Jawaban Singkat: Undang-Undang Perlindungan Data Konsumen Virginia (VCDPA) adalah undang-undang privasi negara bagian yang komprehensif yang mulai berlaku pada 1 Januari 2023, yang mengharuskan bisnis yang memenuhi ambang batas pendapatan atau pemrosesan data tertentu untuk menghormati hak konsumen atas data pribadi. Bisnis di Pantai Timur, bahkan yang berkantor pusat di luar Virginia, harus mematuhi jika mereka melayani penduduk Virginia dalam skala besar. Mulai 1 Juli 2026, undang-undang ini diperkuat lebih lanjut dengan larangan penjualan data geolokasi yang tepat di bawah SB 338.
Poin Penting
- VCDPA berlaku untuk bisnis yang mengendalikan atau memproses data lebih dari 100.000 konsumen Virginia setiap tahun, atau lebih dari 25.000 konsumen jika 50% atau lebih dari pendapatan berasal dari penjualan data pribadi.
- Konsumen Virginia memiliki enam hak inti: akses, koreksi, penghapusan, portabilitas, opt-out dari iklan/penjualan/profiling yang ditargetkan, dan hak untuk mengajukan banding atas permintaan yang ditolak.
- Jaksa Agung Virginia memegang otoritas penegakan eksklusif; tidak ada hak tindakan pribadi di bawah VCDPA.
- Sanksi sipil dapat mencapai $7.500 per pelanggaran yang disengaja, dengan periode perbaikan 30 hari (yang berakhir setelah 1 Januari 2026).
- Mulai 1 Juli 2026, SB 338 melarang penjualan data geolokasi yang tepat, menambah kewajiban baru yang signifikan bagi broker data dan perusahaan teknologi iklan.
- Kategori data sensitif (biometrik, kesehatan, asal ras/etnis, geolokasi yang tepat, dll.) memerlukan persetujuan eksplisit sebelum diproses.
- Berbeda dengan GDPR, VCDPA tidak memerlukan dasar hukum untuk memproses data pribadi umum, tetapi memerlukan penilaian perlindungan data untuk aktivitas berisiko tinggi.
- Bisnis kecil di bawah ambang batas dibebaskan, tetapi mereka yang memproses data sensitif atau menjual data pribadi harus meninjau eksposur mereka dengan hati-hati.
- Platform manajemen persetujuan seperti Biscotti CMP dapat membantu mengotomatiskan penanganan sinyal opt-out dan catatan persetujuan.
- Kebijakan privasi harus secara jelas mengungkapkan kategori data yang dikumpulkan, tujuan, berbagi dengan pihak ketiga, dan semua hak konsumen di bawah VCDPA.
Apa Itu Undang-Undang Perlindungan Data Konsumen Virginia dan Bagaimana Cara Kerjanya
VCDPA adalah undang-undang privasi konsumen komprehensif Virginia, yang dikodifikasikan di Judul 59.1, Bab 53 Kode Virginia, dan mulai berlaku pada 1 Januari 2023 [10]. Ini menetapkan kerangka hak konsumen dan kewajiban bisnis yang sesuai yang secara longgar dimodelkan berdasarkan GDPR Uni Eropa, meskipun dengan perbedaan struktural yang mencolok yang sesuai dengan konteks komersial AS.
Undang-undang ini beroperasi pada model pengendali-pemroses. Pengendali (entitas yang menentukan tujuan dan cara pemrosesan) memikul beban kepatuhan utama. Pemroses (vendor yang menangani data atas nama pengendali) harus beroperasi di bawah perjanjian pemrosesan data dan mengikuti instruksi tertulis pengendali [1].
