Gyors válasz: Virginia Fogyasztói Adatvédelmi Törvénye (VCDPA) egy átfogó állami adatvédelmi törvény, amely 2023. január 1-jén lépett hatályba, és megköveteli az üzletektől, hogy tiszteletben tartsák a fogyasztói jogokat a személyes adatokkal kapcsolatban, ha azok megfelelnek bizonyos bevételi vagy adatfeldolgozási küszöbértékeknek. A keleti parti üzleteknek, még azoknak is, amelyek Virginia-n kívül székelnek, be kell tartaniuk, ha Virginia-i lakosoknak nyújtanak szolgáltatást nagy mennyiségben. 2026. július 1-jétől a törvényt tovább szigorították a pontos geolokációs adatok értékesítésének tilalmával az SB 338 alatt.
Főbb megállapítások
- A VCDPA vonatkozik minden olyan üzletre, amely évente 100,000+ Virginia-i fogyasztó adatainak kezelését vagy feldolgozását végzi, vagy 25,000+ fogyasztóra, ha a bevétel 50%-a vagy annál több a személyes adatok értékesítéséből származik.
- A Virginia-i fogyasztóknak hat alapvető joguk van: hozzáférés, helyesbítés, törlés, hordozhatóság, a célzott hirdetések/értékesítés/profilozás elutasítása, és a megtagadott kérelem fellebbezésének joga.
- A Virginia-i főügyésznek kizárólagos végrehajtási hatásköre van; a VCDPA alatt nincs magánjogi kereset.
- A polgári büntetések elérhetik a 7,500 dollárt szándékos jogsértés esetén, 30 napos helyreállítási időszakkal (amely 2026. január 1-jén megszűnik).
- július 1-jétől az SB 338 megtiltja a pontos geolokációs adatok értékesítését, jelentős új kötelezettséget róva az adatbrókerekre és az adatechnológiai cégekre.
- Az érzékeny adat kategóriák (biometrikus, egészségügyi, faji/etnikai származás, pontos geolokáció stb.) kifejezett beleegyezést igényelnek a feldolgozás előtt.
- A GDPR-ral ellentétben a VCDPA nem követel meg jogi alapot a általános személyes adatok feldolgozásához, de adatvédelmi értékeléseket igényel a magas kockázatú tevékenységekhez.
- A küszöbértékek alatti kisvállalkozások mentesülnek, de azok, akik érzékeny adatokat dolgoznak fel vagy személyes adatokat értékesítenek, gondosan át kell nézniük a kitettségüket.
- Egy beleegyezéskezelő platform, mint például a Biscotti CMP, segíthet az elutasítási jelek kezelésének és a beleegyezési nyilvántartások automatizálásában.
- Az adatvédelmi irányelveknek világosan közölniük kell az összegyűjtött adat kategóriákat, a célokat, a harmadik fél átvételét és a VCDPA alatt minden fogyasztói jogot.
Mi a Virginiai Fogyasztói Adatvédelmi Törvény és hogyan működik
A VCDPA Virginia átfogó fogyasztói adatvédelmi törvénye, amely a Virginiai Törvénykönyv 59.1. címének 53. fejezetében van kodifikálva, és 2023. január 1-jén lépett hatályba [10]. Ez egy keretet állít fel a fogyasztói jogok és a megfelelő üzleti kötelezettségek számára, amely laza értelemben az EU GDPR-ján alapul, bár figyelembe veszi az amerikai kereskedelmi kontextus sajátos struktúráját.
A törvény egy irányító-feldolgozó modell alapján működik. Irányítók (azok a szervezetek, amelyek meghatározzák a feldolgozás célját és módját) viselik a fő megfelelőségi terhet. Feldolgozók (azok a szolgáltatók, akik az irányító nevében kezelik az adatokat) adatfeldolgozási megállapodás alapján kell működniük, és követniük kell az irányító dokumentált utasításait [1].
