Als uw bedrijf ooit een e-maillijst heeft verhuurd, samengevoegde klantanalyses aan een marketingpartner heeft verkocht, of een loyaliteitsprogramma heeft gerund dat aankoopgegevens deelt met een winkelketen, dan bent u mogelijk al een "databroker" onder de wet van Vermont — en sinds deze zomer is dat label een stuk duurder geworden om te verdienen.
Op 16 juni 2026 ondertekende gouverneur Phil Scott H.211 (nu Act 138), een ingrijpende herziening van de registratiewet voor databrokers van Vermont — de eerste in zijn soort in het land toen deze oorspronkelijk in 2018 werd aangenomen. De wijzigingen gaan pas in op 1 januari 2027, maar de aanlooptijd voor naleving is korter dan het lijkt als u eenmaal begrijpt hoe veel breder de nieuwe definities zijn. Veel kleine bedrijven die zichzelf nooit als 'databrokers' beschouwden, staan op het punt erachter te komen dat ze dat toch zijn.
Wat de Data Broker-wet van Vermont Eigenlijk Is
Vermont was de eerste staat die bedrijven die handelen in consumentengegevens verplichtte zich bij de overheid te registreren, ruim voordat Californië, Texas, Oregon en een handvol andere staten met hun eigen versies volgden. Het kernidee is altijd eenvoudig geweest: als u bewust persoonlijke informatie verzamelt en vervolgens verkoopt of in licentie geeft over mensen met wie u geen directe relatie heeft, wil de staat weten wie u bent, wat u verkoopt en hoeveel gegevens er van eigenaar wisselen.
Sinds 2018 betekent dit een jaarlijkse registratie bij de Vermont Secretary of State, een vergoeding van $100 en enkele basisvereisten voor openbaarmaking. Bijna acht jaar lang was die registratie voor de meeste bedrijven die groot genoeg waren om duidelijk onder het label "databroker" te vallen — denk aan bedrijven voor achtergrondcontroles, aggregators van marketinggegevens en sites voor het zoeken naar personen — een nalevingsbijzaak.
H.211 verandert die berekening voor een veel bredere groep bedrijven.
Wat Er Eigenlijk Veranderde
De definitie van "directe relatie" is smaller geworden — en dat is het deel waar mensen door verrast worden. Volgens de oude wet was het simpelweg rechtstreeks verzamelen van informatie van een consument meestal voldoende om een "directe relatie" aan te tonen en buiten de definitie van databroker te vallen. De gewijzigde wet vereist dat de consument opzettelijk met uw bedrijf communiceert. Dat onderscheid trekt specifiek bedrijven aan die achter de schermen van een transactie opereren — betalingsverwerkers, leveranciers van loyaliteitsprogramma's en aanbieders van white-label-platforms worden genoemd in het wetgevingscommentaar. Als de relatie van een consument eigenlijk is met de winkelier, het restaurant of de app waarvan hij denkt dat hij deze gebruikt — en uw bedrijf is de infrastructuur die stilletjes hun gegevens op de achtergrond vastlegt — komt u mogelijk niet langer in aanmerking voor de uitzondering voor directe relaties, alleen omdat u de gegevens technisch gezien zelf hebt verzameld.
"Bemiddelde persoonlijke informatie" is ook veel breder geworden. De oude wet somde specifieke categorieën gegevens op die meetelden. De nieuwe wet vervangt die lijst door een algemene standaard: alle informatie die is gekoppeld of redelijkerwijs koppelbaar is aan een geïdentificeerd of identificeerbaar individu — of aan een huishoudelijk apparaat — inclusief afgeleide gegevens en unieke identificatiegegevens. Dit is een bewuste afstemming op het soort brede definities dat wordt gebruikt in uitgebreide staatsprivacywetten, en het omvat zaken als apparaat-ID's, gedragsprofielen en afgeleide kenmerken die de oorspronkelijke opsomming niet duidelijk bereikte.
