Multi-jurisdictie compliance: één site, veel wetten

Voor de meeste mkb-sites is de vraag niet "welke wet" maar "welke wetten". Een site die in EU, VK, VS en Canada wordt verkocht triggert zes of zeven kaders. Zeven programma’s bouwen is onhaalbaar. Multi-jurisdictie compliance betekent: het juiste werk één keer doen en correct rapporteren aan elke autoriteit.

Wet voor wet samenvatting

Europese Unie

• AVG + ePrivacy-richtlijn: opt-in voor trackers, rechtsgrond, betrokkenenrechten, transparantie.
• EAA: WCAG 2.1 AA via EN 301 549 vanaf 28 juni 2025. Micro-onderneming uitzondering.
• DSA: transparantie, moderatie, advertentie-disclosures (vooral marktplaatsen).

Verenigd Koninkrijk

• UK GDPR + PECR: dicht bij het EU-regime, maar niet meer identiek. De Data (Use and Access) Act 2025 wijzigde PECR: sinds 5 februari 2026 zijn meerdere cookiecategorieën met laag risico vrijgesteld van toestemming, waaronder geaggregeerde first-party analytics, en steeg het PECR-boeteplafond van £500.000 naar £17,5 mln of 4 % van de wereldwijde omzet. Daarnaast is er de ICO-cookiegids.
• Equality Act 2010: een anticiperende plicht tot redelijke aanpassingen. De wet noemt geen technische norm en geen enkele Britse rechter heeft ooit over webtoegankelijkheid geoordeeld — alle zaken tot nu toe zijn geschikt. WCAG 2.1 AA staat in het Britse recht alleen in PSBAR 2018, dat de publieke sector bindt. Voor private dienstverleners is het de praktische maatstaf die iedereen hanteert, geen rechterlijke eis.

Verenigde Staten

• ADA Title III: WCAG 2.1 AA als feitelijke standaard.
• State laws: CCPA/CPRA (CA), CPA (CO), VCDPA (VA), CTDPA (CT), TDPSA (TX), etc. Notificatie, rechten, opt-out verkoop/delen (GPC).
• FTC Section 5: misleidend marketing over privacy/accessibility (accessiBe 2025).

Canada

• PIPEDA (federaal): toestemming, openbaarmaking.
• AODA (Ontario): WCAG 2.0 AA voor 50+ medewerkers.
• Wet 25 (Québec): strenger, DPIA-achtige beoordelingen.

Australië

• Privacy Act 1988: APP, in hervorming richting AVG.
• Disability Discrimination Act: jurisprudentie noemt WCAG 2.0/2.1 AA.

Compliance-piramide: overlappingen

• Toegankelijkheid: één programma op WCAG 2.1 AA bedient EAA, ADA, UK Equality Act, AODA en DDA, maar telkens om een andere reden. De EAA noemt 2.1 AA via EN 301 549; AODA legt een wettelijke ondergrens van WCAG 2.0 AA vast, die 2.1 AA overtreft. De UK Equality Act en ADA Title III noemen helemaal geen technische norm: daar is 2.1 AA bewijs, geen naleving — de maatstaf waaraan een claim zou worden getoetst. Eén technische basis blijft de juiste keuze. Vertel een jurist alleen niet dat 2.1 AA is wat de Equality Act eist.
• Cookies/trackers: AVG+ePrivacy is het strengste toestemmingsregime; wie daaraan voldoet, dekt UK PECR en de Braziliaanse LGPD grotendeels mee af. Amerikaans state-recht niet: dat volgt een ander model. Twaalf staten eisen inmiddels dat het Global Privacy Control-signaal server-side wordt gehonoreerd, en Californië vraagt daarnaast een aparte Notice at Collection. Een Europese opt-in-banner doet geen van beide. Andersom faalt het ook: een CCPA-conforme banner zakt meestal voor de AVG.
• Privacy-disclosures: AVG-policy is overinclusief. State-bijlagen (CA, Québec) als add-ons.
• Rechten-workflows: één intake, routing per jurisdictie.
• Verplichte pagina’s: privacyverklaring, toegankelijkheidsverklaring, cookiebeleid, impressum (DACH). Universeel.

Praktisch speelboek

1. Strengste norm als basis. WCAG 2.1 AA + AVG-niveau. Rest als overlay.
2. Eén audit, meerdere rapporten. Elke bevinding met lokale clausule.
3. Frontend lokaliseren, backend niet. Banner past zich aan per regio; tag manager-logica blijft.
4. Jurisdictie documenteren. Eén policy met regionale secties verslaat zes.
5. Continu monitoren. Regressievlak × 6.

Valkuil van mono-jurisdictie tools

Drie leveranciers voor drie jurisdicties = drie inconsistente rapporten, drie SLA’s, geen consolidatie. Multi-jurisdictie tool reduceert tot één feed.

Veracly’s aanpak

Veracly is hiervoor gebouwd. Eén scan levert gelijktijdig rapporten voor vijf regelsets: EAA, AVG en ePrivacy, ADA, UK Equality Act en AODA. Elke bevinding gekoppeld aan de juiste clausule, één backlog. Amerikaanse state-privacywetten horen daar bewust niet bij — we toetsen niet aan CCPA of CPRA, en dat staat in het rapport in plaats van dat we dekking suggereren die er niet is. Gelokaliseerde rapporten: EAA in Duits voor de autoriteit, ADA in Engels voor US-onderhandeling, AVG in Frans voor CNIL. Voer een gratis scan uit.

Zie ook: website-compliance-audit · EAA voor mkb · ADA-audit