstream doorgeven en verwijdering op elk niveau bevestigen. Analysesystemen die afhankelijk zijn van historische gedragsdata moeten selectieve verwijderingsverzoeken kunnen verwerken zonder geaggregeerde statistieken te verstoren. AI-trainingsdatasets moeten herkomsttracking ondersteunen zodat gevraagde verwijderingen kunnen worden weerspiegeld in latere modelupdates.

Dit lijkt op het recht op gegevenswissing uit GDPR Artikel 17, maar H.R. 8014 formuleert het scherper. Waar het recht op wissing onder de GDPR geldt in bepaalde omstandigheden, geldt vergankelijkheid als algemene gebruikerskeuze. Een organisatie die gebruikersgestuurde retentietermijnen operationeel niet kan honoreren, loopt het risico op private rechtszaken op grote schaal — wat waarschijnlijk het krachtigste handhavingsmechanisme is zolang het Digital Privacy Agency niet volledig gefinancierd is.

Automated Decision-Making en AI-governance: een voorproefje van toekomstige AI-regulering in de VS

De vereisten voor menselijke beoordeling van “impactvolle geautomatiseerde beslissingen” plaatsen het wetsvoorstel in lijn met de opkomende golf van AI-specifieke staatswetten, waaronder de Colorado AI Act, de Texas Responsible AI Governance Act (vanaf januari 2026) en de California AI Transparency Act. Het federale kader is belangrijk omdat het AI-governanceverplichtingen uitbreidt tot buiten de hoog-risicocategorieën die Colorado en de EU AI-wet hanteren, en menselijke beoordelingsrechten toepast op elke geautomatiseerde beslissing met materiële impact op een individu.

In combinatie met dataminimalisatie heeft dit directe gevolgen voor AI-training en inzet. Trainingsdata moet voldoen aan minimalisatievereisten. Modelinzet moet menselijke beoordelingsmogelijkheden bieden voor impactvolle beslissingen. Retentierechten moeten worden gerespecteerd voor trainingsdata en mogelijk ook voor modeluitvoer die persoonsgegevens bevat. Het impliciete model is dat AI-governance geen apart regelgevingsspoor is — het is een data governance-verplichting toegepast op AI-toepassingen.

Dat sluit aan bij het EDPB-advies van december 2024 dat AI-modellen getraind op persoonsgegevens niet automatisch als anoniem mogen worden beschouwd, en bij een Duitse rechterlijke uitspraak uit november 2025 (aangehaald in de Future of Privacy Forum’s 2026 assessment) waarin modellen als “kopieën” werden gezien voor IP-doeleinden. De convergentie tussen rechtsbevoegdheden is dat AI-systemen datasystemen zijn, hun trainingsdata persoonsgegevens zijn en hun governanceverplichtingen data governance-verplichtingen zijn.

Het Digital Privacy Agency en de uitgebreide handhavingsstructuur

Titel III van het wetsvoorstel creëert een Digital Privacy Agency met bevoegdheden die de huidige privacyhandhaving van de FTC ruim overstijgen. De DPA zou een eigen begroting krijgen, regelgevende bevoegdheden, een Office of Civil Rights, klokkenluidersmechanismen, klachtenafhandeling en samenwerking met staatsregulatoren. Handhavingsbevoegdheden omvatten administratief onderzoek, civiele boetes, verwijzing voor strafrechtelijke vervolging en procesbevoegdheid bij federale rechtbanken.

Het private recht van actie in Titel IV is het handhavingsmechanisme dat waarschijnlijk het meeste effect zal hebben op compliance, ongeacht de middelen van de DPA. Private rechten van actie in privacywetten leiden historisch tot een proactievere reactie van organisaties dan administratieve handhaving, omdat advocaten claims bundelen en deze op grote schaal nastreven. Het private recht van actie onder de CCPA in Californië bij datalekken heeft geleid tot aanzienlijke procesdruk; een breder privaat recht onder H.R. 8014, dat schendingen van individuele rechten en kernverplichtingen dekt, zou die druk over de hele privacycyclus verspreiden.

