クイックアンサー: バージニア州の消費者データ保護法（VCDPA）は、2023年1月1日に施行された包括的な州のプライバシー法であり、特定の収益またはデータ処理の閾値を満たす企業に対して、個人データに関する消費者の権利を尊重することを求めています。バージニア州外に本社を置く企業であっても、バージニア州の住民に対して大規模にサービスを提供する場合は、遵守が必要です。2026年7月1日から、この法律はSB 338に基づく正確な地理位置データの販売禁止により、さらに強化されました。
主なポイント
- VCDPAは、年間100,000人以上のバージニア州の消費者のデータを管理または処理する企業、または個人データの販売から50％以上の収益を得る場合は25,000人以上の消費者のデータを管理または処理する企業に適用されます。
- バージニア州の消費者には、アクセス、修正、削除、移植性、ターゲット広告/販売/プロファイリングからのオプトアウト、拒否されたリクエストに対する異議申し立ての権利という6つの基本的な権利があります。
- バージニア州の司法長官は独占的な執行権限を持ち、VCDPAの下での私的な訴訟権はありません。
- 民事罰は、故意の違反ごとに最大7,500ドルに達する可能性があり、30日間の是正期間があります（2026年1月1日以降は終了します）。
- 2026年7月1日以降、SB 338は正確な地理位置データの販売を禁止し、データブローカーや広告技術企業にとって重要な新たな義務を追加しました。
- センシティブデータのカテゴリ（バイオメトリクス、健康、民族的/人種的出自、正確な地理位置など）は、処理の前に明示的なオプトイン同意が必要です。
- GDPRとは異なり、VCDPAは一般的な個人データの処理に法的根拠を必要としませんが、高リスクの活動に対してはデータ保護評価が必要です。
- 閾値を下回る小規模企業は免除されますが、センシティブデータを処理するか、個人データを販売する企業は、自らのリスクを慎重に見直す必要があります。
- Biscotti CMPのような同意管理プラットフォームは、オプトアウト信号の処理と同意記録の自動化を支援できます。
- プライバシーポリシーは、収集されるデータのカテゴリ、目的、第三者との共有、およびVCDPAに基づくすべての消費者の権利を明確に開示する必要があります。
バージニア州の消費者データ保護法とは何か、どのように機能するのか
VCDPAは、バージニア州の包括的な消費者プライバシー法であり、バージニア法典のタイトル59.1、章53に codified され、2023年1月1日に施行されました[10]。これは、EUのGDPRをモデルにした消費者の権利とそれに対応する企業の義務の枠組みを確立していますが、米国の商業コンテキストに適した顕著な構造的違いがあります。
この法律は、コントローラー-プロセッサーモデルで運営されます。コントローラー（処理の目的と手段を決定する主体）は、主な遵守の負担を負います。プロセッサー（コントローラーの代理としてデータを扱うベンダー）は、データ処理契約の下で運営し、コントローラーの文書化された指示に従う必要があります[1]。
主なメカニズムには以下が含まれます：
- 消費者の権利リクエストに対する義務的な応答は45日以内（通知があればさらに45日延長可能）
- 高リスクを伴う処理に対するデータ保護評価の必要性
- コントローラーとプロセッサー間の契約上の義務
- センシティブデータにはオプトイン同意が必要；ターゲット広告とデータ販売に対するオプトアウト権[8]
VCDPAは企業にいつ施行されるのか
VCDPAは、すべての対象企業に対して2023年1月1日に施行されました[5]。カリフォルニア州のCPRAとは異なり、企業の規模による段階的な導入はありませんでした。その日以降に閾値を満たした場合、直ちに遵守が求められました。
最近の改正であるSB 338は、正確な地理位置データの販売禁止を追加し、2026年7月1日から施行されます[2][3]。これは、位置データを収益化する企業、データブローカー、広告ネットワーク、バージニア州の消費者にサービスを提供するモバイルアプリの発行者にとって、新たな厳しい期限を意味します。
誰がバージニア州のVCDPAの要件に従う必要があるのか
VCDPAは、バージニア州でビジネスを行う営利法人、またはバージニア州の住民を対象とした製品/サービスを提供し、以下のいずれかの閾値を満たす必要があります[8][10]：
| 閾値 | 条件 |
|---|---|
| ボリュームベース | 年間100,000人以上のバージニア州の消費者のデータを管理または処理する |
| 収益ベース | 25,000人以上の消費者のデータを管理または処理し、かつ個人データの販売から50％以上の総収益を得る |
免除される法人およびデータタイプには以下が含まれます：
- 非営利団体
- 高等教育機関
- GLBAの対象となる金融機関
