Mitä tietoja VCDPA itse asiassa suojaa ja kattaa

Yhdysvaltain oikeus ja CCPA

Virginian VCDPA: Mitä itärannikon yritysten on tiedettävä tietosuojasta

7. heinäkuuta 2026 · 15 min lukuaika

Lyhyt vastaus: Virginian kuluttajatietosuojalaki (VCDPA) on kattava osavaltion tietosuojalaki, joka tuli voimaan 1. tammikuuta 2023 ja edellyttää, että tietyt liikevaihto- tai tietojenkäsittelykynnysarvot täyttävät yritykset kunnioittavat kuluttajien oikeuksia henkilötietoihin. Itärannikon yritysten, jopa Virginian ulkopuolella pääkonttoriaan pitävien, on noudatettava lakia, jos ne palvelevat Virginian asukkaita laajasti. 1. heinäkuuta 2026 alkaen lakia vahvistettiin edelleen kieltämällä tarkan maantieteellisen sijainnin tietojen myynti SB 338:n nojalla.

Keskeiset huomiot

VCDPA koskee kaikkia yrityksiä, jotka hallinnoivat tai käsittelevät vuosittain yli 100 000 Virginian kuluttajan tietoja, tai yli 25 000 kuluttajan tietoja, jos yli 50 % liikevaihdosta tulee henkilötietojen myynnistä.
Virginian kuluttajilla on kuusi perusoikeutta: pääsy, oikaisu, poistaminen, siirrettävyys, oikeus kieltäytyä kohdennetusta mainonnasta/myynnistä/profiloinnista ja oikeus valittaa evätystä pyynnöstä.
Virginian oikeusministerillä on yksinomainen täytäntöönpanovalta; VCDPA:n nojalla ei ole yksityistä kanneoikeutta.
Siviilirangaistukset voivat nousta 7 500 dollariin tahallisesta rikkomuksesta, ja niihin liittyy 30 päivän korjausaika (joka päättyy 1. tammikuuta 2026 jälkeen).
1. heinäkuuta 2026 alkaen SB 338 kieltää tarkan maantieteellisen sijainnin tietojen myynnin, mikä lisää merkittävän uuden velvoitteen datavälittäjille ja mainosteknologiayrityksille.
Arkaluonteiset tietokategoriat (biometriset tiedot, terveystiedot, rodullinen/etninen alkuperä, tarkka maantieteellinen sijainti jne.) edellyttävät nimenomaista suostumusta ennen käsittelyä.
Toisin kuin GDPR, VCDPA ei edellytä oikeusperustetta yleisten henkilötietojen käsittelylle, mutta se edellyttää tietosuojan arviointeja korkean riskin toiminnoille.
Kynnysarvojen alapuolella olevat pienyritykset ovat vapautettuja, mutta niiden, jotka käsittelevät arkaluonteisia tietoja tai myyvät henkilötietoja, tulisi tarkistaa altistumisensa huolellisesti.
Suostumustenhallinta-alusta, kuten Biscotti CMP, voi auttaa automatisoimaan kieltäytymissignaalien käsittelyä ja suostumusrekistereitä.
Tietosuojakäytäntöjen on selkeästi ilmoitettava kerätyt tietokategoriat, käyttötarkoitukset, kolmansien osapuolten kanssa jakaminen ja kaikki VCDPA:n mukaiset kuluttajien oikeudet.

Mikä on Virginian kuluttajatietosuojalaki ja miten se toimii

VCDPA on Virginian kattava kuluttajatietosuojalaki, joka on kodifioitu Virginian lain 59.1 luvun 53 osastoon ja joka tuli voimaan 1. tammikuuta 2023 [10]. Se luo kuluttajien oikeuksien ja vastaavien yritysvelvoitteiden kehyksen, joka on löyhästi mallinnettu EU:n GDPR:n mukaan, vaikkakin siinä on merkittäviä rakenteellisia eroja, jotka sopivat Yhdysvaltain kaupalliseen kontekstiin.

Laki toimii rekisterinpitäjä-käsittelijä-mallilla. Rekisterinpitäjät (yksiköt, jotka määrittävät käsittelyn tarkoituksen ja keinot) kantavat ensisijaisen vaatimustenmukaisuusvelvoitteen. Käsittelijöiden (toimittajat, jotka käsittelevät tietoja rekisterinpitäjän puolesta) on toimittava tietojenkäsittelysopimuksen mukaisesti ja noudatettava rekisterinpitäjän dokumentoituja ohjeita [1].

