Voldoen aan de Tennessee Information Protection Act (TIPA)
Pandectes GDPR Compliance helpt Shopify-winkels te voldoen aan de eisen van de TIPA door cookietoestemming, opt-outs voor gerichte advertenties en verkoop, en privacyverzoeken van consumenten te beheren.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de TIPA?
De Tennessee Information Protection Act (TIPA) is de uitgebreide consumentenprivacywet van Tennessee. De wet werd aangenomen als House Bill 1181, in mei 2023 ondertekend en is vastgelegd in Tennessee Code Annotated § 47-18-3201 en de daaropvolgende artikelen. Net als de privacywetten van Virginia en andere Amerikaanse staten geeft de wet inwoners rechten over hun persoonsgegevens en stelt ze regels voor de bedrijven die die gegevens verzamelen.
Onder de TIPA hebben consumenten in Tennessee het recht om:
- Te laten bevestigen of een bedrijf hun persoonsgegevens verwerkt, en die in te zien
- Onjuistheden in hun persoonsgegevens te laten corrigeren
- Persoonsgegevens te laten verwijderen die ze zelf hebben verstrekt of die over hen zijn verkregen
- Een overdraagbare kopie te krijgen van de persoonsgegevens die ze hebben verstrekt
- Zich af te melden (opt-out) voor de verkoop van hun persoonsgegevens, gerichte advertenties en profilering met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen
De TIPA behandelt sommige informatie ook als gevoelige gegevens, waaronder ras of etnische afkomst, religieuze overtuigingen, medische diagnoses, seksuele geaardheid, staatsburgerschap of verblijfsstatus, genetische of biometrische gegevens die worden gebruikt om iemand te identificeren, precieze geolocatie en persoonsgegevens die zijn verzameld van een kind van wie bekend is dat het een kind is.
Voor wie geldt de TIPA?
De TIPA geldt voor bedrijven die actief zijn in Tennessee of producten of diensten richten op inwoners van Tennessee, meer dan $25 miljoen omzet hebben, en ofwel in een kalenderjaar de persoonsgegevens van ten minste 175.000 consumenten in Tennessee verwerken, ofwel de persoonsgegevens van ten minste 25.000 consumenten verwerken en meer dan 50% van hun bruto-omzet halen uit de verkoop van persoonsgegevens.
Non-profitorganisaties, instellingen voor hoger onderwijs, financiële instellingen die onder de Gramm-Leach-Bliley Act vallen, verzekeraars met een vergunning, en organisaties en zakelijke partners die onder HIPAA vallen, zijn uitgezonderd.
Wat gebeurt er als ik me niet aan de TIPA houd?
Alleen de Attorney General van Tennessee is bevoegd om de TIPA te handhaven. De belangrijkste punten:
- Hersteltermijn: voordat de Attorney General een zaak begint, moet hij schriftelijk melding maken en 60 dagen geven om de overtreding te herstellen. Deze hersteltermijn is permanent en vervalt niet.
- Civiele boetes: een rechter kan tot $7.500 per overtreding opleggen.
- Drievoudige schadevergoeding: bij opzettelijke of bewuste overtredingen kan een rechter drie keer de schade toekennen.
- Kosten: de Attorney General kan redelijke advocaatkosten en onderzoekskosten verhalen.
- Geen eigen vorderingsrecht: consumenten kunnen een bedrijf niet rechtstreeks op grond van de TIPA aanklagen.
De TIPA geeft bedrijven ook een verweer (affirmative defense) als ze een schriftelijk privacyprogramma hebben dat redelijkerwijs aansluit bij het NIST Privacy Framework of vergelijkbare gedocumenteerde normen, dat programma actueel houden en consumenten de rechten geven die de wet vereist.
Wanneer ging de TIPA in?
De TIPA is op 1 juli 2025 in werking getreden. Bedrijven die aan de drempels voldoen, moeten de wet nu naleven.
Aan de TIPA voldoen
Voldoet je webwinkel aan de drempels van de TIPA, dan ziet het werk dat voor cookies en tracking het meest telt er zo uit:
- Bied een opt-out voor gerichte advertenties en verkoop. Advertentiepixels en tags die bezoekers over andere websites volgen, gelden meestal als gerichte advertenties. De TIPA verplicht je om deze verwerking duidelijk en opvallend te vermelden, en uit te leggen hoe consumenten zich kunnen afmelden. Een zichtbare opt-outlink en een cookiebanner met duidelijke keuzes zijn de gebruikelijke manier om dat te doen. De TIPA verplicht bedrijven niet om universele opt-outsignalen zoals Global Privacy Control te respecteren.
- Vraag opt-in-toestemming voor gevoelige gegevens. Je mag geen gevoelige gegevens, zoals precieze geolocatie, verwerken zonder toestemming van de consument. Gegevens van een kind van wie bekend is dat het een kind is, moeten worden behandeld volgens de federale Children’s Online Privacy Protection Act.
- Publiceer een duidelijke privacyverklaring. Daarin moet staan welke categorieën persoonsgegevens je verwerkt, waarom je ze verwerkt, welke categorieën je verkoopt en aan welke derden, en hoe consumenten hun rechten kunnen uitoefenen en bezwaar kunnen maken tegen je besluiten.
- Handel verzoeken van consumenten op tijd af. Bied ten minste één veilige en betrouwbare manier om verzoeken in te dienen, zonder dat er een nieuw account nodig is. Reageer binnen 45 dagen, eenmaal te verlengen met nog eens 45 dagen als dat redelijkerwijs nodig is, en beantwoord bezwaren binnen 60 dagen.
- Documenteer je privacyprogramma. Als je het afstemt op het NIST Privacy Framework, kun je je beroepen op het hierboven beschreven verweer.
Om dit eenvoudiger te maken, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Het is gemaakt voor Shopify-winkels en biedt een cookiebanner met opt-outopties voor Amerikaanse staten, een link “Do not sell or share my personal information”, automatisch scannen en indelen van cookies, een cookieverklaring, toestemmingslogs en de afhandeling van verzoeken van betrokkenen. Met bannerinstellingen per regio toon je bezoekers uit Tennessee de juiste ervaring op basis van hun locatie.
Wil je weten hoe de wet tot stand kwam? Lees ons artikel De invoering van de Information Protection Act in Tennessee (in het Engels).
Elk bedrijf is anders, dus bekijk je verplichtingen onder de TIPA waar nodig samen met een jurist.