- HIPAAに基づくデータを扱う事業者およびビジネスアソシエイト
- 政府機関
- 雇用または商業取引の文脈における従業員およびB2Bの連絡先データ
この法律は、バージニア州内に物理的な存在を必要としません。ニューヨークに拠点を置くeコマース企業、マサチューセッツのSaaSプロバイダー、フロリダのマーケティングエージェンシーは、必要なボリュームでバージニア州の消費者データを処理する場合、すべて対象となります[1]。
バージニア州にいない場合、VCDPAは私のビジネスに適用されるのか
はい、ビジネスの地理的位置は関係ありません。VCDPAの適用範囲は、消費者がどこにいるかによって決まります。したがって、バージニア州に substantial な顧客基盤を持つ東海岸の企業は、上記の閾値に対してデータボリュームを評価する必要があります。
実際の例: バルチモアに拠点を置くeコマース小売業者が年間150,000人の顧客に販売している場合、その大部分がバージニア州の住民であるため、100,000人の消費者の閾値を超えており、遵守が必要です。
VCDPAは実際にどのデータを保護し、カバーするのか
VCDPAは、特定されたまたは特定可能な自然人にリンクされている、または合理的にリンク可能な情報として定義される個人データをカバーします[10]。これは、非識別データおよび公に利用可能な情報を除外します。
センシティブデータは、処理の前にオプトイン同意が必要な異なる高保護カテゴリです[8]：
- 人種または民族的出自
- 宗教的信念
- 精神的または身体的健康の診断
- 性的指向または性別のアイデンティティ
- 移民状況
- ユニークな識別のために処理された遺伝的またはバイオメトリクスデータ
- 知られている子供（13歳未満）の個人データ
- 正確な地理位置データ（2026年7月1日以降、このデータは一切販売できません）[2]
VCDPAの下で企業に求められる主な義務は何か
コントローラーは、バージニア州のVCDPAの下で6つの義務を果たさなければなりません。これは、東海岸の企業がデータ保護について知っておくべきことを実務的に示しています。
- 透明性: データのカテゴリ、処理の目的、第三者との共有、および消費者の権利を開示する、合理的にアクセス可能で明確なプライバシー通知を提供すること[7]。
- 消費者の権利の履行: アクセス、修正、削除、移植性、およびオプトアウトのリクエストに45日以内に応答すること。
- 目的の制限: 開示された目的に対して適切かつ関連するデータのみを収集すること。
- データセキュリティ: 合理的な管理的、技術的、物理的な保護措置を実施すること。
- 非差別: 消費者がプライバシー権を行使したために商品/サービスを拒否したり、異なる価格を請求したりしないこと。
- データ保護評価: ターゲット広告、データ販売、センシティブデータ処理、法的/重要な影響を伴うプロファイリング、および特定の高リスク活動に対して評価を実施し、文書化すること[1][9]。
コントローラーはまた、ターゲット広告およびデータ販売に対するユニバーサルオプトアウトメカニズム（ブラウザベースのグローバルプライバシーコントロール信号など）を尊重しなければなりません。これは、バージニア州の改正に基づく要件です[6]。
VCDPAの下で企業がサポートする必要がある消費者の権利は何か
バージニア州の消費者は、6つの強制的な権利を持っています[8][10]：
- アクセス権: 自分のデータが処理されているかどうかを確認し、コピーを取得する権利。
- 修正権: 自分の個人データの不正確さを修正する権利。
- 削除権: 提供した個人データや自分に関して収集されたデータの削除を要求する権利。
- データ移植性の権利: 簡単に使用できる形式でポータブルなコピーを受け取る権利。
- オプトアウト権: ターゲット広告、個人データの販売、および法的または重要な影響を伴う決定のためのプロファイリングからオプトアウトする権利。
- 異議申し立て権: 企業がリクエストを拒否した場合、消費者は異議を申し立てることができ、企業は異議申し立てから60日以内に応答しなければなりません。
企業は、リクエストを提出するための少なくとも2つの方法（例：ウェブフォームとフリーダイヤルまたはメールアドレス）を提供する必要があります[9]。
VCDPAの遵守違反にはどのくらいの罰金が科されるのか
バージニア州の司法長官は、故意の違反ごとに最大7,500ドル、および非故意の違反ごとに最大2,500ドルの民事罰を科すことができます[8][10]。罰則には、差止命令や弁護士費用も含まれる可能性があります。
重要なことに、VCDPAはもともと30日間の是正期間を含んでおり、企業は罰則が科される前に違反を修正することができました。しかし、その是正期間は2026年1月1日に終了し、司法長官は是正の機会を提供せずに執行を追求する裁量を持つことになります[6]。
