Californië is begonnen met de handhaving van een van de meest ambitieuze wetten voor databemiddelaars van het land, en de eerste resultaten laten al zien waar de sector tekortschiet. Het Privacy Protection Agency van de staat heeft handhavingsbevelen uitgevaardigd tegen databemiddelaars die zich niet hadden geregistreerd onder de Delete Act, en één zaak in het bijzonder, waarbij een bedrijf genaamd LocateSmarter betrokken is, heeft het doek opgetrokken over hoe registratiefouten diepere problemen kunnen maskeren met de manier waarop verzoeken van consumenten om uitschrijving en verwijdering worden afgehandeld.

Deze golf van handhaving door Californië op het gebied van databemiddelaars is ook buiten de staatsgrenzen van belang. Californië bepaalt vaak de toon voor privacyregelgeving op nationaal niveau, en hoe de CPPA deze vroege zaken aanpakt, zal waarschijnlijk bepalen hoe databemiddelaars zich in elke staat gedragen, niet alleen in de staten met hun eigen privacywetten.

Wat de Delete Act van Californië vereist van databemiddelaars

De Delete Act was opgebouwd rond een eenvoudig idee: als een bedrijf persoonlijke informatie over Californiërs koopt, verkoopt of licentieert zonder een directe relatie met die personen, telt het als een databemiddelaar en moet het zich bij de staat registreren. Registratie is niet alleen papierwerk. Het is de basis waardoor consumenten kunnen ontdekken welke bedrijven hun gegevens überhaupt bewaren, en het voedt de bredere infrastructuur voor verwijdering en uitschrijving die de wet heeft gecreëerd.

Volgens de handhavingsacties van de CPPA hebben sommige databemiddelaars zich simpelweg helemaal niet geregistreerd, waarmee ze een kernverplichting van de wet negeerden. Die enkele fout is al voldoende om handhaving te activeren, maar zoals de LocateSmarter-zaak laat zien, kan een registratieviolatie het topje van de ijsberg zijn. Zodra toezichthouders de registratiestatus van een bedrijf gaan bekijken, vinden ze vaak gerelateerde nalevingslacunes in de manier waarop dat bedrijf daadwerkelijk omgaat met verzoeken van consumenten om uit de verkoop van gegevens te stappen of hun informatie volledig te verwijderen.

Hoe de LocateSmarter-zaak lacunes in uitschrijvingsnaleving blootlegde

De LocateSmarter-beslissing is opmerkelijk omdat het verder gaat dan een simpele "u heeft zich niet geregistreerd"-overtreding. Uit het onderzoek van de CPPA bleek dat het bedrijf van consumenten eiste dat ze buitensporige persoonlijke informatie verstrekten, alleen maar om een uitschrijvings- of verwijderingsverzoek in te dienen. Dat is een aanzienlijk probleem: als een databemiddelaar meer informatie eist dan nodig is om een privacyverzoek te verwerken, creëert dat een barrière die mensen ontmoedigt om rechten uit te oefenen die de wet hen zou moeten garanderen.

Dit is het soort wrijving waar toezichthouders zich steeds meer op richten. Een databemiddelaar die technisch gezien een uitschrijvingsmechanisme aanbiedt, is niet voldoende als dat mechanisme, opzettelijk of niet, is ontworpen om het proces moeilijker te maken dan het zou moeten zijn. De LocateSmarter-zaak geeft aan dat Californische toezichthouders bereid zijn om niet alleen te onderzoeken of een bedrijf zich heeft geregistreerd, maar ook hoe bruikbaar en te goeder trouw de privacytools in de praktijk daadwerkelijk zijn.

Wat dit betekent voor uw rechten op gegevensverwijdering vandaag

Voor consumenten is deze handhavingsgolf een herinnering dat naleving door databemiddelaars niet vanzelfsprekend is, en dat u er niet zomaar vanuit moet gaan dat dit op de achtergrond gebeurt. Bedrijven die persoonlijke gegevens kopen en verkopen hebben duidelijke registratie- en uitschrijvingsverplichtingen onder de Delete Act, en toch vinden toezichthouders nog steeds bemiddelaars die de regels volledig negeren of uitschrijvingsprocessen hebben opgezet die mensen stilletjes ontmoedigen om ze te gebruiken.

Als u een verwijderings- of uitschrijvingsverzoek hebt ingediend bij een databemiddelaar en het proces verwarrend, overdreven veeleisend of niet-responsief vond, dan verbeeldt u zich dat niet. Dit zijn precies de soort praktijken waarop Californische toezichthouders zich nu richten. Het is de moeite waard om te controleren of een bedrijf waarmee u te maken hebt gehad, is geregistreerd als databemiddelaar in Californië, en als een verzoek overdreven of obstruerend aanvoelt, kan die wrijving zelf een nalevingssignaal zijn dat het waard is om te melden.

Hoe handhaving van privacy op staatsniveau zich uitbreidt buiten Californië

Californië is niet de enige die hard optreedt tegen bedrijven die consumentengegevens behandelen als een hulpbron om te gelde te maken zonder betekenisvolle transparantie of toestemming. Andere staatsprocureurs-generaal hebben soortgelijke acties ondernomen tegen bedrijven die ervan worden beschuldigd persoonlijke gegevens heimelijk te verzamelen of te gebruiken. Texas bijvoorbeeld heeft grote platforms aangepakt vanwege niet-openbaar gemaakte datapraktijken, waaronder een rechtszaak waarin de Texas AG Netflix aanklaagde over heimelijke verzameling van gebruikersgegevens, waarbij het bedrijf ervan werd beschuldigd abonnee-informatie te verzamelen en te gelde te maken zonder de juiste toestemming.

Samen genomen wijzen deze zaken op een bredere trend: staatsregulatoren behandelen registratie- en openbaarmakingsregels voor databemiddelaars niet langer als een formaliteit. Ze testen actief of de uitschrijvingsmechanismen, gegevensverzamelingspraktijken en toestemmingsprocessen van bedrijven bestand zijn tegen onderzoek, en ze zijn bereid handhavingsacties in te stellen wanneer dat niet het geval is.

Belangrijkste conclusies

De handhaving van de Delete Act in Californië staat nog in de kinderschoenen, maar de LocateSmarter-zaak laat al zien dat registratieviolaties vaak diepere uitschrijvings- en verwijderingsproblemen aan het licht brengen. Als u uw eigen gegevens wilt beschermen, wacht dan niet tot toezichthouders elke slechte speler te pakken hebben. Controleer of bedrijven die met uw informatie omgaan correct zijn geregistreerd, oefen uw uitschrijvings- en verwijderingsrechten direct uit, en verzet u als een bedrijf om meer persoonlijke informatie vraagt dan nodig lijkt om uw verzoek te verwerken. Nu de handhaving van databemiddelaars in Californië zich uitbreidt en andere staten met eigen acties volgen, blijft proactief omgaan met uw privacyrechten de meest betrouwbare manier om uw persoonlijke gegevens buiten handen te houden waarmee u nooit hebt ingestemd ze te delen.