Koje podatke VCDPA zapravo štiti i pokriva

Pristanak i baneri

VCDPA u Virginiji: Šta preduzeća na istočnoj obali moraju znati o zaštiti podataka

7. juli 2026. · 15 min čitanja

Brzi odgovor: Zakon o zaštiti podataka potrošača u Virginiji (VCDPA) je sveobuhvatan državni zakon o privatnosti koji je stupio na snagu 1. januara 2023. godine, zahtijevajući od preduzeća koja ispunjavaju specifične pragove prihoda ili obrade podataka da poštuju prava potrošača nad ličnim podacima. Preduzeća na istočnoj obali, čak i ona sa sjedištem izvan Virginije, moraju se pridržavati ako opslužuju stanovnike Virginije u velikom obimu. Od 1. jula 2026. godine, zakon je dodatno ojačan zabranom prodaje preciznih podataka o geolokaciji prema SB 338.

Ključne tačke

VCDPA se primjenjuje na svako preduzeće koje kontroliše ili obrađuje podatke 100.000+ potrošača iz Virginije godišnje, ili 25.000+ potrošača ako 50% ili više prihoda dolazi od prodaje ličnih podataka.
Potrošači iz Virginije imaju šest osnovnih prava: pristup, ispravku, brisanje, prenosivost, odustajanje od ciljanog oglašavanja/prodaje/profilisanja i pravo na žalbu na odbijeni zahtjev.
Glavni tužilac Virginije ima isključivu nadležnost za provođenje; ne postoji privatno pravo na tužbu prema VCDPA.
Građanske kazne mogu doseći 7.500 dolara po namjernom kršenju, sa periodom ispravke od 30 dana (koji ističe nakon 1. januara 2026.).
Od 1. jula 2026. godine, SB 338 zabranjuje prodaju preciznih podataka o geolokaciji, dodajući značajnu novu obavezu za posrednike podataka i ad-tech kompanije.
Kategorije osjetljivih podataka (biometrijski, zdravstveni, rasno/etničko porijeklo, precizna geolokacija, itd.) zahtijevaju izričitu saglasnost prije obrade.
Za razliku od GDPR-a, VCDPA ne zahtijeva pravni osnov za obradu opštih ličnih podataka, ali zahtijeva procjene zaštite podataka za aktivnosti visokog rizika.
Mala preduzeća ispod pragova su izuzeta, ali ona koja obrađuju osjetljive podatke ili prodaju lične podatke trebaju pažljivo pregledati svoju izloženost.
Platforma za upravljanje saglasnošću kao što je Biscotti CMP može pomoći u automatizaciji rukovanja signalima za odustajanje i evidencijama saglasnosti.
Politike privatnosti moraju jasno otkriti kategorije prikupljenih podataka, svrhe, dijeljenje sa trećim stranama i sva prava potrošača prema VCDPA.

Šta je Zakon o zaštiti podataka potrošača u Virginiji i kako funkcioniše

VCDPA je sveobuhvatan statut o privatnosti potrošača u Virginiji, kodifikovan u Glavi 59.1, Poglavlju 53 Kodeksa Virginije, i stupio je na snagu 1. januara 2023. godine [10]. On uspostavlja okvir prava potrošača i odgovarajućih poslovnih obaveza modeliranih labavo po GDPR-u EU, iako sa značajnim strukturnim razlikama prilagođenim komercijalnom kontekstu SAD-a.

Zakon funkcioniše po modelu kontrolor-obrađivač. Kontrolori (entiteti koji određuju svrhu i sredstva obrade) snose primarni teret usklađenosti. Obrađivači (dobavljači koji obrađuju podatke u ime kontrolora) moraju raditi prema ugovoru o obradi podataka i slijediti dokumentovane upute kontrolora [1].

Ključni mehanizmi uključuju:

Obavezan odgovor na zahtjeve za prava potrošača u roku od 45 dana (može se produžiti za dodatnih 45 dana uz obavještenje)
Obavezne procjene zaštite podataka za obradu koja predstavlja povećan rizik
Ugovorne obaveze između kontrolora i obrađivača
Opt-in saglasnost potrebna za osjetljive podatke; prava na odustajanje za ciljano oglašavanje i prodaju podataka [8]

Kada VCDPA stupa na snagu za preduzeća

VCDPA je stupio na snagu 1. januara 2023. za sva obuhvaćena preduzeća [5]. Nije bilo faznog uvođenja po veličini preduzeća, za razliku od CPRA u Kaliforniji. Ako je preduzeće ispunilo pragove na taj datum ili nakon njega, usklađenost je bila odmah potrebna.

