Twintig staten hebben inmiddels uitgebreide wetten voor gegevensprivacy op de plank, en sinds 1 januari 2026 zijn daar Indiana, Kentucky en Rhode Island aan toegevoegd. Als u een klein bedrijf runt en uw mentale model van "compliance met gegevensprivacy" nog steeds is "dat is iets van Californië, en ik heb geen 25 miljoen dollar omzet, dus het geldt niet voor mij," is het de moeite waard om er nog eens naar te kijken. De regels die het meest van belang zijn voor een kleine werkgever gaan tegenwoordig niet meer echt over uw klanten — ze gaan over de Social Security-nummers, bankgegevens, medische notities en biometrische prikklokscans van uw eigen werknemers, die ergens in uw HR-systeem in een map (of een SaaS-dashboard) liggen opgeslagen.
Het verwarrende is dat deze wetten "werknemersgegevens" niet in elke staat op dezelfde manier behandelen. Californië neemt HR-dossiers op in zijn algemene consumentenprivacywet. Colorado en Virginia sluiten arbeidsdossiers grotendeels uit van hun brede privacywetten — maar Colorado heeft net een smalle, agressieve uitzondering voor biometrische gegevens toegevoegd die veel kleine bedrijven overvalt. Bent u boekhouder, operationeel leidinggevende, of eigenaar die met de loonadministratie te maken heeft, hier is wat er daadwerkelijk is veranderd, voor wie het geldt, en wat u eraan kunt doen voordat een klacht van een werknemer (of de advocaat van een eiser) er uw probleem van maakt.
Waarom "werknemersgegevens" vroeger een blinde vlek waren
Toen staten begonnen met het aannemen van uitgebreide privacywetten — Virginia en Colorado in 2021, de meeste andere in de jaren daarna — leenden bijna allemaal een vergelijkbare structuur: definieer een "consument," geef consumenten rechten (inzage, verwijdering, correctie, opt-out van verkoop), en verplicht bedrijven die persoonsgegevens beheren om die rechten te respecteren.
Maar bijna al deze wetten, behalve die van Californië, definiëren "consument" expliciet zodanig dat iemand die in een arbeidscontext optreedt wordt uitgesloten. De wet van Colorado zegt dit rechtstreeks, en die van Virginia ook. De logica was dat arbeidsrelaties al gereguleerd worden door arbeidsrecht, waardoor wetgevers geen dubbele kaders wilden creëren. Het praktische effect: een werknemer in Richmond of Denver kan zich over het algemeen niet beroepen op de consumentenprivacywet van zijn staat om te eisen dat zijn werkgever zijn personeelsdossier verwijdert, een functioneringsgesprek corrigeert, of uitlegt wat een intern analysetool over hem heeft afgeleid.
Californië koos de andere weg. Toen de uitzondering voor werknemersgegevens van de California Consumer Privacy Act op 1 januari 2023 verviel, breidde de California Privacy Rights Act het volledige pakket consumentenrechten — inzage, verwijdering, correctie, opt-out en meer — uit naar werknemers, sollicitanten en zelfstandige contractanten. Voor een onder de wet vallende Californische werkgever heeft een werknemer nu in wezen dezelfde rechten over zijn HR-dossier als een klant over zijn aankoopgeschiedenis.
Dat verschil is van belang omdat het betekent dat "val ik hieronder?" geen enkel landelijk antwoord heeft — het is een vraag die per staat, en steeds vaker per type gegevens, moet worden beantwoord.
Californië: de enige staat waar HR-gegevens volledig onder de wet vallen
Als u werknemers of contractanten heeft die inwoner zijn van Californië, begin dan hier.
Wie eronder valt. De CCPA/CPRA geldt voor een winstgevend bedrijf dat zaken doet in Californië en aan minstens één van drie drempels voldoet: (1) meer dan $25 miljoen jaarlijkse brutomzet, (2) koopt, verkoopt of deelt de persoonsgegevens van 100.000 of meer Californische consumenten of huishoudens per jaar, of (3) haalt 50% of meer van de jaaromzet uit de verkoop of het delen van persoonsgegevens. Veel kleine bedrijven gaan ervan uit dat de grens van $25 miljoen omzet betekent dat ze zijn vrijgesteld — maar de tweede en derde toets hebben helemaal niets met omzet te maken, en een bedrijf dat ad-tech-pixels of analysetools gebruikt die gegevens "delen" met derden, kan de drempel van 100.000 personen sneller overschrijden dan verwacht zodra werknemers, sollicitanten en bezoekers van de website allemaal worden meegeteld.
