Als je een klein bedrijf runt in Californië en dacht dat privacywetgeving voor consumenten iets was waar alleen techgiganten zich druk om moesten maken, is 2026 het jaar waarin die aanname niet meer opgaat. De gegevens van werknemers en sollicitanten die je bedrijf dagelijks verzamelt — burgerservicenummers op een belastingformulier, een vingerafdruk-prikklok, een doktersverklaring voor ziekteverlof, zelfs het cv dat een sollicitant je mailde — vallen nu ondubbelzinnig onder Californië's privacywet, en een nieuwe reeks staatsregels die op 1 januari 2026 ingaat, legt de lat opnieuw hoger voor hoe die gegevens moeten worden behandeld.
Hoe werknemersgegevens onder een "consumenten"-privacywet kwamen te vallen
Toen de California Consumer Privacy Act (CCPA) voor het eerst werd aangenomen, kregen werkgevers even ademruimte: een uitzondering zorgde ervoor dat gegevens over je eigen werknemers, sollicitanten en contractanten grotendeels buiten schot bleven terwijl wetgevers aparte, arbeidsspecifieke regels uitwerkten. Die uitzondering was altijd tijdelijk en verliep op 1 januari 2023, toen de wijzigingen van de California Privacy Rights Act (CPRA) volledig van kracht werden. Sindsdien worden personeelsdossiers, loonadministratie, gegevens over deelname aan secundaire arbeidsvoorwaarden en sollicitantvolgsystemen op dezelfde manier behandeld als de aankoopgeschiedenis van een klant: als persoonsgegevens die onder de toegangs-, verwijderings-, correctie- en openbaarmakingsregels van de wet vallen.
Die ene vervaldatum heeft een enorme hoeveelheid alledaags administratief werk hertekend. Elk I-9-formulier, elk formulier voor rechtstreekse storting, elke functioneringsbeoordeling, elke scan bij een biometrische prikklok — het is nu allemaal persoonsgegevens die een werknemer wettelijk mag inzien, corrigeren en in veel gevallen laten verwijderen.
Wie er daadwerkelijk aan moet voldoen
Niet elk klein bedrijf valt eronder, en de drempels zijn belangrijker dan de krantenkoppen doen vermoeden. De CPRA geldt voor een winstgevend bedrijf dat zaken doet in Californië en persoonsgegevens van Californische inwoners verzamelt (inclusief werknemers) als het aan minstens één van deze voorwaarden voldoet:
- Jaarlijkse bruto-omzet van meer dan 25 miljoen dollar (per 1 januari van het kalenderjaar), of
- Koopt, verkoopt of deelt de persoonsgegevens van 100.000 of meer Californische consumenten, huishoudens of apparaten per jaar, of
- Haalt 50% of meer van de jaaromzet uit de verkoop of het delen van persoonsgegevens van consumenten
Veel echt kleine werkgevers vallen onder geen van deze drie drempels en zijn niet gedekt. Maar de tweede toets — 100.000 consumenten, huishoudens of apparaten — treft meer bedrijven dan eigenaren verwachten, omdat "apparaten" ook websitebezoekers kan omvatten die via cookies worden gevolgd, niet alleen klanten of werknemers. Een adviesbureau met tien medewerkers en een populaire blog, of een webwinkel met veel bezoekers, kan die drempel ruim overschrijden voordat het ooit zijn honderdste werknemer aanneemt. Als je niet zeker weet aan welke kant van de streep je staat, is het de moeite waard dit te laten bevestigen door een jurist voordat je aanneemt dat de wet niet op jou van toepassing is — de boeterisico's hieronder zijn reëel genoeg om gokken tot een slechte strategie te maken.
Welke rechten werknemers nu daadwerkelijk hebben
Voor gedekte werkgevers krijgen huidige en voormalige werknemers, sollicitanten en zelfstandige contractanten dezelfde kernrechten die Californië aan consumenten geeft:
- Recht om te weten welke categorieën persoonsgegevens je over hen verzamelt en waarom
- Recht op inzage in een kopie van de specifieke gegevens die je over hen bewaart
- Recht op correctie van onjuiste informatie
- Recht op verwijdering van hun persoonsgegevens, met uitzonderingen (je mag nog steeds bewaren wat je nodig hebt voor belastingdossiers, wettelijke naleving of een lopende juridische claim)
- Recht om het gebruik van gevoelige persoonsgegevens te beperken — een categorie die burgerservicenummers, gegevens van financiële rekeningen, precieze locatiegegevens, raciale of etnische afkomst, gezondheidsinformatie en biometrische gegevens verzameld voor identificatiedoeleinden omvat
Die laatste categorie is waar veel kleine werkgevers zich laten verrassen. Biometrische prikklokken komen veel voor in de detailhandel, restaurants, magazijnen en de bouw, omdat ze het inklokken voor een collega tegengaan. Onder de CPRA is een vingerafdruk- of handscan die wordt gebruikt om iemand te laten inklokken "gevoelige persoonsgegevens", wat betekent dat er strengere kennisgevings- en gebruiksbeperkingsverplichtingen aan verbonden zijn dan aan een gewone urenstaat.
