Кратък отговор: Законът за защита на потребителските данни на Вирджиния (VCDPA) е всеобхватен щатски закон за поверителност, който влезе в сила на 1 януари 2023 г., изискващ от бизнесите, които отговарят на специфични прагове за приходи или обработка на данни, да зачитат правата на потребителите върху личните данни. Бизнесите от Източното крайбрежие, дори тези със седалище извън Вирджиния, трябва да се съобразяват, ако обслужват жители на Вирджиния в голям мащаб. Към 1 юли 2026 г. законът беше допълнително засилен със забрана за продажба на точни данни за геолокация съгласно SB 338.
Основни изводи
- VCDPA се прилага за всеки бизнес, който контролира или обработва данни на 100 000+ потребители от Вирджиния годишно, или 25 000+ потребители, ако 50% или повече от приходите идват от продажба на лични данни.
- Потребителите от Вирджиния имат шест основни права: достъп, коригиране, изтриване, преносимост, отказ от целева реклама/продажба/профилиране и право на обжалване на отхвърлена заявка.
- Главният прокурор на Вирджиния притежава изключителни правомощия за прилагане; няма частно право на иск съгласно VCDPA.
- Гражданските санкции могат да достигнат $7 500 за умишлено нарушение, с 30-дневен срок за отстраняване (който изтича след 1 януари 2026 г.).
- Към 1 юли 2026 г. SB 338 забранява продажбата на точни данни за геолокация, добавяйки значително ново задължение за брокерите на данни и компаниите за рекламни технологии.
- Категориите чувствителни данни (биометрични, здравни, расов/етнически произход, точна геолокация и др.) изискват изрично съгласие за включване преди обработка.
- За разлика от GDPR, VCDPA не изисква правно основание за обработка на общи лични данни, но изисква оценки на защитата на данните за дейности с висок риск.
- Малките бизнеси под праговете са освободени, но тези, които обработват чувствителни данни или продават лични данни, трябва внимателно да прегледат своята експозиция.
- Платформа за управление на съгласието като Biscotti CMP може да помогне за автоматизиране на обработката на сигнали за отказ и записите на съгласието.
- Политиките за поверителност трябва ясно да разкриват събраните категории данни, целите, споделянето с трети страни и всички права на потребителите съгласно VCDPA.
Какво представлява Законът за защита на потребителските данни на Вирджиния и как работи
VCDPA е всеобхватен закон за поверителност на потребителите на Вирджиния, кодифициран в дял 59.1, глава 53 от Кодекса на Вирджиния, и в сила от 1 януари 2023 г. [10]. Той установява рамка от права на потребителите и съответни бизнес задължения, моделирани свободно по GDPR на ЕС, макар и със забележими структурни разлики, подходящи за търговски контекст в САЩ.
Законът работи по модел контролер-обработващ. Контролерите (субекти, които определят целта и средствата за обработка) носят основната тежест за съответствие. Обработващите (доставчици, обработващи данни от името на контролер) трябва да работят съгласно споразумение за обработка на данни и да следват документираните инструкции на контролера [1].
Основните механизми включват:
- Задължителен отговор на заявки за права на потребителите в рамките на 45 дни (може да бъде удължен с още 45 дни с предизвестие)
- Изисквани оценки на защитата на данните за обработка, която представлява повишен риск
- Договорни задължения между контролери и обработващи
- Изисква се съгласие за включване за чувствителни данни; права за отказ за целева реклама и продажби на данни [8]
Кога VCDPA влиза в сила за бизнесите
VCDPA влезе в сила на 1 януари 2023 г. за всички обхванати бизнеси [5]. Нямаше поетапно въвеждане по размер на бизнеса, за разлика от CPRA на Калифорния. Ако даден бизнес е изпълнил праговете на или след тази дата, съответствието е било незабавно изисквано.
