Resposta rápida: A Lei de Protección de Datos do Consumidor de Virxinia (VCDPA) é unha lei estatal integral de privacidade que entrou en vigor o 1 de xaneiro de 2023, que esixe ás empresas que cumpran limiares específicos de ingresos ou procesamento de datos que respecten os dereitos do consumidor sobre os datos persoais. As empresas da Costa Leste, mesmo as que teñen a súa sede fóra de Virxinia, deben cumprir se atenden a residentes de Virxinia a gran escala. A partir do 1 de xullo de 2026, a lei reforzouse aínda máis cunha prohibición da venda de datos de xeolocalización precisos baixo a SB 338.
Puntos clave
- A VCDPA aplícase a calquera empresa que controle ou procese datos de máis de 100.000 consumidores de Virxinia anualmente, ou de máis de 25.000 consumidores se o 50% ou máis dos ingresos proceden da venda de datos persoais.
- Os consumidores de Virxinia teñen seis dereitos fundamentais: acceso, corrección, eliminación, portabilidade, dereito a opoñerse á publicidade dirixida/venda/elaboración de perfís e o dereito a apelar unha solicitude denegada.
- O Fiscal Xeral de Virxinia ten autoridade exclusiva de aplicación; non existe un dereito de acción privada baixo a VCDPA.
- As sancións civís poden alcanzar os 7.500 $ por infracción intencionada, cun período de subsanación de 30 días (que caduca despois do 1 de xaneiro de 2026).
- A partir do 1 de xullo de 2026, a SB 338 prohibe a venda de datos de xeolocalización precisos, engadindo unha nova e significativa obriga para os corredores de datos e as empresas de tecnoloxía publicitaria.
- As categorías de datos sensibles (biométricos, de saúde, de orixe racial/étnica, de xeolocalización precisa, etc.) requiren o consentimento explícito de aceptación antes do procesamento.
- A diferenza do GDPR, a VCDPA non require unha base legal para o procesamento de datos persoais xerais, pero si require avaliacións de protección de datos para actividades de alto risco.
- As pequenas empresas por debaixo dos limiares están exentas, pero as que procesan datos sensibles ou venden datos persoais deben revisar coidadosamente a súa exposición.
- Unha plataforma de xestión de consentimento como Biscotti CMP pode axudar a automatizar a xestión de sinais de exclusión e os rexistros de consentimento.
- As políticas de privacidade deben divulgar claramente as categorías de datos recollidos, os propósitos, o intercambio con terceiros e todos os dereitos do consumidor baixo a VCDPA.
Que é a Lei de Protección de Datos do Consumidor de Virxinia e como funciona
A VCDPA é o estatuto integral de privacidade do consumidor de Virxinia, codificado no Título 59.1, Capítulo 53 do Código de Virxinia, e en vigor desde o 1 de xaneiro de 2023 [10]. Establece un marco de dereitos do consumidor e as correspondentes obrigas empresariais modeladas libremente no GDPR da UE, aínda que con notables diferenzas estruturais adaptadas a un contexto comercial estadounidense.
A lei opera cun modelo de controlador-procesador. Os controladores (entidades que determinan o propósito e os medios do procesamento) asumen a carga principal do cumprimento. Os procesadores (provedores que manexan datos en nome dun controlador) deben operar baixo un acordo de procesamento de datos e seguir as instrucións documentadas do controlador [1].
Os mecanismos clave inclúen:
- Resposta obrigatoria ás solicitudes de dereitos do consumidor nun prazo de 45 días (prorrogable por outros 45 días con aviso)
- Avaliacións de protección de datos requiridas para o procesamento que presente un risco elevado
- Obrigas contractuais entre controladores e procesadores
- Consentimento de aceptación requirido para datos sensibles; dereitos de exclusión para publicidade dirixida e vendas de datos [8]
Cando entra en vigor a VCDPA para as empresas
A VCDPA entrou en vigor o 1 de xaneiro de 2023 para todas as empresas cubertas [5]. Non houbo unha implementación por fases segundo o tamaño da empresa, a diferenza da CPRA de California. Se unha empresa cumpría os limiares nesa data ou despois, o cumprimento era inmediatamente requirido.
