CCPA: Zo plaats je een kennisgeving en een “niet verkopen”-link

We laten je zien hoe je met onze Cookie Solution kunt voldoen aan de voorschriften voor de kennisgeving over gegevensverzameling en de verplichte afmeldmogelijkheid van de California Consumer Privacy Act (CCPA).

Met onze oplossing kun je op drie manieren aan deze vereisten voldoen:

Functies van de oplossing (die je helpen bij compliance)

Weergave van CCPA-kennisgeving van het verzamelen van gegevens

Met onze oplossing kun je een melding weergeven die consumenten in Californië informeert over het feit dat hun gegevens kunnen worden verzameld en over hun recht om zich af te melden. De melding toont ook een wettelijk voorgeschreven “Mijn persoonlijke informatie niet verkopen”-link;

Weergave van een “Mijn persoonlijke informatie niet verkopen“-link

Onze oplossing toont een “mijn persoonlijke informatie niet verkopen”-link (DNSMPI) in de melding dat je gegevens verzamelt. Je kunt de link ook aan je site toevoegen zodat de gebruiker er altijd gemakkelijk toegang toe heeft. Beide aspecten zijn wettelijk verplicht.

Vergemakkelijkt een opt-out

De CCPA vereist ook dat je afmeldingsverzoeken van consumenten honoreert. Onze oplossing doet dit op de volgende manieren:

• Door de afmeldingsstatus te signaleren aan derden die zijn aangesloten bij het CCPA Compliance Framework van het IAB. Onze oplossing integreert het CCPA Compliance Framework van het IAB in de CCPA-functionaliteit, waardoor je de afmeldingsstatus van een consument kunt signaleren aan het hele netwerk van wereldwijde IAB-leveranciers die het CCPA Compliance Framework ondersteunen (deze lijst bevat leveranciers als Google en AdRoll).
• Door een handmatige blokkering van scripts die niet voldoen aan het CCPA Compliance Framework van het IAB. Onze oplossing zal dankzij de (handmatige) tagging automatisch scripts blokkeren in het geval van een opt-out van een gebruiker.

Automatische detectie en toepassing van (meerdere) normen op basis van de locatie

Met onze oplossing kun je automatisch CCPA- en/of AVG-conform werken voor dezelfde gebruikers, wanneer dit wettelijk is vereist.

Ondersteuning voor de Limited Data Use van Facebook

Met de nieuwe Limited Data Use (beperkt gegevensgebruik, LDU) van Facebook kunnen website-eigenaren die onder de CCPA vallen en die de diensten van Facebook gebruiken in hun advertenties of op hun website, Facebook verzoeken om de gegevensverwerking door Facebook voor inwoners van Californië te beperken.

Volgens Facebook:

“Als een bedrijf Beperkt gegevensgebruik inschakelt, verwerkt Facebook gegevens in overeenstemming met onze rol als serviceverlener als het gaat om gemarkeerde persoonlijke gegevens van mensen in Californië. Dit betekent dat we het gebruik van die gegevens beperken conform onze staatspecifieke voorwaarden. Beperkt gegevensgebruik wordt alleen toegepast op mensen in Californië. Als een bedrijf de parameters niet instelt op de VS en Californië, bepalen we of een persoon zich wel of niet in Californië bevindt. Als Beperkt gegevensgebruik is ingeschakeld, merkt een bedrijf mogelijk een impact op de prestaties en effectiviteit van campagnes. Daarnaast zijn de mogelijkheden om te retargeten en te meten beperkt.”

Over het algemeen zijn er twee manieren waarop Facebook ziet waar deze instellingen moeten worden toegepast:

• Facebook detecteert namens jou consumenten in Californië en past LDU-instellingen breed toe.
• Jij detecteert consumenten in Californië via je onsite platform voor toestemmingsvoorkeuren (CMP), en geeft die gegevens door aan de Facebook-pixel, waarmee je hun LDU-instelling zo kunt instellen dat die alleen geldt voor gebruikers in Californië die zich via je cookiemelding al hebben afgemeld.

