TL;DR
- Wat is de CPA? De Colorado Privacy Act (CPA) is een uitgebreide staatsprivacywet (de derde in de VS na Californië en Virginia) die inwoners van Colorado rechten geeft over hun persoonsgegevens en opt-in-toestemming verplicht stelt voor gevoelige informatie.
- Voor wie geldt de CPA? De CPA is van toepassing op entiteiten (inclusief non-profits) die zakelijk actief zijn in Colorado of zich richten op inwoners van Colorado, en die gegevens verwerken van meer dan 100.000 consumenten per jaar, of inkomsten ontvangen uit gegevensverkoop en gegevens verwerken van meer dan 25.000 consumenten. Er is geen omzetdrempel.
- Wat maakt de CPA anders dan andere staatswetten? Colorado was de eerste staat die bedrijven verplicht stelde universele opt-outmechanismen zoals Global Privacy Control te honoreren. De wet verankert ook gegevensbeschermingsbeoordelingen en hanteert GDPR-achtige toestemmingsnormen die dubieuze toestemmingspatronen verbieden.
- Waarom is de client-side belangrijk voor de CPA? Onder de CPA zijn opt-out-compliancy en de omgang met gevoelige gegevens handhavingsprioriteiten. Third-party scripts die op uw website draaien vormen een privacy- en beveiligingsrisico dat kan leiden tot niet-naleving van de CPA.
- Waarom is de CPA relevant voor bedrijven? In aanmerking komende bedrijven onder de Colorado Privacy Act die niet aan de vereisten voldoen, kunnen financiële boetes tot $20.000 of juridische stappen van staatstoezichthouders riskeren. De CPA weerspiegelt een verschuiving bij consumenten naar het waarderen van privacy. Dit negeren riskeert verlies van consumentenvertrouwen en -loyaliteit.
Colorado wachtte niet af hoe privacyregelgeving elders zou uitpakken. In juli 2021 werd de staat de derde in de VS die een uitgebreide privacywet aannam. En op sommige punten ging Colorado verder dan Californië of Virginia.
De wet verplicht bedrijven universele opt-outsignalen te erkennen — een primeur onder de Amerikaanse staten op het moment van aanname. Ze eist GDPR-achtige toestemming die dark patterns uitdrukkelijk verbiedt. En anders dan de meeste staatsprivacywetten geldt ze ook voor non-profits.
Dit alles schept een uitdaging voor websitebeheerders: inzicht in hoe gegevens worden verwerkt wanneer gebruikers uw website bezoeken.
Third-party scripts, trackingpixels en analysetools opereren buiten uw directe controle. Toch blijft u onder de CPA verantwoordelijk voor wat zij verzamelen en of zij opt-outverzoeken respecteren.
Deze gids behandelt voor wie de CPA geldt, wat zij vereist, en waar en hoe client-side zichtbaarheid past binnen compliancy.
Wat is de Colorado Privacy Act?
De Colorado Privacy Act [SB 21-190] legt privacyrechten vast voor inwoners van Colorado en bijbehorende verplichtingen voor bedrijven die hun gegevens verzamelen. Gouverneur Jared Polis ondertekende de wet op 7 juli 2021, hoewel de meeste bepalingen op 1 juli 2023 in werking traden.
De wet geeft consumenten vijf hoofdrechten:
- Inzage - Bevestigen of een bedrijf hun gegevens bezit en een kopie opvragen
- Correctie - Onjuiste persoonsgegevens laten corrigeren
- Verwijdering - Verzoeken om verwijdering van hun persoonsgegevens
- Overdraagbaarheid - Hun gegevens ontvangen in een bruikbaar formaat
- Opt-out - Gerichte advertenties, gegevensverkoop en bepaalde profilering weigeren
Zoals alle andere privacykaders verwacht de CPA van bedrijven dat zij transparantie, dataminimalisatie, doelbinding en beveiliging betrachten bij de verwerking van persoonsgegevens. Dit omvat het tonen van duidelijke privacyverklaringen, het verkrijgen van geldige toestemming vóór de verwerking van gevoelige gegevens, het uitvoeren van risicobeoordelingen voor gevoelige gegevensverwerking en het honoreren van opt-outverzoeken, zoals die afkomstig zijn van universele browsersignalen.