Mekanisme kunci meliputi:
- Tanggapan wajib terhadap permintaan hak konsumen dalam waktu 45 hari (dapat diperpanjang 45 hari lagi dengan pemberitahuan)
- Penilaian perlindungan data yang diperlukan untuk pemrosesan yang menghadirkan risiko tinggi
- Kewajiban kontraktual antara pengendali dan pemroses
- Persetujuan opt-in diperlukan untuk data sensitif; hak opt-out untuk iklan yang ditargetkan dan penjualan data [8]
Kapan VCDPA Berlaku untuk Bisnis
VCDPA mulai berlaku 1 Januari 2023 untuk semua bisnis yang tercakup [5]. Tidak ada peluncuran bertahap berdasarkan ukuran bisnis, berbeda dengan CPRA California. Jika sebuah bisnis memenuhi ambang batas pada atau setelah tanggal tersebut, kepatuhan segera diperlukan.
Amandemen terbaru, SB 338, menambahkan larangan penjualan data geolokasi yang tepat, berlaku 1 Juli 2026 [2][3]. Ini berarti bisnis yang memonetisasi data lokasi, termasuk broker data, jaringan iklan, dan penerbit aplikasi seluler yang melayani konsumen Virginia, menghadapi tenggat waktu baru yang ketat tahun ini.
Siapa yang Harus Mematuhi Persyaratan VCDPA Virginia
VCDPA berlaku untuk entitas yang berorientasi laba yang melakukan bisnis di Virginia atau memproduksi produk/layanan yang ditargetkan untuk penduduk Virginia dan memenuhi setidaknya satu dari dua ambang batas [8][10]:
| Ambang Batas | Kondisi |
|---|---|
| Berdasarkan Volume | Mengendalikan atau memproses data lebih dari 100.000 konsumen Virginia per tahun kalender |
| Berdasarkan Pendapatan | Mengendalikan atau memproses data lebih dari 25.000 konsumen DAN memperoleh 50%+ dari pendapatan bruto dari penjualan data pribadi |
Entitas dan jenis data yang dibebaskan meliputi:
- Organisasi nirlaba
- Institusi pendidikan tinggi
- Lembaga keuangan yang tunduk pada GLBA
- Entitas yang dilindungi HIPAA dan asosiasi bisnis (untuk data yang diatur HIPAA)
- Entitas pemerintah
- Data kontak karyawan dan B2B (dalam konteks pekerjaan atau transaksi komersial)
Undang-undang ini tidak memerlukan kehadiran fisik di Virginia. Sebuah perusahaan e-commerce yang berbasis di New York, penyedia SaaS di Massachusetts, atau agensi pemasaran di Florida semuanya dapat termasuk dalam lingkup jika mereka memproses data konsumen Virginia pada volume yang diperlukan [1].
Apakah VCDPA Berlaku untuk Bisnis Saya Jika Saya Tidak Berada di Virginia
Ya, lokasi geografis bisnis tidak relevan. Lingkup VCDPA ditentukan oleh lokasi konsumen, bukan tempat bisnis beroperasi [7]. Setiap bisnis di Pantai Timur dengan basis pelanggan Virginia yang substansial harus menilai volume data mereka terhadap ambang batas di atas.
Contoh praktis: Seorang pengecer e-commerce yang berbasis di Baltimore yang menjual kepada 150.000 pelanggan setiap tahun, sebagian besar di antaranya adalah penduduk Virginia, kemungkinan besar melewati ambang 100.000 konsumen dan harus mematuhi.
Data Apa yang Sebenarnya Dilindungi dan Dicakup oleh VCDPA
VCDPA mencakup data pribadi, yang didefinisikan sebagai informasi apa pun yang terhubung atau dapat dihubungkan secara wajar dengan orang alami yang teridentifikasi atau dapat diidentifikasi [10]. Ini tidak termasuk data yang telah diidentifikasi dan informasi yang tersedia untuk umum.
