Jaká data VCDPA skutečně chrání a pokrývá

Souhlas a bannery

Virginský VCDPA: Co potřebují vědět podniky na východním pobřeží o ochraně dat

7. července 2026 · 15 min čtení

Stručná odpověď: Virginský zákon o ochraně spotřebitelských dat (VCDPA) je komplexní státní zákon o ochraně soukromí, který vstoupil v platnost 1. ledna 2023 a vyžaduje, aby podniky, které splňují specifické prahové hodnoty příjmů nebo zpracování dat, respektovaly práva spotřebitelů na osobní údaje. Podniky na východním pobřeží, dokonce i ty se sídlem mimo Virginii, musí dodržovat tento zákon, pokud ve velkém rozsahu obsluhují obyvatele Virginie. Od 1. července 2026 byl zákon dále posílen zákazem prodeje přesných geolokačních dat podle SB 338.

Klíčové poznatky

VCDPA se vztahuje na každý podnik, který ročně kontroluje nebo zpracovává data 100 000+ spotřebitelů z Virginie, nebo 25 000+ spotřebitelů, pokud 50 % nebo více příjmů pochází z prodeje osobních dat.
Spotřebitelé z Virginie mají šest základních práv: přístup, opravu, výmaz, přenositelnost, odhlášení z cílené reklamy/prodeje/profilování a právo odvolat se proti zamítnuté žádosti.
Generální prokurátor Virginie má výhradní pravomoc k vymáhání; podle VCDPA neexistuje soukromé právo na žalobu.
Občanskoprávní pokuty mohou dosáhnout 7 500 USD za úmyslné porušení, s 30denní lhůtou pro nápravu (která zaniká po 1. lednu 2026).
Od 1. července 2026 SB 338 zakazuje prodej přesných geolokačních dat, což přidává významnou novou povinnost pro datové makléře a ad-tech společnosti.
Kategorie citlivých dat (biometrická, zdravotní, rasový/etnický původ, přesná geolokace atd.) vyžadují výslovný souhlas před zpracováním.
Na rozdíl od GDPR VCDPA nevyžaduje právní základ pro zpracování obecných osobních dat, ale vyžaduje posouzení ochrany dat pro vysoce rizikové činnosti.
Malé podniky pod prahovými hodnotami jsou osvobozeny, ale ty, které zpracovávají citlivá data nebo prodávají osobní data, by měly pečlivě zkontrolovat svou expozici.
Platforma pro správu souhlasů, jako je Biscotti CMP, může pomoci automatizovat zpracování signálů pro odhlášení a záznamy souhlasů.
Zásady ochrany osobních údajů musí jasně uvádět shromažďované kategorie dat, účely, sdílení s třetími stranami a všechna práva spotřebitelů podle VCDPA.

Co je Virginský zákon o ochraně spotřebitelských dat a jak funguje

VCDPA je komplexní statut Virginie o ochraně soukromí spotřebitelů, kodifikovaný v hlavě 59.1, kapitole 53 Virginského zákoníku, a platný od 1. ledna 2023 [10]. Stanovuje rámec práv spotřebitelů a odpovídajících povinností podniků, volně modelovaný podle GDPR EU, i když s výraznými strukturálními rozdíly přizpůsobenými americkému obchodnímu kontextu.

Zákon funguje na modelu správce-zpracovatel. Správci (subjekty, které určují účel a prostředky zpracování) nesou primární břemeno dodržování. Zpracovatelé (dodavatelé, kteří zpracovávají data jménem správce) musí fungovat na základě dohody o zpracování dat a řídit se dokumentovanými pokyny správce [1].

Klíčové mechanismy zahrnují:

Povinná odpověď na žádosti spotřebitelů o práva do 45 dnů (prodloužitelná o dalších 45 dnů s oznámením)
Požadovaná posouzení ochrany dat pro zpracování, které představuje zvýšené riziko
Smluvní závazky mezi správci a zpracovateli
Opt-in souhlas vyžadovaný pro citlivá data; práva na odhlášení pro cílenou reklamu a prodej dat [8]

Kdy VCDPA vstoupí v platnost pro podniky

VCDPA vstoupil v platnost 1. ledna 2023 pro všechny dotčené podniky [5]. Na rozdíl od kalifornského CPRA nebylo postupné zavádění podle velikosti podniku. Pokud podnik splnil prahové hodnoty k tomuto datu nebo po něm, bylo okamžitě vyžadováno dodržování.