Keskeisiä mekanismeja ovat:

Pakollinen vastaus kuluttajien oikeuspyyntöihin 45 päivän kuluessa (jatkettavissa toisella 45 päivällä ilmoituksella)
Vaaditut tietosuojan arvioinnit käsittelylle, joka aiheuttaa korkeamman riskin
Sopimusvelvoitteet rekisterinpitäjien ja käsittelijöiden välillä
Opt-in-suostumus vaaditaan arkaluonteisille tiedoille; opt-out-oikeudet kohdennetulle mainonnalle ja tietojen myynnille [8]

Milloin VCDPA tulee voimaan yrityksille

VCDPA tuli voimaan 1. tammikuuta 2023 kaikille sen piiriin kuuluville yrityksille [5]. Toisin kuin Kalifornian CPRA:ssa, yrityskoon mukaan ei ollut vaiheittaista käyttöönottoa. Jos yritys täytti kynnysarvot kyseisenä päivänä tai sen jälkeen, vaatimustenmukaisuus oli välittömästi pakollista.

Viimeisin muutos, SB 338, lisäsi kiellon tarkan maantieteellisen sijainnin tietojen myynnille, joka tuli voimaan 1. heinäkuuta 2026 [2][3]. Tämä tarkoittaa, että yritykset, jotka ansaitsevat rahaa sijaintitiedoilla, mukaan lukien datavälittäjät, mainosverkostot ja mobiilisovellusten julkaisijat, jotka palvelevat Virginian kuluttajia, kohtasivat uuden tiukan määräajan tänä vuonna.

Kenen on noudatettava Virginian VCDPA-vaatimuksia

VCDPA koskee voittoa tavoittelevia yhteisöjä, jotka harjoittavat liiketoimintaa Virginiassa tai tuottavat tuotteita/palveluita, jotka on suunnattu Virginian asukkaille ja täyttävät vähintään yhden kahdesta kynnysarvosta [8][10]:

Kynnysarvo	Ehto
Volyymipohjainen	Hallinnoi tai käsittelee yli 100 000 Virginian kuluttajan tietoja kalenterivuodessa
Liikevaihtopohjainen	Hallinnoi tai käsittelee yli 25 000 kuluttajan tietoja JA yli 50 % bruttoliikevaihdosta tulee henkilötietojen myynnistä

Vapautettuihin yhteisöihin ja tietotyyppeihin kuuluvat:

Voittoa tavoittelemattomat järjestöt
Korkeakoulut
GLBA:n alaiset rahoituslaitokset
HIPAA:n piiriin kuuluvat yksiköt ja liikekumppanit (HIPAA:n sääntelemien tietojen osalta)
Hallituksen yksiköt
Työntekijä- ja B2B-yhteystiedot (työsuhteen tai kaupallisten transaktioiden yhteydessä)

Laki ei edellytä fyysistä läsnäoloa Virginiassa. New Yorkissa toimiva verkkokauppayritys, Massachusettsissa toimiva SaaS-palveluntarjoaja tai Floridassa toimiva markkinointitoimisto voivat kaikki kuulua lain piiriin, jos ne käsittelevät Virginian kuluttajatietoja vaaditulla volyymilla [1].

Koskeeko VCDPA yritystäni, jos en ole Virginiassa

Kyllä, yrityksen maantieteellinen sijainti on merkityksetön. VCDPA:n soveltamisala määräytyy sen mukaan, missä kuluttajat sijaitsevat, ei sen mukaan, missä yritys toimii [7]. Kaikkien itärannikon yritysten, joilla on merkittävä Virginian asiakaskunta, tulisi arvioida tietomääränsä yllä olevien kynnysarvojen suhteen.

Käytännön esimerkki: Baltimoressa toimiva verkkokauppias, joka myy vuosittain 150 000 asiakkaalle, joista merkittävä osa on Virginian asukkaita, ylittää todennäköisesti 100 000 kuluttajan kynnysarvon ja sen on noudatettava lakia.

Mitä tietoja VCDPA itse asiassa suojaa ja kattaa

VCDPA kattaa henkilötiedot, jotka määritellään kaikiksi tiedoiksi, jotka ovat linkitettävissä tai kohtuudella linkitettävissä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön [10]. Tämä ei sisällä anonymisoituja tietoja ja julkisesti saatavilla olevia tietoja.