In de praktijk betekent naleving een schriftelijke privacyverklaring waarin staat wat je verzamelt en waarom, een proces waarmee werknemers verzoeken kunnen indienen, en — dit is het onderdeel waar mensen over struikelen — ten minste twee aangewezen methoden voor het indienen van die verzoeken, waarvan er over het algemeen één een gratis telefoonnummer moet zijn, plus iets als een webformulier of e-mailadres als tweede optie. Een geeltje met "mail naar HR" voldoet niet aan de regel.
De nieuwe regels die op 1 januari 2026 ingaan
Bovenop de basisvereisten van de CPRA heeft de California Privacy Protection Agency in 2025 een nieuwe reeks regelgeving vastgesteld die vanaf 1 januari 2026 gefaseerd ingaat, en die specifiek betrekking heeft op hoe werkgevers technologie gebruiken om hun personeel te beheren:
- Risicobeoordelingen vóór verwerking met hoog risico. Voordat een gedekt bedrijf een activiteit start (of voortzet) die een "aanzienlijk risico" met zich meebrengt — het verkopen of delen van persoonsgegevens, het verwerken van gevoelige persoonsgegevens, het gebruik van geautomatiseerde besluitvormingstechnologie voor een significante beslissing, of het gebruik van biometrie voor identiteitsverificatie — moet het een gedocumenteerde risicobeoordeling uitvoeren. Als de activiteit al vóór 1 januari 2026 liep, wordt de deadline voor de beoordeling verschoven naar 31 december 2027, wat bestaande programma's wat speelruimte geeft.
- Regels voor geautomatiseerde besluitvormingstechnologie (ADMT), gefaseerd ingevoerd met een nalevingsdatum van 1 januari 2027. Dit is degene die HR-afdelingen goed in de gaten moeten houden: AI-ondersteunde cv-screening, algoritmische roostertools en geautomatiseerde prestatiebeoordelingssystemen die worden gebruikt voor "significante beslissingen" over dienstverband, beloning of disciplinaire maatregelen, vereisen kennisgeving aan de consument, een opt-outrecht en een inzagerecht.
- Jaarlijkse onafhankelijke cyberbeveiligingsaudits, gefaseerd ingevoerd op basis van omzet, beginnend bij de grootste bedrijven in 2028 en aflopend naar kleinere gedekte bedrijven tegen 2030.
Niets van dit alles vereist een compliance-afdeling zoals bij een Fortune 500-bedrijf. Maar het betekent wel dat een klein bedrijf dat een kant-en-klaar sollicitantvolgsysteem met AI-cv-ranking gebruikt, of de biometrische inklokfunctie van een loonadministratieleverancier, daadwerkelijk moet nagaan wat die leverancier met de gegevens doet — want als werkgever ben jij degene die verantwoording aflegt aan je werknemers en aan toezichthouders, niet de leverancier.
Een realistisch scenario: de restaurantgroep met een vingerafdrukklok
Stel je een restaurantgroep met 40 werknemers en drie vestigingen in Los Angeles County voor. Ze gebruikt een biometrische prikklok om inklokken voor een collega tegen te gaan, een sollicitantvolgplatform met AI-aangedreven cv-screening om een hoog volume aan sollicitanten voor uurloonfuncties te verwerken, en een loonadministratieleverancier die gegevens over rechtstreekse storting en belastinginhouding opslaat. Op zichzelf klinkt niets daarvan ongewoon — het is standaardpraktijk voor een horecabedrijf met meerdere vestigingen. Maar bekijk het door de bril van de CPRA: de vingerafdrukscans zijn gevoelige persoonsgegevens die een specifieke kennisgeving en gebruiksbeperking vereisen; de AI-cv-screening is precies het soort geautomatiseerde besluitvormingstechnologie waar de regelgeving van 2026-2027 op is gericht; en elk belastingformulier en formulier voor rechtstreekse storting in het loonsysteem is nu persoonsgegevens die een werknemer kan opvragen, laten corrigeren of laten verwijderen.
Als deze groep de omzet- of gegevensvolumedrempels van de CPRA overschrijdt, kan geen van deze drie systemen precies zo blijven draaien zonder een privacyverklaring, een gedocumenteerd proces voor het afhandelen van werknemersverzoeken, en — zodra de ADMT-regels gefaseerd ingaan — een manier om sollicitanten te informeren dat een algoritme hun cv beoordeelt en hen de mogelijkheid te geven zich af te melden. Niets hiervan vereist dat de technologie wordt verwijderd. Het vereist wel dat wordt gedocumenteerd wat de technologie doet, en dat werknemers het inzicht en de controle krijgen die de wet hen nu garandeert.