Nejnovější dodatek, SB 338, přidal zákaz prodeje přesných geolokačních dat, platný od 1. července 2026 [2][3]. To znamená, že podniky, které monetizují lokalizační data, včetně datových makléřů, reklamních sítí a vydavatelů mobilních aplikací obsluhujících spotřebitele z Virginie, čelily letos novému pevnému termínu.

Kdo musí dodržovat požadavky Virginského VCDPA

VCDPA se vztahuje na ziskové subjekty, které podnikají ve Virginii nebo vyrábějí produkty/služby zaměřené na obyvatele Virginie a splňují alespoň jednu ze dvou prahových hodnot [8][10]:

Prahová hodnota	Podmínka
Na základě objemu	Kontroluje nebo zpracovává data 100 000+ spotřebitelů z Virginie za kalendářní rok
Na základě příjmů	Kontroluje nebo zpracovává data 25 000+ spotřebitelů A získává 50%+ hrubých příjmů z prodeje osobních dat

Osvobozené subjekty a typy dat zahrnují:

Neziskové organizace
Vysokoškolské instituce
Finanční instituce podléhající GLBA
Subjekty a obchodní partneři podléhající HIPAA (pro data regulovaná HIPAA)
Vládní subjekty
Data zaměstnanců a B2B kontaktů (v kontextu zaměstnání nebo obchodních transakcí)

Zákon nevyžaduje fyzickou přítomnost ve Virginii. E-commerce společnost se sídlem v New Yorku, poskytovatel SaaS v Massachusetts nebo marketingová agentura na Floridě mohou spadat do rozsahu, pokud zpracovávají data spotřebitelů z Virginie v požadovaném objemu [1].

Platí VCDPA pro mou firmu, pokud nejsem ve Virginii

Ano, geografická poloha podniku je irelevantní. Rozsah VCDPA je určen tím, kde se nacházejí spotřebitelé, nikoli tím, kde podnik působí [7]. Každý podnik na východním pobřeží s podstatnou zákaznickou základnou ve Virginii by měl posoudit své objemy dat proti výše uvedeným prahovým hodnotám.

Praktický příklad: E-commerce prodejce se sídlem v Baltimoru, který ročně prodává 150 000 zákazníkům, z nichž značná část jsou obyvatelé Virginie, pravděpodobně překračuje prahovou hodnotu 100 000 spotřebitelů a musí dodržovat zákon.

Jaká data VCDPA skutečně chrání a pokrývá

VCDPA pokrývá osobní data, definovaná jako jakékoli informace, které jsou spojeny nebo rozumně spojitelné s identifikovanou nebo identifikovatelnou fyzickou osobou [10]. To vylučuje anonymizovaná data a veřejně dostupné informace.

Citlivá data jsou samostatnou kategorií s vyšší ochranou, která vyžaduje opt-in souhlas před zpracováním [8]:

Rasový nebo etnický původ
Náboženské přesvědčení
Diagnózy duševního nebo fyzického zdraví
Sexuální orientace nebo genderová identita
Imigrační status
Genetická nebo biometrická data zpracovávaná pro jedinečnou identifikaci
Osobní data známého dítěte (do 13 let)
Přesná geolokační data (a od 1. července 2026 taková data nelze vůbec prodávat) [2]

Jaká data VCDPA skutečně chrání a pokrývá

Jaké jsou hlavní povinnosti pro podniky podle VCDPA

Správci musí splnit šest kategorií povinností podle Virginského VCDPA: Co potřebují vědět podniky na východním pobřeží o ochraně dat začíná zde v praktickém smyslu.

Transparentnost: Poskytnout přiměřeně dostupnou, jasnou informaci o ochraně osobních údajů, která uvádí kategorie dat, účely zpracování, sdílení s třetími stranami a práva spotřebitelů [7].
Plnění práv spotřebitelů: Odpovědět na žádosti o přístup, opravu, výmaz, přenositelnost a odhlášení do 45 dnů.
Omezení účelu: Shromažďovat pouze data adekvátní a relevantní k uvedenému účelu.
Zabezpečení dat: Implementovat přiměřená administrativní, technická a fyzická opatření.
Nediskriminace: Neodmítat zboží/služby ani neúčtovat odlišné ceny pouze proto, že spotřebitel uplatnil právo na soukromí.
Posouzení ochrany dat: Provádět a dokumentovat posouzení pro cílenou reklamu, prodej dat, zpracování citlivých dat, profilování s právními/významnými účinky a určité vysoce rizikové činnosti [1][9].