私的な訴訟権はありませんので、個々の消費者はVCDPAの下で企業を直接訴えることはできません。執行は、司法長官のオフィスを通じてのみ行われます。
VCDPAはCCPAとどのように異なり、東海岸の企業にとってGDPRとの違いは何か
バージニア州のVCDPAを理解するには、比較の文脈に置く必要があります。
| 特徴 | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| 私的訴訟権 | なし | 限定的（データ侵害） | あり（加盟国によって異なる） |
| センシティブデータのオプトイン | あり | なし（オプトアウトモデル） | あり |
| 是正期間 | 2026年1月に終了 | 2023年1月に終了 | 該当なし |
| 違反ごとの最大罰金 | 7,500ドル | 7,500ドル | 世界の収益の最大4％ |
| データ保護評価 | 必要（高リスク） | 必要（高リスク） | 必要（DPIA） |
| 処理の法的根拠 | 必要なし（一般データ） | 必要なし | 必要（6つの合法的根拠） |
東海岸の企業への重要なポイント: VCDPAは、法的根拠の要件に関してGDPRよりも負担が少なく、センシティブデータの同意に関しては元のCCPAよりも規定が厳しいです。すでにGDPRに準拠している企業は、VCDPAへの適応が管理可能であると感じるでしょうが、CCPAにのみ精通している企業は、センシティブデータのワークフローを調整する必要があります。
小規模企業はバージニア州のVCDPAに従う必要があるのか
100,000人の消費者または25,000人以上の消費者プラス収益の閾値を下回る小規模企業は、VCDPAに従う必要はありません[10]。これは、バージニア州の法律がいくつかの国際的な枠組みと異なる重要な免除です。
ただし、「小規模」というのは相対的です。110,000人の無料プランのバージニア州ユーザーを持つニッチなSaaSツールは、収益に関係なくボリューム閾値を超えています。企業は以下を行うべきです：
- 年次で実際の消費者データボリュームを監査する
- データ販売が収益の50％以上を占めるかどうかを追跡する
- 企業の成長に応じて閾値を再評価する
免除される企業であっても、プライバシーを重視した実践を早期に構築することで利益を得ることができます。なぜなら、遵守のための後付けは、積極的な設計よりも常に高くつくからです。
VCDPAの遵守に関して企業が犯す一般的なミスは何か
1. プロセッサーをコントローラーとして誤分類する（またはその逆）。 データの使用に関して独立した決定を下すベンダーはコントローラーであり、プロセッサーではありません。誤分類は不十分な契約上の保護と未対応の義務につながります。
2. ユニバーサルオプトアウト信号を無視する。 多くの企業は手動リクエストのためにオプトアウトフローを構築しましたが、グローバルプライバシーコントロールのようなブラウザレベルの信号を尊重する必要があることを見落としています[6]。
3. データ処理契約を更新しない。 VCDPAは、コントローラーとプロセッサー間の特定の契約条項を要求します。一般的なベンダー契約にはこれらが欠けていることがよくあります[1]。
4. センシティブデータを一般的な個人データのように扱う。 オプトイン同意なしにバイオメトリクス、健康、または正確な地理位置データを処理することは、単なる手続き上のギャップではなく、明確な違反です。
5. 是正期間がまだ適用されると仮定する。 2026年1月に是正期間が終了したため、企業は執行措置の前に修正のウィンドウに依存することはできません[6]。
6. 異議申し立てメカニズムを省略する。 多くのプライバシーポリシーやリクエストワークフローには、VCDPAの下で必要な要素である文書化された異議申し立てプロセスが欠けています[9]。
VCDPAの準備状況を監査するにはどうすればよいか
VCDPAの準備状況監査は、5つの領域をカバーする必要があります：
- 閾値評価: すべてのバージニア州の消費者データフローをマッピングし、法定閾値に対して年間処理ボリュームを計算する。
- データインベントリ: 収集されたすべての個人データカテゴリ、そのソース、目的、保持期間、第三者の受取人をカタログ化する。
- センシティブデータレビュー: センシティブデータカテゴリを特定し、オプトイン同意メカニズムが整っていることを確認する。
- 権利インフラ: 異議申し立てプロセスを含む、すべての6つの消費者権利ワークフローをエンドツーエンドでテストする。
- ベンダー契約: VCDPAに必要な条項（処理指示、機密保持、サブプロセッサーの管理、監査権）を含むすべてのプロセッサー契約を見直す[7]。
複数のデジタル接点で同意を管理している企業にとって、Biscotti CMPのような同意管理プラットフォームは、オプトアウト信号の処理を集中化し、監査可能な同意記録を維持することで、VCDPAおよび州間の遵守プログラムをサポートできます。