Най-новата поправка, SB 338, добави забрана за продажба на точни данни за геолокация, в сила от 1 юли 2026 г. [2][3]. Това означава, че бизнесите, които монетизират данни за местоположение, включително брокери на данни, рекламни мрежи и издатели на мобилни приложения, обслужващи потребители от Вирджиния, се сблъскаха с нов краен срок тази година.
Кой трябва да спазва изискванията на VCDPA на Вирджиния
VCDPA се прилага за търговски субекти, които извършват дейност във Вирджиния или произвеждат продукти/услуги, насочени към жители на Вирджиния и отговарят на поне един от двата прага [8][10]:
| Праг | Условие |
|---|---|
| Базиран на обем | Контролира или обработва данни на 100 000+ потребители от Вирджиния на календарна година |
| Базиран на приходи | Контролира или обработва данни на 25 000+ потребители И получава 50%+ от брутните приходи от продажба на лични данни |
Освободени субекти и типове данни включват:
- Нестопански организации
- Висши учебни заведения
- Финансови институции, подлежащи на GLBA
- Субекти, обхванати от HIPAA, и бизнес сътрудници (за данни, регулирани от HIPAA)
- Държавни субекти
- Данни за служители и B2B контакти (в контекста на трудови или търговски сделки)
Законът не изисква физическо присъствие във Вирджиния. Компания за електронна търговия, базирана в Ню Йорк, доставчик на SaaS в Масачузетс или маркетингова агенция във Флорида, всички могат да попаднат в обхвата, ако обработват данни на потребители от Вирджиния в необходимия обем [1].
Прилага ли се VCDPA за моя бизнес, ако не съм във Вирджиния
Да, географското местоположение на бизнеса е без значение. Обхватът на VCDPA се определя от това къде се намират потребителите, а не къде оперира бизнесът [7]. Всеки бизнес от Източното крайбрежие със значителна клиентска база във Вирджиния трябва да оцени обема на данните си спрямо горните прагове.
Практически пример: Търговец на електронна търговия, базиран в Балтимор, който продава на 150 000 клиенти годишно, значителна част от които са жители на Вирджиния, вероятно преминава прага от 100 000 потребители и трябва да се съобрази.
Какви данни всъщност защитава и обхваща VCDPA
VCDPA обхваща лични данни, дефинирани като всяка информация, която е свързана или разумно свързана с идентифицирано или идентифицируемо физическо лице [10]. Това изключва деидентифицирани данни и публично достъпна информация.
Чувствителните данни са отделна категория с по-висока защита, изискваща съгласие за включване преди обработка [8]:
- Расов или етнически произход
- Религиозни убеждения
- Диагнози за психично или физическо здраве
- Сексуална ориентация или полова идентичност
- Имиграционен статус
- Генетични или биометрични данни, обработени за уникална идентификация
- Лични данни на известно дете (под 13 години)
- Точни данни за геолокация (и от 1 юли 2026 г. такива данни изобщо не могат да бъдат продавани) [2]
Какви са основните задължения за бизнесите съгласно VCDPA
Контролерите трябва да изпълнят шест категории задължения съгласно VCDPA на Вирджиния: Какво трябва да знаят бизнесите от Източното крайбрежие за защитата на данните започва тук на практика.
- Прозрачност: Предоставяне на разумно достъпно, ясно известие за поверителност, разкриващо категории данни, цели на обработката, споделяне с трети страни и права на потребителите [7].
- Изпълнение на правата на потребителите: Отговаряне на заявки за достъп, коригиране, изтриване, преносимост и отказ в рамките на 45 дни.
- Ограничение на целта: Събиране само на данни, адекватни и релевантни за разкритата цел.
- Сигурност на данните: Прилагане на разумни административни, технически и физически мерки за сигурност.
- Недискриминация: Не отказвайте стоки/услуги или не начислявайте различни цени само защото потребител е упражнил право на поверителност.
