Waarschuwingsbrieven van de FTC aan 13 data brokers: naleving van PADFA nu

Stel je voor dat je wakker wordt en ontdekt dat de analysetool, advertentienetwerk of klantdataplaat van je website onder de loep van de FTC ligt — niet vanwege een datalek, maar omdat het stilletjes gevoelige gebruikersgegevens heeft doorgesluisd naar een buitenlandse tegenstander zoals China of Rusland. Op 9 februari 2026 heeft de Federal Trade Commission (FTC) waarschuwingsbrieven gestuurd naar 13 data brokers, waarbij overtredingen van de Protecting Americans' Data from Foreign Adversaries Act van 2024 (PADFAA) aan het licht kwamen.¹ ² ³ Deze stap signaleert een nieuw tijdperk van handhaving waarin zelfs indirecte gegevensstromen via externe leveranciers uw bedrijf bloot kunnen stellen aan boetes tot $53.088 per overtreding.⁴ ² ³ Voor website-eigenaren die op deze brokers vertrouwen voor marketing, personalisatie of inzichten, is de boodschap duidelijk: controleer uw leveranciers nu om niet het volgende doelwit te worden.

Wat is PADFAA en waarom is het belangrijk?

PADFAA, dat in 2024 in werking is getreden, richt zich op een kritieke veiligheidslek: de ongecontroleerde verkoop van gevoelige persoonlijke gegevens van Amerikanen aan buitenlandse tegenstanders.¹ ² Het verbiedt data brokers om persoonlijk identificeerbare gevoelige gegevens van Amerikaanse individuen te verkopen, in licentie te geven, over te dragen, vrij te geven, openbaar te maken, toegang te verschaffen tot of anderszins beschikbaar te stellen aan landen als China, Rusland, Noord-Korea of Iran — of aan entiteiten die door hen worden gecontroleerd.¹ ⁴ ⁵ ³

Een data broker onder PADFAA wordt breed gedefinieerd als elke entiteit die, tegen een vergoeding, gegevens over Amerikaanse individuen verwerkt die deze niet rechtstreeks van hen heeft verzameld. Dit omvat leveranciers die geolocatie volgen, gezondheidsinformatie afleiden uit fitness-apps of zelfs inzichten over militaire status bieden — precies wat de FTC in deze brieven heeft aangestipt.¹ ² ⁶ Het agentschap identificeerde gevallen waarin ontvangers "oplossingen en inzichten aanboden met betrekking tot de status van een individu als lid van de strijdkrachten", en beschouwde deze gevoelige gegevens als onderworpen aan de wet.² ⁶ ³

Overtredingen tellen als oneerlijke of misleidende praktijken onder Sectie 5 van de FTC-wet (15 U.S.C. § 45), waardoor de deur openstaat voor gerechtelijke bevelen, handhavingsacties en die aanzienlijke civiele boetes.⁴ ³ De reikwijdte van PADFAA overlapt met privacywetten zoals CCPA (Cal. Civ. Code § 1798.100 et seq.), die vereist dat bedrijven hun gegevensstromen kennen, en GDPR Artikel 28 over de verplichtingen van verwerkers — waardoor naleving een meerlagige vereiste is.¹ ⁴

Uiteenzetting van de waarschuwingsbrieven

De brieven van de FTC, ondertekend door Christopher Mufarrige, directeur van het Bureau voor Consumentenbescherming, drongen erop aan dat de ontvangers "een grondige beoordeling van hun praktijken uitvoeren en deze onmiddellijk in overeenstemming brengen met de wet."¹ ² ³ Het waren geen beschuldigingen van onwettigheid, maar wel duidelijke herinneringen: de FTC houdt toezicht, met personeel van de afdeling privacyhandhaving dat klaarstaat om op te treden.¹

Belangrijke elementen uit de modelbrief zijn:

