Resposta ràpida: La Llei de Protecció de Dades del Consumidor de Virgínia (VCDPA) és una llei estatal integral de privadesa que va entrar en vigor l'1 de gener de 2023, que exigeix a les empreses que compleixen llindars específics d'ingressos o de processament de dades que respectin els drets del consumidor sobre les dades personals. Les empreses de la costa est, fins i tot les que tenen la seu fora de Virgínia, han de complir-la si serveixen residents de Virgínia a gran escala. A partir de l'1 de juliol de 2026, la llei es va reforçar encara més amb la prohibició de la venda de dades de geolocalització precisa segons la SB 338.
Punts clau
- La VCDPA s'aplica a qualsevol empresa que controli o processi dades de més de 100.000 consumidors de Virgínia anualment, o de més de 25.000 consumidors si el 50% o més dels ingressos provenen de la venda de dades personals.
- Els consumidors de Virgínia tenen sis drets fonamentals: accés, correcció, supressió, portabilitat, dret d'exclusió de publicitat dirigida/venda/elaboració de perfils, i el dret a apel·lar una sol·licitud denegada.
- El Fiscal General de Virgínia té l'autoritat exclusiva d'aplicació; no hi ha dret d'acció privada sota la VCDPA.
- Les sancions civils poden arribar als 7.500 dòlars per infracció intencionada, amb un període de subsanació de 30 dies (que finalitza després de l'1 de gener de 2026).
- A partir de l'1 de juliol de 2026, la SB 338 prohibeix la venda de dades de geolocalització precisa, afegint una nova obligació significativa per als corredors de dades i les empreses de tecnologia publicitària.
- Les categories de dades sensibles (biomètriques, de salut, d'origen racial/ètnic, de geolocalització precisa, etc.) requereixen el consentiment explícit abans del processament.
- A diferència del GDPR, la VCDPA no requereix una base legal per al processament de dades personals generals, però sí que exigeix avaluacions de protecció de dades per a activitats d'alt risc.
- Les petites empreses per sota dels llindars estan exemptes, però aquelles que processen dades sensibles o venen dades personals haurien de revisar acuradament la seva exposició.
- Una plataforma de gestió del consentiment com Biscotti CMP pot ajudar a automatitzar la gestió dels senyals d'exclusió i els registres de consentiment.
- Les polítiques de privadesa han de divulgar clarament les categories de dades recollides, els propòsits, l'intercanvi amb tercers i tots els drets del consumidor sota la VCDPA.
Què és la Llei de Protecció de Dades del Consumidor de Virgínia i com funciona
La VCDPA és l'estatut integral de privadesa del consumidor de Virgínia, codificat al Títol 59.1, Capítol 53 del Codi de Virgínia, i efectiu l'1 de gener de 2023 [10]. Estableix un marc de drets del consumidor i obligacions empresarials corresponents modelat lliurement en el GDPR de la UE, tot i que amb diferències estructurals notables adaptades a un context comercial dels EUA.
La llei opera amb un model de controlador-processador. Els controladors (entitats que determinen la finalitat i els mitjans del processament) assumeixen la càrrega principal de compliment. Els processadors (proveïdors que gestionen dades en nom d'un controlador) han d'operar sota un acord de processament de dades i seguir les instruccions documentades del controlador [1].
Els mecanismes clau inclouen:
- Resposta obligatòria a les sol·licituds de drets del consumidor en un termini de 45 dies (ampliable 45 dies més amb avís)
- Avaluacions de protecció de dades requerides per al processament que presenta un risc elevat
- Obligacions contractuals entre controladors i processadors
- Consentiment opt-in requerit per a dades sensibles; drets d'exclusió per a publicitat dirigida i vendes de dades [8]
Quan entra en vigor la VCDPA per a les empreses
La VCDPA va entrar en vigor l'1 de gener de 2023 per a totes les empreses cobertes [5]. No hi va haver una implementació per fases segons la mida de l'empresa, a diferència de la CPRA de Califòrnia. Si una empresa complia els llindars en o després d'aquesta data, el compliment era immediatament obligatori.