- Оценки на защитата на данните: Провеждане и документиране на оценки за целева реклама, продажби на данни, обработка на чувствителни данни, профилиране с правни/значителни последици и определени дейности с висок риск [1][9].
Контролерите трябва също така да зачитат универсални механизми за отказ (като сигнали за Global Privacy Control, базирани на браузър) за целева реклама и продажби на данни, изискване, въведено поетапно съгласно поправките на Вирджиния [6].
Какви са правата на потребителите съгласно VCDPA, които бизнесите трябва да подкрепят
Потребителите от Вирджиния притежават шест приложими права [8][10]:
- Право на достъп: Потвърждение дали техните данни се обработват и получаване на копие.
- Право на коригиране: Коригиране на неточности в техните лични данни.
- Право на изтриване: Искане за изтриване на лични данни, които са предоставили или които са събрани за тях.
- Право на преносимост на данните: Получаване на преносимо копие в лесно използваем формат.
- Право на отказ: Отказ от целева реклама, продажба на лични данни и профилиране за решения с правни или значителни последици.
- Право на обжалване: Ако даден бизнес отхвърли заявка, потребителите могат да обжалват, а бизнесът трябва да отговори в рамките на 60 дни от обжалването.
Бизнесите трябва да предоставят поне два метода за подаване на заявки (напр. уеб формуляр и безплатен номер или имейл адрес) [9].
Колко струват нарушенията на VCDPA в глоби и санкции
Главният прокурор на Вирджиния може да наложи граждански санкции до $7 500 за умишлено нарушение и до $2 500 за неумишлено нарушение [8][10]. Санкциите могат също да включват съдебна забрана и адвокатски хонорари.
Критично, VCDPA първоначално включваше 30-дневен срок за отстраняване, бизнесите можеха да отстранят нарушенията, преди да бъдат наложени санкции. Въпреки това, този срок за отстраняване изтече на 1 януари 2026 г., което означава, че главният прокурор вече има правомощия да преследва прилагането без да предлага възможност за отстраняване [6].
Няма частно право на иск, така че отделните потребители не могат да съдят бизнеси директно съгласно VCDPA. Прилагането е изключително чрез Службата на главния прокурор.
Как VCDPA се различава от CCPA и каква е разликата от GDPR за компаниите от Източното крайбрежие
Разбирането на VCDPA на Вирджиния: Какво трябва да знаят бизнесите от Източното крайбрежие за защитата на данните изисква поставянето му в сравнителен контекст.
| Характеристика | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Частно право на иск | Не | Ограничено (нарушения на данни) | Да (държавите членки варират) |
| Включване за чувствителни данни | Да | Не (модел на отказ) | Да |
| Срок за отстраняване | Изтече януари 2026 г. | Изтече януари 2023 г. | Неприложимо |
| Максимална санкция за нарушение | $7 500 | $7 500 | До 4% от глобалните приходи |
| Оценки на защитата на данните | Изискват се (висок риск) | Изискват се (висок риск) | Изискват се (DPIA) |
| Правно основание за обработка | Не се изисква (общи данни) | Не се изисква | Изисква се (6 законни основания) |
Основен извод за бизнесите от Източното крайбрежие: VCDPA е по-малко обременяващ от GDPR по отношение на изискванията за правно основание, но по-предписващ от оригиналния CCPA по отношение на съгласието за чувствителни данни. Бизнесите, които вече са съвместими с GDPR, ще намерят адаптирането към VCDPA за управляемо; тези, които са запознати само с CCPA, трябва да коригират работните си процеси за чувствителни данни.
Трябва ли малките бизнеси да спазват VCDPA на Вирджиния
Малките бизнеси под праговете от 100 000 потребители или 25 000 потребители плюс приходи не са задължени да спазват VCDPA [10]. Това е значително изключение, което отличава закона на Вирджиния от някои международни рамки.