A főbb mechanizmusok közé tartozik:
- Kötelező válasz a fogyasztói jogi kérelmekre 45 napon belül (melyet további 45 nappal lehet meghosszabbítani értesítéssel)
- Kötelező adatvédelmi értékelések a fokozott kockázatot jelentő feldolgozásokhoz
- Szerződéses kötelezettségek az irányítók és feldolgozók között
- Kifejezett beleegyezés szükséges az érzékeny adatokhoz; elutasítási jogok a célzott hirdetések és adatértékesítés esetén [8]
Mikor lép hatályba a VCDPA az üzletek számára
A VCDPA 2023. január 1-jén lépett hatályba minden érintett üzlet számára [5]. Nem volt fokozatos bevezetés a vállalkozások mérete szerint, ellentétben Kalifornia CPRA-jával. Ha egy üzlet ezen a napon vagy azután megfelelt a küszöbértékeknek, a megfelelés azonnal kötelező volt.
A legutóbbi módosítás, az SB 338, megtiltotta a pontos geolokációs adatok értékesítését, amely 2026. július 1-jén lép hatályba [2][3]. Ez azt jelenti, hogy azok az üzletek, amelyek helyadatokat monetizálnak, beleértve az adatbrókereket, hirdetési hálózatokat és mobilalkalmazás-kiadókat, akik Virginia-i fogyasztóknak szolgáltatnak, új határidővel néznek szembe ebben az évben.
Kinek kell megfelelnie Virginia VCDPA követelményeinek
A VCDPA a Virginia államban működő nyereségorientált szervezetekre vonatkozik, vagy olyan termékeket/szolgáltatásokat állítanak elő, amelyek Virginia-i lakosoknak szólnak, és megfelelnek legalább az alábbi két küszöbérték egyikének [8][10]:
| Küszöbérték | Feltétel |
|---|---|
| Mennyiségi | 100,000+ Virginia-i fogyasztó adatainak kezelése vagy feldolgozása naptári évenként |
| Bevételi | 25,000+ fogyasztó adatainak kezelése vagy feldolgozása ÉS a bruttó bevétel 50%+ -ának származása a személyes adatok értékesítéséből |
Kivételek közé tartoznak:
- Nonprofit szervezetek
- Felsőoktatási intézmények
- GLBA alá tartozó pénzügyi intézmények
- HIPAA által szabályozott entitások és üzleti partnerek (HIPAA által szabályozott adatok esetén)
- Kormányzati szervek
- Munkavállalói és B2B kapcsolati adatok (munkaviszony vagy kereskedelmi tranzakciók kontextusában)
A törvény nem követeli meg a fizikai jelenlétet Virginia államban. Egy New York-i székhelyű e-kereskedelmi vállalat, egy Massachusetts-i SaaS szolgáltató vagy egy floridai marketing ügynökség is a hatálya alá tartozhat, ha Virginia-i fogyasztói adatokat dolgoznak fel a szükséges mennyiségben [1].
Vonatkozik a VCDPA az üzletemre, ha nem Virginia-ban vagyok
Igen, az üzlet földrajzi elhelyezkedése irreleváns. A VCDPA hatályát az határozza meg, hogy a fogyasztók hol találhatók, nem pedig az, hogy az üzlet hol működik [7]. Bármely keleti parti üzlet, amely jelentős Virginia-i ügyfélkörrel rendelkezik, értékelnie kell az adatainak mennyiségét a fenti küszöbértékekkel szemben.
Gyakorlati példa: Egy Baltimore-i e-kereskedelmi kiskereskedő, aki évente 150,000 ügyfelet szolgál ki, akiknek jelentős része Virginia-i lakos, valószínűleg átlépi a 100,000-fogyasztói küszöböt, és be kell tartania.
Milyen adatokat véd a VCDPA és milyen területeket ölel fel
A VCDPA a személyes adatokat védi, amelyet úgy definiálnak, mint bármilyen információt, amely egy azonosított vagy azonosítható természetes személyhez kapcsolódik vagy ésszerűen kapcsolható [10]. Ez kizárja a de-identifikált adatokat és a nyilvánosan elérhető információkat.
Érzékeny adatok egy külön kategória, amely magasabb védelmet igényel, és kifejezett beleegyezést követel meg a feldolgozás előtt [8]:
- Faji vagy etnikai származás
- Vallási meggyőződések
- Mentális vagy fizikai egészség diagnózisai
- Szexuális irányultság vagy nemi identitás
- Bevándorlási státusz
- Genetikai vagy biometrikus adatok, amelyeket egyedi azonosításra használnak
- Egy ismert gyermek (13 év alatti) személyes adatai
- Pontos geolokációs adatok (és 2026. július 1-jétől ilyen adatokat egyáltalán nem lehet értékesíteni) [2]
Milyen fő kötelezettségei vannak az üzleteknek a VCDPA alatt
Az irányítóknak hat kötelezettségkategóriát kell teljesíteniük Virginia VCDPA-ja alatt: Amit a Keleti Part üzleteinek tudniuk kell az adatvédelemről, itt kezdődik a gyakorlati szempontból.