Arkaluonteiset tiedot ovat erillinen, korkeamman suojan kategoria, joka edellyttää opt-in-suostumusta ennen käsittelyä [8]:

Rodullinen tai etninen alkuperä
Uskonnolliset vakaumukset
Mielenterveyden tai fyysisen terveyden diagnoosit
Seksuaalinen suuntautuminen tai sukupuoli-identiteetti
Maahanmuuttajastatus
Geneettiset tai biometriset tiedot, joita käsitellään yksilölliseen tunnistamiseen
Tunnetun lapsen (alle 13-vuotiaan) henkilötiedot
Tarkka maantieteellinen sijaintitieto (ja 1. heinäkuuta 2026 alkaen tällaisia tietoja ei saa myydä lainkaan) [2]

Mitä tietoja VCDPA itse asiassa suojaa ja kattaa

Mitkä ovat yritysten päävelvoitteet VCDPA:n mukaan

Rekisterinpitäjien on täytettävä kuusi velvoiteluokkaa Virginian VCDPA:n mukaan: Mitä itärannikon yritysten on tiedettävä tietosuojasta alkaa tästä käytännössä.

Läpinäkyvyys: Tarjoa kohtuullisen helposti saatavilla oleva, selkeä tietosuojailmoitus, jossa kerrotaan tietokategoriat, käsittelyn tarkoitukset, kolmansien osapuolten kanssa jakaminen ja kuluttajien oikeudet [7].
Kuluttajien oikeuksien toteuttaminen: Vastaa pääsy-, oikaisu-, poisto-, siirrettävyys- ja opt-out-pyyntöihin 45 päivän kuluessa.
Tarkoituksen rajoittaminen: Kerää vain tietoja, jotka ovat riittäviä ja relevantteja ilmoitettuun tarkoitukseen.
Tietoturva: Toteuta kohtuulliset hallinnolliset, tekniset ja fyysiset suojatoimet.
Syrjimättömyys: Älä kiellä tavaroita/palveluita tai veloita eri hintoja pelkästään siksi, että kuluttaja käytti tietosuojaoikeuttaan.
Tietosuojan arvioinnit: Tee ja dokumentoi arvioinnit kohdennetusta mainonnasta, tietojen myynnistä, arkaluonteisten tietojen käsittelystä, profiloinnista, jolla on oikeudellisia/merkittäviä vaikutuksia, ja tietyistä korkean riskin toiminnoista [1][9].

Rekisterinpitäjien on myös kunnioitettava yleisiä opt-out-mekanismeja (kuten selaimen Global Privacy Control -signaaleja) kohdennetun mainonnan ja tietojen myynnin osalta, mikä on Virginian muutosten mukaisesti vaiheittain käyttöön otettu vaatimus [6].

Mitkä ovat VCDPA:n mukaiset kuluttajien oikeudet, joita yritysten on tuettava

Virginian kuluttajilla on kuusi täytäntöönpanokelpoista oikeutta [8][10]:

Oikeus pääsyyn: Vahvistaa, käsitelläänkö heidän tietojaan, ja saada niistä kopio.
Oikeus oikaisuun: Oikaista epätarkkuudet henkilötiedoissaan.
Oikeus poistamiseen: Pyytää heidän antamiensa tai heistä kerättyjen henkilötietojen poistamista.
Oikeus tietojen siirrettävyyteen: Saada siirrettävä kopio helposti käytettävässä muodossa.
Oikeus kieltäytyä: Kieltäytyä kohdennetusta mainonnasta, henkilötietojen myynnistä ja profiloinnista päätöksiä varten, joilla on oikeudellisia tai merkittäviä vaikutuksia.
Oikeus valittaa: Jos yritys epää pyynnön, kuluttajat voivat valittaa, ja yrityksen on vastattava 60 päivän kuluessa valituksesta.

Yritysten on tarjottava vähintään kaksi tapaa pyyntöjen esittämiseen (esim. verkkolomake ja maksuton numero tai sähköpostiosoite) [9].

Kuinka paljon VCDPA:n noudattamatta jättämisestä aiheutuu sakkoja ja rangaistuksia

Virginian oikeusministeri voi määrätä siviilirangaistuksia jopa 7 500 dollaria tahallisesta rikkomuksesta ja jopa 2 500 dollaria tahattomasta rikkomuksesta [8][10]. Rangaistuksiin voi sisältyä myös kieltomääräyksiä ja asianajajapalkkioita.

