תשובה מהירה: חוק הגנת נתוני הצרכן של וירג'יניה (VCDPA) הוא חוק פרטיות מדינתי מקיף שנכנס לתוקף ב-1 בינואר 2023, המחייב עסקים העומדים בספי הכנסה או עיבוד נתונים ספציפיים לכבד את זכויות הצרכנים על נתונים אישיים. עסקים בחוף המזרחי, גם אלה שמטהם מחוץ לווירג'יניה, חייבים לציית אם הם משרתים תושבי וירג'יניה בקנה מידה גדול. החל מ-1 ביולי 2026, החוק חוזק עוד יותר עם איסור על מכירת נתוני מיקום גיאוגרפי מדויקים במסגרת SB 338.
נקודות מפתח
- ה-VCDPA חל על כל עסק השולט או מעבד נתונים של 100,000+ צרכנים מווירג'יניה מדי שנה, או 25,000+ צרכנים אם 50% או יותר מההכנסות מגיעות ממכירת נתונים אישיים.
- לצרכנים מווירג'יניה שש זכויות ליבה: גישה, תיקון, מחיקה, ניידות, ביטול הסכמה לפרסום ממוקד/מכירה/פרופיל, והזכות לערער על בקשה שנדחתה.
- ליועץ המשפטי לממשלה של וירג'יניה סמכות אכיפה בלעדית; אין זכות תביעה פרטית במסגרת ה-VCDPA.
- קנסות אזרחיים יכולים להגיע ל-7,500 דולר לכל הפרה מכוונת, עם תקופת תיקון של 30 יום (שתסתיים לאחר 1 בינואר 2026).
- החל מ-1 ביולי 2026, SB 338 אוסר על מכירת נתוני מיקום גיאוגרפי מדויקים, ומוסיף חובה חדשה ומשמעותית למתווכי נתונים וחברות טכנולוגיית פרסום.
- קטגוריות נתונים רגישים (ביומטריים, בריאות, מוצא גזעי/אתני, מיקום גיאוגרפי מדויק וכו') דורשות הסכמה מפורשת לפני העיבוד.
- בניגוד ל-GDPR, ה-VCDPA אינו דורש בסיס חוקי לעיבוד נתונים אישיים כלליים, אך הוא דורש הערכות הגנת נתונים עבור פעילויות בסיכון גבוה.
- עסקים קטנים מתחת לספים פטורים, אך אלה המעבדים נתונים רגישים או מוכרים נתונים אישיים צריכים לבחון היטב את חשיפתם.
- פלטפורמת ניהול הסכמה כגון Biscotti CMP יכולה לסייע באוטומציה של טיפול באותות ביטול הסכמה ורישומי הסכמה.
- מדיניות הפרטיות חייבת לחשוף בבירור את קטגוריות הנתונים שנאספו, מטרות, שיתוף עם צדדים שלישיים, וכל זכויות הצרכנים במסגרת ה-VCDPA.
מהו חוק הגנת נתוני הצרכן של וירג'יניה וכיצד הוא פועל
ה-VCDPA הוא חוק הפרטיות המקיף של וירג'יניה, המקודד בפרק 53, כותרת 59.1 של קוד וירג'יניה, ונכנס לתוקף ב-1 בינואר 2023 [10]. הוא קובע מסגרת של זכויות צרכנים וחובות עסקיות מקבילות המבוססות באופן רופף על ה-GDPR של האיחוד האירופי, אם כי עם הבדלים מבניים בולטים המתאימים להקשר מסחרי בארה"ב.
החוק פועל על מודל בקר-מעבד. בקרים (ישויות הקובעות את מטרת ואמצעי העיבוד) נושאים בנטל הציות העיקרי. מעבדים (ספקים המטפלים בנתונים מטעם בקר) חייבים לפעול במסגרת הסכם עיבוד נתונים ולפעול לפי ההוראות המתועדות של הבקר [1].