Nieuwe verplichtingen op het gebied van due diligence treden in voordat u gegevens mag verkopen of in licentie geven. Databrokers moeten nu identificeren wie de bemiddelde persoonlijke informatie ontvangt, begrijpen wat ze ermee van plan zijn en een certificering krijgen dat ze het nergens anders voor zullen gebruiken. Als een makelaar redelijke gronden heeft om aan te nemen dat de gegevens zullen worden misbruikt — of onrechtmatig zullen worden gebruikt — moeten ze de transactie weigeren. Dit is een echte operationele verplichting, niet alleen een papieren exercitie: het betekent een gedocumenteerd intake- en beoordelingsproces voor elke partner voor het delen van gegevens, niet een eenmalige registratieaanvraag.
Een nuttige uitzondering: de uitzondering voor gelieerde ondernemingen. Het delen van gegevens met gelieerde ondernemingen is nu expliciet uitgesloten van de definitie van een "verkoop", waardoor Vermont in lijn komt met hoe Texas het delen van gegevens binnen een bedrijf behandelt. Als uw gegevensverkeer beperkt blijft tot entiteiten onder gemeenschappelijk eigendom, houdt deze wijziging u waarschijnlijk voor die specifieke activiteit buiten beschouwing — maar het is de moeite waard om te bevestigen dat uw bedrijfsstructuur daadwerkelijk in aanmerking komt voordat u erop vertrouwt.
De Financiële Kant Werd Serieus
De vergoedings- en boetestructuur is waar H.211 ophoudt een nalevingsergernis te zijn en een echte budgetpost begint te worden:
| Vereiste | Oud | Nieuw |
|---|---|---|
| Jaarlijkse registratiekosten | $100 | $900 |
| Borgsom | Niet gespecificeerd | $20.000 |
| Nalatigheid bij registratie | — | $200/dag |
| Onvolledige registratie (na 30 dagen) | — | $1.000/dag |
| Materieel onjuiste informatie | — | $25.000 vast bedrag, plus $1.000/dag na de correctietermijn |
Een jaarlijkse vergoeding van $900 en een borgsom van $20.000 zijn niet de bedragen die een klein bedrijf zonder merkbaar effect opneemt. En de dagelijkse boetestructuur betekent dat een registratiefout die niet wordt gecorrigeerd, niet stilletjes blijft liggen — deze stapelt zich op, net zoals een onbetaalde belastingschuld rente opbouwt, zolang deze niet wordt aangepakt.
De Vermont Secretary of State is ook verplicht om de haalbaarheid te bestuderen van een gecentraliseerd platform voor consumentenverzoeken tot verwijdering, met een rapport dat in december 2028 verschuldigd is — een signaal dat dit zeer waarschijnlijk de eerste van meerdere rondes van aanscherping is, niet de laatste.
Wie Zich Echt Zorgen Moet Maken
Grote bedrijven voor het zoeken naar personen en marketinggegevens weten al dat ze databrokers zijn. De bedrijven die beter moeten opletten, zijn degenen die nooit dachten dat het label op hen van toepassing was:
- E-commerce en abonnementsbedrijven die de aankoopgeschiedenis of betrokkenheidsgegevens van klanten delen met een advertentienetwerk, influencerplatform of co-marketingpartner in ruil voor geld of wederkerige gegevens.
- SaaS-platforms en app-ontwikkelaars die samengevoegde of "geanonimiseerde" gebruiksgegevens gelde maken — onthoud dat de nieuwe standaard alles omvat wat "redelijkerwijs koppelbaar" is aan een persoon of huishoudelijk apparaat, wat een veel lagere drempel is dan de meeste ontwikkelingsteams aannemen wanneer ze gegevens "geanonimiseerd" noemen.
- Exploitanten van loyaliteitsprogramma's en betalingsdienstaanbieders die tussen een consument en de winkelier staan waarvan zij denken dat ze ermee te maken hebben — precies het scenario waar de versmalde definitie van "directe relatie" op is gericht.