Staatshandhaving door procureurs-generaal en expliciete bevoegdheden voor staatsprivacyregulatoren zoals de California Privacy Protection Agency betekenen dat het wetsvoorstel niet afhankelijk is van federale capaciteit voor handhaving. Het cumulatieve effect is dat privacyhandhaving in de VS zou opschalen van de circa 40 medewerkers tellende privacyafdeling van de FTC naar een speciaal federaal agentschap, private rechten van actie, handhaving door staats-AG’s en staatsprivacyregulatoren die parallel opereren. Dat is de handhavingsinfrastructuur die de GDPR in Europa heeft, waar de boetes in zowel 2024 als 2025 elk meer dan €1,2 miljard bedroegen volgens de DLA Piper GDPR Fines and Data Breach Survey.

Waarom de regelgevende ondergrens stijgt, ongeacht H.R. 8014

De kans op goedkeuring van het wetsvoorstel is klein in het huidige Congres. Het 119e Congres heeft geen uitgebreide privacywetgeving aangenomen, het wetsvoorstel heeft één sponsor en de American Privacy Rights Act uit 2024 strandde na bipartijdige onderhandelingen. Maar staatsactie maakt de federale vraag steeds minder relevant. De OneTrust 2026 analyse bracht het huidige landschap van staatsprivacywetten in kaart: privacywetten in New Jersey, Tennessee en Minnesota zijn van kracht; de wijzigingen in Connecticut in 2025 verlagen de drempels en breiden de bescherming van gevoelige data uit; de Maryland Online Data Privacy Act is van kracht vanaf 1 oktober 2025; en in 2025 werd de eerste grote CCPA-boete in Californië opgelegd.

Staats-AI-wetten voegen een extra laag toe — Colorado AI Act in 2026, Texas Responsible AI Governance Act in januari 2026, California AI Transparency Act in 2026 — naast strengere privacywetten voor kinderen met geüpdatete COPPA-regels en leeftijdsgerichte ontwerpwetten in New York en Vermont.

Het cumulatieve effect is dat organisaties die Amerikaanse consumenten op schaal bedienen, nu al grotendeels onderworpen zijn aan de verplichtingen die H.R. 8014 op federaal niveau zou vastleggen: dataminimalisatie onder Maryland, Connecticut en Colorado; governance van geautomatiseerde besluitvorming onder Colorado, Texas en Californië; inzage- en verwijderingsrechten in meer dan 20 staatsprivacywetten; en versterkte bescherming van gevoelige data in de meeste uitgebreide staatskaders. Organisaties die compliance-infrastructuur bouwen voor deze multi-state lappendeken, bereiden zich feitelijk voor op H.R. 8014 — of welke federale privacywet er uiteindelijk ook komt.

Data-Layer Governance als architecturaal antwoord

De specifieke verplichtingen in H.R. 8014 — minimalisatie, doellimieten, retentiebeheer, naleving van toegangsrechten, toezicht op geautomatiseerde besluitvorming, toegangscontrole voor werknemers, meldingsplicht bij datalekken en auditbewijs — delen een architecturaal kenmerk. Ze zijn alleen afdwingbaar als de data zelf governance-eigenschappen draagt die kopiëren, transformatie, analyse en AI-training overleven. Compliance op beleidsniveau, gebaseerd op goed gedocumenteerde intenties, voldoet niet. Compliance op applicatieniveau, waarbij elke applicatie governance-regels respecteert, creëert gaten bij integratiepunten. Compliance op datalaag-niveau, waarbij governance-eigenschappen aan de data zelf worden gekoppeld ongeacht applicatie of workflow, is de schaalbare architectuur.

Kiteworks fungeert als een datalaag-control plane over e-mail, bestandsoverdracht, beheerde bestandsoverdracht, beveiligde formulieren, API’s en AI-integraties. Verschillende functionaliteiten sluiten direct aan bij de vereisten van H.R. 8014. De Kiteworks Data Policy Engine handhaaft op attributen gebaseerde toegangscontrole bij elke data-interactie — inclusief beperkingen op toegang door werknemers en opdrachtnemers onder Section 202. Datasoevereiniteit en geofencing ondersteunen vereisten rondom rechtsbevoegdheid die overlappen met het kader van H.R. 8014. Uitgebreide audit logs met real-time SIEM-feeds leveren manipulatiebestendige registraties van elke toegang, verwerking en openbaarmaking — de bewijsbasis voor zowel DPA-onderzoeken als verdediging tegen private rechtszaken. De Compliant AI-functionaliteit van Kiteworks breidt governance uit naar AI-agenttoegang, zodat AI-gedreven datagebruik onderworpen is aan dezelfde op attributen gebaseerde beleidsregels, toestemmingsregistratie en audit logging als menselijke toegang.