Verboden gegevenstypen: Gezondheid, financiën, genetische gegevens, biometrische gegevens, geolocatie, seksueel gedrag, inloggegevens voor accounts/apparaten en door de overheid uitgegeven ID's zoals burgerservicenummers, paspoorten of rijbewijzen.⁴ ² ⁶ ⁵
Handhaving: PADFAA is rechtstreeks gekoppeld aan Sectie 5(m)(1)(A) van de FTC-wet, waardoor boetes mogelijk zijn zonder dat consumentenschade hoeft te worden aangetoond.³
Oproep tot actie: Stop onmiddellijk met niet-conforme praktijken en zorg voor voortdurende naleving.³

Dit is niet geïsoleerd; het maakt deel uit van de bredere inspanningen van de FTC op het gebied van data brokers, wat in het verleden ook al onder de Gramm-Leach-Bliley Act en COPPA is gebeurd.² Met 13 brieven en mogelijk meer in de toekomst, zijn data brokers — en hun klanten — op hun hoede.¹ ⁷

Wie telt als data broker? Het kan uw leverancier zijn

U denkt misschien dat data brokers mysterieuze bedrijven zijn waar u nog nooit van hebt gehoord, maar de definitie van PADFAA omvat veel gebruikelijke website-elementen:

Analyseproviders die geaggregeerde maar identificeerbare locatiegegevens verkopen.
Ad-techplatforms die gebruikersprofielen verhandelen met precieze geolocatie.
CRM-tools die gezondheids- of financiële status afleiden uit gedrag.

Als uw externe leverancier aan de criteria voldoet — het verwerken van gegevens van Amerikaanse personen die niet rechtstreeks van hen zijn verzameld, tegen een vergoeding — dan is het een data broker.¹ ³ Websites die deze gebruiken voor personalisatie of targeting vergroten het risico: uw toestemmingsbanners kunnen Artikel 6 van de GDPR wettelijke grondslagen dekken, maar raken niet het nationale veiligheidsaspect van PADFAA.²

Realistische overlap: een kaartservice volgt de geolocatie van gebruikers voor uw site en geeft deze vervolgens in licentie aan een brokerketen die buitenlandse entiteiten bereikt. Zelfs als dit onbedoeld is, bent u aansprakelijk als u geen controle hebt uitgevoerd.⁴ ⁵

Uitvoerbare stappen: Controleer uw externe leveranciers

Website-eigenaren kunnen zich geen rust veroorloven. Hier is een praktisch, stapsgewijs controlekader om de blootstelling aan PADFAA te beoordelen — pas het aan naast uw CCPA-risicobeoordelingen voor leveranciers of PIPEDA Principe 4.1.3 vereisten voor verantwoordelijkheid.

1. Inventariseer uw leveranciers

Maak een overzicht van elke externe script, API of service die gebruikersgegevens aanraakt:

Gebruik tools zoals CSP-rapporten of netwerk logs om trackers op te sommen (bijv. Google Analytics, Facebook Pixel).
Categoriseer op gegevenstype: Toegang tot geolocatie (breedtegraad/lengtegraad), gezondheidsinformatie (van wearables) of precies identificeerbare gegevens?⁴ ²
Tip: Exporteer uw tagmanager (bijv. GTM) auditlog voor een volledig beeld.

2. Classificeer gevoelige gegevensstromen

Documenteer voor elke leverancier:

Verzamelde gegevens: IP-afgeleide locatie, apparaat-ID's, browsegeschiedenis.
Overeenkomende PADFAA-categorieën: Geolocatie indien <1.850 voet precisie; door de overheid uitgegeven ID's indien geschrapt.² ⁵
Ontvangers: Vraag Data Processing Agreements (DPA's) die details geven over downstream delen. Controleer tegen lijsten van buitenlandse tegenstanders (China, Rusland, enz.).¹ ⁴

Gegevenstype	Voorbeelden	PADFAA-risico indien gedeeld met tegenstanders
Geolocatie	GPS-coördinaten, IP-afgeleid adres	Hoog – Maakt surveillance mogelijk⁴ ²
Gezondheid/Financiën	Afgeleid uit app-gegevens, aankoopgeschiedenis	Hoog – Profielen voor targeting⁶
Biometrisch/Genetisch	Gezichtsherkenning, DNA-uploads	Extreem – Onomkeerbare schade⁵
Militaire status	Afgeleid uit functietitels, bezoeken aan bases	Aangestipt door FTC² ³
Identificeerbare gegevens	Burgerservicenummer, inloggegevens	Hoog – Identiteitsdiefstalvector⁴

