New Jersey sluit zich aan bij de lappendeken van privacywetten op staatsniveau

De Consumer Data Privacy Law van New Jersey, formeel aangeduid als PL 2023, c. 266 (NJDPL), plaatst de staat in een groeiend aantal rechtsgebieden die inwoners formele controle over hun persoonsgegevens geven. Volgens een juridische analyse van Stauss PLLC weerspiegelt de wet over het algemeen de structuur van de privacywet van Virginia, een van de vroegste en meest gekopieerde sjablonen in het land. Maar dezelfde analyse wijst op iets wat de aandacht verdient: hele paragrafen en bepalingen die in wetten zoals die van Connecticut voorkomen, ontbreken in de versie van New Jersey.

Dat onderscheid is van belang. Naarmate meer staten hun eigen privacywet voor consumenten aannemen, verschillen de details over wie wordt beschermd, welke rechten er bestaan en hoe strikt die rechten worden gehandhaafd aanzienlijk van staat tot staat. De aanpak van New Jersey laat zien hoe zelfs wetten die op hetzelfde basiskader zijn gebaseerd, op belangrijke punten kunnen afwijken zodra ze definitief zijn. Staten blijven zich in een gestaag tempo bij deze lappendeken voegen. Louisiana werd onlangs de 22e staat met uitgebreide privacywetgeving, wat onderstreept hoe snel dit rechtsgebied zich uitbreidt en hoe ongelijk de nalevingsverplichtingen zijn geworden voor bedrijven die in meerdere staten actief zijn.

Wie moet naleven: drempels die de wet in werking stellen

Net als de meeste privacywetten op staatsniveau is de wet van New Jersey niet van toepassing op elk bedrijf. Er worden specifieke drempels vastgesteld die bepalen of een onderneming als "verwerkingsverantwoordelijke" wordt aangemerkt en onder de vereisten van de wet valt. Over het algemeen geldt de wet voor entiteiten die persoonsgegevens van ten minste 100.000 consumenten in New Jersey verwerken, met uitzondering van gegevens die uitsluitend worden verwerkt om een betalingstransactie uit te voeren. De wet is ook van toepassing op kleinere bedrijven, die gegevens van ten minste 25.000 consumenten verwerken, als zij inkomsten halen uit de verkoop van die persoonsgegevens.

Een opvallend kenmerk: de wet van New Jersey bevat geen omzetdrempel voor verwerkingsverantwoordelijken, in tegenstelling tot de privacywet van Californië, die een specifiek bedrag vaststelt voor de toepasselijkheid. Dat betekent dat de totale omzet van een bedrijf op zichzelf geen factor is om te bepalen of de wet van New Jersey van toepassing is. In plaats daarvan ligt de focus op de hoeveelheid verwerkte consumentengegevens en of die gegevens worden verkocht.

Consumentenrechten onder de NJDPL, en wat er ontbreekt

Consumenten in New Jersey krijgen onder deze wet over het algemeen rechten die vergelijkbaar zijn met die in andere privacywetten op staatsniveau: de mogelijkheid om te bevestigen of een bedrijf hun gegevens verwerkt, die gegevens in te zien, onjuistheden te corrigeren, verwijdering te verzoeken en een draagbare kopie van hun informatie te verkrijgen. Consumenten kunnen doorgaans ook bezwaar maken tegen het gebruik van hun gegevens voor gerichte reclame, verkoop aan derden of gebruik voor bepaalde vormen van profilering met juridische of vergelijkbaar significante gevolgen.

Het wordt genuanceerder in de details die de analyse van Stauss PLLC aanmerkt als afwezig in vergelijking met de wet van Connecticut. De wet van Connecticut wordt door privacyjuristen vaak aangehaald als bevatten meer gedetailleerde consumentenbeschermingen en procedurele vereisten dan sommige vergelijkbare staten. Het feit dat de wet van New Jersey bepalingen weglaat die Connecticut wel bevat, suggereert dat de handhavingsmechanismen en specifieke beschermingen, hoewel consumenten in New Jersey wel degelijk betekenisvolle rechten hebben, mogelijk niet zo volledig zijn als wat inwoners van andere staten met nieuwere of gedetailleerdere wetten krijgen.

Wat dit voor u betekent

Als u in New Jersey woont, geeft deze wet u voor het eerst op staatsniveau echte, bruikbare rechten over uw persoonsgegevens. U kunt bedrijven vragen wat ze met uw informatie doen, correcties of verwijdering verzoeken en bezwaar maken tegen de verkoop of het gebruik van uw gegevens voor gerichte advertenties, mits het bedrijf aan de hierboven beschreven drempels voldoet. Kleinere bedrijven die geen gegevens verkopen en de grens van 100.000 consumenten niet halen, kunnen volledig buiten het toepassingsgebied van de wet vallen, dus niet elk bedrijf waarmee u te maken hebt, is verplicht op deze verzoeken te reageren.

Het is ook goed te begrijpen dat de bescherming in New Jersey, hoewel reëel, niet de sterkste versie van een privacywet voor consumenten is die momenteel landelijk van kracht is. Als u uw rechten hier vergelijkt met wat een vriend of familielid in een staat als Connecticut heeft, wees dan niet verbaasd als hun wet meer specifieke procedures of beschermingen voorschrijft. Het lappendekenkarakter van de Amerikaanse privacywetgeving betekent dat uw rechten daadwerkelijk kunnen verschillen afhankelijk van uw postcode, in ieder geval totdat federale wetgeving, als die er ooit komt, de basislijn standaardiseert.

Actiepunten

Voor inwoners van New Jersey is de nuttigste stap eenvoudigweg te weten waar u om kunt vragen: vraag om toegang tot uw gegevens, verzoek bedrijven te verwijderen wat zij niet langer nodig hebben en maak bezwaar tegen gegevensverkoop of gerichte reclame waar een bedrijf wettelijk verplicht is aan dat verzoek te voldoen. Voor bedrijven die actief zijn in New Jersey is dit het moment om te bevestigen of u aan een van beide verwerkingsdrempels voldoet en te bekijken hoe uw praktijken zich verhouden tot het op Virginia-gelijkende kader dat de wet volgt, aangezien hiaten ten opzichte van strengere staten zoals Connecticut niet noodzakelijk lichtere nalevingsverplichtingen elders betekenen. Nu steeds meer staten hun eigen versie van een privacywet voor consumenten aannemen, blijft op de hoogte zijn van de specifieke bepalingen van uw staat, en hun grenzen, de beste manier om daadwerkelijk gebruik te maken van de rechten die u hebt gekregen.