- Átláthatóság: Kínáljon egy ésszerűen hozzáférhető, világos adatvédelmi tájékoztatót, amely közli az adat kategóriákat, a feldolgozás céljait, a harmadik fél átvételét és a fogyasztói jogokat [7].
- Fogyasztói jogok teljesítése: Válaszoljon a hozzáférési, helyesbítési, törlési, hordozhatósági és elutasítási kérelmekre 45 napon belül.
- Célkorlátozás: Csak olyan adatokat gyűjtsön, amelyek megfelelőek és relevánsak a közölt célhoz.
- Adatbiztonság: Valószínűsíthető adminisztratív, technikai és fizikai védelmi intézkedéseket vezessen be.
- Diszkrétálás tilalma: Ne tagadjon meg árukat/szolgáltatásokat, vagy ne számítson fel eltérő árakat csupán azért, mert egy fogyasztó gyakorolta az adatvédelmi jogát.
- Adatvédelmi értékelések: Végezzen és dokumentáljon értékeléseket a célzott hirdetések, adatértékesítés, érzékeny adatfeldolgozás, jogi/jelentős hatásokkal járó profilozás és bizonyos magas kockázatú tevékenységek esetén [1][9].
Az irányítóknak tiszteletben kell tartaniuk a globális elutasítási mechanizmusokat (például a böngésző alapú Globális Adatvédelmi Szabályozás jeleit) a célzott hirdetések és adatértékesítés esetén, amely követelmény Virginia módosítása alatt került bevezetésre [6].
Milyen fogyasztói jogok vannak a VCDPA alatt, amelyeket az üzleteknek támogatniuk kell
A Virginia-i fogyasztóknak hat érvényes joguk van [8][10]:
- Hozzáférési jog: Megerősíteni, hogy az adataikat feldolgozzák-e, és másolatot kérni.
- Helyesbítési jog: Kijavítani a személyes adataikban található pontatlanságokat.
- Törlési jog: Kérni a személyes adatok törlését, amelyeket megadtak vagy amelyeket róluk gyűjtöttek.
- Adathordozhatósági jog: Hordozható másolatot kapni egy könnyen használható formátumban.
- Elutasítási jog: Elutasítani a célzott hirdetéseket, a személyes adatok értékesítését és a jogi vagy jelentős hatású döntésekhez való profilozást.
- Fellebbezési jog: Ha egy üzlet megtagad egy kérelmet, a fogyasztók fellebbezhetnek, és az üzletnek 60 napon belül válaszolnia kell a fellebbezésre.
Az üzleteknek legalább két módszert kell biztosítaniuk a kérelmek benyújtására (pl. webes űrlap és ingyenes telefonszám vagy e-mail cím) [9].
Mennyibe kerülnek a VCDPA megfelelési jogsértések bírságai és büntetései
A Virginia-i főügyész polgári büntetéseket szabhat ki akár 7,500 dollár szándékos jogsértés esetén, és akár 2,500 dollár nem szándékos jogsértés esetén [8][10]. A büntetések között szerepelhetnek ideiglenes intézkedések és ügyvédi díjak is.
Fontos, hogy a VCDPA eredetileg tartalmazott egy 30 napos helyreállítási időszakot, amely lehetővé tette az üzletek számára, hogy javítsák a jogsértéseket, mielőtt a büntetéseket kiszabnák. Azonban ez a helyreállítási időszak 2026. január 1-jén megszűnt, ami azt jelenti, hogy a főügyész most már saját belátása szerint érvényesítheti a törvényt anélkül, hogy helyreállítási lehetőséget kínálna [6].
Nincs magánjogi kereset, így az egyes fogyasztók nem perelhetik közvetlenül az üzleteket a VCDPA alapján. A végrehajtás kizárólag a Főügyész Irodáján keresztül történik.
