CCPA, CPRA en CIPA voor Shopify-winkels

Wat zijn de CCPA, CPRA en CIPA?

Californië kent twee soorten privacywetten die gevolgen hebben voor een onlinewinkel.

California Consumer Privacy Act (CCPA): de CCPA geldt sinds 1 januari 2020 en geeft inwoners van Californië rechten over de persoonsgegevens die bedrijven over hen verzamelen:

• Recht op informatie: weten welke persoonsgegevens worden verzameld, gebruikt, verkocht of gedeeld.
• Recht op verwijdering: een bedrijf vragen hun persoonsgegevens te verwijderen.
• Recht op opt-out: bezwaar maken tegen de verkoop of het delen van hun persoonsgegevens, ook het delen voor cross-context behavioral advertising.
• Recht op non-discriminatie: deze rechten uitoefenen zonder anders te worden behandeld.

California Privacy Rights Act (CPRA): de CPRA wijzigde de CCPA per 1 januari 2023. De wet voegde het recht toe om onjuiste gegevens te laten corrigeren en het gebruik van gevoelige persoonsgegevens te beperken, en richtte de California Privacy Protection Agency op om de wet te handhaven. Bedrijven moeten ook opt-outsignalen zoals Global Privacy Control (GPC) honoreren als een geldig opt-outverzoek.

California Invasion of Privacy Act (CIPA): de CIPA is een wet uit 1967 in het Californische wetboek van strafrecht (sectie 630 en verder), bedoeld om afluisteren en meeluisteren tegen te gaan. Rechtbanken en eisers passen de wet nu toe op websites. De afluisterbepaling vereist de toestemming van alle partijen bij een communicatie, en in claims wordt gesteld dat chatwidgets, sessie-opnametools en advertentiepixels derden laten “meeluisteren” met de interactie van een bezoeker met een winkel. Omdat de CIPA een wettelijke schadevergoeding van $5.000 per overtreding toestaat, is de wet een van de meest voorkomende bronnen van privacyrechtszaken en sommatiebrieven tegen onlinebedrijven geworden.

Wat gebeurt er als ik me niet aan de CCPA, CPRA en CIPA houd?

De gevolgen verschillen per wet:

• Boetes onder de CCPA en CPRA: tot $2.663 per overtreding, of $7.988 per opzettelijke overtreding of overtreding waarbij consumenten onder de 16 betrokken zijn (bedragen aangepast per 1 januari 2025). Zowel de California Privacy Protection Agency als de Attorney General handhaven de wet.
• Rechtszaken over datalekken onder de CCPA: consumenten kunnen na bepaalde datalekken een vergoeding eisen van $107 tot $799 per consument per incident, of de werkelijke schade als die hoger is.
• Rechtszaken onder de CIPA: particulieren kunnen $5.000 per overtreding eisen, of drie keer de werkelijke schade. De meeste claims worden als class action ingediend, dus het risico groeit met het aantal bezoekers.
• Pen register-claims onder de CIPA: vanaf 1 januari 2027 kunnen claims onder sectie 638.51 over tracking op websites en in apps alleen nog door de Attorney General worden ingediend, niet door particuliere eisers. Afluisterclaims onder sectie 631, bijvoorbeeld over chat- of sessie-opnametools, blijven mogelijk.

Aan de CCPA, CPRA en CIPA voldoen

Voor een Shopify-winkel draait het meeste werk om het beheersen van de cookies, pixels en scripts die op je site draaien:

• Bied een duidelijke opt-out. Voeg een link “Mijn persoonsgegevens niet verkopen of delen” toe en zorg dat advertentietags geen gegevens meer delen zodra een bezoeker zich afmeldt.
• Honoreer Global Privacy Control. Behandel een GPC-signaal uit de browser van de bezoeker als een opt-out van verkoop en delen.
• Vraag toestemming voordat er wordt getrackt. Bij de CIPA draait alles om toestemming, dus het veiligst is opt-in voor bezoekers uit Californië: blokkeer analytics, advertentiepixels, sessie-opnames en chattools die gegevens naar derden sturen tot de bezoeker akkoord gaat.
• Bewaar bewijs van toestemming. Registraties van wanneer en hoe elke bezoeker toestemming gaf, zijn je beste bewijs als je een CIPA-sommatiebrief ontvangt.
• Werk je privacyverklaring bij. Leg uit wat je verzamelt, waarom, wie het ontvangt en hoe consumenten hun rechten kunnen uitoefenen.
• Handel verzoeken van consumenten af. Beantwoord verzoeken om informatie, verwijdering en correctie binnen 45 dagen.

Een Consent Management Platform (CMP) zoals Pandectes GDPR Compliance dekt deze stappen in je webwinkel af. Het biedt een cookiebanner met een link “Mijn persoonsgegevens niet verkopen of delen” en ondersteuning voor Global Privacy Control, en je kunt het zo instellen dat bezoekers uit Californië eerst opt-in toestemming moeten geven, waarbij analytics, pixels en scripts voor sessie-opnames geblokkeerd blijven tot ze akkoord gaan. Het scant en categoriseert je cookies automatisch, maakt een cookieverklaring, houdt toestemmingslogs bij met tijdstempels en keuzes als bewijs van toestemming, en helpt je verzoeken van betrokkenen af te handelen.

De rechtspraak rond de CIPA verandert snel, dus laat je instellingen waar nodig door een jurist controleren.