Is uw bedrijf een databroker? Compliance risico's en definities

De verborgen definitie van een data broker

Jarenlang riep de term "data broker" beelden op van schimmige aggregators die verzendlijsten verkochten. Recente handhavingsacties wijzen echter op een verschuiving in de manier waarop toezichthouders de rol definiëren. In augustus 2026 vaardigde de California Privacy Protection Agency (CalPrivacy) haar eerste gezamenlijke handhavingsacties uit onder de CCPA en de Delete Act, waarbij LocateSmarter een bekendgemaakte boete van $110,490 kreeg (https://www.jdsupra.com/legalnews/calprivacy-settles-with-two-data-8857468/) en Cybba een bekendgemaakte boete van $52,400 kreeg (https://www.gov.ca.gov/2026/08/13/icymi-california-takes-historic-action-against-data-brokers/) wegens het niet registreren als data brokers. Deze bedrijven waren geen traditionele aggregators, maar voldeden toch aan de wettelijke criteria die veel MKB-bedrijven momenteel over het hoofd zien.

De juridische definitie van een data broker is bedrieglijk eenvoudig: een onderneming die willens en wetens persoonlijke informatie verzamelt en verkoopt aan derden van een consument met wie de onderneming geen directe relatie heeft. Als uw organisatie datasets te gelde maakt die inzichten van derden bevatten, opereert u in de ogen van de wet mogelijk al als een broker. Begrijpen wat u legaal kunt verkopen onder GDPR en Amerikaanse staatswetten is de eerste stap in het vermijden van deze escalerende boetes.

De "Directe Relatie" lakmoesproef

Het draaipunt voor de meeste handhavingsacties is de "directe relatie"-test. Er is sprake van een directe relatie als een consument een huidige of voormalige klant is, of op een andere manier direct contact heeft gehad met uw bedrijf. Als u gegevens verwerkt die zijn verkregen van een partner, een openbaar register of een API van derden en deze gegevens vervolgens licentieert — zelfs in een verrijkte of gepseudonimiseerde vorm — wordt de directe relatie verbroken. Op dat moment wordt u een data broker.

Toezichthouders kijken steeds vaker naar "schaduwbrokers" — bedrijven die marketingattributie, identiteitsresolutie of kredietrisicomodellering aanbieden. Als de gegevens die u verkoopt niet rechtstreeks door uw entiteit bij het individu zijn verzameld, bent u waarschijnlijk registratieplichtig. Dit is met name cruciaal voor bedrijven die onze dataset catalogue verkennen om hoogwaardige AI-trainingsdata te sourcen of te leveren; de herkomst van de data bepaalt de regeldruk.

Registratievereisten in meerdere staten: CA, TX en OR

Hoewel de Delete Act (SB 362) van California de meest agressieve is, is het niet de enige hindernis. Vanaf 2026 hebben verschillende staten verplichte registers ingevoerd met variërende drempels:

• California: Vereist jaarlijkse registratie vóór 31 januari. Het niet registreren resulteert in een bekendgemaakte administratieve boete van $200 per dag (https://www.jdsupra.com/legalnews/calprivacy-settles-with-two-data-8857468/).
• Texas: De Data Broker Transparency Act vereist dat bedrijven die meer dan 50% van hun omzet halen uit data brokerage, of handelen in gegevens van meer dan 50,000 individuen, zich registreren of boetes riskeren tot $10,000 per overtreding.
• Oregon: Vereist registratie voor elke entiteit die gegevens bijhoudt van meer dan 10,000 inwoners van Oregon en die gegevens verkoopt aan derden.

De geschatte kosten voor naleving — inclusief registratiekosten, juridische audits en de implementatie van "verwijder alles"-verzoeken — variëren volgens sectorbenchmarks van $15,000 tot $50,000 per jaar voor middelgrote bedrijven. De kosten van niet-naleving zijn echter aanzienlijk hoger, zoals blijkt uit recente schikkingen van vijf en zes cijfers.

Financiële en operationele risico's van niet-naleving

Naast de directe administratieve boetes brengt het label "niet-conforme data broker" existentiële risico's met zich mee voor datagestuurde ondernemingen. Institutionele datakopers, met name in de AI- en financiële sector, voeren nu een rigoureuze due diligence uit op de herkomst van data. Het niet registreren onder de Delete Act kan een dataset "toxisch" maken, waardoor deze niet in licentie kan worden gegeven aan grote techbedrijven die vrezen voor secundaire aansprakelijkheid.

Bovendien bepaalt de Delete Act van California dat de staat tegen 2026 een enkel "toegankelijk verwijderingsmechanisme" zal bieden waarmee consumenten hun gegevens met één klik bij alle geregistreerde brokers kunnen verwijderen. Als u niet geregistreerd bent, kunt u dit mechanisme niet integreren, wat u in directe strijd brengt met consumentenrechten en uitnodigt tot collectieve rechtszaken.

Wat dit voor u betekent

Voor data-eigenaren is het tijdperk van "onbedoelde brokerage" voorbij. U moet uw datatoeleveringsketen auditen om te bepalen of u informatie verkoopt van consumenten met wie u geen directe relatie heeft. Als u in deze categorie valt, registratie is niet langer optioneel — het is een voorwaarde voor marktdeelname. Voor kopers op d-nvest is het waarborgen dat uw partners voldoen aan de staatswetten voor brokers de enige manier om de levensvatbaarheid op lange termijn van uw AI-modellen en data-assets te garanderen. Naleving is niet alleen een juridische hindernis; het is een signaal van datakwaliteit en institutionele paraatheid.