Miben különbözik a VCDPA a CCPA-tól, és mi a különbség a GDPR-hoz képest a keleti parti cégek számára
Virginia VCDPA-jának megértése: Amit a Keleti Part üzleteinek tudniuk kell az adatvédelemről, összehasonlító kontextusba helyezést igényel.
| Jellemző | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Magánjogi kereset | Nincs | Korlátozott (adatlopások) | Igen (tagállamok változóak) |
| Beleegyezés érzékeny adatokhoz | Igen | Nem (elutasítási modell) | Igen |
| Helyreállítási időszak | 2026 januárjában lejárt | 2023 januárjában lejárt | Nem alkalmazható |
| Maximális büntetés jogsértésenként | 7,500 dollár | 7,500 dollár | Akár 4% globális bevétel |
| Adatvédelmi értékelések | Kötelező (magas kockázat) | Kötelező (magas kockázat) | Kötelező (DPIA-k) |
| Jogi alap a feldolgozáshoz | Nem szükséges (általános adatok) | Nem szükséges | Szükséges (6 jogszerű alap) |
Fő megállapítás a keleti parti üzletek számára: A VCDPA kevésbé megterhelő, mint a GDPR a jogi alapok követelményei szempontjából, de előíróbb, mint az eredeti CCPA az érzékeny adatok beleegyezésével kapcsolatban. Azok az üzletek, amelyek már megfelelnek a GDPR-nak, a VCDPA alkalmazását kezelhetőnek találják; azoknak, akik csak a CCPA-val ismerkednek, módosítaniuk kell az érzékeny adatokkal kapcsolatos munkafolyamataikat.
Kell-e a kisvállalkozásoknak megfelelniük Virginia VCDPA-jának
A 100,000 fogyasztó vagy 25,000 fogyasztó + bevételi küszöb alatt álló kisvállalkozásoknak nem kötelező megfelelniük a VCDPA-nak [10]. Ez egy jelentős kivétel, amely megkülönbözteti Virginia törvényét néhány nemzetközi kerettől.
Azonban a "kicsi" relatív. Egy niche SaaS eszköz, amelynek 110,000 ingyenes Virginia-i felhasználója van, átlépi a mennyiségi küszöböt, függetlenül a bevételtől. Az üzleteknek:
- Évente auditálniuk kell a tényleges fogyasztói adat mennyiségeket
- Nyomon kell követniük, hogy az adatértékesítés a bevétel 50%-át meghaladja-e
- Újra kell értékelniük a küszöbértékeket, ahogy az üzlet növekszik
Még a kivételes üzletek is profitálhatnak az adatvédelmi szempontból előremutató gyakorlatok korai kialakításából, mivel a megfelelés utólagos bevezetése folyamatosan drágább, mint a proaktív tervezés.
Milyen gyakori hibákat követnek el a cégek a VCDPA megfelelésével kapcsolatban
1. A feldolgozók téves besorolása irányítóknak (vagy fordítva). Azok a szolgáltatók, akik független döntéseket hoznak az adatok felhasználásáról, irányítók, nem feldolgozók. A téves besorolás elégtelen szerződéses védelmekhez és meg nem válaszolt kötelezettségekhez vezet.
2. Az univerzális elutasítási jelek figyelmen kívül hagyása. Sok üzlet manuális kérelmekre épített elutasítási folyamatokat, figyelmen kívül hagyva a böngésző szintű jelek, mint például a Globális Adatvédelmi Szabályozás, tiszteletben tartásának követelményét [6].
3. Az adatfeldolgozási megállapodások frissítésének elmulasztása. A VCDPA konkrét szerződéses rendelkezéseket követel meg az irányítók és feldolgozók között. A generikus szolgáltatói szerződések gyakran hiányolják ezeket [1].
4. Az érzékeny adatok kezelése, mint általános személyes adatok. A biometrikus, egészségügyi vagy pontos geolokációs adatok feldolgozása beleegyezés nélküli, külön jogsértést jelent, nem csupán eljárási hiányosságot.
5. A helyreállítási időszak fennmaradásának feltételezése. A helyreállítási időszak 2026. január 1-jén lejárt, így az üzletek már nem támaszkodhatnak a jogsértések javítására a végrehajtási intézkedések előtt [6].
6. A fellebbezési mechanizmus kihagyása. Sok adatvédelmi irányelv és kérelem munkafolyamata nem tartalmaz dokumentált fellebbezési folyamatot, amely a VCDPA alatt kötelező elem [9].