L'esmena més recent, la SB 338, va afegir una prohibició de vendre dades de geolocalització precisa, efectiva l'1 de juliol de 2026 [2][3]. Això significa que les empreses que monetitzen dades de localització, inclosos els corredors de dades, les xarxes publicitàries i els editors d'aplicacions mòbils que serveixen consumidors de Virgínia, s'enfronten a una nova data límit aquest any.
Qui ha de complir els requisits de la VCDPA de Virgínia
La VCDPA s'aplica a les entitats amb ànim de lucre que realitzen negocis a Virgínia o produeixen productes/serveis dirigits a residents de Virgínia i compleixen almenys un dels dos llindars [8][10]:
| Llindar | Condició |
|---|---|
| Basat en el volum | Controlar o processar dades de més de 100.000 consumidors de Virgínia per any natural |
| Basat en els ingressos | Controlar o processar dades de més de 25.000 consumidors I obtenir el 50%+ dels ingressos bruts de la venda de dades personals |
Les entitats i tipus de dades exempts inclouen:
- Organitzacions sense ànim de lucre
- Institucions d'educació superior
- Institucions financeres subjectes a la GLBA
- Entitats cobertes per la HIPAA i associats comercials (per a dades regulades per la HIPAA)
- Entitats governamentals
- Dades de contacte d'empleats i B2B (en el context de l'ocupació o transaccions comercials)
La llei no requereix una presència física a Virgínia. Una empresa de comerç electrònic amb seu a Nova York, un proveïdor de SaaS a Massachusetts o una agència de màrqueting a Florida poden estar dins de l'àmbit si processen dades de consumidors de Virgínia amb el volum requerit [1].
La VCDPA s'aplica al meu negoci si no estic a Virgínia
Sí, la ubicació geogràfica del negoci és irrellevant. L'abast de la VCDPA es determina per la ubicació dels consumidors, no per on opera el negoci [7]. Qualsevol negoci de la costa est amb una base de clients substancial a Virgínia hauria d'avaluar els seus volums de dades respecte als llindars anteriors.
Exemple pràctic: Un minorista de comerç electrònic amb seu a Baltimore que ven a 150.000 clients anualment, una part significativa dels quals són residents de Virgínia, probablement supera el llindar de 100.000 consumidors i ha de complir.
Quines dades protegeix i cobreix realment la VCDPA
La VCDPA cobreix les dades personals, definides com qualsevol informació que estigui vinculada o raonablement vinculable a una persona física identificada o identificable [10]. Això exclou les dades desidentificades i la informació disponible públicament.
Les dades sensibles són una categoria diferent i de major protecció que requereix el consentiment opt-in abans del processament [8]:
- Origen racial o ètnic
- Creences religioses
- Diagnòstics de salut mental o física
- Orientació sexual o identitat de gènere
- Estat migratori
- Dades genètiques o biomètriques processades per a una identificació única
- Dades personals d'un menor conegut (menor de 13 anys)
- Dades de geolocalització precisa (i a partir de l'1 de juliol de 2026, aquestes dades no es podran vendre en absolut) [2]
Quines són les principals obligacions per a les empreses segons la VCDPA
Els controladors han de complir sis categories d'obligacions segons la VCDPA de Virgínia: El que les empreses de la costa est han de saber sobre la protecció de dades comença aquí en termes pràctics.
- Transparència: Proporcionar un avís de privadesa raonablement accessible i clar que divulgui les categories de dades, els propòsits del processament, l'intercanvi amb tercers i els drets del consumidor [7].
- Compliment dels drets del consumidor: Respondre a les sol·licituds d'accés, correcció, supressió, portabilitat i exclusió en un termini de 45 dies.
- Limitació de la finalitat: Recollir només dades adequades i rellevants per a la finalitat divulgada.
- Seguretat de les dades: Implementar salvaguardes administratives, tècniques i físiques raonables.
- No discriminació: No denegar béns/serveis ni cobrar preus diferents únicament perquè un consumidor va exercir un dret de privadesa.
- Avaluacions de protecció de dades: Realitzar i documentar avaluacions per a publicitat dirigida, vendes de dades, processament de dades sensibles, elaboració de perfils amb efectes legals/significatius i certes activitats d'alt risc [1][9].
