De Algemene verordening gegevensbescherming (GDPR) van de Europese Unie en de California Consumer Privacy Act (CCPA) behoren tot de meest verstrekkende en bekendste privacywetten ter wereld. Ze hebben andere wettelijke kaders voor de bescherming van gebruikersgegevens en privacy geïnspireerd. Wie aan de ene wet voldoet, zet daarmee al stappen richting naleving van het andere privacykader, maar de twee verschillen in technische implementatie, reikwijdte en handhaving.
Voor interne IT-teams en managed service providers (MSP’s) kan het behalen en behouden van compliance met deze wettelijke kaders een flinke uitdaging zijn. Een vergelijking van CCPA vs GDPR helpt om beide wetten te begrijpen (net als andere internationale wetten die de rechten van gebruikers op hun gegevens beschermen) en om de processen en technologieën in te richten die nodig zijn om aan de eisen te voldoen.
Wat zijn GDPR en CCPA en waarom zijn ze belangrijk?
GDPR (van kracht sinds 2018) en CCPA (ingevoerd in 2020) geven gebruikers allebei bepaalde rechten over hun persoonsgegevens. Daarnaast bepalen ze hoe organisaties – inclusief de techteams die hun IT-infrastructuur beheren – die gegevens moeten beschermen en welke mechanismen ze gebruikers moeten bieden om die rechten uit te oefenen.
Deze rechten omvatten in grote lijnen de mogelijkheid voor gebruikers om te verzoeken hun gegevens te laten corrigeren of verwijderen en om te voorkomen dat die zonder hun toestemming aan andere partijen worden doorgegeven. Doet u dat niet, dan kan dat onder beide wetten leiden tot aanzienlijke juridische sancties. Compliance is dus cruciaal voor elk bedrijf dat actief is in de EU of in Californië, twee van de grootste markten voor digitale diensten.
Wat is het verschil tussen compliance met GDPR en CCPA?
GDPR en CCPA zijn twee afzonderlijke wettelijke kaders die gelden voor verschillende rechtsgebieden en verschillende eisen stellen. Hun doelen lijken op elkaar, maar hun compliance-eisen, reikwijdte en definities verschillen en ze kennen gebruikers andere rechten toe.
Elke organisatie die haar wettelijke compliance plant (waaronder CCPA en GDPR) moet de officiële juridische bronnen van die wetten raadplegen (zie hier voor GDPR en hier voor CCPA) en juridische experts uit de eigen sector inschakelen. Vertrouwen op interpretaties van derden kan leiden tot onbedoelde non-compliance.
CCPA vs GDPR: reikwijdte en toepasselijkheid
De onderstaande tabel vat de reikwijdte en toepasselijkheid van CCPA en GDPR samen. Houd er rekening mee dat het verstandig is dat organisaties die de drempels voor deze privacywetten niet halen, er toch aan voldoen. Zo kunnen ze samenwerken met bedrijven die compliance wél verplicht zijn en zijn ze al compliant op het moment dat ze opschalen.
| Aspect | CCPA (Californië) | GDPR (Europese Unie) |
|---|---|---|
| Wie moet voldoen? | Organisaties die persoonsgegevens van inwoners van Californië verwerken | Organisaties die persoonsgegevens verwerken van inwoners van een land binnen de Europese Unie (EU) |
| Welke soorten bedrijven moeten compliant zijn? | Commerciële bedrijven die de drempels halen | Alle organisaties die persoonsgegevens verwerken |
| Drempels | Meer dan 25 miljoen USD omzet of het verwerken van persoonsgegevens van meer dan 100.000 inwoners per jaar | Geldt op basis van activiteit in plaats van drempels |
| Wie handhaaft de wet? | California Privacy Protection Agency (CPPA) | Nationale toezichthouders voor gegevensbescherming (DPA’s) |
Let op: u moet aan CCPA en GDPR voldoen ongeacht waar uw bedrijf gevestigd is. Bepalend is waar de gebruiker zich bevindt op wie de gegevens betrekking hebben, niet waar uw bedrijf actief is.
Welke persoonsgegevens moet ik beschermen onder CCPA en GDPR?
Wettelijke kaders definiëren “persoonsgegevens” verschillend. Omdat dit bepaalt wat als persoonsgegevens geldt, beïnvloedt het ook hoe u die gegevens moet verwerken, opslaan en beschermen, afhankelijk van waar uw gebruikers zich bevinden.
| Criteria | CCPA | GDPR |
|---|---|---|
| Persoonlijke informatie | Informatie die een specifieke consument of huishouden identificeert | Alle gegevens waarmee een persoon kan worden geïdentificeerd |
| Bijzondere/gevoelige gegevens (met extra bescherming) | Uitgebreid via CPRA met gegevens zoals opleiding, locatie en werk | Bijzondere categorieën zoals gegevens over gezondheid, politieke voorkeur, biometrie en religie |
Om persoonlijk identificeerbare informatie (PII) in uw opgeslagen gegevens te herkennen, heeft u tools voor data discovery nodig die zowel met gestructureerde als ongestructureerde gegevens werken. Zo vindt en werkt u alle vindplaatsen bij wanneer een gebruiker vraagt om informatie te laten schrappen of corrigeren.
Rechten van consumenten en betrokkenen onder CCPA en GDPR
CCPA beschermt de rechten van de ‘consument’: inwoners van Californië die gegevens hebben verstrekt aan bedrijven die onder de wet vallen. GDPR beschermt de rechten van ‘betrokkenen’, oftewel iedere inwoner van een EU-land, ongeacht nationaliteit.