Въпреки това, "малък" е относително. Нишов SaaS инструмент със 110 000 безплатни потребители от Вирджиния преминава прага за обем, независимо от приходите. Бизнесите трябва:
- Ежегодно да одитират действителните обеми данни на потребителите
- Да проследяват дали продажбите на данни съставляват 50%+ от приходите
- Да преоценяват праговете с нарастването на бизнеса
Дори освободените бизнеси печелят от изграждането на практики, ориентирани към поверителността, рано, тъй като ретрофитът за съответствие е постоянно по-скъп от проактивния дизайн.
Какви са често срещаните грешки, които компаниите правят при съответствието с VCDPA
1. Грешно класифициране на обработващите като контролери (или обратното). Доставчиците, които вземат независими решения относно използването на данни, са контролери, а не обработващи. Грешното класифициране води до неадекватни договорни защити и неуредени задължения.
2. Игнориране на универсални сигнали за отказ. Много бизнеси изградиха потоци за отказ само за ръчни заявки, пренебрегвайки изискването да зачитат сигнали на ниво браузър като Global Privacy Control [6].
3. Неактуализиране на споразуменията за обработка на данни. VCDPA изисква специфични договорни разпоредби между контролери и обработващи. Общите договори с доставчици често ги нямат [1].
4. Третиране на чувствителни данни като общи лични данни. Обработката на биометрични, здравни или точни данни за геолокация без съгласие за включване е отделно нарушение, а не просто процедурна празнина.
5. Предполагане, че срокът за отстраняване все още се прилага. С изтичането на срока за отстраняване към януари 2026 г., бизнесите вече не могат да разчитат на прозорец за корекция преди действия по прилагане [6].
6. Пропускане на механизма за обжалване. Много политики за поверителност и работни процеси за заявки нямат документиран процес за обжалване, което е задължителен елемент съгласно VCDPA [9].
Как да одитирам бизнеса си за готовност за VCDPA
Одитът за готовност за VCDPA трябва да обхваща пет области:
- Оценка на праговете: Картографирайте всички потоци от данни на потребители от Вирджиния и изчислете годишните обеми на обработка спрямо законовите прагове.
- Инвентаризация на данните: Каталогизирайте всички категории лични данни, събрани, техните източници, цели, срокове за съхранение и получатели от трети страни.
- Преглед на чувствителни данни: Идентифицирайте всички категории чувствителни данни и потвърдете, че са въведени механизми за съгласие за включване.
- Инфраструктура за права: Тествайте всички шест работни процеса за права на потребителите от край до край, включително процеса на обжалване.
- Договори с доставчици: Прегледайте всички споразумения с обработващи за изискваните от VCDPA договорни разпоредби (инструкции за обработка, поверителност, контроли на подизпълнители, права за одит) [7].
За бизнеси, управляващи съгласие през множество цифрови точки за контакт, платформа за управление на съгласието като Biscotti CMP може да централизира обработката на сигнали за отказ и да поддържа одитируеми записи на съгласието, подкрепяйки както VCDPA, така и програми за съответствие в множество щати.
Какво трябва да пише в моята политика за поверителност, за да бъде съвместима с VCDPA
Политиката за поверителност, съвместима с VCDPA, трябва да разкрива [8][9]:
- Категориите лични данни, обработвани
- Целта за обработка на всяка категория
- Как потребителите могат да упражняват своите шест права, включително процеса на обжалване
- Дали личните данни се продават или използват за целева реклама (с инструкции за отказ)
- Категориите трети страни, с които се споделят данни
- Информация за контакт за подаване на заявки (поне два метода)
- Ако се обработват чувствителни данни, основанието за това (съгласие за включване)
Политиките трябва да бъдат написани на ясен език, да бъдат разумно достъпни (свързани видно на уебсайтове и приложения) и да се актуализират винаги, когато практиките за данни се променят съществено.