Het is duidelijk dat de tweede benadering de voorkeur heeft en je meer controle geeft.

De Cookie Solution van iubenda ondersteunt de Limited Data Usage van Facebook.

In het onderstaande codevoorbeeld kun je zien hoe je de Cookie Solution kunt instellen om relevante LDU-instellingengegevens door te geven aan Facebook.

See the Pen Facebook Limited Data Use by iubenda (@iubenda) on CodePen.

Met deze instelling kun je eenvoudig de juiste variabelen doorgeven wanneer je gebruikers een CCPA-opt-out toepassen.

De CCPA-functionaliteit activeren

Met de volgende scenario’s en de bijbehorende instructies kun je:

• een CCPA-conforme melding weergeven dat je gegevens verzamelt;
• een “Mijn persoonsgegevens niet verkopen”-link in de melding weergeven;
• het CCPA Compliance Framework van het IAB ondersteunen.

Als je het CCPA Compliance Framework van het IAB wilt ondersteunen (aanbevolen)

Voeg <script src="//cdn.iubenda.com/cs/ccpa/stub.js"></script> toe vóór je Cookie Solution-insluitcode en zorg ervoor dat beide codes als allereerste scripts van de pagina worden geplaatst (bijvoorbeeld direct na het openen van de <head>-tag).

Scenario 1: Je wilt de CCPA-normen toepassen, maar niet de AVG-normen

Bijvoorbeeld: je hebt een bedrijf buiten de EU met gebruikers in Californië, maar geen in de EU gevestigde gebruikers.
Je kunt dit specifieke scenario eigenlijk in twee gevallen gebruiken:

(a) Je wilt de CCPA-normen op al je gebruikers toepassen.
Als je de CCPA-normen op al je gebruikers wilt toepassen, maar de AVG op geen van hen, zorg er dan voor dat het selectievakje AVG is uitgeschakeld. Schakel het selectievakje “CCPA” in, klik op BEWERKEN, en selecteer Wereldwijd onder “Kies waarop de CCPA van toepassing is“.

Code:

"enableCcpa": true,
"ccpaApplies": true,
"enableGdpr": false,
"gdprApplies": false,
"gdprAppliesGlobally": false,

(b) Je wilt de CCPA-normen alleen op je gebruikers in Californië toepassen.
Als je de CCPA-normen alleen op gebruikers uit Californië wilt toepassen door automatisch gebruikers te detecteren die verbinding maken vanuit Californië, activeer je het vakje “CCPA“.Klik op BEWERKEN, en selecteer onder “Kies waarop de CCPA van toepassing is“ de optie “Gebruikers in Californië“:

Code:

"enableCcpa": true,
"countryDetection": true,
"enableGdpr": false,

Zie onderstaand voorbeeld voor scenario 1:

Open on CodePen

Scenario 2: Je wilt de CCPA-normen op gebruikers in Californië toepassen en de AVG op gebruikers in de EU.

Bijvoorbeeld: je hebt een bedrijf buiten de EU met zowel gebruikers in Californië als in de EU

Op basis van landdetectie passen we de CCPA toe wanneer we detecteren dat de gebruiker verbinding maakt vanuit Californië, en de AVG wanneer de gebruiker verbinding maakt vanuit de EU. Schakel het vakje “CCPA” in,Klik op BEWERKEN, en selecteer onder “Kies waarop de CCPA van toepassing is“ de optie “Gebruikers in Californië“:

Vervolgens schakel je het vakje “AVG” in,klik je op BEWERKEN, en selecteer onder “Kies waarop de AVG van toepassing is” de optie “Alleen gebruikers in de EU“:

Code:

"enableGdpr": true, //true by default, so it's not strictly needed
"enableCcpa": true,
"gdprAppliesGlobally": false,
"countryDetection": true,

Scenario 3: Je wilt de CCPA-normen op gebruikers in Californië toepassen en de AVG wereldwijd.