Data sensitif adalah kategori perlindungan yang berbeda dan lebih tinggi yang memerlukan persetujuan opt-in sebelum pemrosesan [8]:
- Asal ras atau etnis
- Keyakinan agama
- Diagnosis kesehatan mental atau fisik
- Orientasi seksual atau identitas gender
- Status imigrasi
- Data genetik atau biometrik yang diproses untuk identifikasi unik
- Data pribadi anak yang diketahui (di bawah 13 tahun)
- Data geolokasi yang tepat (dan mulai 1 Juli 2026, data tersebut tidak dapat dijual sama sekali) [2]
Apa Kewajiban Utama untuk Bisnis di Bawah VCDPA
Pengendali harus memenuhi enam kategori kewajiban di bawah VCDPA Virginia: Apa yang Perlu Diketahui Bisnis di Pantai Timur tentang Perlindungan Data dimulai di sini dalam istilah praktis.
- Transparansi: Menyediakan pemberitahuan privasi yang jelas dan dapat diakses dengan wajar yang mengungkapkan kategori data, tujuan pemrosesan, berbagi dengan pihak ketiga, dan hak konsumen [7].
- Pemenuhan hak konsumen: Menanggapi permintaan akses, koreksi, penghapusan, portabilitas, dan opt-out dalam waktu 45 hari.
- Pembatasan tujuan: Mengumpulkan hanya data yang memadai dan relevan untuk tujuan yang diungkapkan.
- Keamanan data: Menerapkan langkah-langkah administratif, teknis, dan fisik yang wajar.
- Non-diskriminasi: Tidak menolak barang/layanan atau mengenakan harga yang berbeda hanya karena seorang konsumen menggunakan hak privasi.
- Penilaian perlindungan data: Melakukan dan mendokumentasikan penilaian untuk iklan yang ditargetkan, penjualan data, pemrosesan data sensitif, profiling dengan efek hukum/signifikan, dan aktivitas berisiko tinggi tertentu [1][9].
Pengendali juga harus menghormati mekanisme opt-out universal (seperti sinyal Kontrol Privasi Global berbasis browser) untuk iklan yang ditargetkan dan penjualan data, sebuah persyaratan yang diterapkan secara bertahap di bawah amandemen Virginia [6].
Apa Hak Konsumen di Bawah VCDPA yang Perlu Didukung Bisnis
Konsumen Virginia memiliki enam hak yang dapat ditegakkan [8][10]:
- Hak akses: Mengonfirmasi apakah data mereka sedang diproses dan memperoleh salinan.
- Hak koreksi: Memperbaiki ketidakakuratan dalam data pribadi mereka.
- Hak penghapusan: Meminta penghapusan data pribadi yang mereka berikan atau yang dikumpulkan tentang mereka.
- Hak portabilitas data: Menerima salinan yang dapat dipindahkan dalam format yang mudah digunakan.
- Hak untuk opt-out: Mengeluarkan diri dari iklan yang ditargetkan, penjualan data pribadi, dan profiling untuk keputusan dengan efek hukum atau signifikan.
- Hak untuk mengajukan banding: Jika sebuah bisnis menolak permintaan, konsumen dapat mengajukan banding, dan bisnis harus menanggapi dalam waktu 60 hari setelah banding.
Bisnis harus menyediakan setidaknya dua metode untuk mengajukan permintaan (misalnya, formulir web dan nomor telepon atau alamat email bebas pulsa) [9].
Berapa Banyak Pelanggaran Kepatuhan VCDPA yang Dikenakan Denda dan Sanksi
Jaksa Agung Virginia dapat mengenakan sanksi sipil hingga $7.500 per pelanggaran yang disengaja dan hingga $2.500 per pelanggaran yang tidak disengaja [8][10]. Sanksi juga dapat mencakup pemulihan injunctive dan biaya pengacara.
Secara kritis, VCDPA awalnya mencakup periode perbaikan 30 hari, di mana bisnis dapat memperbaiki pelanggaran sebelum sanksi diterapkan. Namun, periode perbaikan itu berakhir pada 1 Januari 2026, yang berarti Jaksa Agung sekarang memiliki kebijaksanaan untuk mengejar penegakan tanpa menawarkan kesempatan perbaikan [6].
Tidak ada hak tindakan pribadi, sehingga konsumen individu tidak dapat menggugat bisnis secara langsung di bawah VCDPA. Penegakan hanya melalui Kantor Jaksa Agung.