Wat nu specifiek vereist is voor HR-gegevens. Werkgevers die onder de wet vallen, moeten werknemers en sollicitanten een privacyverklaring geven waarin staat welke categorieën persoonsgegevens ze verzamelen en waarom, verzoeken om inzage, correctie of verwijdering van persoonsgegevens honoreren (met uitzondering van wettelijke bewaarplichten — u kunt belasting- of loonadministratiedossiers die u verplicht bent te bewaren niet verwijderen), en toestemming krijgen voordat bepaalde gevoelige persoonsgegevens worden gebruikt, zoals Social Security-nummers, precieze geolocatie of gezondheidsgegevens.
De verandering van 2026 om in de gaten te houden: risicobeoordelingen voor geautomatiseerde tools. Sinds 1 januari 2026 vereist Californië een gedocumenteerde privacyrisicobeoordeling voordat geautomatiseerde besluitvormingstechnologie (ADMT) wordt gebruikt om een "belangrijke beslissing" te nemen over een sollicitant, werknemer of contractant — denk aan software voor cv-screening, scoring van videosollicitatiegesprekken, of algoritmische roosterings- en prestatietools. Volledige ADMT-compliance (zoals werknemers een manier geven om een geautomatiseerde beslissing te weigeren of aan te vechten) wordt geleidelijk ingevoerd tot 1 januari 2027, maar de beoordelingsplicht voor verwerking van vóór 2026 moet uiterlijk eind 2027 zijn nagekomen. Als uw bedrijf een sollicitantvolgsysteem gebruikt met "AI-gestuurde" cv-rangschikking, of een workforce-managementtool die automatisch prestatiescores genereert, is dit het onderdeel van de wet dat gemakkelijk over het hoofd wordt gezien omdat het verstopt zit in de tooling, niet in het papierwerk.
Colorado: arbeidsdossiers zijn uitgezonderd — behalve biometrie
De Colorado Privacy Act sluit, net als die van Virginia, over het algemeen informatie uit over iemand in zijn hoedanigheid van sollicitant of werknemer. Die uitzondering is nog steeds de algemene regel. Wat er is veranderd, is een smalle maar ingrijpende wijziging: HB24-1130, de Privacy of Biometric Identifiers and Data Act, die sinds 1 juli 2025 van kracht is.
Deze wet schrapt de gebruikelijke omvangdrempels — het maakt niet uit van hoeveel inwoners van Colorado u gegevens verwerkt; als u een biometrische identificator verzamelt (een vingerafdrukscan, een gezichtsherkenningslogin, een prikklok op basis van handgeometrie) van een inwoner van Colorado, inclusief een werknemer, dan valt u onder de wet. Voordat u deze verzamelt, moet u kennisgeving geven en uitdrukkelijke, specifieke, geïnformeerde toestemming krijgen — niet een regeltje verstopt in een personeelshandboek. Werkgevers mogen het dienstverband alleen afhankelijk stellen van biometrische toestemming voor beperkte beveiligingsdoeleinden, zoals toegang tot een beveiligde faciliteit of beveiligde hardware; u mag het niet verplicht stellen om de locatie van een werknemer te volgen of bij te houden hoe lang iemand een applicatie gebruikt. U heeft ook een schriftelijk, openbaar beschikbaar beleid nodig dat bewaartermijnen, procedures voor beveiligingsincidenten en verwijderingspraktijken voor biometrische gegevens omvat.
Wie hier daadwerkelijk onder valt: kleine fabrikanten, magazijnen, restaurants en klinieken die vingerafdruk- of gezichtsherkenningsprikklokken gebruiken in plaats van badges — een populaire manier om "buddy punching" (voor elkaar inklokken) tegen te gaan — plus elk bedrijf dat biometrische gebouwtoegang of kassa-inlogsystemen gebruikt. Als dat op u van toepassing is, gaat de redenering "we hebben geen 25 miljoen omzet" die u tegen de meeste privacywetten beschermt, hier helemaal niet op.