Bijvoorbeeld: je hebt een bedrijf in de EU met gebruikers in Californië.

Belangrijk: als je in de EU bent gevestigd, ben je verplicht om de AVG wereldwijd toe te passen.

Zorg ervoor dat de vakjes “AVG” en “CCPA” beide zijn ingeschakeld. In de AVG-configuratie stel je “Kies waarop de AVG van toepassing is” in op “Wereldwijd“, en in de configuratie van de CCPA stel je “Kies waarop de CCPA van toepassing is” in op “Gebruikers in Californië”.

Code:

"enableGdpr": true, //true by default, so it's not strictly needed
"enableCcpa": true,
"gdprAppliesGlobally": true,
"countryDetection": true,

In dit geval laten we gebruikers in Californië een kennisgeving zien waarin zowel de AVG- als de CCPA-vereisten zijn opgenomen. Gebruikers buiten Californië krijgen een melding die is gebaseerd op de AVG.

Voorbeelden voor scenario’s 2 en 3

De onderstaande voorbeelden hebben betrekking op scenario’s 2 en 3. Daarom raden we je aan deze voorbeelden in CodePen te openen om de volledige beschrijving te lezen.

CCPA en AVG ingeschakeld:

Open on CodePen

CCPA en AVG ingeschakeld met TCF actief:

Open on CodePen

Scenario 4: Je wilt de AVG-normen toepassen, maar niet de CCPA.

Bijvoorbeeld: je hebt een bedrijf in de EU zonder gebruikers in Californië.

Als de CCPA niet op jou van toepassing is, kun je het vakje “CCPA” uitschakelen.

Waarborgen dat “Niet verkopen” wordt nageleefd – hoe doe je dat?

Als gebruikers kiezen voor een opt-out van de verkoop van hun gegevens, moet deze keuze worden gehonoreerd. Er zijn drie manieren om dit te waarborgen.

Als de verkoop wordt uitgevoerd door een dienst of leverancier die voldoet aan het CCPA Compliance Framework

In dit geval zorgt onze integratie met het CCPA Compliance Framework ervoor dat de leverancier op de hoogte wordt gebracht dat er een opt-out van verkoop heeft plaatsgevonden.

Als de verkoop wordt uitgevoerd door een dienst of leverancier die een specifieke configuratie biedt om aan te geven dat de gebruiker zich heeft afgemeld voor verkoop

Dit is bijvoorbeeld het geval bij Google, waarmee je een specifiek signaal kunt sturen bij een opt-out. De instructies staan in dit artikel en zijn van toepassing op Google Ads en op Google Analytics.

Andere leveranciers kunnen soortgelijke instructies geven.

Als de verkoop wordt uitgevoerd door een dienst of leverancier die niet voldoet aan het CCPA Compliance Framework en evenmin een manier biedt om de opt-out te communiceren

In dit geval moet je de klasse _iub_cs_activate toepassen op de script tag van elke van deze diensten, het attribuut “type” wijzigen van text/javascript in text/plain, en het attribuut data-iub-blockifccpaoptout toevoegen:

<script class="_iub_cs_activate" type="text/plain" data-iub-blockifccpaoptout src="...">
...
</script>

Dit kan handmatig of via een tagmanager zoals Google Tag Manager.

Voorbeeld van tagging via Google Tag Manager (GTM)

Het CodePen-voorbeeld hier laat zien hoe je scripts voor de CCPA (en de AVG) beheert met behulp van Google Tag Manager.

“Mijn persoonlijke informatie niet verkopen”-link

In het kader van het opt-out-recht van de consument moet je een gemakkelijk toegankelijke, duidelijke en opvallende “Mijn persoonlijke informatie niet verkopen“-link plaatsen op je website.