Bagaimana VCDPA Berbeda dari CCPA dan Apa Perbedaannya dari GDPR untuk Perusahaan di Pantai Timur
Memahami VCDPA Virginia: Apa yang Perlu Diketahui Bisnis di Pantai Timur tentang Perlindungan Data memerlukan penempatan dalam konteks komparatif.
| Fitur | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Hak tindakan pribadi | Tidak | Terbatas (pelanggaran data) | Ya (negara anggota bervariasi) |
| Opt-in untuk data sensitif | Ya | Tidak (model opt-out) | Ya |
| Periode perbaikan | Berakhir Jan 2026 | Berakhir Jan 2023 | Tidak berlaku |
| Denda maksimum per pelanggaran | $7.500 | $7.500 | Hingga 4% pendapatan global |
| Penilaian Perlindungan Data | Diperlukan (risiko tinggi) | Diperlukan (risiko tinggi) | Diperlukan (DPIA) |
| Dasar hukum untuk pemrosesan | Tidak diperlukan (data umum) | Tidak diperlukan | Diperlukan (6 dasar hukum) |
Poin kunci untuk bisnis di Pantai Timur: VCDPA lebih sedikit membebani dibandingkan GDPR dalam hal persyaratan dasar hukum, tetapi lebih preskriptif dibandingkan CCPA asli mengenai persetujuan data sensitif. Bisnis yang sudah mematuhi GDPR akan menemukan adaptasi VCDPA dapat dikelola; mereka yang hanya akrab dengan CCPA perlu menyesuaikan alur kerja data sensitif mereka.
Apakah Bisnis Kecil Perlu Mematuhi VCDPA Virginia
Bisnis kecil di bawah ambang 100.000 konsumen atau 25.000 konsumen-plus-pendapatan tidak diwajibkan untuk mematuhi VCDPA [10]. Ini adalah pengecualian yang berarti yang membedakan undang-undang Virginia dari beberapa kerangka internasional.
Namun, "kecil" adalah relatif. Alat SaaS niche dengan 110.000 pengguna tier gratis di Virginia melewati ambang volume terlepas dari pendapatan. Bisnis harus:
- Mengaudit volume data konsumen aktual setiap tahun
- Melacak apakah penjualan data merupakan 50%+ dari pendapatan
- Menilai kembali ambang batas seiring pertumbuhan bisnis
Bahkan bisnis yang dibebaskan mendapat manfaat dari membangun praktik yang mengutamakan privasi sejak awal, karena perbaikan kepatuhan biasanya lebih mahal daripada desain proaktif.
Apa Kesalahan Umum yang Dilakukan Perusahaan dengan Kepatuhan VCDPA
1. Mengklasifikasikan pemroses sebagai pengendali (atau sebaliknya). Vendor yang membuat keputusan independen tentang penggunaan data adalah pengendali, bukan pemroses. Kesalahan klasifikasi mengarah pada perlindungan kontraktual yang tidak memadai dan kewajiban yang tidak terpenuhi.
2. Mengabaikan sinyal opt-out universal. Banyak bisnis membangun alur opt-out hanya untuk permintaan manual, mengabaikan kewajiban untuk menghormati sinyal tingkat browser seperti Kontrol Privasi Global [6].
3. Gagal memperbarui perjanjian pemrosesan data. VCDPA memerlukan ketentuan kontraktual tertentu antara pengendali dan pemroses. Kontrak vendor generik sering kali tidak memilikinya [1].
4. Memperlakukan data sensitif seperti data pribadi umum. Memproses data biometrik, kesehatan, atau geolokasi yang tepat tanpa persetujuan opt-in adalah pelanggaran yang berbeda, bukan hanya celah prosedural.
5. Menganggap periode perbaikan masih berlaku. Dengan periode perbaikan yang berakhir pada Januari 2026, bisnis tidak dapat lagi mengandalkan jendela koreksi sebelum tindakan penegakan [6].