Najnoviji amandman, SB 338, dodao je zabranu prodaje preciznih podataka o geolokaciji, koja stupa na snagu 1. jula 2026. [2][3]. To znači da su se preduzeća koja monetizuju podatke o lokaciji, uključujući posrednike podataka, oglasne mreže i izdavače mobilnih aplikacija koji opslužuju potrošače iz Virginije, suočila sa novim krajnjim rokom ove godine.

Ko se mora pridržavati zahtjeva VCDPA u Virginiji

VCDPA se primjenjuje na profitne entitete koji posluju u Virginiji ili proizvode proizvode/usluge namijenjene stanovnicima Virginije i ispunjavaju barem jedan od dva praga [8][10]:

Prag	Uslov
Na osnovu obima	Kontroliše ili obrađuje podatke 100.000+ potrošača iz Virginije godišnje
Na osnovu prihoda	Kontroliše ili obrađuje podatke 25.000+ potrošača I ostvaruje 50%+ bruto prihoda od prodaje ličnih podataka

Izuzeti entiteti i vrste podataka uključuju:

Neprofitne organizacije
Visokoškolske ustanove
Finansijske institucije podložne GLBA
Entiteti i poslovni partneri obuhvaćeni HIPAA-om (za podatke regulisane HIPAA-om)
Vladini entiteti
Podaci o zaposlenima i B2B kontaktima (u kontekstu zapošljavanja ili komercijalnih transakcija)

Zakon ne zahtijeva fizičko prisustvo u Virginiji. E-commerce kompanija sa sjedištem u New Yorku, SaaS provajder u Massachusettsu ili marketinška agencija na Floridi mogu svi biti obuhvaćeni ako obrađuju podatke potrošača iz Virginije u potrebnom obimu [1].

Da li se VCDPA primjenjuje na moje preduzeće ako nisam u Virginiji

Da, geografska lokacija preduzeća je nebitna. Opseg VCDPA je određen lokacijom potrošača, a ne mjestom poslovanja preduzeća [7]. Svako preduzeće na istočnoj obali sa značajnom bazom kupaca u Virginiji trebalo bi procijeniti svoje količine podataka u odnosu na gore navedene pragove.

Praktičan primjer: E-commerce trgovac sa sjedištem u Baltimoreu koji godišnje prodaje 150.000 kupaca, od kojih je značajan dio stanovnika Virginije, vjerovatno prelazi prag od 100.000 potrošača i mora se pridržavati.

Koje podatke VCDPA zapravo štiti i pokriva

VCDPA pokriva lične podatke, definisane kao bilo koja informacija koja je povezana ili se razumno može povezati sa identifikovanom ili identifikabilnom fizičkom osobom [10]. Ovo isključuje deidentifikovane podatke i javno dostupne informacije.

Osjetljivi podaci su posebna kategorija sa višom zaštitom koja zahtijeva opt-in saglasnost prije obrade [8]:

Rasno ili etničko porijeklo
Vjerska uvjerenja
Dijagnoze mentalnog ili fizičkog zdravlja
Seksualna orijentacija ili rodni identitet
Imigracioni status
Genetski ili biometrijski podaci obrađeni za jedinstvenu identifikaciju
Lični podaci poznatog djeteta (mlađeg od 13 godina)
Precizni podaci o geolokaciji (i od 1. jula 2026. godine, takvi podaci se uopšte ne mogu prodavati) [2]

Koje podatke VCDPA zapravo štiti i pokriva

Koje su glavne obaveze za preduzeća prema VCDPA

Kontrolori moraju ispuniti šest kategorija obaveza prema VCDPA u Virginiji: Šta preduzeća na istočnoj obali moraju znati o zaštiti podataka počinje ovdje u praktičnom smislu.

Transparentnost: Pružiti razumno pristupačnu, jasnu obavijest o privatnosti koja otkriva kategorije podataka, svrhe obrade, dijeljenje sa trećim stranama i prava potrošača [7].
Ispunjenje prava potrošača: Odgovoriti na zahtjeve za pristup, ispravku, brisanje, prenosivost i odustajanje u roku od 45 dana.
Ograničenje svrhe: Prikupljati samo podatke adekvatne i relevantne za otkrivenu svrhu.
Sigurnost podataka: Implementirati razumne administrativne, tehničke i fizičke mjere zaštite.
Nediskriminacija: Ne uskraćivati robu/usluge niti naplaćivati različite cijene isključivo zato što je potrošač ostvario pravo na privatnost.
Procjene zaštite podataka: Provesti i dokumentovati procjene za ciljano oglašavanje, prodaju podataka, obradu osjetljivih podataka, profilisanje sa pravnim/značajnim efektima i određene aktivnosti visokog rizika [1][9].