Door de bovenstaande instructies te volgen, geef je een “Niet verkopen”-link weer in de CCPA-kennisgeving, maar we bieden ook de mogelijkheid om een aparte link toe gebruiken, door de class iubenda-ccpa-opt-out toe te voegen. We raden je aan ergens op je website een gemakkelijk toegankelijke link toe te voegen (meestal in de voettekst), zodat gebruikers zich nog steeds kunnen afmelden, zelfs nadat ze de melding hebben gesloten (deze mogelijkheid bieden is wettelijk vereist).

Je kunt bijvoorbeeld als volgt een link naar de voettekst toevoegen:

<a href="javascript:void(0)" class="iubenda-ccpa-opt-out">Do Not Sell My Personal Information</a>

Wanneer erop wordt geklikt, geeft de link een dialoogvenster weer waarin de gebruikers hun opt-out kunnen bevestigen ten aanzien van de verkoop van hun persoonlijke informatie.

Geen zichtbare CCPA-melding weergeven

Als je liever geen daadwerkelijke banner weergeeft om gebruikers op de hoogte te stellen van de CCPA, kun je dit doen door de volgende instellingen te gebruiken:

ccpaNoticeDisplay: false

Deze optie is ook beschikbaar via de configurator (“Link het privacybeleid alleen op elke pagina”).

Signaal “kennisgeving gegeven”

Je kunt ervoor kiezen om:

• een banner weer te geven en alleen het signaal “kennisgeving gegeven” verzenden wanneer de gebruiker de banner expliciet afwijst (ccpaAcknowledgeOnDisplay: false) (standaard);
• een banner weer te geven en alleen het signaal “kennisgeving gegeven” verzenden wanneer de banner is geladen, zonder dat actie van de gebruiker nodig is (ccpaAcknowledgeOnDisplay: true); of
• geen banner weer te geven en alleen een link op elke pagina toe te voegen, waarbij het signaal “kennisgeving gegeven” wordt verzonden bij het laden van de pagina.

Deze configuraties zijn ook beschikbaar via de configurator, door het CPPA-bevestigingsniveau in te stellen op Medium:

Overige instellingen

ccpaCookie: { expireAfter: 365 } – Hiermee kun je de vervaldatum aanpassen van de cookie die de bevestiging van de kennisgeving opslaat.

privacyPolicyUrl: "https://yoursite.com/privacypolicy" – Hiermee kun je de link naar het privacybeleid aanpassen. In de configurator (in “Geavanceerde weergave”):

ccpaLspa: true / false / undefined (standaard) – Hiermee kun je aangeven of de transactie moet worden uitgevoerd krachtens de Limited Service Provider Agreement (LSPA) van IAB.

Callbacks

onCcpaAcknowledged – Wordt aangeroepen wanneer de CCPA-kennisgeving is bevestigd.

onCcpaFirstAcknowledged – Wordt aangeroepen wanneer de CCPA-kennisgeving voor het eerst wordt bevestigd.

onCcpaOptOut – Wordt aangeroepen wanneer de gebruiker zich heeft afgemeld voor verkoop

onCcpaFirstOptOut – Wordt aangeroepen wanneer de gebruiker zich voor het eerst heeft afgemeld voor verkoop.

Methoden

_iub.cs.api.ccpaApplies() – Geeft informatie of de CCPA-bescherming wordt toegepast op de huidige gebruiker.

_iub.cs.api.askCcpaOptOut() – Opent het dialoogvenster om bevestiging te vragen voor de afmelding voor verkoop.

_iub.cs.api.isCcpaAcknowledged() – Geeft informatie of de CCPA-kennisgeving is bevestigd.

_iub.cs.api.isCcpaOptedOut() – Geeft informatie of de gebruiker zich heeft afgemeld voor verkoop.

See also

• Gids over de CCPA
• CCPA-normen voor consumenten in Californië toepassen in de generator