Správci musí také respektovat univerzální mechanismy pro odhlášení (jako jsou signály Global Privacy Control založené na prohlížeči) pro cílenou reklamu a prodej dat, což je požadavek postupně zaváděný podle virginských dodatků [6].

Jaká jsou práva spotřebitelů podle VCDPA, která musí podniky podporovat

Spotřebitelé z Virginie mají šest vymahatelných práv [8][10]:

Právo na přístup: Potvrdit, zda jsou jejich data zpracovávána, a získat kopii.
Právo na opravu: Opravit nepřesnosti v jejich osobních datech.
Právo na výmaz: Požádat o výmaz osobních dat, která poskytli nebo která o nich byla shromážděna.
Právo na přenositelnost dat: Obdržet přenosnou kopii ve snadno použitelném formátu.
Právo na odhlášení: Odhlásit se z cílené reklamy, prodeje osobních dat a profilování pro rozhodnutí s právními nebo významnými účinky.
Právo na odvolání: Pokud podnik zamítne žádost, spotřebitelé se mohou odvolat a podnik musí odpovědět do 60 dnů od odvolání.

Podniky musí poskytnout alespoň dvě metody pro podávání žádostí (např. webový formulář a bezplatné telefonní číslo nebo e-mailovou adresu) [9].

Kolik stojí porušení VCDPA v pokutách a sankcích

Generální prokurátor Virginie může uložit občanskoprávní pokuty až do výše 7 500 USD za úmyslné porušení a až do výše 2 500 USD za neúmyslné porušení [8][10]. Pokuty mohou také zahrnovat soudní příkaz a poplatky za právní zastoupení.

Kriticky, VCDPA původně zahrnoval 30denní lhůtu pro nápravu, podniky mohly napravit porušení před uložením sankcí. Tato lhůta pro nápravu však zanikla 1. ledna 2026, což znamená, že generální prokurátor má nyní diskreci k vymáhání bez nabídky možnosti nápravy [6].

Neexistuje žádné soukromé právo na žalobu, takže jednotliví spotřebitelé nemohou žalovat podniky přímo podle VCDPA. Vymáhání je výhradně prostřednictvím Úřadu generálního prokurátora.

Jak se VCDPA liší od CCPA a jaký je rozdíl od GDPR pro společnosti na východním pobřeží

Pochopení Virginského VCDPA: Co potřebují vědět podniky na východním pobřeží o ochraně dat vyžaduje jeho umístění do srovnávacího kontextu.

Funkce	VCDPA	CCPA/CPRA	GDPR
Soukromé právo na žalobu	Ne	Omezené (porušení dat)	Ano (členské státy se liší)
Opt-in pro citlivá data	Ano	Ne (model opt-out)	Ano
Lhůta pro nápravu	Vypršela leden 2026	Vypršela leden 2023	Není relevantní
Maximální pokuta za porušení	7 500 USD	7 500 USD	Až 4 % globálních příjmů
Posouzení ochrany dat	Požadováno (vysoce rizikové)	Požadováno (vysoce rizikové)	Požadováno (DPIA)
Právní základ pro zpracování	Není požadováno (obecná data)	Není požadováno	Požadováno (6 zákonných základů)

Klíčový poznatek pro podniky na východním pobřeží: VCDPA je méně zatěžující než GDPR z hlediska požadavků na právní základ, ale více předepisující než původní CCPA ohledně souhlasu s citlivými daty. Podniky, které již dodržují GDPR, shledají adaptaci VCDPA zvládnutelnou; ty, které znají pouze CCPA, musí upravit své pracovní postupy pro citlivá data.

Musí malé podniky dodržovat Virginský VCDPA

Malé podniky pod prahovými hodnotami 100 000 spotřebitelů nebo 25 000 spotřebitelů plus příjmy nemusí dodržovat VCDPA [10]. Jedná se o významnou výjimku, která odlišuje virginský zákon od některých mezinárodních rámců.