A modificación máis recente, a SB 338, engadiu unha prohibición da venda de datos de xeolocalización precisos, efectiva o 1 de xullo de 2026 [2][3]. Isto significa que as empresas que monetizan datos de localización, incluídos os corredores de datos, as redes de anuncios e os editores de aplicacións móbiles que atenden a consumidores de Virxinia, enfrontáronse a un novo prazo límite este ano.
Quen ten que cumprir os requisitos da VCDPA de Virxinia
A VCDPA aplícase a entidades con ánimo de lucro que realizan negocios en Virxinia ou producen produtos/servizos dirixidos a residentes de Virxinia e cumpren polo menos un dos dous limiares [8][10]:
| Limiar | Condición |
|---|---|
| Baseado no volume | Controla ou procesa datos de máis de 100.000 consumidores de Virxinia por ano natural |
| Baseado nos ingresos | Controla ou procesa datos de máis de 25.000 consumidores E deriva o 50% ou máis dos ingresos brutos da venda de datos persoais |
As entidades e tipos de datos exentos inclúen:
- Organizacións sen ánimo de lucro
- Institucións de educación superior
- Institucións financeiras suxeitas á GLBA
- Entidades cubertas pola HIPAA e asociados comerciais (para datos regulados pola HIPAA)
- Entidades gobernamentais
- Datos de contacto de empregados e B2B (no contexto de transaccións laborais ou comerciais)
A lei non require unha presenza física en Virxinia. Unha empresa de comercio electrónico con sede en Nova York, un provedor de SaaS en Massachusetts ou unha axencia de marketing en Florida poden estar dentro do ámbito se procesan datos de consumidores de Virxinia no volume requirido [1].
Aplícase a VCDPA á miña empresa se non estou en Virxinia
Si, a localización xeográfica da empresa é irrelevante. O alcance da VCDPA determínase pola localización dos consumidores, non pola localización onde opera a empresa [7]. Calquera empresa da Costa Leste cunha base de clientes substancial en Virxinia debería avaliar os seus volumes de datos fronte aos limiares anteriores.
Exemplo práctico: Un minorista de comercio electrónico con sede en Baltimore que vende a 150.000 clientes anualmente, unha parte significativa dos cales son residentes de Virxinia, probablemente supera o limiar de 100.000 consumidores e debe cumprir.
Que datos protexe e abrangue realmente a VCDPA
A VCDPA abrangue os datos persoais, definidos como calquera información que estea vinculada ou sexa razoablemente vinculable a unha persoa física identificada ou identificable [10]. Isto exclúe os datos desidentificados e a información dispoñible publicamente.
Os datos sensibles son unha categoría distinta e de maior protección que require o consentimento de aceptación antes do procesamento [8]:
- Orixe racial ou étnica
- Crenzas relixiosas
- Diagnósticos de saúde mental ou física
- Orientación sexual ou identidade de xénero
- Estado de inmigración
- Datos xenéticos ou biométricos procesados para unha identificación única
- Datos persoais dun neno coñecido (menor de 13 anos)
- Datos de xeolocalización precisos (e a partir do 1 de xullo de 2026, tales datos non se poderán vender en absoluto) [2]
Cales son as principais obrigas para as empresas baixo a VCDPA
Os controladores deben cumprir seis categorías de obrigas baixo a VCDPA de Virxinia: O que as empresas da Costa Leste deben saber sobre a protección de datos comeza aquí en termos prácticos.
- Transparencia: Proporcionar un aviso de privacidade razoablemente accesible e claro que divulgue as categorías de datos, os propósitos do procesamento, o intercambio con terceiros e os dereitos do consumidor [7].
- Cumprimento dos dereitos do consumidor: Responder ás solicitudes de acceso, corrección, eliminación, portabilidade e exclusión nun prazo de 45 días.
- Limitación da finalidade: Recoller só datos adecuados e relevantes para a finalidade divulgada.
- Seguridade dos datos: Implementar salvagardas administrativas, técnicas e físicas razoables.
- Non discriminación: Non denegar bens/servizos nin cobrar prezos diferentes unicamente porque un consumidor exerceu un dereito de privacidade.