- Affiliate marketeers en leadgeneratiebedrijven waarvan het hele model bestaat uit het vastleggen van de informatie van een consument en het verkopen of in licentie geven van de toegang daartoe aan andere bedrijven.
- Verwijzings- en beloningsprogramma's die ledengegevens delen met retail- of horecapartners als onderdeel van een cross-promotionele deal.
Geen van deze bedrijven zou zichzelf in een informeel gesprek omschrijven als een 'databroker'. Volgens de gewijzigde wet van Vermont zijn sommigen van hen juridisch gezien misschien toch een databroker — en onwetendheid over de classificatie doet de boete van $200 per dag niet verdwijnen.
Wat te Doen Vóór 1 Januari 2027
- Breng elke plaats in kaart waar klantgegevens uw bedrijf verlaten. Niet alleen duidelijke gegevensverkopen — leveranciersintegraties, co-marketingregelingen, advertentienetwerkpixels en "gegevensdelings"-partnerschappen waarbij geen geld overgaat maar wel wederzijdse toegang tot consumenteninformatie.
- Toets elke gegevensstroom aan de nieuwe "directe relatie"-standaard. Vraag u eerlijk af: had de consument opzettelijk interactie met uw bedrijf, of bent u de infrastructuur achter de winkel van iemand anders?
- Controleer of de uitzondering voor gelieerde ondernemingen daadwerkelijk van toepassing is op uw structuur. Deze is alleen van toepassing op gegevens die worden gedeeld binnen een echte relatie met een gelieerde onderneming — niet op samenwerkingsverbanden op afstand waar u regelmatig mee werkt.
- Bouw een due diligence-proces voor gegevensontvangers, inclusief een manier om te documenteren waarvoor ze zeiden dat de gegevens zouden worden gebruikt, vóór de deadline van januari 2027, die dit een wettelijke vereiste maakt in plaats van een best practice.
- Reserveer nu budget voor de nieuwe vergoedingsstructuur. Een jaarlijkse registratievergoeding van $900 en een borgsom van $20.000 zijn reële kosten die thuishoren in het operationele budget van volgend jaar, geen verrassing die u ontdekt wanneer een nalevingsdeadline al op u afkomt.
Waarom Dit in Uw Boeken Hoort, Niet Alleen in Uw Juridische Dossiers
Nalevingskosten zoals deze hebben de neiging om tussen afdelingen verloren te gaan — juridisch is eigenaar van de registratie, maar financiën absorbeert uiteindelijk de vergoeding, de borgpremie en eventuele boeterisico's zonder een duidelijke post om het te volgen. Door de Vermont-registratievergoeding, de kosten van de borgsom en eventuele blootstelling aan dagelijkse boetes te behandelen als hun eigen gevolgde rekeningen — in plaats van ze te verbergen in een algemene emmer "juridische en professionele kosten" — wordt het veel gemakkelijker om de werkelijke kosten van een nalevingsfout te zien en er jaar na jaar nauwkeurig voor te budgetteren. Als uw bedrijf zich uiteindelijk registreert als databroker, zijn die vergoeding van $900 en borgpremie terugkerende kosten die het waard zijn om met dezelfde discipline te volgen als u zou toepassen op een software-abonnement of een verzekeringspremie — niet behandeld als een eenmalige aanmelding die u vergeet tot volgende januari.
Houd Uw Nalevingskosten Zichtbaar
Nu nieuwe staatswetten zoals Vermont's H.211 gewone partnerschappen voor het delen van gegevens omzetten in gereguleerde activiteiten, maken duidelijke financiële administraties het veel gemakkelijker om nalevingskosten, boeterisico's en verplichtingen van leveranciers te volgen zonder uit het oog te verliezen wat ze u werkelijk kosten. Beancount.io biedt boekhouding in platte tekst die transparant is, versiebeheer heeft en eenvoudig te controleren is — geen black boxes, geen leverancierslock-in. Begin gratis en ontdek waarom ontwikkelaars en financieel onderlegde bedrijfseigenaren overstappen op boekhouding in platte tekst.