Consumenten en betrokkenen hebben binnen hun respectieve kaders verschillende rechten. Opvallend is dat CCPA voor de meeste verwerkingen en gegevensdeling uitgaat van een opt-outmodel (behalve voor consumenten onder de 16 jaar), terwijl GDPR organisaties altijd verplicht om expliciete toestemming te vragen voor specifieke activiteiten.
| Recht van consument/betrokkene | CCPA | GDPR |
|---|---|---|
| Inzage in de eigen persoonsgegevens | Ja | Ja |
| Gegevens laten corrigeren | Ja (toegevoegd via CPRA) | Ja |
| Gegevens laten verwijderen (recht op vergetelheid) | Beperkt | Ruim, met specifieke uitzonderingen, bijvoorbeeld voor gezondheidsgegevens of informatie van algemeen belang |
| Dataportabiliteit (gegevens overdragen aan een andere verwerkingsverantwoordelijke) | Ja | Ja |
| Verkoop/deling van gegevens weigeren | Opt-out | Niet nodig, omdat toestemming vereist is om deel te nemen |
| Toestemming vóór verwerking | Doorgaans impliciet | Moet expliciet en specifiek zijn |
CCPA vs GDPR: rechtsgrondslag voor verwerking
Onder CCPA is geen rechtsgrondslag vereist voor het verwerken van persoonsgegevens (al gelden er wel beperkingen), maar het bedrijf moet bekendmaken hoe de gegevens worden gebruikt en de consument de mogelijkheid bieden om zich af te melden. GDPR staat verwerking alleen toe op basis van een van zes vastgelegde grondslagen.
Dat heeft gevolgen voor de omgang met gevoelige gegevens, zeker bij betrokkenen die onder de GDPR vallen, omdat de rechtsgrondslag of vastgelegde toestemming per gebruiker en per gegeven moet worden bijgehouden en bewaard.
Handhaving en boetes
CCPA kent een maximale boete van 2.500 USD per onopzettelijke overtreding of 7.500 USD per opzettelijke overtreding. Boetes onder de GDPR lopen uiteen van maximaal 10 miljoen euro of 2% van de jaaromzet tot 20 miljoen euro of 4% van de jaaromzet, afhankelijk van de ernst van de overtreding. Daarom is het voor bedrijven die onder CCPA of GDPR vallen noodzakelijk om alle beleidsregels voor gegevensbescherming te documenteren en alle activiteiten te loggen, zodat ze hun compliance kunnen aantonen.
Technische eisen en controlemaatregelen
Het beschermen van gevoelige gegevens vraagt om een aantal belangrijke technologieën die zowel CCPA als GDPR verplicht stellen:
- Toegangscontrole op gegevens: rolgebaseerde rechten, multi-factor authentication (MFA), het principe van minste voorrecht (PoLP)
- Versleuteling: verplicht voor beschermde gegevens tijdens transport en in rust
- Audit logging: verplicht voor toegang tot gegevens en verwerkingsactiviteiten
- Opvolging van verzoeken van betrokkenen (DSR)/inzageverzoeken (SAR): 45 dagen (CCPA), 30 dagen (GDPR)
- Dataminimalisatie: verplicht onder de GDPR, aanbevolen voor CCPA
Er zijn diverse tools waarmee u uw IT-infrastructuur kunt inrichten om compliance te ondersteunen: Azure AD en Okta voor identity and access management om gegevens te beschermen, Microsoft Purview en Symantec DLP voor data loss prevention, OneTrust en TrustArc als populaire oplossingen voor consent management en DataGrail en Microsoft Compliance Center voor het automatiseren van DSR’s.
GDPR en CCPA: een blijvende uitdaging voor IT-beheerders en MSP’s
Uw verantwoordelijkheid voor de beschermde gegevens van uw gebruikers houdt niet op zodra die gegevens uw handen verlaten: u blijft aansprakelijk wanneer u ze deelt met organisaties die niet verantwoord met gegevens omgaan. Daarvoor zijn verwerkersovereenkomsten (DPA’s) nodig waarin precies staat hoe gebruikersgegevens mogen worden gebruikt. Uw gebruikers moeten bovendien op de hoogte worden gebracht van elke gegevensdeling met derden volgens die overeenkomsten. Ook moet u een actuele lijst bijhouden van alle partijen met wie u gegevens deelt.
Privacywetgeving is daarnaast volop in beweging: bestaande wetten worden aangepast en er komen nieuwe kaders in landen of staten die gebruikersgegevens eerder niet wettelijk beschermden. U moet dus voortdurend beoordelen wie uw gebruikers zijn, welke wetten op hen van toepassing zijn en of er nieuwe compliance-eisen gelden voor het opslaan of verwerken van hun gegevens.
De keuze van uw tools is bepalend voor volledige compliance: gebruikers moeten hun gegevens niet alleen eenvoudig kunnen laten aanpassen of verwijderen, alle gegevens moeten die wijziging weerspiegelen, ook de gegevens in back-ups. Shadow IT vormt eveneens een uitdaging, want gegevens zijn lastig te beschermen wanneer medewerkers ze zonder uw toezicht uploaden naar diensten van derden.
NinjaOne biedt een uitgebreid platform voor IT-beheer, met Backup om gegevens te beschermen, monitoringtools om misbruik van gegevens en mogelijke beveiligingsinbreuken op te sporen en integratie met oplossingen voor eindpuntbeveiliging. NinjaOne brengt het overzicht over uw volledige IT-infrastructuur en IT-activiteiten samen in één interface en biedt automatiseringstools die helpen om compliant te blijven.
Praat vandaag nog met een medewerker van het NinjaOne-team en ontdek hoe wij u helpen om volledig te voldoen aan de privacywetgeving.