Virginia: let op de trend, (nog) geen verplichting
De Consumer Data Protection Act van Virginia behoudt zijn algemene uitzondering voor arbeidsdossiers, en er is per 2026 geen Virginia-equivalent van de biometrie-uitzondering van Colorado. De reden om toch op te letten, is het patroon: Colorado heeft een deel van de arbeidsuitzondering weggehaald zodra een specifiek type gegevens (biometrie) een zichtbaar risico werd. Illinois heeft al meer dan tien jaar een aparte biometrische privacywet met een particulier vorderingsrecht, en die heeft geleid tot enkele van de grootste privacyschikkingen op het gebied van arbeid in het land. Dat Virginia, of een andere staat, zijn eigen uitzondering voor werknemersgegevens gaat inperken — voor biometrie, voor AI-wervingstools, of voor iets anders — is een kwestie van wanneer, niet van of. Als u nu de gewoonte opbouwt om te documenteren welke werknemersgegevens u verzamelt en waarom, hoeft u niet te improviseren zodra uw staat volgt.
Een praktische checklist voor kleine werkgevers
U heeft geen compliance-afdeling nodig om de basis op orde te krijgen:
- Inventariseer wat u daadwerkelijk verzamelt. Social Security-nummers en bankgegevens voor de loonadministratie, gezondheidsinformatie voor verlofaanvragen, biometrische gegevens van elke prikklok of elk toegangssysteem, en alles wat een HR- of ATS-platform automatisch afleidt (zoals een "betrokkenheidsscore" of geautomatiseerde kandidaatrangschikking).
- Controleer uw prikklok. Als deze een vingerafdruk of gezicht scant, heeft u waarschijnlijk een schriftelijk biometrisch beleid en gedocumenteerde toestemming nodig, ongeacht uw omzet.
- Lees uw leverancierscontracten. Aanbieders van loonadministratie, diensten voor antecedentenonderzoek en sollicitantvolgsystemen moeten zich contractueel verbinden om de gegevens die u aan hen toevertrouwt te beschermen — "SOC 2-compliant" is een begin, geen vervanging voor een schriftelijke verwerkersovereenkomst.
- Als u werknemers in Californië heeft, bouw dan nu het verzoekproces op. Iemand moet verantwoordelijk zijn voor het beantwoorden van een verzoek om inzage, correctie of verwijdering binnen de wettelijke termijn, en iemand moet weten welke dossiers u wettelijk verplicht bent te bewaren ondanks een verzoek tot verwijdering (belastingdossiers, bijvoorbeeld).
- Vertrouw niet op "staat sluit arbeidsdossiers uit" als permanent schild. Dat klopt vandaag de dag in de meeste staten, maar Colorado heeft net laten zien hoe snel een smalle uitzondering kan verschijnen.
Waar boekhouding past in het compliance-verhaal
Niets hiervan gaat eigenlijk over boekhoudsoftware — het gaat erom te weten welke gevoelige gegevens zich waar bevinden, en in staat te zijn om uw werkwijze te tonen als een toezichthouder of een werknemer daar ooit om vraagt. Dat is net zozeer een administratief probleem als een juridisch probleem. Als uw financiële gegevens in ondoorzichtige, propriëtaire formaten verspreid over verschillende tools staan, is het echt lastig om te controleren wie toegang heeft tot wat, of om te bewijzen dat u gegevens niet langer bewaart dan uw beleid voorschrijft.
Beancount.io kiest de tegenovergestelde aanpak: platte-tekst, versiebeheerde boekhouding waarbij elke boeking transparant, controleerbaar en onder uw eigen controle is — geen black-box-leverancier die uw financiële geschiedenis gijzelt. Het schrijft uw biometrische toestemmingsbeleid niet voor u, maar als "wie kan deze gegevens zien, en voor hoe lang" een vraag is die u in uw hele bedrijf duidelijk wilt kunnen beantwoorden, is beginnen met financiële gegevens die u volledig zelf bezit een goede manier om die gewoonte op te bouwen. Ga gratis aan de slag en zie hoe plain-text accounting er in de praktijk uitziet.