Els controladors també han de respectar els mecanismes universals d'exclusió (com els senyals de Global Privacy Control basats en el navegador) per a la publicitat dirigida i les vendes de dades, un requisit implementat gradualment sota les esmenes de Virgínia [6].
Quins són els drets del consumidor segons la VCDPA que les empreses han de donar suport
Els consumidors de Virgínia tenen sis drets exigibles [8][10]:
- Dret d'accés: Confirmar si les seves dades estan sent processades i obtenir una còpia.
- Dret de rectificació: Corregir inexactituds en les seves dades personals.
- Dret de supressió: Sol·licitar la supressió de les dades personals que van proporcionar o que es van recollir sobre ells.
- Dret a la portabilitat de les dades: Rebre una còpia portable en un format fàcilment utilitzable.
- Dret d'exclusió: Excloure's de la publicitat dirigida, la venda de dades personals i l'elaboració de perfils per a decisions amb efectes legals o significatius.
- Dret d'apel·lació: Si una empresa denega una sol·licitud, els consumidors poden apel·lar, i l'empresa ha de respondre en un termini de 60 dies des de l'apel·lació.
Les empreses han de proporcionar almenys dos mètodes per enviar sol·licituds (per exemple, un formulari web i un número gratuït o una adreça de correu electrònic) [9].
Quant costen les infraccions de compliment de la VCDPA en multes i sancions
El Fiscal General de Virgínia pot imposar sancions civils de fins a 7.500 dòlars per infracció intencionada i fins a 2.500 dòlars per infracció no intencionada [8][10]. Les sancions també poden incloure mesures cautelars i honoraris d'advocats.
Críticament, la VCDPA originalment incloïa un període de subsanació de 30 dies, les empreses podien corregir les infraccions abans que s'avaluessin les sancions. No obstant això, aquest període de subsanació va finalitzar l'1 de gener de 2026, el que significa que el Fiscal General ara té discreció per perseguir l'aplicació sense oferir una oportunitat de subsanació [6].
No hi ha dret d'acció privada, de manera que els consumidors individuals no poden demandar directament les empreses sota la VCDPA. L'aplicació és exclusivament a través de l'Oficina del Fiscal General.
Com es diferencia la VCDPA de la CCPA i quina és la diferència amb el GDPR per a les empreses de la costa est
Entendre la VCDPA de Virgínia: El que les empreses de la costa est han de saber sobre la protecció de dades requereix situar-la en un context comparatiu.
| Característica | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Dret d'acció privada | No | Limitat (violacions de dades) | Sí (els estats membres varien) |
| Opt-in per a dades sensibles | Sí | No (model opt-out) | Sí |
| Període de subsanació | Expirat gener 2026 | Expirat gener 2023 | No aplicable |
| Sanció màxima per infracció | 7.500 $ | 7.500 $ | Fins al 4% dels ingressos globals |
| Avaluacions de protecció de dades | Requerides (alt risc) | Requerides (alt risc) | Requerides (DPIA) |
| Base legal per al processament | No requerida (dades generals) | No requerida | Requerida (6 bases legals) |
Conclusió clau per a les empreses de la costa est: La VCDPA és menys onerosa que el GDPR en termes de requisits de base legal, però més prescriptiva que la CCPA original pel que fa al consentiment de dades sensibles. Les empreses que ja compleixen el GDPR trobaran l'adaptació a la VCDPA manejable; aquelles que només estan familiaritzades amb la CCPA han d'ajustar els seus fluxos de treball de dades sensibles.
Les petites empreses han de complir la VCDPA de Virgínia
Les petites empreses per sota dels llindars de 100.000 consumidors o 25.000 consumidors més ingressos no estan obligades a complir la VCDPA [10]. Aquesta és una exempció significativa que distingeix la llei de Virgínia d'alguns marcs internacionals.