Het architecturale argument is niet dat governance op datalaag-niveau de noodzaak om specifieke wetten te begrijpen overbodig maakt. Het is dat deze controls uniform genoeg zijn om zich aan te passen als wetten veranderen. Een organisatie waarvan governance in de datalaag leeft — getagde data, op attributen gebaseerde toegang , manipulatiebestendige logs, geconsolideerd auditbewijs — past zich aan bij nieuwe wetgeving zonder alles opnieuw te bouwen. Een organisatie waarvan governance in applicatielogica en beleidsdocumenten leeft, moet compliance telkens herschrijven als de wetgeving verandert.

Wat uw complianceprogramma moet doen vóór de Congreszitting van 2027

Ten eerste, behandel de lappendeken van staatsprivacywetten als operationele basis. Het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report stelde vast dat organisaties die 5+ losse tools gebruiken voor veilige data-uitwisseling systematisch een hoger compliance-risico lopen. Consolidatie onder uniforme governance vereenvoudigt compliance met Maryland, Connecticut, Colorado, Californië en welke federale basis er ook komt.

Ten tweede, bouw data-inventarissen die minimalisatie kunnen verdedigen. Als H.R. 8014 of een opvolgend wetsvoorstel dataminimalisatie afdwingbaar maakt via private rechtszaken, wordt de bewijsvoering: “Kunt u aantonen dat elke datasetverzameling noodzakelijk is voor een door de gebruiker gevraagd product of dienst?” Organisaties die dat niet direct kunnen aantonen, krijgen dure aanpassingskosten als de norm strenger wordt.

Ten derde, implementeer retentiebeheer op de datalaag en bereid infrastructuur voor toegangsverzoeken voor op schaal. Een recht op vergankelijkheid vereist verwijderingspropagatie door de hele pijplijn, bevestiging van verwijdering in alle systemen en bewijs van verwijdering voor audits. Geautomatiseerde en massaal ingediende toegangsverzoeken nemen toe onder bestaande staatswetten, en de CJEU-uitspraak van 2026 over misbruik van verzoeken maakt duidelijk dat algemene weigering geen verdedigbare reactie is.

Ten vierde, breid data governance uit naar AI-systemen. Of de verplichting nu voortkomt uit de Colorado AI Act in 2026, de CPPA’s ADMT-regelgeving in 2027, of H.R. 8014 in een toekomstig jaar, AI-governance wordt een data governance-verplichting. Modeltraining moet aan minimalisatie voldoen. Geautomatiseerde beslissingen met impact op individuen moeten menselijke beoordelingsmogelijkheden bieden. Trainingsdata en modeluitvoer moeten retentie- en verwijderingsrechten respecteren.

Ten vijfde, maak het produceren van auditbewijs tot kerncompetentie, niet tot een ad-hocreactie bij incidenten. Welk handhavingsapparaat uiteindelijk ook volwassen wordt — DPA, FTC, staats-AG’s, CPPA, private eisers — het verschil tussen een waarschuwing en een boete is vaak de kwaliteit van het bewijs dat een organisatie kan leveren. Manipulatiebestendige audit logs, gestructureerde compliance-rapportages en uniforme beleidsafdwinging over alle data-kanalen zijn de controls die dat bewijs leveren.

De Online Privacy Act van 2026 kan worden aangenomen, kan stranden of kan in 2027 of 2028 worden vervangen door een ander kader. De regelgevende richting is in al die scenario’s stabiel. Organisaties die het wetsvoorstel zien als een voorproefje — van waar de lappendeken van staatswetten al naartoe beweegt en wat de uiteindelijke federale basis zal vastleggen — zijn aanzienlijk beter gepositioneerd dan organisaties die wachten op een definitieve wet.