מנגנוני מפתח כוללים:
- תגובה חובה לבקשות זכויות צרכנים תוך 45 יום (ניתן להארכה ב-45 יום נוספים עם הודעה)
- הערכות הגנת נתונים נדרשות לעיבוד המציג סיכון מוגבר
- התחייבויות חוזיות בין בקרים למעבדים
- הסכמה אופטי-אין נדרשת לנתונים רגישים; זכויות אופטי-אאוט לפרסום ממוקד ומכירת נתונים [8]
מתי נכנס ה-VCDPA לתוקף עבור עסקים
ה-VCDPA נכנס לתוקף ב-1 בינואר 2023 עבור כל העסקים המכוסים [5]. לא הייתה השקה מדורגת לפי גודל עסק, בניגוד ל-CPRA של קליפורניה. אם עסק עמד בספים בתאריך זה או אחריו, נדרשה ציות מיידי.
התיקון האחרון, SB 338, הוסיף איסור על מכירת נתוני מיקום גיאוגרפי מדויקים, שנכנס לתוקף ב-1 ביולי 2026 [2][3]. משמעות הדבר היא שעסקים המייצרים רווח מנתוני מיקום, כולל מתווכי נתונים, רשתות פרסום ומפרסמי אפליקציות סלולריות המשרתים צרכנים מווירג'יניה, עומדים בפני מועד אחרון חדש וקשוח השנה.
מי צריך לציית לדרישות ה-VCDPA של וירג'יניה
ה-VCDPA חל על ישויות למטרות רווח המנהלות עסקים בווירג'יניה או מייצרות מוצרים/שירותים המיועדים לתושבי וירג'יניה ועומדות לפחות באחד משני הספים [8][10]:
| סף | תנאי |
|---|---|
| מבוסס נפח | שליטה או עיבוד נתונים של 100,000+ צרכנים מווירג'יניה בשנה קלנדרית |
| מבוסס הכנסה | שליטה או עיבוד נתונים של 25,000+ צרכנים וכן הפקת 50%+ מההכנסה הגולמית ממכירת נתונים אישיים |
ישויות וסוגי נתונים פטורים כוללים:
- ארגונים ללא מטרות רווח
- מוסדות להשכלה גבוהה
- מוסדות פיננסיים הכפופים ל-GLBA
- ישויות ושותפים עסקיים המכוסים ב-HIPAA (עבור נתונים המוסדרים על ידי HIPAA)
- ישויות ממשלתיות
- נתוני עובדים ו-B2B (בהקשר של העסקה או עסקאות מסחריות)
החוק אינו דורש נוכחות פיזית בווירג'יניה. חברת מסחר אלקטרוני שבסיסה בניו יורק, ספקית SaaS במסצ'וסטס, או סוכנות שיווק בפלורידה יכולות כולן להיכלל בתחום אם הן מעבדות נתוני צרכנים מווירג'יניה בנפח הנדרש [1].
האם ה-VCDPA חל על העסק שלי אם אני לא בווירג'יניה
כן, המיקום הגיאוגרפי של העסק אינו רלוונטי. היקף ה-VCDPA נקבע לפי מיקום הצרכנים, לא לפי מיקום העסק [7]. כל עסק בחוף המזרחי עם בסיס לקוחות משמעותי בווירג'יניה צריך להעריך את נפחי הנתונים שלו מול הספים לעיל.
דוגמה מעשית: קמעונאי מסחר אלקטרוני שבסיסו בבולטימור המוכר ל-150,000 לקוחות מדי שנה, שחלק ניכר מהם הם תושבי וירג'יניה, ככל הנראה עובר את סף 100,000 הצרכנים וחייב לציית.
אילו נתונים ה-VCDPA באמת מגן ומכסה
ה-VCDPA מכסה נתונים אישיים, המוגדרים ככל מידע המקושר או ניתן לקישור באופן סביר לאדם טבעי מזוהה או ניתן לזיהוי [10]. זה אינו כולל נתונים מנוטרלים ומידע זמין לציבור.