Заключение и приложими следващи стъпки
VCDPA на Вирджиния представлява една от най-съществените щатски рамки за поверителност в Съединените щати, а добавянето през юли 2026 г. на забрана за продажба на точни данни за геолокация сигнализира, че законодателната власт на Вирджиния възнамерява да продължи да я засилва. За бизнесите от Източното крайбрежие, извънтериториалният обхват на закона означава, че географията не е защита, обемът на данните и целта на обработката определят експозицията.
Приложими стъпки за 2026 г.:
- Извършете анализ на праговете спрямо текущите обеми данни на потребители от Вирджиния преди края на годината.
- Одитирайте всички работни процеси за чувствителни данни, особено тези, включващи точна геолокация, биометрични или здравни данни, за съответствие със съгласието за включване.
- Потвърдете, че вашата политика за поверителност включва всички шест права на потребителите и документиран механизъм за обжалване.
- Прегледайте споразуменията с обработващи за изискваните от VCDPA договорни разпоредби.
- Внедрете или проверете обработката на универсални сигнали за отказ (Global Privacy Control) във вашите цифрови имоти.
- Разгледайте решение за управление на съгласието като Biscotti CMP, за да автоматизирате събирането на съгласие, обработката на сигнали за отказ и документацията за съответствие.
- Планирайте годишни преоценки на праговете с нарастването на бизнеса си.
Срокът за отстраняване е изтекъл. Прилагането е активно. Бизнесите, които третират съответствието с VCDPA като еднократна отметка, а не като текуща оперативна дисциплина, са изправени пред най-голям риск.
ЧЗВ
В: Прилага ли се VCDPA за нестопански организации? Не. Нестопанските организации са изрично освободени от изискванията на VCDPA [10].
В: Може ли потребител от Вирджиния да съди директно моя бизнес съгласно VCDPA? Не. VCDPA няма частно право на иск. Само главният прокурор на Вирджиния може да предприема действия по прилагане [8].
В: Какъв е крайният срок за отговор на заявка за права на потребителите? Бизнесите трябва да отговорят в рамките на 45 дни от получаване на проверима заявка. Разрешено е еднократно удължаване с 45 дни, ако бизнесът уведоми потребителя за забавянето и причината [9].
В: Обхващат ли се данните на служителите от VCDPA? Данните на служителите, обработвани в контекста на заетостта, са освободени съгласно VCDPA. Въпреки това, това освобождаване се тълкува тясно и не обхваща всички свързани с човешките ресурси употреби на данни [1].
В: Какво се счита за "продажба" на лични данни съгласно VCDPA? VCDPA дефинира "продажба" като обмен на лични данни срещу парично възнаграждение. За разлика от CCPA, тя не се разширява до непарично ценно възнаграждение, което е значително разграничение за рекламните технологии [5].
В: Нужен ли ми е служител по защита на данните съгласно VCDPA? Не. VCDPA не изисква назначаване на служител по защита на данните, за разлика от GDPR [7].
В: Какво се промени със SB 338 през 2026 г.? SB 338, в сила от 1 юли 2026 г., забранява продажбата на точни данни за геолокация, добавяйки ново категорично ограничение извън общата рамка за отказ, която преди това регулираше такива данни [2][3].
В: Как VCDPA дефинира "точна геолокация"? Точна геолокация означава данни, получени от технология, която идентифицира местоположението на потребителя в радиус от 1 750 фута или по-малко [10].
В: Изискват ли се оценки на защитата на данните за всички дейности по обработка? Не. Оценките се изискват само за обработка с висок риск: целева реклама, продажби на данни, обработка на чувствителни данни, профилиране с правни/значителни последици и обработка, която представлява повишен риск от вреда [1][9].
В: Какво се случва, ако потребител обжалва отхвърлена заявка? Бизнесът трябва да завърши прегледа на обжалването в рамките на 60 дни и да информира потребителя за резултата. Ако обжалването бъде отхвърлено, бизнесът трябва да предостави информация как потребителят може да се свърже с главния прокурор [8].
Интерактивна проверка на праговете за съответствие с VCDPA
Референции
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/