- Avaliacións de protección de datos: Realizar e documentar avaliacións para publicidade dirixida, vendas de datos, procesamento de datos sensibles, elaboración de perfís con efectos legais/significativos e certas actividades de alto risco [1][9].
Os controladores tamén deben respectar os mecanismos universais de exclusión (como os sinais de Global Privacy Control baseados no navegador) para a publicidade dirixida e as vendas de datos, un requisito implementado gradualmente baixo as modificacións de Virxinia [6].
Cales son os dereitos do consumidor baixo a VCDPA que as empresas deben apoiar
Os consumidores de Virxinia teñen seis dereitos aplicables [8][10]:
- Dereito de acceso: Confirmar se os seus datos están a ser procesados e obter unha copia.
- Dereito de corrección: Corrixir imprecisións nos seus datos persoais.
- Dereito de eliminación: Solicitar a eliminación dos datos persoais que proporcionaron ou que se recolleron sobre eles.
- Dereito á portabilidade dos datos: Recibir unha copia portátil nun formato facilmente utilizable.
- Dereito a opoñerse: Opoñerse á publicidade dirixida, á venda de datos persoais e á elaboración de perfís para decisións con efectos legais ou significativos.
- Dereito a apelar: Se unha empresa denega unha solicitude, os consumidores poden apelar, e a empresa debe responder nun prazo de 60 días desde a apelación.
As empresas deben proporcionar polo menos dous métodos para enviar solicitudes (por exemplo, un formulario web e un número gratuíto ou enderezo de correo electrónico) [9].
Canto custan as infraccións de cumprimento da VCDPA en multas e sancións
O Fiscal Xeral de Virxinia pode impor sancións civís de ata 7.500 $ por infracción intencionada e ata 2.500 $ por infracción non intencionada [8][10]. As sancións tamén poden incluír medidas cautelares e honorarios de avogados.
É fundamental que a VCDPA orixinalmente incluía un período de subsanación de 30 días, as empresas podían corrixir as infraccións antes de que se avaliasen as sancións. Con todo, ese período de subsanación caducou o 1 de xaneiro de 2026, o que significa que o Fiscal Xeral agora ten discreción para iniciar accións de aplicación sen ofrecer unha oportunidade de subsanación [6].
Non existe un dereito de acción privada, polo que os consumidores individuais non poden demandar directamente ás empresas baixo a VCDPA. A aplicación é exclusivamente a través da Oficina do Fiscal Xeral.
Como se diferencia a VCDPA da CCPA e cal é a diferenza co GDPR para as empresas da Costa Leste
Comprender a VCDPA de Virxinia: O que as empresas da Costa Leste deben saber sobre a protección de datos require situala nun contexto comparativo.
| Característica | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Dereito de acción privada | Non | Limitado (violacións de datos) | Si (os estados membros varían) |
| Aceptación para datos sensibles | Si | Non (modelo de exclusión) | Si |
| Período de subsanación | Caducou en xaneiro de 2026 | Caducou en xaneiro de 2023 | Non aplicable |
| Sanción máxima por infracción | 7.500 $ | 7.500 $ | Ata o 4% dos ingresos globais |
| Avaliacións de protección de datos | Requiridas (alto risco) | Requiridas (alto risco) | Requiridas (DPIA) |
| Base legal para o procesamento | Non requirida (datos xerais) | Non requirida | Requirida (6 bases legais) |
Conclusión clave para as empresas da Costa Leste: A VCDPA é menos onerosa que o GDPR en termos de requisitos de base legal, pero máis prescriptiva que a CCPA orixinal sobre o consentimento de datos sensibles. As empresas que xa cumpren o GDPR atoparán a adaptación á VCDPA manexable; as que só están familiarizadas coa CCPA necesitan axustar os seus fluxos de traballo de datos sensibles.
As pequenas empresas necesitan cumprir a VCDPA de Virxinia
As pequenas empresas por debaixo dos limiares de 100.000 consumidores ou 25.000 consumidores máis ingresos non están obrigadas a cumprir a VCDPA [10]. Esta é unha exención significativa que distingue a lei de Virxinia dalgúns marcos internacionais.