3. Screening en contracteren

Vraag PADFAA-certificaten: Vraag attestaties van geen verkoop aan tegenstanders, vergelijkbaar met GDPR Artikel 28(3)(h) sub-verwerkerskennisgevingen.
Update contracten: Voeg auditbevoegdheden, breukmeldingen binnen 72 uur toe (vergelijkbaar met CCPA §1798.150), en beëindigingsclausules voor PADFAA-overtredingen.
Rode vlaggen: Leveranciers in of eigendom van tegenstanderslanden; vaag privacybeleid; geschiedenis van FTC-toezicht.

4. Implementeer controles

Technische oplossingen:
- Geoblock tegenstanders-IP's aan de rand (Cloudflare, Akamai).
- Anonimiseer gegevens: Aggregeer geolocatie tot census-blokniveau; hash identificeerbare gegevens.¹
Monitoring:
- Kwartaalelijkse vragenlijsten voor leveranciers.
- Geautomatiseerde scans voor nieuwe trackers (bijv. via browserextensies).
Training: Leer teams over PADFAA naast PIPEDA Principe 7 waarborgen.

5. Incidentrespons en -rapportage

Als u een overtreding opmerkt:

Stop gegevensstromen onmiddellijk.
Documenteer herstel (FTC houdt van bewijs van goede trouw).³
Meld uzelf indien materieel risico, wat mogelijk boetes kan verzachten.

Dit proces duurt doorgaans 2-4 weken voor middelgrote sites, maar schaalt met automatisering. Kleine bedrijven: Begin met de top 10 leveranciers die 80% van de gegevens verwerken.

Bredere implicaties voor website-naleving

PADFAA bestaat niet in een vacuüm. Het overlapt met staatswetten zoals CCPA/CPRA, die "verkoop"-openbaarmakingen vereisen (opt-outs voor delen), en internationale regimes:

GDPR: Verwerkers moeten ervoor zorgen dat sub-verwerkers niet naar "derde landen" exporteren zonder adequaatheid (Rusland/China hebben die niet – Artikel 45).⁴
PIPEDA: Organisaties zijn verantwoordelijk voor overgedragen gegevens (Principe 4.1.3), met waarborgen tegen ongeoorloofde toegang.

Handhavingstrends tonen escalatie: Na waarschuwingen verwacht de FTC rechtszaken die lijken op de COPPA-boete van $520M aan Epic Games. Websites die leveranciersrisico's negeren, lopen gezamenlijke aansprakelijkheid op, zoals te zien is in CCPA §1798.145(c)(6) acties tegen platforms.²

Voor ontwikkelaars: Voeg PADFAA-controles toe in SDK-recensies. Productmanagers: Geef prioriteit in RFP's. Eigenaren: Budget $5K-20K per jaar voor audits — goedkoper dan $53K boetes.

Belangrijkste conclusies

Handel nu: De brieven van de FTC van 9 februari aan 13 brokers bewijzen dat PADFAA-handhaving live is — controleer leveranciers vandaag nog.¹ ²
Gevoelige gegevens zijn uitgebreid: Geolocatie, gezondheid, militaire status — allemaal verboden voor tegenstanders.⁴ ⁶
Boetes zijn pijnlijk: Tot $53.088 per overtreding onder Sectie 5 van de FTC-wet.³
Controleer systematisch: Inventariseer, classificeer, contracteer, controleer, monitor — herhaal per kwartaal.
Holistische naleving: Voeg PADFAA toe aan CCPA, GDPR, PIPEDA voor robuuste bescherming.

Door PADFAA te behandelen als een signaal voor leveranciersrisico, versterken websites zowel privacy als nationale veiligheid. Blijf waakzaam; de FTC doet dat ook.

(Woordtelling: 1.128)

Waarschuwingsbrieven van de FTC aan 13 data brokers: naleving van PADFA nu