Kontrolori također moraju poštovati univerzalne mehanizme za odustajanje (kao što su signali Global Privacy Control zasnovani na pretraživaču) za ciljano oglašavanje i prodaju podataka, zahtjev koji je fazno uveden prema amandmanima Virginije [6].

Koja su prava potrošača prema VCDPA koja preduzeća moraju podržati

Potrošači iz Virginije imaju šest prava koja se mogu primijeniti [8][10]:

Pravo na pristup: Potvrditi da li se njihovi podaci obrađuju i dobiti kopiju.
Pravo na ispravku: Ispraviti netačnosti u svojim ličnim podacima.
Pravo na brisanje: Zatražiti brisanje ličnih podataka koje su dali ili koji su prikupljeni o njima.
Pravo na prenosivost podataka: Primiti prenosivu kopiju u lako upotrebljivom formatu.
Pravo na odustajanje: Odustati od ciljanog oglašavanja, prodaje ličnih podataka i profilisanja za odluke sa pravnim ili značajnim efektima.
Pravo na žalbu: Ako preduzeće odbije zahtjev, potrošači se mogu žaliti, a preduzeće mora odgovoriti u roku od 60 dana od žalbe.

Preduzeća moraju pružiti najmanje dvije metode za podnošenje zahtjeva (npr. web obrazac i besplatni broj ili e-mail adresa) [9].

Koliko koštaju kršenja usklađenosti sa VCDPA u kaznama i penalima

Glavni tužilac Virginije može izreći građanske kazne do 7.500 dolara po namjernom kršenju i do 2.500 dolara po nenamjernom kršenju [8][10]. Kazne mogu uključivati i sudsku zabranu i advokatske troškove.

Kritično, VCDPA je prvobitno uključivao period ispravke od 30 dana, preduzeća su mogla ispraviti kršenja prije nego što su kazne procijenjene. Međutim, taj period ispravke istekao je 1. januara 2026., što znači da glavni tužilac sada ima diskreciono pravo da pokrene postupak bez ponude mogućnosti ispravke [6].

Ne postoji privatno pravo na tužbu, tako da pojedinačni potrošači ne mogu direktno tužiti preduzeća prema VCDPA. Provođenje je isključivo putem Ureda glavnog tužioca.

Kako se VCDPA razlikuje od CCPA i koja je razlika od GDPR-a za kompanije na istočnoj obali

Razumijevanje VCDPA u Virginiji: Šta preduzeća na istočnoj obali moraju znati o zaštiti podataka zahtijeva stavljanje u komparativni kontekst.

Karakteristika	VCDPA	CCPA/CPRA	GDPR
Privatno pravo na tužbu	Ne	Ograničeno (povrede podataka)	Da (države članice variraju)
Opt-in za osjetljive podatke	Da	Ne (model odustajanja)	Da
Period ispravke	Istekao januar 2026	Istekao januar 2023	Nije primjenjivo
Maksimalna kazna po kršenju	$7.500	$7.500	Do 4% globalnog prihoda
Procjene zaštite podataka	Obavezno (visok rizik)	Obavezno (visok rizik)	Obavezno (DPIA)
Pravni osnov za obradu	Nije obavezno (opšti podaci)	Nije obavezno	Obavezno (6 zakonitih osnova)

Ključna poruka za preduzeća na istočnoj obali: VCDPA je manje opterećujući od GDPR-a u pogledu zahtjeva za pravni osnov, ali je propisaniji od originalnog CCPA-a u pogledu saglasnosti za osjetljive podatke. Preduzećima koja su već usklađena sa GDPR-om prilagođavanje VCDPA-u će biti lako; ona koja su upoznata samo sa CCPA-om moraju prilagoditi svoje radne tokove za osjetljive podatke.

Da li mala preduzeća moraju biti usklađena sa VCDPA u Virginiji

Mala preduzeća ispod pragova od 100.000 potrošača ili 25.000 potrošača plus prihodi nisu obavezna da se pridržavaju VCDPA [10]. Ovo je značajno izuzeće koje razlikuje zakon Virginije od nekih međunarodnih okvira.