No obstant això, "petit" és relatiu. Una eina SaaS de nínxol amb 110.000 usuaris de Virgínia de nivell gratuït supera el llindar de volum independentment dels ingressos. Les empreses haurien de:
- Auditar els volums reals de dades dels consumidors anualment
- Fer un seguiment de si les vendes de dades constitueixen el 50%+ dels ingressos
- Reavaluar els llindars a mesura que el negoci creix
Fins i tot les empreses exemptes es beneficien de construir pràctiques pro-privadesa des del principi, ja que la readaptació del compliment és constantment més cara que el disseny proactiu.
Quins són els errors comuns que cometen les empreses amb el compliment de la VCDPA
1. Classificar erròniament els processadors com a controladors (o viceversa). Els venedors que prenen decisions independents sobre l'ús de les dades són controladors, no processadors. Una classificació errònia condueix a proteccions contractuals inadequades i obligacions no abordades.
2. Ignorar els senyals universals d'exclusió. Moltes empreses van construir fluxos d'exclusió només per a sol·licituds manuals, passant per alt el requisit de respectar els senyals a nivell de navegador com el Global Privacy Control [6].
3. No actualitzar els acords de processament de dades. La VCDPA requereix disposicions contractuals específiques entre controladors i processadors. Els contractes genèrics de proveïdors sovint no les tenen [1].
4. Tractar les dades sensibles com a dades personals generals. Processar dades biomètriques, de salut o de geolocalització precisa sense el consentiment opt-in és una violació diferent, no només una bretxa processal.
5. Assumir que el període de subsanació encara s'aplica. Amb el període de subsanació expirat a partir de gener de 2026, les empreses ja no poden confiar en una finestra de correcció abans de l'acció d'aplicació [6].
6. Ometre el mecanisme d'apel·lació. Moltes polítiques de privadesa i fluxos de treball de sol·licituds no tenen un procés d'apel·lació documentat, que és un element requerit sota la VCDPA [9].
Com audito el meu negoci per a la preparació de la VCDPA
Una auditoria de preparació de la VCDPA hauria de cobrir cinc àmbits:
- Avaluació de llindars: Mapejar tots els fluxos de dades dels consumidors de Virgínia i calcular els volums de processament anuals respecte als llindars estatutaris.
- Inventari de dades: Catalogar totes les categories de dades personals recollides, les seves fonts, finalitats, períodes de retenció i destinataris de tercers.
- Revisió de dades sensibles: Identificar qualsevol categoria de dades sensibles i confirmar que hi ha mecanismes de consentiment opt-in.
- Infraestructura de drets: Provar tots els sis fluxos de treball de drets del consumidor de principi a fi, inclòs el procés d'apel·lació.
- Contractes de proveïdors: Revisar tots els acords de processadors per a les disposicions contractuals requerides per la VCDPA (instruccions de processament, confidencialitat, controls de subprocessadors, drets d'auditoria) [7].
Per a les empreses que gestionen el consentiment a través de múltiples punts de contacte digitals, una plataforma de gestió del consentiment com Biscotti CMP pot centralitzar la gestió dels senyals d'exclusió i mantenir registres de consentiment auditables, donant suport tant a la VCDPA com als programes de compliment multiestatals.
Què ha de dir la meva política de privadesa per complir la VCDPA
Una política de privadesa que compleixi la VCDPA ha de divulgar [8][9]:
- Les categories de dades personals processades
- La finalitat del processament de cada categoria
- Com els consumidors poden exercir els seus sis drets, inclòs el procés d'apel·lació
- Si les dades personals es venen o s'utilitzen per a publicitat dirigida (amb instruccions d'exclusió)
- Les categories de tercers amb els quals es comparteixen les dades
- Informació de contacte per enviar sol·licituds (almenys dos mètodes)
- Si es processen dades sensibles, la base per fer-ho (consentiment opt-in)
Les polítiques s'han d'escriure en un llenguatge senzill, ser raonablement accessibles (enllaçades de manera destacada en llocs web i aplicacions) i actualitzar-se sempre que les pràctiques de dades canviïn materialment.
