Websites zijn afhankelijk van tientallen scripts, trackers en third-party tools om te functioneren. Veel van deze tools werken met persoonsgegevens op manieren die teams niet actief bewaken nadat ze zijn uitgerold.
Onder de New Jersey Data Privacy and Security Act (NJDPA) is uw organisatie verantwoordelijk voor de manier waarop u persoonsgegevens verzamelt, deelt en beschermt — ook wanneer die activiteit via third parties in de browser plaatsvindt.
Als persoonsgegevens verkeerd worden behandeld, ook als dat niet de bedoeling was, is uw bedrijf aansprakelijk, met boetes tot $10.000 voor de eerste overtreding en tot US$20.000 voor volgende overtredingen.
Omdat gebrek aan opzet of bewustzijn die verplichting niet wegneemt, vindt u hier een NJDPA-compliancygids met een overzicht van de belangrijkste vereisten, uitzonderingen en alles daartussenin.
Samenvatting
- De NJDPA stelt regels voor de manier waarop organisaties persoonsgegevens van inwoners van New Jersey verzamelen, gebruiken en beveiligen.
- Consumenten krijgen uitgebreide rechten om hun persoonsgegevens in te zien, te corrigeren, te verwijderen en te exporteren — rechten die organisaties binnen 45 dagen moeten honoreren.
- Gegevensverzameling via websites en third-party scripts zijn grote blinde vlekken waar onbewaakte activiteit kan leiden tot compliancyfouten.
- Doorlopende client-side monitoringtools helpen organisaties gegevensverzameling op hun website te minimaliseren en gevoelige gegevens te beschermen tegen skimming-aanvallen.
Geldt de NJDPA voor mijn organisatie?
Ja, als u op enige schaal omgaat met persoonsgegevens van inwoners van New Jersey.
De New Jersey Data Privacy Act is van toepassing op organisaties die:
- Bedrijfsactiviteiten uitvoeren in New Jersey
- Inwoners van New Jersey als doelgroep hebben
- Hun persoonsgegevens beheren of verwerken
Er is geen minimale omzetvereiste. Een klein bedrijf kan net zo goed onder de wet vallen als een grote onderneming.
De toepasselijkheid hangt af van het gegevensvolume, niet van de bedrijfsomvang. Uw organisatie valt onder de wet als zij in een kalenderjaar aan een van de volgende drempelwaarden voldoet:
- U beheert of verwerkt de persoonsgegevens van 100.000 of meer inwoners van New Jersey, met uitzondering van gegevens die uitsluitend worden verwerkt om betalingstransacties af te ronden
- U beheert of verwerkt de persoonsgegevens van 25.000 of meer inwoners van New Jersey en haalt inkomsten uit de verkoop van gegevens
- U genereert inkomsten en andere financiële voordelen waarbij 25% tot 50% afkomstig is uit de verkoop van persoonsgegevens
De wet is niet beperkt tot consumentgerichte merken. SaaS-bedrijven, B2B-platforms, marktplaatsen en dienstverleners kunnen allemaal binnen het toepassingsgebied vallen als zij de gegevensdrempelwaarden bereiken.
De NJDPA geldt ook voor zowel commerciële als non-profitorganisaties — een zeldzaamheid in vergelijking met privacywetten van andere staten.
Uitzonderingen van de NJDPA
De NJDPA is niet van toepassing op elke organisatie of elk type gegevens. Sommige entiteiten zijn volledig vrijgesteld, terwijl anderen alleen voor specifieke gegevenssets zijn vrijgesteld.
De wet is niet van toepassing op:
- Staats- en lokale overheidsinstanties
- Financiële instellingen en gegevens die vallen onder de Gramm-Leach-Bliley Act (GLBA)
- Gedekte entiteiten en zakelijke partners die worden gereguleerd door HIPAA
- Verzekeringsmaatschappijen en gegevens die vallen onder de verzekeringsregelgeving van New Jersey
Zelfs als uw bedrijf anderszins onder de wet valt, is de NJDPA niet van toepassing op persoonsgegevens die al worden gereguleerd door federale wetgeving, waaronder:
- Gezondheidsgegevens die vallen onder HIPAA
- Krediet-, arbeids- en achtergrondcontrolegegevens die vallen onder de FCRA
- Onderwijsdossiers die worden beschermd door FERPA
- Persoonsgegevens die worden verwerkt onder de Driver's Privacy Protection Act (DPPA)
- Gegevens die uitsluitend worden gebruikt voor arbeids- en HR-gerelateerde doeleinden
Wat is de New Jersey Data Privacy and Security Act?