プライバシーポリシーにはVCDPAに準拠するために何を記載すべきか
VCDPAに準拠したプライバシーポリシーは、以下を開示する必要があります[8][9]：
- 処理される個人データのカテゴリ
- 各カテゴリの処理の目的
- 消費者が6つの権利を行使する方法（異議申し立てプロセスを含む）
- 個人データが販売またはターゲット広告に使用されるかどうか（オプトアウトの指示を含む）
- データが共有される第三者のカテゴリ
- リクエストを提出するための連絡先情報（少なくとも2つの方法）
- センシティブデータが処理される場合、その根拠（オプトイン同意）
ポリシーは平易な言葉で書かれ、合理的にアクセス可能であるべき（ウェブサイトやアプリで目立つようにリンクされている）であり、データの取り扱いが実質的に変更されるたびに更新されるべきです。
結論と実行可能な次のステップ
バージニア州のVCDPAは、アメリカ合衆国における最も実質的な州のプライバシー枠組みの1つを表しており、2026年7月の正確な地理位置データ販売禁止の追加は、バージニア州の立法府がこの法律をさらに強化する意図を示しています。東海岸の企業にとって、この法律の越境的な影響は、地理が防御にならないことを意味し、データのボリュームと処理の目的がリスクを決定します。
2026年に向けた実行可能なステップ：
- 年末までに現在のバージニア州の消費者データボリュームに対して閾値分析を実施する。
- 特に正確な地理位置、バイオメトリクス、または健康データを含むセンシティブデータのワークフローを監査し、オプトイン同意の遵守を確認する。
- プライバシーポリシーに6つの消費者権利と文書化された異議申し立てメカニズムが含まれていることを確認する。
- VCDPAに必要な契約条項を含むプロセッサー契約を見直す。
- デジタルプロパティ全体でユニバーサルオプトアウト信号処理（グローバルプライバシーコントロール）を実装または確認する。
- Biscotti CMPのような同意管理ソリューションを検討し、同意の収集、オプトアウト信号の処理、および遵守文書を自動化する。
- 企業が成長するにつれて年次の閾値再評価をスケジュールする。
是正期間は終了しました。執行は開始されています。VCDPAの遵守を一度きりのチェックボックスではなく、継続的な運用の規律として扱う企業が最も大きなリスクに直面します。
FAQ
Q: VCDPAは非営利団体に適用されますか？
いいえ。非営利団体はVCDPAの要件から明示的に免除されています[10]。
Q: バージニア州の消費者は私のビジネスを直接訴えることができますか？
いいえ。VCDPAには私的訴訟権がありません。バージニア州の司法長官のみが執行措置を講じることができます[8]。
Q: 消費者権利リクエストに応じる期限はいつですか？
企業は、検証可能なリクエストを受け取ってから45日以内に応答する必要があります。遅延とその理由を消費者に通知すれば、一度限りの45日間の延長が許可されます[9]。
Q: 従業員データはVCDPAの対象ですか？
雇用の文脈で処理される従業員データはVCDPAの下で免除されます。ただし、この免除は狭く解釈され、すべてのHR関連データの使用をカバーするわけではありません[1]。
Q: VCDPAの下で「個人データの販売」とは何を指しますか？
VCDPAでは、「販売」を金銭的対価のための個人データの交換と定義しています。CCPAとは異なり、非金銭的な価値のある対価には拡張されず、これは広告技術の取り決めにとって重要な違いです[5]。
Q: VCDPAの下でデータ保護責任者を任命する必要がありますか？
いいえ。VCDPAはGDPRとは異なり、データ保護責任者の任命を要求しません[7]。
Q: 2026年のSB 338で何が変更されましたか？
SB 338は、2026年7月1日から施行され、正確な地理位置データの販売を禁止し、以前の一般的なオプトアウトフレームワークを超える新たなカテゴリ制限を追加しました[2][3]。
Q: VCDPAは「正確な地理位置」をどのように定義していますか？
正確な地理位置とは、消費者の位置を1,750フィート以内の半径で特定する技術から得られたデータを指します[10]。
Q: すべての処理活動に対してデータ保護評価が必要ですか？
いいえ。評価は、高リスクの処理（ターゲット広告、データ販売、センシティブデータ処理、法的/重要な影響を伴うプロファイリング、および危害のリスクが高い処理）のみが必要です[1][9]。
Q: 消費者が拒否されたリクエストに異議を申し立てた場合、どうなりますか？
企業は異議申し立ての審査を60日以内に完了し、その結果を消費者に通知しなければなりません。異議申し立てが拒否された場合、企業は消費者が司法長官に連絡する方法を提供しなければなりません[8]。
インタラクティブVCDPA遵守閾値チェッカー
参考文献
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/