Nicméně "malý" je relativní. Niche SaaS nástroj se 110 000 uživateli z Virginie na bezplatné úrovni překračuje objemovou prahovou hodnotu bez ohledu na příjmy. Podniky by měly:

Ročně auditovat skutečné objemy spotřebitelských dat
Sledovat, zda prodej dat tvoří 50 %+ příjmů
Přehodnocovat prahové hodnoty s růstem podniku

I osvobozené podniky těží z včasného budování praktik zaměřených na soukromí, protože dodatečné přizpůsobení je vždy dražší než proaktivní design.

Jaké jsou běžné chyby, které společnosti dělají při dodržování VCDPA

1. Nesprávná klasifikace zpracovatelů jako správců (nebo naopak). Dodavatelé, kteří činí nezávislá rozhodnutí o použití dat, jsou správci, nikoli zpracovatelé. Nesprávná klasifikace vede k nedostatečné smluvní ochraně a neřešeným povinnostem.

2. Ignorování univerzálních signálů pro odhlášení. Mnoho podniků vytvořilo toky pro odhlášení pouze pro ruční žádosti, přičemž přehlíželo požadavek na respektování signálů na úrovni prohlížeče, jako je Global Privacy Control [6].

3. Neaktualizace smluv o zpracování dat. VCDPA vyžaduje specifická smluvní ustanovení mezi správci a zpracovateli. Obecné smlouvy s dodavateli je často postrádají [1].

4. Zacházení s citlivými daty jako s obecnými osobními daty. Zpracování biometrických, zdravotních nebo přesných geolokačních dat bez opt-in souhlasu je samostatné porušení, nikoli jen procedurální mezera.

5. Předpoklad, že lhůta pro nápravu stále platí. S vypršením lhůty pro nápravu k lednu 2026 se podniky již nemohou spoléhat na okno pro opravu před vymáhací akcí [6].

6. Vynechání mechanismu odvolání. Mnoho zásad ochrany osobních údajů a pracovních postupů pro žádosti postrádá dokumentovaný proces odvolání, což je požadovaný prvek podle VCDPA [9].

Jak provedu audit své firmy na připravenost na VCDPA

Audit připravenosti na VCDPA by měl pokrývat pět oblastí:

Posouzení prahových hodnot: Zmapujte všechny toky dat spotřebitelů z Virginie a vypočítejte roční objemy zpracování proti zákonným prahovým hodnotám.
Inventář dat: Katalogizujte všechny shromažďované kategorie osobních dat, jejich zdroje, účely, doby uchovávání a příjemce třetích stran.
Revize citlivých dat: Identifikujte všechny kategorie citlivých dat a potvrďte, že jsou zavedeny mechanismy opt-in souhlasu.
Infrastruktura práv: Otestujte všech šest pracovních postupů práv spotřebitelů od začátku do konce, včetně procesu odvolání.
Smlouvy s dodavateli: Zkontrolujte všechny dohody se zpracovateli na ustanovení požadovaná VCDPA (pokyny pro zpracování, důvěrnost, kontroly subzpracovatelů, práva na audit) [7].

Pro podniky spravující souhlasy napříč více digitálními kontaktními body může platforma pro správu souhlasů, jako je Biscotti CMP, centralizovat zpracování signálů pro odhlášení a udržovat auditovatelné záznamy souhlasů, podporující jak VCDPA, tak vícestátní programy dodržování.

Co by měly mé zásady ochrany osobních údajů říkat, aby byly v souladu s VCDPA

Zásady ochrany osobních údajů v souladu s VCDPA musí uvádět [8][9]:

Kategorie zpracovávaných osobních dat
Účel zpracování každé kategorie
Jak mohou spotřebitelé uplatnit svých šest práv, včetně procesu odvolání
Zda jsou osobní data prodávána nebo používána pro cílenou reklamu (s pokyny pro odhlášení)
Kategorie třetích stran, se kterými jsou data sdílena
Kontaktní informace pro podávání žádostí (alespoň dvě metody)
Pokud jsou zpracovávána citlivá data, základ pro takové zpracování (opt-in souhlas)

Zásady by měly být napsány jednoduchým jazykem, být přiměřeně dostupné (výrazně odkazované na webových stránkách a v aplikacích) a být aktualizovány vždy, když se podstatně změní postupy s daty.