De New Jersey Data Privacy Act (NJDPA) is een staatsprivacywet die regelt hoe bedrijven persoonsgegevens van inwoners van New Jersey verzamelen, gebruiken, delen en opslaan. De wet:
- Geeft inwoners van New Jersey het recht om hun persoonsgegevens in te zien, te corrigeren, te verwijderen en te kopiëren
- Beperkt hoe bedrijven persoonsgegevens verzamelen en delen, met name voor advertenties en profilering
- Houdt organisaties verantwoordelijk bij een datalek
- Verplicht tot redelijke gegevensbeveiligingspraktijken om misbruik en blootstelling te verminderen
Sancties bij niet-naleving van de NJDPA
Niet-naleving van de NJDPA kan leiden tot boetes tot $10.000 voor de eerste overtreding en tot US$20.000 voor volgende overtredingen. Daarnaast geeft de wet consumenten het recht om juridische stappen te ondernemen bij datalekken en niet-naleving. Los van juridische sancties is de reputatieschade vaak het moeilijkst te herstellen.
Waarom de client-side een privacyrisico is geworden
De client-side is een risico geworden voor privacykaders omdat bedrijven afhankelijk zijn van third-party scripts om de gebruikerservaring van websites te verbeteren en inzichten te verzamelen voor groei. Analysetools, advertentietrackers, chatbots en andere ontwikkelbibliotheken worden uitgevoerd in de browser en kunnen gebruikersinteracties openen zodra de pagina laadt.
Deze activiteit valt buiten server-side controles. Uw backend kan goed worden bewaakt, maar browsergebaseerde code kan van gedrag veranderen, nieuwe afhankelijkheden laden of gegevens elders naartoe sturen zonder melding.
JavaScript is ontworpen om dynamisch te zijn. Leveranciers kunnen scripts bijwerken, nieuwe endpoints toevoegen en gegevensverzameling uitbreiden zonder duidelijke kennisgeving.
Third-party scripts als NJDPA-compliancyrisico
Third-party scripts verzamelen en verzenden persoonsgegevens vaak op verborgen manieren. Wanneer een pagina laadt, kan een script URL's, cookies, formuliervelden en gebruikersacties uitlezen.
Verklaringen en toestemming lopen vaak uit de pas, ook als dat niet de bedoeling is. Uw privacybeleid kan bepaalde tools vermelden, maar scripts kunnen zich in de praktijk anders gedragen. Een cookiebanner kan verschijnen nadat gegevensverzameling al is begonnen. Wanneer verklaringen en werkelijk gedrag niet overeenkomen, is er geen sprake meer van compliancy.
Client-side aanvallen als NJDPA-datalekrisico
Kwaadaardige scripts en gecompromitteerde third-party tools kunnen toetsaanslagen, formulierinvoer, cookies, sessietokens en browseactiviteit vastleggen. Aanvallers kunnen code injecteren in uw pagina's en kwetsbaarheden misbruiken in scripts die u vertrouwt.
Beveiligingsfouten overlappen vaak met privacyschendingen onder de NJDPA, zoals:
- Gestolen formulierinvoer of persoonsgegevens die zonder toestemming zijn verzameld
- Gelekte cookies en sessiegegevens die de identiteit van gebruikers onthullen
- Ongeautoriseerd delen van gegevens met derden
- Scripts en plugins die gevoelige gegevens opslaan buiten wat u heeft bekendgemaakt
Het niet beschermen van client-side gegevens stelt u bloot aan boetes en juridische stappen. Voldoen aan de websitevereisten van staatsprivacywetten helpt de blootstelling te verminderen en brengt uw bedrijf in lijn met de verwachtingen van de NJDPA.