Conclusió i propers passos accionables
La VCDPA de Virgínia representa un dels marcs de privadesa estatals més substantius dels Estats Units, i l'addició al juliol de 2026 d'una prohibició de venda de dades de geolocalització precisa indica que la legislatura de Virgínia té la intenció de continuar reforçant-la. Per a les empreses de la costa est, l'abast extraterritorial de la llei significa que la geografia no és una defensa, el volum de dades i la finalitat del processament determinen l'exposició.
Passos accionables per al 2026:
- Realitzar una anàlisi de llindars respecte als volums actuals de dades dels consumidors de Virgínia abans de final d'any.
- Auditar tots els fluxos de treball de dades sensibles, especialment els que impliquen dades de geolocalització precisa, biomètriques o de salut, per al compliment del consentiment opt-in.
- Confirmar que la vostra política de privadesa inclou els sis drets del consumidor i un mecanisme d'apel·lació documentat.
- Revisar els acords de processadors per a les disposicions contractuals requerides per la VCDPA.
- Implementar o verificar la gestió universal de senyals d'exclusió (Global Privacy Control) a totes les vostres propietats digitals.
- Considerar una solució de gestió del consentiment com Biscotti CMP per automatitzar la recollida del consentiment, el processament de senyals d'exclusió i la documentació de compliment.
- Programar reavaluacions anuals dels llindars a mesura que el vostre negoci creix.
El període de subsanació ha desaparegut. L'aplicació està en marxa. Les empreses que tracten el compliment de la VCDPA com una casella de verificació única en lloc d'una disciplina operativa contínua s'enfronten al major risc.
Preguntes freqüents
P: La VCDPA s'aplica a les organitzacions sense ànim de lucre? No. Les organitzacions sense ànim de lucre estan explícitament exemptes dels requisits de la VCDPA [10].
P: Un consumidor de Virgínia pot demandar directament el meu negoci sota la VCDPA? No. La VCDPA no té dret d'acció privada. Només el Fiscal General de Virgínia pot iniciar accions d'aplicació [8].
P: Quin és el termini per respondre a una sol·licitud de drets del consumidor? Les empreses han de respondre en un termini de 45 dies des de la recepció d'una sol·licitud verificable. Es permet una pròrroga única de 45 dies si l'empresa notifica al consumidor el retard i el motiu [9].
P: Les dades dels empleats estan cobertes per la VCDPA? Les dades dels empleats processades en el context de l'ocupació estan exemptes sota la VCDPA. No obstant això, aquesta exempció s'interpreta de manera restrictiva i no cobreix tots els usos de dades relacionats amb els recursos humans [1].
P: Què es considera "venda" de dades personals sota la VCDPA? La VCDPA defineix "venda" com l'intercanvi de dades personals per una contraprestació monetària. A diferència de la CCPA, no s'estén a la contraprestació valuosa no monetària, la qual cosa és una distinció significativa per als acords de tecnologia publicitària [5].
P: Necessito un Delegat de Protecció de Dades sota la VCDPA? No. La VCDPA no requereix el nomenament d'un Delegat de Protecció de Dades, a diferència del GDPR [7].
P: Què va canviar amb la SB 338 el 2026? La SB 338, efectiva l'1 de juliol de 2026, prohibeix la venda de dades de geolocalització precisa, afegint una nova restricció categòrica més enllà del marc general d'exclusió que anteriorment regia aquestes dades [2][3].
P: Com defineix la VCDPA la "geolocalització precisa"? La geolocalització precisa significa dades derivades de tecnologia que identifica la ubicació d'un consumidor dins d'un radi de 1.750 peus o menys [10].
P: Es requereixen avaluacions de protecció de dades per a totes les activitats de processament? No. Les avaluacions només es requereixen per a processaments d'alt risc: publicitat dirigida, vendes de dades, processament de dades sensibles, elaboració de perfils amb efectes legals/significatius i processaments que presenten un risc elevat de dany [1][9].
P: Què passa si un consumidor apel·la una sol·licitud denegada? L'empresa ha de completar la revisió de l'apel·lació en un termini de 60 dies i informar el consumidor del resultat. Si l'apel·lació és denegada, l'empresa ha de proporcionar informació sobre com el consumidor pot contactar amb el Fiscal General [8].
Comprovador interactiu de llindars de compliment de la VCDPA
Referències
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/