נתונים רגישים הם קטגוריה נפרדת בעלת הגנה גבוהה יותר הדורשת הסכמה אופטי-אין לפני העיבוד [8]:
- מוצא גזעי או אתני
- אמונות דתיות
- אבחנות בריאות נפשית או פיזית
- נטייה מינית או זהות מגדרית
- מצב הגירה
- נתונים גנטיים או ביומטריים המעובדים לזיהוי ייחודי
- נתונים אישיים של ילד ידוע (מתחת לגיל 13)
- נתוני מיקום גיאוגרפי מדויקים (והחל מ-1 ביולי 2026, נתונים כאלה אינם ניתנים למכירה כלל) [2]
מהן החובות העיקריות לעסקים במסגרת ה-VCDPA
בקרים חייבים למלא שש קטגוריות של חובות במסגרת ה-VCDPA של וירג'יניה: מה שעסקים בחוף המזרחי צריכים לדעת על הגנת נתונים מתחיל כאן במונחים מעשיים.
- שקיפות: לספק הודעת פרטיות נגישה באופן סביר וברורה החושפת קטגוריות נתונים, מטרות עיבוד, שיתוף עם צדדים שלישיים וזכויות צרכנים [7].
- מילוי זכויות צרכנים: להגיב לבקשות גישה, תיקון, מחיקה, ניידות וביטול הסכמה תוך 45 יום.
- הגבלת מטרה: לאסוף רק נתונים הולמים ורלוונטיים למטרה המוצהרת.
- אבטחת נתונים: ליישם אמצעי הגנה מנהליים, טכניים ופיזיים סבירים.
- אי-אפליה: לא למנוע סחורות/שירותים או לגבות מחירים שונים רק בגלל שצרכן מימש זכות פרטיות.
- הערכות הגנת נתונים: לבצע ולתעד הערכות עבור פרסום ממוקד, מכירת נתונים, עיבוד נתונים רגישים, פרופיל עם השפעות משפטיות/משמעותיות, ופעילויות מסוימות בסיכון גבוה [1][9].
בקרים חייבים גם לכבד מנגנוני ביטול הסכמה אוניברסליים (כגון אותות Global Privacy Control מבוססי דפדפן) עבור פרסום ממוקד ומכירת נתונים, דרישה שהוכנסה בהדרגה במסגרת תיקוני וירג'יניה [6].
מהן זכויות הצרכנים במסגרת ה-VCDPA שעסקים צריכים לתמוך בהן
צרכנים מווירג'יניה מחזיקים בשש זכויות ניתנות לאכיפה [8][10]:
- זכות גישה: לאשר אם נתוניהם מעובדים ולקבל עותק.
- זכות תיקון: לתקן אי-דיוקים בנתוניהם האישיים.
- זכות מחיקה: לבקש מחיקת נתונים אישיים שהם סיפקו או שנאספו עליהם.
- זכות ניידות נתונים: לקבל עותק נייד בפורמט קל לשימוש.
- זכות ביטול הסכמה: לבטל הסכמה לפרסום ממוקד, מכירת נתונים אישיים, ופרופיל להחלטות בעלות השפעות משפטיות או משמעותיות.
- זכות ערעור: אם עסק דוחה בקשה, צרכנים יכולים לערער, והעסק חייב להגיב תוך 60 יום מהערעור.
עסקים חייבים לספק לפחות שתי שיטות להגשת בקשות (לדוגמה, טופס אינטרנט ומספר טלפון חינם או כתובת דוא"ל) [9].
כמה עולות הפרות ציות ל-VCDPA בקנסות ועונשים
היועץ המשפטי לממשלה של וירג'יניה יכול להטיל קנסות אזרחיים של עד 7,500 דולר לכל הפרה מכוונת ועד 2,500 דולר לכל הפרה לא מכוונת [8][10]. קנסות יכולים לכלול גם סעד צווי ושכר טרחת עורך דין.
באופן קריטי, ה-VCDPA כלל במקור תקופת תיקון של 30 יום, עסקים יכלו לתקן הפרות לפני הערכת קנסות. עם זאת, תקופת התיקון הזו הסתיימה ב-1 בינואר 2026, כלומר ליועץ המשפטי לממשלה יש כעת שיקול דעת לנקוט באכיפה מבלי להציע הזדמנות לתיקון [6].