Overtredingen kunnen worden gehandhaafd via misleidende handelspraktijken onder Colorado-recht. Boetes lopen op tot $20.000 per overtreding en kunnen veel hoger uitvallen bij een reeks overtredingen.
Hoe weet ik of de CPA van toepassing is op mijn organisatie?
De CPA is van toepassing op elke entiteit (profit of non-profit) die aan beide volgende voorwaarden voldoet:
1) Nexus met Colorado
U voert zakelijke activiteiten uit in Colorado, of u produceert of levert commerciële producten of diensten die uitdrukkelijk gericht zijn op inwoners van Colorado.
2) Drempelwaarde voor gegevensvolume (voldoe aan één van beide)
- U verwerkt persoonsgegevens van 100.000 of meer Colorado-consumenten per jaar
- U ontvangt inkomsten (of kortingen) uit de verkoop van persoonsgegevens en verwerkt gegevens van 25.000 of meer consumenten
Een aantal aandachtspunten:
- Er is geen omzetdrempel. Anders dan de Californische CCPA, die bedrijven met minder dan $25 miljoen jaaromzet vrijstelt, kent de CPA geen dergelijke ondergrens. Een klein bedrijf dat voldoende consumentengegevens verwerkt, valt binnen de reikwijdte.
- Non-profits zijn inbegrepen. De meeste staatsprivacywetten stellen non-profits vrij; Colorado doet dat niet.
- De definitie van Consument is beperkt. De CPA beschermt inwoners van Colorado die handelen in een persoonlijke of huishoudelijke hoedanigheid; niet werknemers, sollicitanten of B2B-contacten.
Uitzonderingen op de CPA
- Overheidsinstanties of instellingen voor hoger onderwijs zoals universiteiten
- Entiteiten die al worden gereguleerd onder de GLBA (financiële instellingen), HIPAA (gezondheidszorg) of de Fair Credit Reporting Act
- Luchtvaartmaatschappijen die onder FAA-regelgeving vallen
- Gegevens die al worden beheerst door COPPA, FERPA of bepaalde federale onderzoeksbeschermingen
De uitzonderingen gelden op gegevensniveau. Als uw organisatie gegevens beheert onder meerdere regelgevingskaders, kunt u nog steeds CPA-verplichtingen hebben voor consumentengegevens die niet onder andere regelgevingskaders vallen.
Wat zijn de belangrijkste vereisten van de CPA?
1. Duidelijke en informatieve privacyverklaringen
De CPA vereist een "redelijk toegankelijke, duidelijke en betekenisvolle" privacyverklaring. Standaardteksten volstaan niet.
Uw verklaring moet bevatten:
- Categorieën persoonsgegevens die u verzamelt
- Doeleinden van de verwerking
- Hoe consumenten hun rechten kunnen uitoefenen (en bezwaar kunnen maken tegen weigeringen)
- Categorieën gegevens die worden gedeeld met derden
- Wie die derden zijn, per categorie
U moet duidelijk vermelden of u gegevens verkoopt of gebruikt voor gerichte advertenties, en uitleggen hoe consumenten zich kunnen afmelden.
2. Uitdrukkelijke toestemming voor het verzamelen van gevoelige gegevens
Vóór de verwerking van gevoelige gegevens heeft u opt-in-toestemming nodig. De CPA beschouwt gegevens als "gevoelig" als ze het volgende onthullen:
- Ras of etnische afkomst,
- Religieuze overtuigingen,
- Geestelijke of lichamelijke gezondheidstoestand,
- Seksleven of seksuele geaardheid,
- Staatsburgerschap of immigratiestatus,
- Genetische gegevens,
- Biometrische identificatoren voor identificatiedoeleinden, en
- Gegevens van kinderen onder de 13 jaar.
Toestemming onder de CPA moet "vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig" zijn. Deze formulering is ontleend aan de AVG.
Het accepteren van de algemene gebruiksvoorwaarden geldt niet als toestemming. Evenmin het hoveren over, dempen of sluiten van content.
Dit is strenger dan de meeste Amerikaanse staatswetten. Onder de CPA bieden vooraf aangevinkte vakjes, verwarrende interfaces of verborgen vermeldingen geen rechtsgeldige basis voor de verwerking van gevoelige informatie.
3. Universele opt-outsystemen
Sinds 1 juli 2024 moeten controllers universele opt-outsignalen honoreren, zoals Global Privacy Control (GPC).