Kriittisesti, VCDPA sisälsi alun perin 30 päivän korjausajan, jolloin yritykset saattoivat korjata rikkomukset ennen rangaistusten määräämistä. Tämä korjausaika kuitenkin päättyi 1. tammikuuta 2026, mikä tarkoittaa, että oikeusministerillä on nyt harkintavalta ryhtyä täytäntöönpanotoimiin tarjoamatta korjausmahdollisuutta [6].

Yksityistä kanneoikeutta ei ole, joten yksittäiset kuluttajat eivät voi haastaa yrityksiä suoraan VCDPA:n nojalla. Täytäntöönpano tapahtuu yksinomaan oikeusministerin viraston kautta.

Miten VCDPA eroaa CCPA:sta ja mikä on ero GDPR:ään itärannikon yritysten osalta

Virginian VCDPA:n ymmärtäminen: Mitä itärannikon yritysten on tiedettävä tietosuojasta edellyttää sen asettamista vertailevaan kontekstiin.

Ominaisuus	VCDPA	CCPA/CPRA	GDPR
Yksityinen kanneoikeus	Ei	Rajoitettu (tietoturvaloukkaukset)	Kyllä (jäsenvaltiot vaihtelevat)
Opt-in arkaluonteisille tiedoille	Kyllä	Ei (opt-out-malli)	Kyllä
Korjausaika	Päättyi tammikuussa 2026	Päättyi tammikuussa 2023	Ei sovellettavissa
Maksimirangaistus rikkomusta kohden	7 500 dollaria	7 500 dollaria	Jopa 4 % maailmanlaajuisesta liikevaihdosta
Tietosuojan arvioinnit	Vaaditaan (korkea riski)	Vaaditaan (korkea riski)	Vaaditaan (DPIA:t)
Käsittelyn oikeusperuste	Ei vaadita (yleiset tiedot)	Ei vaadita	Vaaditaan (6 laillista perustetta)

Keskeinen huomio itärannikon yrityksille: VCDPA on vähemmän rasittava kuin GDPR oikeusperustevaatimusten osalta, mutta määräävämpi kuin alkuperäinen CCPA arkaluonteisten tietojen suostumuksen osalta. GDPR-yhteensopiville yrityksille VCDPA:n mukauttaminen on hallittavissa; vain CCPA:han perehtyneiden on mukautettava arkaluonteisten tietojen työnkulkujaan.

Onko pienyritysten noudatettava Virginian VCDPA:ta

Pienyritysten, jotka jäävät alle 100 000 kuluttajan tai 25 000 kuluttajan ja liikevaihdon kynnysarvojen, ei tarvitse noudattaa VCDPA:ta [10]. Tämä on merkittävä poikkeus, joka erottaa Virginian lain joistakin kansainvälisistä kehyksistä.

"Pieni" on kuitenkin suhteellista. Niche-SaaS-työkalu, jolla on 110 000 ilmaiskäyttäjää Virginiassa, ylittää volyymikynnysarvon liikevaihdosta riippumatta. Yritysten tulisi:

Tarkastaa todelliset kuluttajatietomäärät vuosittain
Seurata, muodostaako tietojen myynti yli 50 % liikevaihdosta
Arvioida kynnysarvot uudelleen liiketoiminnan kasvaessa

Jopa vapautetut yritykset hyötyvät tietosuojamyönteisten käytäntöjen rakentamisesta varhaisessa vaiheessa, sillä vaatimustenmukaisuuden jälkiasennus on aina kalliimpaa kuin ennakoiva suunnittelu.

Mitkä ovat yleisiä virheitä, joita yritykset tekevät VCDPA:n noudattamisessa

1. Käsittelijöiden virheellinen luokittelu rekisterinpitäjiksi (tai päinvastoin). Myyjät, jotka tekevät itsenäisiä päätöksiä tietojen käytöstä, ovat rekisterinpitäjiä, eivät käsittelijöitä. Virheellinen luokittelu johtaa riittämättömiin sopimussuojauksiin ja käsittelemättömiin velvoitteisiin.

2. Yleisten opt-out-signaalien huomiotta jättäminen. Monet yritykset rakensivat opt-out-työnkulkuja vain manuaalisia pyyntöjä varten, jättäen huomiotta vaatimuksen kunnioittaa selaimen tason signaaleja, kuten Global Privacy Control [6].

3. Tietojenkäsittelysopimusten päivittämättä jättäminen. VCDPA edellyttää erityisiä sopimusmääräyksiä rekisterinpitäjien ja käsittelijöiden välillä. Yleisistä myyjäsopimuksista ne usein puuttuvat [1].