Međutim, "malo" je relativno. Nišni SaaS alat sa 110.000 besplatnih korisnika iz Virginije prelazi prag obima bez obzira na prihod. Preduzeća bi trebala:

Godišnje provjeravati stvarne količine podataka o potrošačima
Pratiti da li prodaja podataka čini 50%+ prihoda
Ponovo procjenjivati pragove kako se poslovanje širi

Čak i izuzeta preduzeća imaju koristi od ranog uspostavljanja praksi usmjerenih na privatnost, jer je naknadno usklađivanje dosljedno skuplje od proaktivnog dizajna.

Koje su uobičajene greške koje kompanije prave u usklađenosti sa VCDPA

1. Pogrešna klasifikacija obrađivača kao kontrolora (ili obrnuto). Dobavljači koji donose nezavisne odluke o korištenju podataka su kontrolori, a ne obrađivači. Pogrešna klasifikacija dovodi do neadekvatne ugovorne zaštite i neadresiranih obaveza.

2. Ignorisanje univerzalnih signala za odustajanje. Mnoga preduzeća su izgradila tokove za odustajanje samo za ručne zahtjeve, zanemarujući zahtjev da poštuju signale na nivou pretraživača kao što je Global Privacy Control [6].

3. Neažuriranje ugovora o obradi podataka. VCDPA zahtijeva specifične ugovorne odredbe između kontrolora i obrađivača. Generički ugovori sa dobavljačima često ih nemaju [1].

4. Tretiranje osjetljivih podataka kao opštih ličnih podataka. Obrada biometrijskih, zdravstvenih ili preciznih podataka o geolokaciji bez opt-in saglasnosti je zasebno kršenje, a ne samo proceduralni propust.

5. Pretpostavka da se period ispravke i dalje primjenjuje. S obzirom da je period ispravke istekao u januaru 2026. godine, preduzeća se više ne mogu oslanjati na prozor za ispravku prije izvršne radnje [6].

6. Izostavljanje mehanizma žalbe. Mnoge politike privatnosti i radni tokovi zahtjeva nemaju dokumentovan proces žalbe, što je obavezan element prema VCDPA [9].

Kako da provjerim svoje poslovanje za spremnost na VCDPA

Revizija spremnosti za VCDPA trebala bi obuhvatiti pet domena:

Procjena praga: Mapirati sve tokove podataka potrošača iz Virginije i izračunati godišnje količine obrade u odnosu na zakonske pragove.
Inventar podataka: Katalogizirati sve kategorije prikupljenih ličnih podataka, njihove izvore, svrhe, periode zadržavanja i primaoce trećih strana.
Pregled osjetljivih podataka: Identificirati sve kategorije osjetljivih podataka i potvrditi da su uspostavljeni mehanizmi za opt-in saglasnost.
Infrastruktura prava: Testirati svih šest radnih tokova prava potrošača od početka do kraja, uključujući proces žalbe.
Ugovori sa dobavljačima: Pregledati sve ugovore sa obrađivačima za odredbe koje zahtijeva VCDPA (upute za obradu, povjerljivost, kontrole podobrađivača, prava na reviziju) [7].

Za preduzeća koja upravljaju saglasnošću na više digitalnih dodirnih tačaka, platforma za upravljanje saglasnošću kao što je Biscotti CMP može centralizovati rukovanje signalima za odustajanje i održavati revidirane evidencije saglasnosti, podržavajući i VCDPA i programe usklađenosti u više država.

Šta moja politika privatnosti treba da sadrži da bi bila usklađena sa VCDPA

Politika privatnosti usklađena sa VCDPA mora otkriti [8][9]:

Kategorije ličnih podataka koje se obrađuju
Svrhu obrade svake kategorije
Kako potrošači mogu ostvariti svojih šest prava, uključujući proces žalbe
Da li se lični podaci prodaju ili koriste za ciljano oglašavanje (sa uputstvima za odustajanje)
Kategorije trećih strana sa kojima se podaci dijele
Kontakt informacije za podnošenje zahtjeva (najmanje dvije metode)
Ako se obrađuju osjetljivi podaci, osnov za to (opt-in saglasnost)

Politike bi trebale biti napisane jasnim jezikom, biti razumno pristupačne (istaknuto povezane na web stranicama i aplikacijama) i ažurirane kad god se materijalno promijene prakse podataka.