Con todo, "pequeno" é relativo. Unha ferramenta SaaS de nicho con 110.000 usuarios de Virxinia de nivel gratuíto supera o limiar de volume independentemente dos ingresos. As empresas deben:
- Auditar os volumes reais de datos dos consumidores anualmente
- Rastrear se as vendas de datos constitúen o 50% ou máis dos ingresos
- Reavaliar os limiares a medida que a empresa escala
Mesmo as empresas exentas benefícianse de construír prácticas de privacidade desde o principio, xa que a adaptación do cumprimento é consistentemente máis cara que o deseño proactivo.
Cales son os erros comúns que cometen as empresas co cumprimento da VCDPA
1. Clasificar erróneamente os procesadores como controladores (ou viceversa). Os provedores que toman decisións independentes sobre o uso dos datos son controladores, non procesadores. A clasificación errónea leva a proteccións contractuais inadecuadas e obrigas non abordadas.
2. Ignorar os sinais universais de exclusión. Moitas empresas construíron fluxos de exclusión só para solicitudes manuais, pasando por alto o requisito de respectar os sinais a nivel de navegador como Global Privacy Control [6].
3. Non actualizar os acordos de procesamento de datos. A VCDPA require disposicións contractuais específicas entre controladores e procesadores. Os contratos xenéricos de provedores adoitan carecer delas [1].
4. Tratar os datos sensibles como datos persoais xerais. O procesamento de datos biométricos, de saúde ou de xeolocalización precisos sen o consentimento de aceptación é unha violación distinta, non só unha lagoa procesual.
5. Asumir que o período de subsanación aínda se aplica. Co período de subsanación caducado a partir de xaneiro de 2026, as empresas xa non poden depender dunha xanela de corrección antes da acción de aplicación [6].
6. Omitir o mecanismo de apelación. Moitas políticas de privacidade e fluxos de traballo de solicitudes carecen dun proceso de apelación documentado, que é un elemento requirido baixo a VCDPA [9].
Como audito a miña empresa para a preparación da VCDPA
Unha auditoría de preparación da VCDPA debe cubrir cinco dominios:
- Avaliación do limiar: Mapear todos os fluxos de datos dos consumidores de Virxinia e calcular os volumes de procesamento anuais fronte aos limiares estatutarios.
- Inventario de datos: Catalogar todas as categorías de datos persoais recollidos, as súas fontes, propósitos, períodos de retención e destinatarios de terceiros.
- Revisión de datos sensibles: Identificar calquera categoría de datos sensibles e confirmar que os mecanismos de consentimento de aceptación están en vigor.
- Infraestrutura de dereitos: Probar os seis fluxos de traballo de dereitos do consumidor de principio a fin, incluído o proceso de apelación.
- Contratos de provedores: Revisar todos os acordos de procesador para as disposicións contractuais requiridas pola VCDPA (instrucións de procesamento, confidencialidade, controis de subprocesadores, dereitos de auditoría) [7].
Para as empresas que xestionan o consentimento en múltiples puntos de contacto dixitais, unha plataforma de xestión de consentimento como Biscotti CMP pode centralizar a xestión de sinais de exclusión e manter rexistros de consentimento auditables, apoiando tanto a VCDPA como os programas de cumprimento multiestatais.
Que debe dicir a miña política de privacidade para cumprir a VCDPA
Unha política de privacidade que cumpra a VCDPA debe divulgar [8][9]:
- As categorías de datos persoais procesados
- O propósito do procesamento de cada categoría
- Como os consumidores poden exercer os seus seis dereitos, incluído o proceso de apelación
- Se os datos persoais son vendidos ou utilizados para publicidade dirixida (con instrucións de exclusión)
- As categorías de terceiros cos que se comparten os datos
- Información de contacto para enviar solicitudes (polo menos dous métodos)
- Se se procesan datos sensibles, a base para facelo (consentimento de aceptación)
As políticas deben estar escritas en linguaxe sinxela, ser razoablemente accesibles (ligadas de forma destacada en sitios web e aplicacións) e actualizarse sempre que as prácticas de datos cambien materialmente.