Wanneer de browser van een gebruiker een GPC-signaal verzendt, moet u dit behandelen als een geldig opt-outverzoek voor gerichte advertenties of de verkoop van persoonsgegevens.
Het Colorado Department of Law houdt een lijst bij van erkende opt-outmechanismen. Bedrijven zijn verplicht in hun privacyverklaring uit te leggen hoe zij met deze signalen omgaan.
4. Gegevensbeschermingsbeoordelingen
U moet een gegevensbeschermingsbeoordeling uitvoeren en documenteren voor verwerkingsactiviteiten die als hoog risico worden beschouwd. De beoordeling moet worden uitgevoerd vóórdat de verwerking begint.
De beoordeling moet de voordelen afwegen tegen mogelijke schade en de aanwezige waarborgen documenteren. Deze documenten moeten worden bewaard en kunnen door de Attorney General worden opgevraagd tijdens een onderzoek.
5. Verwerkersovereenkomsten
De meeste moderne websites maken gebruik van leveranciers (verwerkers) voor de omgang met persoonsgegevens. Denk aan chatbots, analysetools, advertentietools en zelfs ontwikkelaarsbibliotheken die ontwikkelaars aan een website toevoegen. Voor deze verwerkers heeft u schriftelijke overeenkomsten nodig die het volgende specificeren:
- De aard en het doel van de verwerking
- Het type betrokken gegevens
- De duur van de verwerking
- Verplichtingen inzake vertrouwelijkheid, beveiliging en beheer van subverwerkers
De meeste websitetools (Meta, Google Analytics, Cloudflare) beschikken over gestandaardiseerde "DPA's" of Data Processing Agreements die u kunt raadplegen zonder individuele contracten te hoeven opstellen. Het blijft echter uw verantwoordelijkheid om te controleren of die websitetools zich daadwerkelijk gedragen zoals ze beweren — wat niet altijd het geval is door kwaadaardige code-injecties of misconfiguraties.
De client-side is een modern risicooppervlak voor de CPA
De client-side is een primair risicooppervlak voor overtredingen van de Colorado Privacy Act (CPA), omdat de meeste verzameling van persoonsgegevens tegenwoordig rechtstreeks plaatsvindt in de browser van de gebruiker, buiten het zicht van traditionele privacybeheersoftware.
Third-party scripts vormen een privacycompliancy-risico voor de CPA:
Onder de CPA bent u de Controller voor scripts op uw site. Dit legt de aansprakelijkheid bij u voor alle tools die u aan uw website toevoegt. U wordt geacht inzicht in en controle te hebben over hoe deze scripts omgaan met persoonsgegevens.
- Moderne websites serveren hun gebruikers meerdere third-party scripts: chatbots, analysetools, ontwikkelaarsbibliotheken die in browsers laden, en meer.
- Deze scripts draaien doorgaans zonder enige privacy- of beveiligingsbeoordeling en verzamelen IP-adressen, identificatoren, formulierinvoer of gedragssignalen die als persoonsgegevens gelden.
- Onder de CPA is de organisatie de "controller" omdat zij besluit deze scripts te gebruiken en er voordeel uit haalt.
- Als scripts meer gegevens verzamelen dan in de privacyverklaring is vermeld, schendt uw organisatie de doelbindings- en transparantieregels van de CPA, inclusief onbedoelde "gerichte advertenties" of "gegevensverkoop".
Client-side aanvallen vormen een risico op datalekken onder de CPA
- Client-side aanvallen (zoals Magecart of JavaScript-code-injectie) bedreigen de CPA-compliancy rechtstreeks doordat zij persoonsgegevens stelen.
- De CPA vereist uitdrukkelijk "redelijke administratieve, technische en fysieke gegevensbeveiligingspraktijken." Het niet monitoren van de client-side voldoet niet aan deze wettelijke verplichting.
- Grote privacyboetes zoals de £20 miljoen AVG-boete voor British Airways werden opgelegd als gevolg van een websitegegevenslek.
- Uw serverbeveiliging, encryptie en interne toegangscontroles beschermen u niet tegen client-side aanvallen. Bij deze aanvalsvector wordt code op uw website geïnjecteerd die gegevens naar aanvallerservers exfiltreert zonder dat traditionele beveiligingstools dit opmerken.
Zijn cookiebanners voldoende voor compliancy met de Colorado Privacy Act?