6. Mengabaikan mekanisme banding. Banyak kebijakan privasi dan alur permintaan tidak memiliki proses banding yang terdokumentasi, yang merupakan elemen yang diperlukan di bawah VCDPA [9].
Bagaimana Cara Mengaudit Bisnis Saya untuk Kesiapan VCDPA
Audit kesiapan VCDPA harus mencakup lima domain:
- Penilaian ambang batas: Memetakan semua aliran data konsumen Virginia dan menghitung volume pemrosesan tahunan terhadap ambang batas yang ditetapkan.
- Inventaris data: Mengkatalog semua kategori data pribadi yang dikumpulkan, sumbernya, tujuan, periode retensi, dan penerima pihak ketiga.
- Tinjauan data sensitif: Mengidentifikasi kategori data sensitif dan memastikan mekanisme persetujuan opt-in telah diterapkan.
- Infrastruktur hak: Menguji semua enam alur kerja hak konsumen dari awal hingga akhir, termasuk proses banding.
- Kontrak vendor: Meninjau semua perjanjian pemroses untuk ketentuan yang diperlukan oleh VCDPA (instruksi pemrosesan, kerahasiaan, kontrol subproses, hak audit) [7].
Untuk bisnis yang mengelola persetujuan di berbagai titik sentuh digital, platform manajemen persetujuan seperti Biscotti CMP dapat memusatkan penanganan sinyal opt-out dan menjaga catatan persetujuan yang dapat diaudit, mendukung program kepatuhan VCDPA dan multi-negara bagian.
Apa yang Harus Dikatakan Kebijakan Privasi Saya Agar Mematuhi VCDPA
Kebijakan privasi yang mematuhi VCDPA harus mengungkapkan [8][9]:
- kategori data pribadi yang diproses
- tujuan untuk memproses setiap kategori
- Bagaimana konsumen dapat melaksanakan enam hak mereka, termasuk proses banding
- Apakah data pribadi dijual atau digunakan untuk iklan yang ditargetkan (dengan instruksi opt-out)
- kategori pihak ketiga dengan siapa data dibagikan
- Informasi kontak untuk mengajukan permintaan (setidaknya dua metode)
- Jika data sensitif diproses, dasar untuk melakukannya (persetujuan opt-in)
Kebijakan harus ditulis dalam bahasa yang sederhana, dapat diakses dengan wajar (terhubung secara mencolok di situs web dan aplikasi), dan diperbarui setiap kali praktik data berubah secara material.
Kesimpulan dan Langkah Tindakan Selanjutnya
VCDPA Virginia mewakili salah satu kerangka privasi negara bagian yang paling substansial di Amerika Serikat, dan penambahan larangan penjualan data geolokasi yang tepat pada Juli 2026 menunjukkan bahwa legislatif Virginia berniat untuk terus memperkuatnya. Bagi bisnis di Pantai Timur, jangkauan ekstrateritorial undang-undang ini berarti bahwa geografi bukanlah pembelaan, volume data dan tujuan pemrosesan menentukan eksposur.
Langkah-langkah yang dapat diambil untuk 2026:
- Lakukan analisis ambang batas terhadap volume data konsumen Virginia Anda saat ini sebelum akhir tahun.
- Audit semua alur kerja data sensitif, terutama yang melibatkan geolokasi yang tepat, biometrik, atau data kesehatan, untuk kepatuhan persetujuan opt-in.
- Pastikan kebijakan privasi Anda mencakup semua enam hak konsumen dan mekanisme banding yang terdokumentasi.
- Tinjau perjanjian pemroses untuk ketentuan kontraktual yang diperlukan oleh VCDPA.
- Terapkan atau verifikasi penanganan sinyal opt-out universal (Kontrol Privasi Global) di seluruh properti digital Anda.
- Pertimbangkan solusi manajemen persetujuan seperti Biscotti CMP untuk mengotomatiskan pengumpulan persetujuan, pemrosesan sinyal opt-out, dan dokumentasi kepatuhan.
- Jadwalkan penilaian ulang ambang batas tahunan seiring pertumbuhan bisnis Anda.