Zijn cookiebanners voldoende voor NJDPA-compliancy?
Cookiebanners alleen zijn niet voldoende om te voldoen aan de NJDPA. Ze informeren gebruikers over gegevensverzameling, maar kunnen niet voorkomen dat scripts persoonsgegevens verzenden vóór toestemming of controleren hoe leveranciers ermee omgaan. U moet nog steeds bijhouden welke gegevens worden verzameld, wie ze inziet en hoe lang ze worden bewaard.
Hoewel beveiligingsmaatregelen niet expliciet worden beschreven in Amerikaanse staatsprivacywetten, verwijzen de meeste rechtszaken tegen bedrijven naar een gebrek aan redelijke beveiligingsmaatregelen. Het aanvullen van cookiebanners met goede technische controles, monitoring en leveranciersbeheer sluit aan bij Amerikaanse privacywetten en helpt risico's te verminderen. Maar alleen een banner tonen laat u kwetsbaar voor client-side aanvallen.
Waar NJDPA-compliancyfouten optreden
Veel NJDPA-compliancyproblemen komen voort uit hiaten die u dagelijks misschien niet opmerkt. Zelfs als u denkt dat uw privacyopzet solide is, kunnen third-party scripts/trackers en realtime gegevensstromen verborgen risico's vormen.
Veelvoorkomende knelpunten zijn:
- Het niet honoreren van consumentenrechten op scriptniveau. Gebruikers kunnen toegang, correctie of verwijdering aanvragen, maar scripts blijven gegevens verzamelen.
- Gebrek aan client-side monitoring en het bijhouden van gegevensverzameling aan de browserzijde. Leveranciers kunnen persoonsgegevens verzamelen en delen zonder uw medeweten.
- Het niet implementeren van redelijke beveiligingsmaatregelen. Zwakke controles kunnen ertoe leiden dat persoonsgegevens lekken of worden gestolen.
- Onnauwkeurige en onvolledige verklaringen. Uw privacybeleid komt mogelijk niet overeen met wat scripts en tools daadwerkelijk verzamelen.
- Gebrek aan zichtbaarheid in realtime gegevensstromen en gedragswijzigingen van scripts
- Onvermogen om ongeautoriseerde scriptinjecties of -wijzigingen te detecteren of erop te reageren
- Slechte leveranciersverantwoording wanneer third-party scripts worden bijgewerkt zonder beoordeling
- Onvoldoende documentatie om doorlopende compliancy aan te tonen
- Overmatige afhankelijkheid van eenmalige audits in plaats van doorlopende monitoring
Het gebruik van een automatiseringstool voor compliancy met Amerikaanse staatsprivacywetten kan u helpen deze hiaten te identificeren. Het geeft u doorlopende zichtbaarheid in client-side risico's en helpt ervoor te zorgen dat persoonsgegevens op een compliante manier worden verwerkt.
Belangrijke NJDPA-vereisten die organisaties moeten kennen
De NJDPA richt zich op de manier waarop u persoonsgegevens verzamelt, beschermt, bekendmaakt en beheert in de dagelijkse bedrijfsvoering. Let daarom op het volgende:
Consumentenrechten en handhaving van toestemming
U moet de rechten respecteren die inwoners van New Jersey hebben over hun persoonsgegevens. Zij kunnen:
- U vragen te bevestigen of u hun gegevens bewaart
- Een kopie opvragen
- Fouten laten corrigeren
- Gegevens laten verwijderen
- Gegevens exporteren in een overdraagbaar formaat
U moet binnen 45 dagen reageren wanneer iemand een verzoek indient. De wet vereist ook uitdrukkelijke toestemming voordat gevoelige gegevens worden verwerkt of persoonsgegevens worden gebruikt voor doeleinden die geen verband houden met de reden waarvoor ze zijn verzameld.
Gegevensminimalisatie en doelbinding
U moet beperken wat u verzamelt tot wat adequaat, relevant en noodzakelijk is voor het doel dat u aan de consument heeft meegedeeld. U mag persoonsgegevens niet verwerken voor niet-gerelateerde doeleinden of voor commercieel gewin, tenzij de consument daarvoor toestemming heeft gegeven.