Nee. Banners zijn een belangrijk onderdeel van websiteprivacycompliancy, maar voldoen op zichzelf niet aan alle vereisten. Cookiebanners monitoren niet hoe third-party scripts zich tijdens runtime gedragen en hebben beperkte handhavingsmogelijkheden. Bovendien zijn toestemmingsbeheertools niet gebouwd om client-side aanvallen te weren of te dienen als technische waarborg tegen datalekken.
Waar compliancyfouten met de CPA doorgaans optreden
Browsersgebaseerde opt-outs negeren
De meest voorkomende fout bij privacykaders zoals de CPA is dat websites opt-outopties aanbieden maar de gegevensverzameling feitelijk niet stoppen wanneer gebruikers van die opties gebruikmaken.
Dit is vaker het gevolg van een technische misconfiguratie dan van kwade opzet van de websitebeheerder.
Wanneer een gebruiker GPC inschakelt, kan uw cookiebanner dit detecteren en registreren, maar uw advertentiepixels en third-party scripts blijven gewoon draaien omdat ze niet zijn geconfigureerd om het signaal te respecteren.
Dit telt als een overtreding onder de CPA.
Een illustratief voorbeeld is de schikking van $1,2 miljoen met Sephora in Californië in 2022, die precies om dit probleem draaide. Dit was onder de CPRA (een andere Californische wet), maar de onderliggende juridische verwachtingen zijn dezelfde. Sephora vertelde gebruikers dat ze zich konden afmelden voor gegevensverkoop, maar bleef gegevens delen met advertentiepartners. Colorado handhaaft hetzelfde principe.
Lekkage van gevoelige gegevens via scripts
Gezondheidsinformatie, locatiegegevens en andere gevoelige categorieën belanden vaak op plaatsen waar ze niet thuishoren. Meestal niet omdat iemand ze bewust heeft gedeeld, maar omdat een trackingpixel formulierinvoer heeft vastgelegd of een third-party script toegang heeft gekregen tot pagina-inhoud waarvoor het niet bedoeld was.
De FTC-acties tegen GoodRx en BetterHelp laten het patroon zien. Beide bedrijven gebruikten standaard advertentiepixels op hun platforms, maar die pixels legden gezondheidsgerelateerde informatie vast en stuurden die door naar advertentienetwerken. Geen van beide bedrijven had dit beoogd, maar beide kregen te maken met handhavingsacties en aanzienlijke boetes.
Onder de CPA is de verwerking van gevoelige gegevens zonder toestemming een overtreding, ongeacht de intentie. U bent verantwoordelijk als scripts op uw site gevoelige informatie vastleggen.
Onvolledige of misleidende privacyverklaringen
U wilt niet dat uw privacyverklaring stelt dat u alleen gegevens verzamelt voor noodzakelijke analyses, terwijl uw tagmanager tientallen scripts laadt die gebruikers over het web volgen.
Dit verschil creëert twee problemen:
- Uw verklaring beschrijft uw gegevenspraktijken niet nauwkeurig (transparantieovertreding)
- U verwerkt mogelijk gegevens voor doeleinden waarmee consumenten nooit hebben ingestemd (doelbindingsovertreding)
De CPA vereist dat uw vermeldingen overeenkomen met de werkelijkheid. De meeste websiteteams weten niet welke third-party scripts toegang hebben tot gegevens of hoe zij zich achter de schermen gedragen.
Third-party scripts veranderen regelmatig van gedrag wanneer leveranciers hun code bijwerken. Helaas ziet u die wijzigingen niet rechtstreeks. De reikwijdte van gegevensverwerking op uw website kan veranderen, waardoor uw privacyvermeldingen onnauwkeurig worden zonder dat uw team dit opmerkt.
Officiële CPA-bronnen en overheidslinks
- Colorado Attorney General - CPA-hoofdpagina - Overzicht, veelgestelde vragen, handhavingsbrieven en erkende universele opt-outmechanismen
- Colorado Revised Statutes § 6-1-1301 e.v. - Volledige wettekst
- CPA-regels (4 CCR 904-3) - Uitvoeringsregels met technische specificaties
Lijst van universele opt-outmechanismen - Erkende mechanismen die controllers moeten honoreren
Hoe cside organisaties helpt te voldoen aan de Colorado Privacy Act
cside Privacy Watch bewaakt een risicooppervlak dat traditionele privacybeheersoftware mist: wat er daadwerkelijk wordt uitgevoerd in de browser van de gebruiker. Gegevensverzameling door externe leveranciers wordt nauwlettend gemonitord en uw team wordt onmiddellijk gewaarschuwd zodra er een wijziging is die kan leiden tot een privacyovertreding of blootstelling aan een datalek.