Hogyan auditáljam az üzletem a VCDPA megfelelősége érdekében
A VCDPA megfelelőségi auditnak öt területet kell lefednie:
- Küszöbérték értékelés: Térképezze fel az összes Virginia-i fogyasztói adatáramlást, és számolja ki az éves feldolgozási mennyiségeket a törvényi küszöbértékekkel szemben.
- Adatnyilvántartás: Katalógus minden személyes adat kategóriát, amelyet gyűjtenek, azok forrásait, céljait, megőrzési időszakait és harmadik fél címzettjeit.
- Érzékeny adatok áttekintése: Azonosítson bármilyen érzékeny adat kategóriát, és erősítse meg, hogy a beleegyezési mechanizmusok a helyükön vannak.
- Jogok infrastruktúrája: Tesztelje az összes hat fogyasztói jog munkafolyamatát a kezdetektől a végéig, beleértve a fellebbezési folyamatot.
- Szolgáltatói szerződések: Ellenőrizze az összes feldolgozói megállapodást a VCDPA által megkövetelt rendelkezések (feldolgozási utasítások, titoktartás, alvállalkozói ellenőrzések, audit jogok) szempontjából [7].
Azoknak az üzleteknek, amelyek több digitális érintkezési ponton kezelik a beleegyezést, egy beleegyezéskezelő platform, mint például a Biscotti CMP, központosíthatja az elutasítási jelek kezelését és fenntarthatja az auditálható beleegyezési nyilvántartásokat, támogatva mind a VCDPA, mind a több államra kiterjedő megfelelési programokat.
Mit kell mondania az adatvédelmi irányelvemnek a VCDPA megfelelősége érdekében
A VCDPA-kompatibilis adatvédelmi irányelvnek közölnie kell [8][9]:
- A feldolgozott személyes adatok kategóriái
- A feldolgozás célja minden kategória esetében
- Hogyan tudják a fogyasztók gyakorolni a hat jogukat, beleértve a fellebbezési folyamatot
- Hogy a személyes adatokat értékesítik-e vagy használják célzott hirdetésekhez (elutasítási utasításokkal)
- A harmadik felek kategóriái, akikkel az adatokat megosztják
- Kapcsolattartási információk a kérelmek benyújtásához (legalább két módszer)
- Ha érzékeny adatokat dolgoznak fel, az alapja ennek (beleegyezés)
Az irányelveknek világos nyelven kell íródniuk, ésszerűen hozzáférhetőnek kell lenniük (kiemelten linkelve a weboldalakon és alkalmazásokban), és frissíteni kell őket, amikor az adatkezelési gyakorlatok lényegesen megváltoznak.
Következtetés és végrehajtható következő lépések
Virginia VCDPA-ja az Egyesült Államok egyik legszubstanciálisabb állami adatvédelmi keretrendszere, és a 2026. júliusi pontos geolokációs adatok értékesítésének tilalmának bevezetése azt jelzi, hogy Virginia törvényhozása továbbra is erősíteni kívánja azt. A keleti parti üzletek számára a törvény extraterritoriális hatálya azt jelenti, hogy a földrajzi elhelyezkedés nem védelem, az adat mennyisége és a feldolgozás célja határozza meg a kitettséget.
Végrehajtható lépések 2026-ra:
- Végezzen küszöbérték-elemzést a jelenlegi Virginia-i fogyasztói adatainak mennyiségei alapján az év végéig.
- Auditálja az összes érzékeny adat munkafolyamatát, különösen azokat, amelyek pontos geolokációs, biometrikus vagy egészségügyi adatokat érintenek, a beleegyezés megfelelősége érdekében.
- Ellenőrizze, hogy az adatvédelmi irányelve tartalmazza-e a hat fogyasztói jogot és a dokumentált fellebbezési mechanizmust.
- Ellenőrizze a feldolgozói megállapodásokat a VCDPA által megkövetelt szerződéses rendelkezések szempontjából.
- Valósítson meg vagy ellenőrizze az univerzális elutasítási jelek kezelését (Globális Adatvédelmi Szabályozás) digitális tulajdonain.
- Fontolja meg egy beleegyezéskezelési megoldás, mint például a Biscotti CMP alkalmazását a beleegyezések gyűjtésének automatizálására, az elutasítási jelek feldolgozására és a megfelelőségi dokumentációra.