Závěr a další kroky

Virginský VCDPA představuje jeden z nejzásadnějších státních rámců ochrany soukromí ve Spojených státech a přidání zákazu prodeje přesných geolokačních dat v červenci 2026 naznačuje, že virginský zákonodárný sbor má v úmyslu jej dále posilovat. Pro podniky na východním pobřeží znamená extrateritoriální dosah zákona, že geografie není obranou, objem dat a účel zpracování určují expozici.

Akční kroky pro rok 2026:

Před koncem roku proveďte analýzu prahových hodnot proti vašim aktuálním objemům dat spotřebitelů z Virginie.
Auditujte všechny pracovní postupy s citlivými daty, zejména ty, které zahrnují přesná geolokační, biometrická nebo zdravotní data, z hlediska souladu s opt-in souhlasem.
Potvrďte, že vaše zásady ochrany osobních údajů zahrnují všech šest práv spotřebitelů a dokumentovaný mechanismus odvolání.
Zkontrolujte dohody se zpracovateli na smluvní ustanovení požadovaná VCDPA.
Implementujte nebo ověřte univerzální zpracování signálů pro odhlášení (Global Privacy Control) napříč vašimi digitálními vlastnostmi.
Zvažte řešení pro správu souhlasů, jako je Biscotti CMP, pro automatizaci shromažďování souhlasů, zpracování signálů pro odhlášení a dokumentaci souladu.
Naplánujte roční přehodnocení prahových hodnot s růstem vašeho podniku.

Lhůta pro nápravu je pryč. Vymáhání je aktivní. Podniky, které považují dodržování VCDPA za jednorázovou kontrolu namísto průběžné provozní disciplíny, čelí největšímu riziku.

Často kladené otázky

Q: Platí VCDPA pro neziskové organizace? Ne. Neziskové organizace jsou výslovně osvobozeny od požadavků VCDPA [10].

Q: Může spotřebitel z Virginie žalovat mou firmu přímo podle VCDPA? Ne. VCDPA nemá soukromé právo na žalobu. Pouze generální prokurátor Virginie může zahájit vymáhací řízení [8].

Q: Jaká je lhůta pro odpověď na žádost spotřebitele o práva? Podniky musí odpovědět do 45 dnů od obdržení ověřitelné žádosti. Jednorázové prodloužení o 45 dnů je povoleno, pokud podnik oznámí spotřebiteli zpoždění a důvod [9].

Q: Jsou data zaměstnanců pokryta VCDPA? Data zaměstnanců zpracovávaná v kontextu zaměstnání jsou podle VCDPA osvobozena. Tato výjimka je však úzce vykládána a nepokrývá všechna použití dat souvisejících s HR [1].

Q: Co se považuje za "prodej" osobních dat podle VCDPA? VCDPA definuje "prodej" jako výměnu osobních dat za peněžní protiplnění. Na rozdíl od CCPA se nevztahuje na nepeněžní hodnotné protiplnění, což je významný rozdíl pro uspořádání ad-tech [5].

Q: Potřebuji podle VCDPA pověřence pro ochranu dat? Ne. VCDPA nevyžaduje jmenování pověřence pro ochranu dat, na rozdíl od GDPR [7].

Q: Co se změnilo s SB 338 v roce 2026? SB 338, platný od 1. července 2026, zakazuje prodej přesných geolokačních dat, čímž přidává nové kategorické omezení nad rámec obecného rámce opt-out, který dříve taková data řídil [2][3].

Q: Jak VCDPA definuje "přesnou geolokaci"? Přesná geolokace znamená data odvozená z technologie, která identifikuje polohu spotřebitele v okruhu 1 750 stop nebo méně [10].

Q: Jsou posouzení ochrany dat vyžadována pro všechny zpracovatelské činnosti? Ne. Posouzení jsou vyžadována pouze pro vysoce rizikové zpracování: cílenou reklamu, prodej dat, zpracování citlivých dat, profilování s právními/významnými účinky a zpracování, které představuje zvýšené riziko újmy [1][9].

Q: Co se stane, když se spotřebitel odvolá proti zamítnuté žádosti? Podnik musí dokončit přezkum odvolání do 60 dnů a informovat spotřebitele o výsledku. Pokud je odvolání zamítnuto, podnik musí poskytnout informace o tom, jak může spotřebitel kontaktovat generálního prokurátora [8].