אין זכות תביעה פרטית, כך שצרכנים בודדים אינם יכולים לתבוע עסקים ישירות במסגרת ה-VCDPA. האכיפה היא אך ורק באמצעות משרד היועץ המשפטי לממשלה.
במה שונה ה-VCDPA מה-CCPA ומה ההבדל מה-GDPR עבור חברות בחוף המזרחי
הבנת ה-VCDPA של וירג'יניה: מה שעסקים בחוף המזרחי צריכים לדעת על הגנת נתונים דורשת הצבתו בהקשר השוואתי.
| תכונה | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| זכות תביעה פרטית | לא | מוגבל (הפרות נתונים) | כן (מדינות חברות משתנות) |
| אופטי-אין לנתונים רגישים | כן | לא (מודל אופטי-אאוט) | כן |
| תקופת תיקון | הסתיימה בינואר 2026 | הסתיימה בינואר 2023 | לא רלוונטי |
| קנס מקסימלי לכל הפרה | 7,500 דולר | 7,500 דולר | עד 4% מההכנסה הגלובלית |
| הערכות הגנת נתונים | נדרש (סיכון גבוה) | נדרש (סיכון גבוה) | נדרש (DPIAs) |
| בסיס חוקי לעיבוד | לא נדרש (נתונים כלליים) | לא נדרש | נדרש (6 בסיסים חוקיים) |
נקודה חשובה לעסקים בחוף המזרחי: ה-VCDPA פחות מכביד מה-GDPR מבחינת דרישות בסיס חוקי, אך יותר קפדני מה-CCPA המקורי בנוגע להסכמה לנתונים רגישים. עסקים שכבר עומדים ב-GDPR ימצאו את התאמת ה-VCDPA לניהול; אלה המכירים רק את ה-CCPA צריכים להתאים את זרימות העבודה שלהם לנתונים רגישים.
האם עסקים קטנים צריכים לציית ל-VCDPA של וירג'יניה
עסקים קטנים מתחת לספי 100,000 צרכנים או 25,000 צרכנים בתוספת הכנסות אינם נדרשים לציית ל-VCDPA [10]. זוהי פטור משמעותי המבדיל את חוק וירג'יניה מכמה מסגרות בינלאומיות.
עם זאת, "קטן" הוא יחסי. כלי SaaS נישתי עם 110,000 משתמשי וירג'יניה בחינם עובר את סף הנפח ללא קשר להכנסות. עסקים צריכים:
- לבדוק את נפחי נתוני הצרכנים בפועל מדי שנה
- לעקוב אם מכירות נתונים מהוות 50%+ מההכנסות
- להעריך מחדש ספים ככל שהעסק גדל
אפילו עסקים פטורים מרוויחים מבניית שיטות עבודה פרואקטיביות בתחום הפרטיות בשלב מוקדם, שכן התאמת ציות בדיעבד יקרה באופן עקבי יותר מתכנון פרואקטיבי.
מהן טעויות נפוצות שעושות חברות בציות ל-VCDPA
1. סיווג שגוי של מעבדים כבקרים (או להיפך). ספקים המקבלים החלטות עצמאיות לגבי שימוש בנתונים הם בקרים, לא מעבדים. סיווג שגוי מוביל להגנות חוזיות לא מספקות וחובות שלא טופלו.
2. התעלמות מאותות ביטול הסכמה אוניברסליים. עסקים רבים בנו זרימות ביטול הסכמה רק לבקשות ידניות, והתעלמו מהדרישה לכבד אותות ברמת הדפדפן כמו Global Privacy Control [6].
3. אי-עדכון הסכמי עיבוד נתונים. ה-VCDPA דורש הוראות חוזיות ספציפיות בין בקרים למעבדים. חוזי ספקים גנריים לעיתים קרובות חסרים אותם [1].
4. התייחסות לנתונים רגישים כאל נתונים אישיים כלליים. עיבוד נתונים ביומטריים, בריאותיים או מיקום גיאוגרפי מדויק ללא הסכמה אופטי-אין הוא הפרה מובהקת, לא רק פער פרוצדורלי.