Toezicht op third-party tools
Veel compliancyfouten zijn terug te voeren op externe leveranciers. cside valideert dat third-party scripts zich gedragen zoals bedoeld binnen uw privacyverwachtingen.
Inzicht in websitegegevensverzameling
- cside biedt een helder overzicht van welke scripts op uw website actief zijn, welke gegevens zij raadplegen en waarheen die gegevens worden verzonden. Dit helpt teams nauwkeurige registraties van gegevensverzameling bij te houden en ondersteunt duidelijke, actuele privacyvermeldingen.
Dataminimalisatie en doelbinding
- Naarmate third-party tools in de loop van de tijd veranderen, kunnen zij meer gegevens gaan verzamelen dan oorspronkelijk bedoeld. Leverancierscode wordt bijgewerkt zonder dat uw team dit opmerkt. cside signaleert deze wijzigingen, zodat u onnodige gegevensverzameling kunt identificeren.
Bewijs van redelijke beveiligingswaarborgen
- De CPA vereist dat organisaties redelijke maatregelen nemen om persoonsgegevens te beschermen. cside monitort op verdacht scriptgedrag, ongeautoriseerde wijzigingen en patronen van gegevensexfiltratie om datalekken door client-side aanvallen te voorkomen.
AI-ondersteunde documentatievoorbereiding
- cside houdt gedetailleerde registraties bij van scriptactiviteit, configuratiewijzigingen en gegevensverwerkingsgedrag. AI wordt ingezet om handmatige documentatie voor compliancyteams te verminderen door deze gegevens om te zetten in regelgevingsspecifieke formats.
U kunt beginnen met ons gratis abonnement of een demo boeken om te zien hoe client-side zichtbaarheid uw CPA-compliancyprogramma ondersteunt.
Hoe cside organisaties helpt te voldoen aan de Colorado Privacy Act
cside Privacy Watch bewaakt een risicooppervlak dat traditionele privacybeheersoftware mist: wat er daadwerkelijk wordt uitgevoerd in de browser van de gebruiker. Gegevensverzameling door externe leveranciers wordt nauwlettend gemonitord en uw team wordt onmiddellijk gewaarschuwd zodra er een wijziging is die kan leiden tot een privacyovertreding of blootstelling aan een datalek.
Toezicht op third-party tools
- Veel compliancyfouten zijn terug te voeren op externe leveranciers. cside valideert dat third-party scripts zich gedragen zoals bedoeld binnen uw privacyverwachtingen.
Inzicht in websitegegevensverzameling
- cside biedt een helder overzicht van welke scripts op uw website actief zijn, welke gegevens zij raadplegen en waarheen die gegevens worden verzonden. Dit helpt teams nauwkeurige registraties van gegevensverzameling bij te houden en ondersteunt duidelijke, actuele privacyvermeldingen.
Dataminimalisatie en doelbinding
- Naarmate third-party tools in de loop van de tijd veranderen, kunnen zij meer gegevens gaan verzamelen dan oorspronkelijk bedoeld. Leverancierscode wordt bijgewerkt zonder dat uw team dit opmerkt. cside signaleert deze wijzigingen, zodat u onnodige gegevensverzameling kunt identificeren.
Bewijs van redelijke beveiligingswaarborgen
- De CPA vereist dat organisaties redelijke maatregelen nemen om persoonsgegevens te beschermen. cside monitort op verdacht scriptgedrag, ongeautoriseerde wijzigingen en patronen van gegevensexfiltratie om datalekken door client-side aanvallen te voorkomen.
AI-ondersteunde documentatievoorbereiding
- cside houdt gedetailleerde registraties bij van scriptactiviteit, configuratiewijzigingen en gegevensverwerkingsgedrag. AI wordt ingezet om handmatige documentatie voor compliancyteams te verminderen door deze gegevens om te zetten in regelgevingsspecifieke formats.
Geautomatiseerde websiteprivacycompliancy met cside
U kunt beginnen met ons gratis abonnement of een demo boeken om te zien hoe client-side zichtbaarheid uw CPA-compliancyprogramma ondersteunt.