Sollicitanten krijgen dezelfde bescherming als aangenomen medewerkers
Het is makkelijk om te denken dat "privacy van werknemers" begint op de eerste werkdag, maar de definitie van "werknemer" in de CPRA reikt voor deze doeleinden verder terug dan dat. Sollicitanten vallen ook onder de wet, wat relevant is voor elk bedrijf dat antecedentenonderzoek, cv-parsingsoftware of pre-employment assessments gebruikt. Een afgewezen kandidaat heeft hetzelfde recht om te weten welke persoonsgegevens je tijdens het sollicitatieproces hebt verzameld, en — met uitzonderingen zoals een lopende juridische bewaarplicht — hetzelfde recht om je te vragen die te verwijderen. Als je sollicitantvolgsysteem afgewezen cv's voor onbepaalde tijd bewaart "voor het geval dat", is die bewaarpraktijk precies het soort ding dat een privacyrisicobeoordeling bedoeld is om aan het licht te brengen.
Waar de regels voor geautomatiseerde besluitvorming het hardst toeslaan
De ADMT-vereisten verdienen extra aandacht omdat ze precies de tools raken die kleine bedrijven hebben ingevoerd om tijd te besparen bij werving en roostering: algoritmische cv-rangschikking, geautomatiseerde interviewbeoordeling, roostersoftware die uren toewijst op basis van een productiviteitsscore, en prestatiemonitoringtools die werknemers markeren voor beoordeling zonder dat er eerst een mens naar kijkt. Geen van deze tools is verboden. Maar vanaf 1 januari 2027 vereist het gebruik ervan voor een "significante beslissing" — aanname, promotie, disciplinaire maatregel of ontslag — dat de betrokkene een duidelijke kennisgeving krijgt dat ADMT is gebruikt, in de meeste gevallen een opt-outrecht, en een manier om te vragen welke factoren in de beslissing zijn meegewogen. Als je HR-pakket een tool bevat die zichzelf als "AI-aangedreven" op de markt brengt, is dat een sterk signaal dat die ruim vóór de deadline van 2027 op je risicobeoordelingslijst thuishoort.
De boetes zijn reëel, zelfs voor kleine bedrijven
Handhaving is hier geen theoretische kwestie. Overtredingen kunnen leiden tot civiele boetes tot $2.500 per onopzettelijke overtreding en tot $7.500 per opzettelijke overtreding, en boetes worden doorgaans per getroffen persoon vastgesteld — wat betekent dat een verkeerd afgehandeld gegevensverzoek of een onversleutelde datalek die enkele honderden werknemersdossiers raakt, snel kan oplopen voor een bedrijf van die omvang. Zowel de California Attorney General als de California Privacy Protection Agency hebben handhavingsbevoegdheid, en anders dan sommige staatswetten vereist Californië geen formele hersteltermijn voor elk type overtreding.
Een praktische startchecklist
Als je een gedekte werkgever bent (of denkt dat je dicht bij de drempel zit), begin hier:
- Inventariseer wat je daadwerkelijk verzamelt. Loonadministratie, secundaire arbeidsvoorwaarden, biometrische prikklokken, antecedentenonderzoek, functioneringsbeoordelingen, sollicitantvolggegevens — zet alles in één lijst voordat je er een kennisgeving over schrijft.
- Markeer gevoelige persoonsgegevens apart. Burgerservicenummers, gezondheidsinformatie, biometrische gegevens en gegevens van financiële rekeningen brengen extra verwerkingsvereisten met zich mee.
- Schrijf (of update) je privacyverklaring voor werknemers zodat deze de huidige categorieën gegevens, doeleinden en bewaartermijnen weerspiegelt.
- Richt ten minste twee kanalen in voor het indienen van verzoeken, inclusief een gratis telefoonnummer als je daartoe verplicht bent.
- Vraag je HR-tech- en loonadministratieleveranciers rechtstreeks of hun tools geautomatiseerde besluitvorming gebruiken voor aannamebeslissingen of prestatiebeoordelingen, en leg dat schriftelijk vast.
- Noteer de deadline voor de risicobeoordeling die relevant is voor jouw bedrijf — 1 januari 2026 voor nieuwe verwerking met hoog risico, 31 december 2027 voor verwerking die al vóór de regel bestond.
Houd je financiële administratie net zo overzichtelijk als je privacyprogramma
Werknemersgegevens goed beheren brengt vaak dezelfde tekortkoming aan het licht die ook in de boekhouding opduikt: niemand kan een duidelijk, controleerbaar overzicht produceren van wat er is gebeurd en wanneer. Dezelfde discipline die het makkelijk maakt om een privacyverzoek te beantwoorden — precies weten wat je hebt, waar het zich bevindt en wie het heeft aangeraakt — maakt ook het belastingseizoen pijnloos. Beancount.io geeft je plain-text accounting die volledig transparant en versiebeheerd is, zodat elke loonkostenpost en elke kostenpost voor secundaire arbeidsvoorwaarden een duidelijk, controleerbaar spoor heeft in plaats van een zwarte doos. Ga gratis aan de slag en ontdek waarom ontwikkelaars en financieel ingestelde ondernemers overstappen op plain-text accounting.