5. הנחה שתקופת התיקון עדיין חלה. עם פקיעת תקופת התיקון בינואר 2026, עסקים אינם יכולים עוד לסמוך על חלון תיקון לפני פעולת אכיפה [6].
6. השמטת מנגנון הערעור. מדיניות פרטיות רבות וזרימות עבודה של בקשות חסרות תהליך ערעור מתועד, שהוא מרכיב נדרש במסגרת ה-VCDPA [9].
כיצד אני בודק את העסק שלי למוכנות ל-VCDPA
ביקורת מוכנות ל-VCDPA צריכה לכסות חמישה תחומים:
- הערכת סף: מיפוי כל זרימות נתוני הצרכנים מווירג'יניה וחישוב נפחי עיבוד שנתיים מול הספים הסטטוטוריים.
- מלאי נתונים: קטלוג כל קטגוריות הנתונים האישיים שנאספו, מקורותיהם, מטרותיהם, תקופות שמירתם ומקבלי צד שלישי.
- בדיקת נתונים רגישים: זיהוי כל קטגוריות הנתונים הרגישים ואישור שמנגנוני הסכמה אופטי-אין קיימים.
- תשתית זכויות: בדיקת כל שש זרימות העבודה של זכויות הצרכנים מקצה לקצה, כולל תהליך הערעור.
- חוזי ספקים: בדיקת כל הסכמי המעבדים עבור הוראות חוזיות הנדרשות על ידי ה-VCDPA (הוראות עיבוד, סודיות, בקרות תת-מעבדים, זכויות ביקורת) [7].
עבור עסקים המנהלים הסכמה על פני נקודות מגע דיגיטליות מרובות, פלטפורמת ניהול הסכמה כגון Biscotti CMP יכולה לרכז את הטיפול באותות ביטול הסכמה ולשמור רישומי הסכמה ניתנים לביקורת, התומכים הן ב-VCDPA והן בתוכניות ציות רב-מדינתיות.
מה צריכה לכלול מדיניות הפרטיות שלי כדי להיות תואמת ל-VCDPA
מדיניות פרטיות תואמת VCDPA חייבת לחשוף [8][9]:
- קטגוריות הנתונים האישיים המעובדים
- מטרת עיבוד כל קטגוריה
- כיצד צרכנים יכולים לממש את שש זכויותיהם, כולל תהליך הערעור
- האם נתונים אישיים נמכרים או משמשים לפרסום ממוקד (עם הוראות ביטול הסכמה)
- קטגוריות צדדים שלישיים איתם משותפים נתונים
- פרטי קשר להגשת בקשות (לפחות שתי שיטות)
- אם נתונים רגישים מעובדים, הבסיס לכך (הסכמה אופטי-אין)
מדיניות צריכה להיות כתובה בשפה פשוטה, להיות נגישה באופן סביר (מקושרת באופן בולט באתרים ובאפליקציות), ולהתעדכן בכל פעם ששיטות הנתונים משתנות באופן מהותי.
סיכום וצעדים מעשיים הבאים
ה-VCDPA של וירג'יניה מייצג אחת ממסגרות הפרטיות המדינתיות המהותיות ביותר בארצות הברית, והוספת איסור מכירת נתוני מיקום גיאוגרפי מדויקים ביולי 2026 מסמלת כי המחוקק של וירג'יניה מתכוון להמשיך ולחזק אותו. עבור עסקים בחוף המזרחי, טווח ההגעה החוץ-טריטוריאלי של החוק פירושו שגיאוגרפיה אינה הגנה, נפח הנתונים ומטרת העיבוד קובעים את החשיפה.
צעדים מעשיים לשנת 2026:
- בצעו ניתוח סף מול נפחי נתוני הצרכנים הנוכחיים שלכם בווירג'יניה לפני סוף השנה.
- בצעו ביקורת על כל זרימות העבודה של נתונים רגישים, במיוחד כל אלה הכוללים מיקום גיאוגרפי מדויק, נתונים ביומטריים או בריאותיים, לצורך ציות להסכמה אופטי-אין.
- ודאו שמדיניות הפרטיות שלכם כוללת את כל שש זכויות הצרכנים ומנגנון ערעור מתועד.