Transparantie en nauwkeurige verklaringen
Uw privacyverklaring moet duidelijk en toegankelijk zijn op uw website. Deze moet beschrijven:
- Welke categorieën gegevens u verzamelt
- Waarom u ze verzamelt
- Met wie u ze deelt
Ook moet worden uitgelegd hoe u consumenten op de hoogte stelt van materiële wijzigingen in uw privacypraktijken.
Toezicht op leveranciers en derden
Als u samenwerkt met verwerkers of third-party leveranciers die namens u persoonsgegevens verwerken, moet u die relaties beheren. Contracten moeten weerspiegelen hoe persoonsgegevens worden verwerkt.
Mogelijk zijn ook beoordelingen vereist voor verwerkingen die hogere risico's voor consumenten kunnen opleveren. Bovendien geldt gedurende de eerste 18 maanden, bij elke overtreding, een herstelperiode van 30 dagen om overtredingen te herstellen na ontvangst van een kennisgeving.
Officiële bronnen en overheidslinks
Hier zijn enkele officiële bronnen die u kunt raadplegen:
NJDPA-tijdlijn
- 16 januari 2024: Gouverneur Phil Murphy ondertekende Senate Bill 332, de New Jersey Data Protection Act (NJDPA), in wet.
- 15 januari 2025: De NJDPA trad in werking.
- 15 juli 2026: Deadline voor de herstelperiode van 30 dagen gedurende de eerste 18 maanden na 15 januari 2025.
Waarom de NJDPA werd ingevoerd
Gegevens zijn overal aanwezig, en de risico's ook. New Jersey introduceerde de NJDPA omdat:
- Toenemende datalekken en -inbreuken persoonlijke informatie in gevaar brengen
- Zwaar gebruik van third-party tools die gegevens verzamelen en delen zonder uitdrukkelijke toestemming en zichtbaarheid
- Consumenten meer transparantie en controle over hun gegevens verwachten
- Inconsistente privacyregels tussen staten verwarring creëren voor bedrijven
- Bedrijven niet altijd bijhouden hoe leveranciers omgaan met gedeelde gegevens
- De behoefte aan redelijke beveiligingsmaatregelen om persoonsgegevens te beschermen
- Hiaten in eerdere Amerikaanse privacywetten voor websitecompliancy die consumentenrechten onduidelijk lieten
Hoe cside organisaties helpt NJDPA-compliancy te bereiken
Transparantie in client-side gegevensstromen
- cside laat precies zien welke scripts persoonsgegevens verzamelen, welke gegevens ze verzamelen en waar die naartoe gaan. U krijgt alle benodigde inzichten om nauwkeurige verklaringen bij te houden en privacyverklaringen actueel te houden.
Gegevensminimalisatie op scriptniveau
- Scripts veranderen vaak in de loop van de tijd en beginnen meer informatie te verzamelen dan bedoeld. Onze privacycompliancysoftware voor Amerikaanse staatswetten signaleert wanneer een script zijn beoogde reikwijdte overschrijdt, zodat gegevensverzameling gericht en beperkt blijft.
Redelijke beveiligingsmaatregelen
- De AI-ondersteunde client-side beveiligingsengine van cside detecteert kwaadaardige en gemanipuleerde scripts, verdachte codewijzigingen en data-skimming-activiteit in de browser. Hiermee kunt u redelijke beveiligingsmaatregelen toepassen om persoonsgegevens te beschermen en het risico op datalekken te verminderen.
Valideer het gedrag van derden
- Doorlopende monitoring en risicoscoring volgen hoe third-party leveranciers in realtime met gegevens omgaan. U kunt afwijkingen van verwacht gedrag opsporen en onbedoelde schendingen van uw privacyverplichtingen voorkomen.
Auditklare logs en bewijsmateriaal
- cside bewaart records van verwerkingsactiviteiten en elke scriptpayload in een dashboard met historische logs. Dit geeft u het benodigde bewijsmateriaal om NJDPA-compliancy aan te tonen tijdens audits of onderzoeken.