Conclusión e próximos pasos accionables
A VCDPA de Virxinia representa un dos marcos de privacidade estatais máis substanciais dos Estados Unidos, e a adición en xullo de 2026 dunha prohibición de venda de datos de xeolocalización precisos sinala que a lexislatura de Virxinia pretende seguir fortalecéndoa. Para as empresas da Costa Leste, o alcance extraterritorial da lei significa que a xeografía non é unha defensa, o volume de datos e o propósito do procesamento determinan a exposición.
Pasos accionables para 2026:
- Realizar unha análise de limiares fronte aos seus volumes actuais de datos de consumidores de Virxinia antes de fin de ano.
- Auditar todos os fluxos de traballo de datos sensibles, especialmente os que implican datos de xeolocalización precisos, biométricos ou de saúde, para o cumprimento do consentimento de aceptación.
- Confirmar que a súa política de privacidade inclúe os seis dereitos do consumidor e un mecanismo de apelación documentado.
- Revisar os acordos de procesador para as disposicións contractuais requiridas pola VCDPA.
- Implementar ou verificar a xestión universal de sinais de exclusión (Global Privacy Control) en todas as súas propiedades dixitais.
- Considerar unha solución de xestión de consentimento como Biscotti CMP para automatizar a recollida de consentimento, o procesamento de sinais de exclusión e a documentación de cumprimento.
- Programar reavaliacións anuais dos limiares a medida que a súa empresa escala.
O período de subsanación desapareceu. A aplicación está en marcha. As empresas que tratan o cumprimento da VCDPA como unha caixa de verificación única en lugar dunha disciplina operativa continua enfróntanse ao maior risco.
Preguntas frecuentes
P: A VCDPA aplícase ás organizacións sen ánimo de lucro? Non. As organizacións sen ánimo de lucro están explicitamente exentas dos requisitos da VCDPA [10].
P: Pode un consumidor de Virxinia demandar directamente á miña empresa baixo a VCDPA? Non. A VCDPA non ten dereito de acción privada. Só o Fiscal Xeral de Virxinia pode iniciar accións de aplicación [8].
P: Cal é o prazo para responder a unha solicitude de dereitos do consumidor? As empresas deben responder nun prazo de 45 días desde a recepción dunha solicitude verificable. Permítese unha extensión única de 45 días se a empresa notifica ao consumidor o atraso e o motivo [9].
P: Os datos dos empregados están cubertos pola VCDPA? Os datos dos empregados procesados no contexto do emprego están exentos baixo a VCDPA. Con todo, esta exención interprétase de forma restrinxida e non abrangue todos os usos de datos relacionados cos recursos humanos [1].
P: Que se considera "venda" de datos persoais baixo a VCDPA? A VCDPA define "venda" como o intercambio de datos persoais por consideración monetaria. A diferenza da CCPA, non se estende á consideración valiosa non monetaria, o que é unha distinción significativa para os acordos de tecnoloxía publicitaria [5].
P: Necesito un Delegado de Protección de Datos baixo a VCDPA? Non. A VCDPA non require o nomeamento dun Delegado de Protección de Datos, a diferenza do GDPR [7].
P: Que cambiou coa SB 338 en 2026? A SB 338, en vigor desde o 1 de xullo de 2026, prohibe a venda de datos de xeolocalización precisos, engadindo unha nova restrición categórica máis aló do marco xeral de exclusión que anteriormente gobernaba tales datos [2][3].
P: Como define a VCDPA a "xeolocalización precisa"? Xeolocalización precisa significa datos derivados de tecnoloxía que identifica a localización dun consumidor nun radio de 1.750 pés ou menos [10].
P: Son necesarias avaliacións de protección de datos para todas as actividades de procesamento? Non. As avaliacións só son necesarias para o procesamento de alto risco: publicidade dirixida, vendas de datos, procesamento de datos sensibles, elaboración de perfís con efectos legais/significativos e procesamento que presente un risco elevado de dano [1][9].
P: Que ocorre se un consumidor apela unha solicitude denegada? A empresa debe completar a revisión da apelación nun prazo de 60 días e informar ao consumidor do resultado. Se a apelación é denegada, a empresa debe proporcionar información sobre como o consumidor pode contactar co Fiscal Xeral [8].
Verificador interactivo de limiares de cumprimento da VCDPA
Referencias
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/