- בדקו הסכמי מעבדים עבור הוראות חוזיות הנדרשות על ידי ה-VCDPA.
- יישמו או ודאו טיפול באותות ביטול הסכמה אוניברסליים (Global Privacy Control) בכל הנכסים הדיגיטליים שלכם.
- שקלו פתרון לניהול הסכמה כגון Biscotti CMP לאוטומציה של איסוף הסכמה, עיבוד אותות ביטול הסכמה ותיעוד ציות.
- קבעו הערכות סף שנתיות ככל שהעסק שלכם גדל.
תקופת התיקון חלפה. האכיפה פעילה. עסקים המתייחסים לציות ל-VCDPA כאל תיבת סימון חד-פעמית במקום כאל משמעת תפעולית מתמשכת עומדים בפני הסיכון הגדול ביותר.
שאלות נפוצות
ש: האם ה-VCDPA חל על ארגונים ללא מטרות רווח? לא. ארגונים ללא מטרות רווח פטורים במפורש מדרישות ה-VCDPA [10].
ש: האם צרכן מווירג'יניה יכול לתבוע את העסק שלי ישירות במסגרת ה-VCDPA? לא. ל-VCDPA אין זכות תביעה פרטית. רק היועץ המשפטי לממשלה של וירג'יניה יכול לנקוט בפעולות אכיפה [8].
ש: מהו המועד האחרון למענה לבקשת זכויות צרכנים? עסקים חייבים להגיב תוך 45 יום מקבלת בקשה ניתנת לאימות. הארכה חד-פעמית של 45 יום מותרת אם העסק מודיע לצרכן על העיכוב והסיבה [9].
ש: האם נתוני עובדים מכוסים על ידי ה-VCDPA? נתוני עובדים המעובדים בהקשר של העסקה פטורים במסגרת ה-VCDPA. עם זאת, פטור זה מפורש באופן צר ואינו מכסה את כל השימושים בנתונים הקשורים למשאבי אנוש [1].
ש: מה נחשב "מכירת" נתונים אישיים במסגרת ה-VCDPA? ה-VCDPA מגדיר "מכירה" כהחלפה של נתונים אישיים תמורת תמורה כספית. בניגוד ל-CCPA, הוא אינו מתרחב לתמורה בעלת ערך לא כספית, וזהו הבדל משמעותי עבור הסדרי טכנולוגיית פרסום [5].
ש: האם אני צריך קצין הגנת נתונים במסגרת ה-VCDPA? לא. ה-VCDPA אינו דורש מינוי קצין הגנת נתונים, בניגוד ל-GDPR [7].
ש: מה השתנה עם SB 338 בשנת 2026? SB 338, שנכנס לתוקף ב-1 ביולי 2026, אוסר על מכירת נתוני מיקום גיאוגרפי מדויקים, ומוסיף הגבלה קטגורית חדשה מעבר למסגרת הביטול הסכמה הכללית ששלטה בעבר בנתונים כאלה [2][3].
ש: כיצד ה-VCDPA מגדיר "מיקום גיאוגרפי מדויק"? מיקום גיאוגרפי מדויק פירושו נתונים שמקורם בטכנולוגיה המזהה את מיקום הצרכן ברדיוס של 1,750 רגל או פחות [10].
ש: האם הערכות הגנת נתונים נדרשות לכל פעילויות העיבוד? לא. הערכות נדרשות רק לעיבוד בסיכון גבוה: פרסום ממוקד, מכירת נתונים, עיבוד נתונים רגישים, פרופיל עם השפעות משפטיות/משמעותיות, ועיבוד המציג סיכון מוגבר לפגיעה [1][9].
ש: מה קורה אם צרכן מערער על בקשה שנדחתה? העסק חייב להשלים את בדיקת הערעור תוך 60 יום ולהודיע לצרכן על התוצאה. אם הערעור נדחה, העסק חייב לספק מידע על האופן שבו הצרכן יכול ליצור קשר עם היועץ המשפטי לממשלה [8].
בודק סף ציות אינטראקטיבי ל-VCDPA
הפניות
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/