Zaključak i sljedeći koraci

VCDPA u Virginiji predstavlja jedan od najvažnijih državnih okvira za privatnost u Sjedinjenim Državama, a dodavanje zabrane prodaje preciznih podataka o geolokaciji u julu 2026. godine signalizira da zakonodavstvo Virginije namjerava nastaviti jačati ga. Za preduzeća na istočnoj obali, eksteritorijalni doseg zakona znači da geografija nije odbrana, obim podataka i svrha obrade određuju izloženost.

Akcioni koraci za 2026. godinu:

Provedite analizu praga u odnosu na vaše trenutne količine podataka o potrošačima iz Virginije prije kraja godine.
Provjerite sve radne tokove osjetljivih podataka, posebno one koji uključuju precizne podatke o geolokaciji, biometrijske ili zdravstvene podatke, radi usklađenosti sa opt-in saglasnošću.
Potvrdite da vaša politika privatnosti uključuje svih šest prava potrošača i dokumentovan mehanizam žalbe.
Pregledajte ugovore sa obrađivačima za ugovorne odredbe koje zahtijeva VCDPA.
Implementirajte ili provjerite rukovanje univerzalnim signalima za odustajanje (Global Privacy Control) na vašim digitalnim svojstvima.
Razmislite o rješenju za upravljanje saglasnošću kao što je Biscotti CMP za automatizaciju prikupljanja saglasnosti, obrade signala za odustajanje i dokumentacije o usklađenosti.
Zakažite godišnje ponovne procjene praga kako se vaše poslovanje širi.

Period ispravke je prošao. Provođenje je aktivno. Preduzeća koja tretiraju usklađenost sa VCDPA kao jednokratnu provjeru, a ne kao stalnu operativnu disciplinu, suočavaju se sa najvećim rizikom.

Često postavljana pitanja

P: Da li se VCDPA primjenjuje na neprofitne organizacije? Ne. Neprofitne organizacije su izričito izuzete od zahtjeva VCDPA [10].

P: Može li potrošač iz Virginije direktno tužiti moje preduzeće prema VCDPA? Ne. VCDPA nema privatno pravo na tužbu. Samo glavni tužilac Virginije može pokrenuti izvršne radnje [8].

P: Koji je rok za odgovor na zahtjev za prava potrošača? Preduzeća moraju odgovoriti u roku od 45 dana od prijema provjerljivog zahtjeva. Jednokratno produženje od 45 dana je dozvoljeno ako preduzeće obavijesti potrošača o kašnjenju i razlogu [9].

P: Da li su podaci o zaposlenima obuhvaćeni VCDPA? Podaci o zaposlenima obrađeni u kontekstu zapošljavanja su izuzeti prema VCDPA. Međutim, ovo izuzeće se usko tumači i ne pokriva sve upotrebe podataka vezanih za HR [1].

P: Šta se smatra "prodajom" ličnih podataka prema VCDPA? VCDPA definiše "prodaju" kao razmjenu ličnih podataka za novčanu naknadu. Za razliku od CCPA, ne proširuje se na nenovčanu vrijednu naknadu, što je značajna razlika za ad-tech aranžmane [5].

P: Da li mi je potreban službenik za zaštitu podataka prema VCDPA? Ne. VCDPA ne zahtijeva imenovanje službenika za zaštitu podataka, za razliku od GDPR-a [7].

P: Šta se promijenilo sa SB 338 2026. godine? SB 338, koji stupa na snagu 1. jula 2026. godine, zabranjuje prodaju preciznih podataka o geolokaciji, dodajući novo kategoričko ograničenje izvan opšteg okvira za odustajanje koji je prethodno regulisao takve podatke [2][3].

P: Kako VCDPA definiše "preciznu geolokaciju"? Precizna geolokacija znači podaci dobijeni tehnologijom koja identifikuje lokaciju potrošača unutar radijusa od 1.750 stopa ili manje [10].

P: Da li su procjene zaštite podataka obavezne za sve aktivnosti obrade? Ne. Procjene su obavezne samo za obradu visokog rizika: ciljano oglašavanje, prodaju podataka, obradu osjetljivih podataka, profilisanje sa pravnim/značajnim efektima i obradu koja predstavlja povećan rizik od štete [1][9].

P: Šta se dešava ako se potrošač žali na odbijeni zahtjev? Preduzeće mora završiti pregled žalbe u roku od 60 dana i obavijestiti potrošača o ishodu. Ako je žalba odbijena, preduzeće mora pružiti informacije o tome kako potrošač može kontaktirati glavnog tužioca [8].