- Ütemezzen éves küszöbérték-újraértékeléseket, ahogy az üzlet növekszik.
A helyreállítási időszak eltűnt. A végrehajtás él. Azok az üzletek, amelyek a VCDPA megfelelőségét egyszeri ellenőrzőpontként kezelik, nem pedig folyamatos működési diszciplínaként, a legnagyobb kockázatnak vannak kitéve.
GYIK
K: Vonatkozik a VCDPA a nonprofitokra? Nem. A nonprofit szervezetek kifejezetten mentesülnek a VCDPA követelményei alól [10].
K: Perelheti egy Virginia-i fogyasztó közvetlenül az üzletemet a VCDPA alapján? Nem. A VCDPA-nak nincs magánjogi keresete. Csak a Virginia-i főügyész indíthat végrehajtási eljárásokat [8].
K: Mi a határidő a fogyasztói jogi kérelemre való válaszadásra? Az üzleteknek 45 napon belül kell válaszolniuk egy ellenőrizhető kérésre. Egy egyszeri 45 napos hosszabbítás megengedett, ha az üzlet értesíti a fogyasztót a késedelemről és az okról [9].
K: Az alkalmazotti adatokra vonatkozik a VCDPA? Az alkalmazotti adatok, amelyeket a munkaviszony kontextusában dolgoznak fel, mentesülnek a VCDPA alól. Azonban ez a kivétel szűken értelmezett, és nem terjed ki minden HR-hez kapcsolódó adatfelhasználásra [1].
K: Mi számít a személyes adatok "értékesítésének" a VCDPA alatt? A VCDPA a "értékesítést" úgy definiálja, mint a személyes adatok pénzbeli ellenszolgáltatásért való cseréjét. A CCPA-val ellentétben nem terjed ki a nem pénzbeli értékes ellenszolgáltatásokra, ami jelentős különbség az adatechnológiai megállapodások szempontjából [5].
K: Szükségem van adatvédelmi tisztviselőre a VCDPA alatt? Nem. A VCDPA nem követeli meg adatvédelmi tisztviselő kinevezését, ellentétben a GDPR-ral [7].
K: Mi változott az SB 338-ban 2026-ban? Az SB 338, amely 2026. július 1-jén lép hatályba, megtiltja a pontos geolokációs adatok értékesítését, új kategóriás korlátozást bevezetve a korábbi általános elutasítási keretrendszeren túl, amely korábban irányította az ilyen adatokat [2][3].
K: Hogyan definiálja a VCDPA a "pontos geolokációt"? A pontos geolokáció olyan adatokat jelent, amelyeket olyan technológia származtat, amely azonosítja a fogyasztó helyét 1,750 láb vagy annál kisebb távolságon belül [10].
K: Minden feldolgozási tevékenységhez szükségesek az adatvédelmi értékelések? Nem. Az értékelések csak a magas kockázatú feldolgozásokra kötelezőek: célzott hirdetések, adatértékesítés, érzékeny adatfeldolgozás, jogi/jelentős hatásokkal járó profilozás és olyan feldolgozás, amely fokozott kockázatot jelent a kárra [1][9].
K: Mi történik, ha egy fogyasztó fellebbez egy megtagadott kérelem ellen? Az üzletnek 60 napon belül be kell fejeznie a fellebbezés áttekintését, és tájékoztatnia kell a fogyasztót az eredményről. Ha a fellebbezést elutasítják, az üzletnek tájékoztatnia kell a fogyasztót arról, hogyan léphet kapcsolatba a főügyésszel [8].
Interaktív VCDPA Megfelelőségi Küszöbérték Ellenőrző
Hivatkozások
[1] Virginiai Fogyasztói Adatvédelmi Törvény Útmutató - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia kibővíti a VCDPA-t a pontos geolokációs adatok értékesítésének tilalmával - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA módosítva - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginiai Fogyasztói Adatvédelmi Törvény (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Módosítási Folyamat Befejeződött: Szöveg Véglegesítve a Jan 1 Hatálybalépés Előtt - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Fogyasztói Adatvédelmi Törvény Útmutató: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginiai Fogyasztói Adatvédelmi Törvény Összefoglaló - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Áttekintés - https://termly.io/resources/articles/vcdpa/
[10] Virginiai Törvénykönyv 59.1. cím, 53. fejezet - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/