4. Arkaluonteisten tietojen käsittely yleisten henkilötietojen tavoin. Biometristen, terveys- tai tarkan maantieteellisen sijainnin tietojen käsittely ilman opt-in-suostumusta on erillinen rikkomus, ei vain menettelyllinen puute.

5. Olettamus, että korjausaika on edelleen voimassa. Koska korjausaika päättyi tammikuussa 2026, yritykset eivät voi enää luottaa korjausikkunaan ennen täytäntöönpanotoimia [6].

6. Valitusmekanismin jättäminen pois. Monista tietosuojakäytännöistä ja pyyntöjen työnkuluista puuttuu dokumentoitu valitusprosessi, joka on VCDPA:n edellyttämä elementti [9].

Miten tarkastan yritykseni VCDPA-valmiuden

VCDPA-valmiuden tarkastuksen tulisi kattaa viisi aluetta:

Kynnysarviointi: Kartoita kaikki Virginian kuluttajatietojen virrat ja laske vuosittaiset käsittelymäärät lakisääteisten kynnysarvojen suhteen.
Tietovarasto: Luetteloi kaikki kerätyt henkilötietokategoriat, niiden lähteet, tarkoitukset, säilytysajat ja kolmannen osapuolen vastaanottajat.
Arkaluonteisten tietojen tarkistus: Tunnista kaikki arkaluonteiset tietokategoriat ja varmista, että opt-in-suostumusmekanismit ovat käytössä.
Oikeuksien infrastruktuuri: Testaa kaikki kuusi kuluttajien oikeuksien työnkulkua päästä päähän, mukaan lukien valitusprosessi.
Myyjäsopimukset: Tarkista kaikki käsittelijäsopimukset VCDPA:n edellyttämien sopimusmääräysten (käsittelyohjeet, luottamuksellisuus, alikäsittelijöiden valvonta, tarkastusoikeudet) osalta [7].

Yrityksille, jotka hallinnoivat suostumuksia useissa digitaalisissa kosketuspisteissä, suostumustenhallinta-alusta, kuten Biscotti CMP, voi keskittää opt-out-signaalien käsittelyn ja ylläpitää tarkastettavissa olevia suostumusrekistereitä, tukien sekä VCDPA:ta että usean osavaltion vaatimustenmukaisuusohjelmia.

Mitä tietosuojakäytäntöni tulisi sanoa ollakseen VCDPA-yhteensopiva

VCDPA-yhteensopivan tietosuojakäytännön on ilmoitettava [8][9]:

Käsiteltävien henkilötietojen kategoriat
Kunkin kategorian käsittelyn tarkoitus
Miten kuluttajat voivat käyttää kuutta oikeuttaan, mukaan lukien valitusprosessi
Myydäänkö henkilötietoja vai käytetäänkö niitä kohdennettuun mainontaan (opt-out-ohjeineen)
Kolmansien osapuolten kategoriat, joiden kanssa tietoja jaetaan
Yhteystiedot pyyntöjen lähettämiseen (vähintään kaksi tapaa)
Jos arkaluonteisia tietoja käsitellään, käsittelyn peruste (opt-in-suostumus)

Käytäntöjen tulee olla kirjoitettu selkeällä kielellä, olla kohtuullisen helposti saatavilla (linkitetty näkyvästi verkkosivustoilla ja sovelluksissa) ja niitä tulee päivittää aina, kun tietokäytännöt muuttuvat olennaisesti.

Johtopäätös ja konkreettiset seuraavat askeleet

Virginian VCDPA edustaa yhtä Yhdysvaltojen merkittävimmistä osavaltion tietosuojakehyksistä, ja heinäkuussa 2026 lisätty tarkkojen maantieteellisten sijaintitietojen myyntikielto osoittaa, että Virginian lainsäätäjä aikoo jatkaa sen vahvistamista. Itärannikon yrityksille lain alueellinen ulottuvuus tarkoittaa, että maantiede ei ole puolustus, vaan tietomäärä ja käsittelyn tarkoitus määräävät altistumisen.