Periode perbaikan telah berakhir. Penegakan sedang berlangsung. Bisnis yang menganggap kepatuhan VCDPA sebagai centang satu kali daripada disiplin operasional yang berkelanjutan menghadapi risiko terbesar.
FAQ
Q: Apakah VCDPA berlaku untuk organisasi nirlaba? Tidak. Organisasi nirlaba secara eksplisit dibebaskan dari persyaratan VCDPA [10].
Q: Dapatkah konsumen Virginia menggugat bisnis saya secara langsung di bawah VCDPA? Tidak. VCDPA tidak memiliki hak tindakan pribadi. Hanya Jaksa Agung Virginia yang dapat mengajukan tindakan penegakan [8].
Q: Apa tenggat waktu untuk menanggapi permintaan hak konsumen? Bisnis harus menanggapi dalam waktu 45 hari setelah menerima permintaan yang dapat diverifikasi. Perpanjangan satu kali 45 hari diizinkan jika bisnis memberi tahu konsumen tentang penundaan dan alasannya [9].
Q: Apakah data karyawan dicakup oleh VCDPA? Data karyawan yang diproses dalam konteks pekerjaan dibebaskan di bawah VCDPA. Namun, pengecualian ini ditafsirkan secara sempit dan tidak mencakup semua penggunaan data terkait SDM [1].
Q: Apa yang dihitung sebagai "penjualan" data pribadi di bawah VCDPA? VCDPA mendefinisikan "penjualan" sebagai pertukaran data pribadi untuk imbalan moneter. Berbeda dengan CCPA, ini tidak mencakup imbalan berharga non-moneter, yang merupakan perbedaan penting untuk pengaturan teknologi iklan [5].
Q: Apakah saya perlu menunjuk Petugas Perlindungan Data di bawah VCDPA? Tidak. VCDPA tidak memerlukan penunjukan Petugas Perlindungan Data, berbeda dengan GDPR [7].
Q: Apa yang berubah dengan SB 338 pada 2026? SB 338, yang mulai berlaku pada 1 Juli 2026, melarang penjualan data geolokasi yang tepat, menambahkan pembatasan kategoris baru di luar kerangka opt-out umum yang sebelumnya mengatur data tersebut [2][3].
Q: Bagaimana VCDPA mendefinisikan "geolokasi yang tepat"? Geolokasi yang tepat berarti data yang berasal dari teknologi yang mengidentifikasi lokasi konsumen dalam radius 1.750 kaki atau kurang [10].
Q: Apakah penilaian perlindungan data diperlukan untuk semua aktivitas pemrosesan? Tidak. Penilaian hanya diperlukan untuk pemrosesan berisiko tinggi: iklan yang ditargetkan, penjualan data, pemrosesan data sensitif, profiling dengan efek hukum/signifikan, dan pemrosesan yang menghadirkan risiko tinggi terhadap bahaya [1][9].
Q: Apa yang terjadi jika seorang konsumen mengajukan banding atas permintaan yang ditolak? Bisnis harus menyelesaikan tinjauan banding dalam waktu 60 hari dan memberi tahu konsumen tentang hasilnya. Jika banding ditolak, bisnis harus memberikan informasi tentang bagaimana konsumen dapat menghubungi Jaksa Agung [8].
Alat Interaktif Pengecekan Ambang Kepatuhan VCDPA
Referensi
[1] Panduan Undang-Undang Perlindungan Data Konsumen Virginia - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Memperluas VCDPA Dengan Larangan Penjualan Data Geolokasi yang Tepat - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Diamandemen - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Undang-Undang Perlindungan Data Konsumen Virginia (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] Proses Amandemen VCDPA Selesai: Teks Diperbarui Menjelang Tanggal Efektif 1 Jan - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Panduan Hukum Privasi Data Konsumen: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Ringkasan Undang-Undang Perlindungan Data Konsumen Virginia - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] Ikhtisar VCDPA - https://termly.io/resources/articles/vcdpa/
[10] Kode Virginia Judul 59.1, Bab 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/