Toimenpiteet vuodelle 2026:

Tee kynnysarvoanalyysi nykyisten Virginian kuluttajatietomääriesi perusteella ennen vuoden loppua.
Tarkasta kaikki arkaluonteisten tietojen työnkulut, erityisesti ne, jotka liittyvät tarkkaan maantieteelliseen sijaintiin, biometrisiin tietoihin tai terveystietoihin, opt-in-suostumuksen noudattamisen osalta.
Varmista, että tietosuojakäytäntösi sisältää kaikki kuusi kuluttajien oikeutta ja dokumentoidun valitusmekanismin.
Tarkista käsittelijäsopimukset VCDPA:n edellyttämien sopimusmääräysten osalta.
Toteuta tai varmista yleisten opt-out-signaalien (Global Privacy Control) käsittely kaikissa digitaalisissa omaisuuksissasi.
Harkitse suostumustenhallintaratkaisua, kuten Biscotti CMP, automatisoidaksesi suostumusten keräämisen, opt-out-signaalien käsittelyn ja vaatimustenmukaisuuden dokumentoinnin.
Ajoita vuosittaiset kynnysarvioinnit liiketoimintasi kasvaessa.

Korjausaika on poissa. Täytäntöönpano on käynnissä. Yritykset, jotka käsittelevät VCDPA:n noudattamista kertaluonteisena tarkistuslistana pikemminkin kuin jatkuvana toiminnallisena kurinalaisuutena, kohtaavat suurimman riskin.

UKK

K: Koskeeko VCDPA voittoa tavoittelemattomia järjestöjä? Ei. Voittoa tavoittelemattomat järjestöt on nimenomaisesti vapautettu VCDPA:n vaatimuksista [10].

K: Voiko Virginian kuluttaja haastaa yritykseni suoraan VCDPA:n nojalla? Ei. VCDPA:ssa ei ole yksityistä kanneoikeutta. Vain Virginian oikeusministeri voi ryhtyä täytäntöönpanotoimiin [8].

K: Mikä on määräaika kuluttajien oikeuspyyntöön vastaamiselle? Yritysten on vastattava 45 päivän kuluessa todennettavissa olevan pyynnön vastaanottamisesta. Kertaluonteinen 45 päivän jatko on sallittu, jos yritys ilmoittaa kuluttajalle viivästyksestä ja syystä [9].

K: Kattaako VCDPA työntekijätiedot? Työntekijätiedot, joita käsitellään työsuhteen yhteydessä, on vapautettu VCDPA:n nojalla. Tätä poikkeusta tulkitaan kuitenkin suppeasti, eikä se kata kaikkia HR-läheisiä tietojen käyttötarkoituksia [1].

K: Mikä lasketaan henkilötietojen "myynniksi" VCDPA:n mukaan? VCDPA määrittelee "myynnin" henkilötietojen vaihtamiseksi rahallista vastiketta vastaan. Toisin kuin CCPA, se ei ulotu ei-rahalliseen arvokkaaseen vastikkeeseen, mikä on merkittävä ero mainosteknologian järjestelyissä [5].

K: Tarvitsenko tietosuojavastaavan VCDPA:n mukaan? Ei. VCDPA ei edellytä tietosuojavastaavan nimittämistä, toisin kuin GDPR [7].

K: Mitä muuttui SB 338:n myötä vuonna 2026? SB 338, joka tuli voimaan 1. heinäkuuta 2026, kieltää tarkan maantieteellisen sijainnin tietojen myynnin, mikä lisää uuden kategorisen rajoituksen yleisen opt-out-kehyksen lisäksi, joka aiemmin säänteli tällaisia tietoja [2][3].

K: Miten VCDPA määrittelee "tarkan maantieteellisen sijainnin"? Tarkka maantieteellinen sijainti tarkoittaa teknologian avulla saatua tietoa, joka tunnistaa kuluttajan sijainnin 1 750 jalan tai sitä pienemmällä säteellä [10].

K: Vaaditaanko tietosuojan arviointeja kaikille käsittelytoiminnoille? Ei. Arviointeja vaaditaan vain korkean riskin käsittelylle: kohdennettu mainonta, tietojen myynti, arkaluonteisten tietojen käsittely, profilointi, jolla on oikeudellisia/merkittäviä vaikutuksia, ja käsittely, joka aiheuttaa korkeamman haittariskin [1][9].

K: Mitä tapahtuu, jos kuluttaja valittaa evätystä pyynnöstä? Yrityksen on saatettava valituksen käsittely päätökseen 60 päivän kuluessa ja ilmoitettava kuluttajalle lopputuloksesta. Jos valitus hylätään, yrityksen on annettava tietoja siitä, miten kuluttaja voi ottaa yhteyttä oikeusministeriin [8].