Kokius duomenis VCDPA iš tikrųjų saugo ir apima

JAV teisė ir CCPA

Virginia VCDPA: Ką Rytų Pakrantės Verslai Turi Žinoti Apie Duomenų Apsaugą

2026 m. liepos 7 d. · 15 min. skaitymas

Greitas atsakymas: Virginia Vartotojų Duomenų Apsaugos Aktas (VCDPA) yra išsamus valstijos privatumo įstatymas, įsigaliojęs 2023 m. sausio 1 d., reikalaujantis, kad verslai, atitinkantys tam tikras pajamas ar duomenų apdorojimo ribas, gerbtų vartotojų teises dėl asmens duomenų. Rytų Pakrantės verslai, net jei jų būstinė yra už Virginijos ribų, turi laikytis šių reikalavimų, jei jie aptarnauja Virginijos gyventojus dideliu mastu. Nuo 2026 m. liepos 1 d. įstatymas buvo papildytas draudimu parduoti tikslius geolokacijos duomenis pagal SB 338.

Pagrindiniai išsinešimai

VCDPA taikomas bet kokiam verslui, kuris valdo arba apdoroja daugiau nei 100 000 Virginijos vartotojų duomenis per metus, arba daugiau nei 25 000 vartotojų, jei 50% ar daugiau pajamų gaunama iš asmens duomenų pardavimo.
Virginijos vartotojai turi šešias pagrindines teises: prieigą, taisymą, naikinimą, perkėlimą, atsisakymą nuo tikslinės reklamos/pardavimo/profilavimo ir teisę apskųsti atmestą prašymą.
Virginijos generalinis prokuroras turi išskirtinę vykdymo teisę; VCDPA nėra privatūs veiksmai.
Civilinės baudos gali siekti 7 500 USD už tyčinį pažeidimą, su 30 dienų ištaisymo laikotarpiu (kuris pasibaigia 2026 m. sausio 1 d.).
Nuo 2026 m. liepos 1 d. SB 338 draudžia parduoti tikslius geolokacijos duomenis, pridėdamas reikšmingą naują įsipareigojimą duomenų brokeriams ir reklamos technologijų įmonėms.
Jautrių duomenų kategorijos (biometriniai, sveikatos, rasinė/etninė kilmė, tikslūs geolokacijos duomenys ir kt.) reikalauja aiškaus sutikimo prieš apdorojant.
Skirtingai nuo GDPR, VCDPA nereikalauja teisinio pagrindo apdorojant bendrus asmens duomenis, tačiau reikalauja duomenų apsaugos vertinimų didelės rizikos veikloms.
Mažos įmonės, kurios nepatenka į ribas, yra atleistos, tačiau tos, kurios apdoroja jautrius duomenis arba parduoda asmens duomenis, turėtų atidžiai peržiūrėti savo riziką.
Sutikimų valdymo platforma, tokia kaip Biscotti CMP, gali padėti automatizuoti atsisakymo signalų tvarkymą ir sutikimų įrašus.
Privatumo politikose turi būti aiškiai nurodytos renkamų duomenų kategorijos, tikslai, trečiųjų šalių dalijimasis ir visos vartotojų teisės pagal VCDPA.

Kas yra Virginijos Vartotojų Duomenų Apsaugos Aktas ir kaip jis veikia

VCDPA yra išsamus Virginijos vartotojų privatumo įstatymas, kodifikuotas 59.1 skyriuje, 53 skyriuje Virginijos kodekse, ir įsigaliojęs 2023 m. sausio 1 d. [10]. Jis nustato vartotojų teisių ir atitinkamų verslo įsipareigojimų sistemą, laisvai modeliuotą pagal ES GDPR, nors su pastebimais struktūriniais skirtumais, pritaikytais JAV komerciniam kontekstui.

Įstatymas veikia pagal valdytojo-apdorotojo modelį. Valdytojai (subjektai, kurie nustato apdorojimo tikslą ir priemones) turi pagrindinę atitikties naštą. Apdorotojai (tiekėjai, tvarkantys duomenis valdytojo vardu) turi veikti pagal duomenų apdorojimo sutartį ir laikytis valdytojo dokumentuotų nurodymų [1].

Pagrindiniai mechanizmai apima:

Privalomas atsakymas į vartotojų teisių prašymus per 45 dienas (galima pratęsti dar 45 dienoms su pranešimu)
Reikalingi duomenų apsaugos vertinimai apdorojimui, kuris kelia padidintą riziką
Sutartiniai įsipareigojimai tarp valdytojų ir apdorotojų
Reikalingas sutikimas jautriems duomenims; atsisakymo teisės tikslinės reklamos ir duomenų pardavimo atvejais [8]

Kada VCDPA įsigalioja verslui

VCDPA įsigaliojo 2023 m. sausio 1 d. visiems apimamiems verslams [5]. Nebuvo etapinio įgyvendinimo pagal verslo dydį, kaip Kalifornijos CPRA. Jei verslas atitiko ribas tą dieną arba vėliau, atitiktis buvo nedelsiant reikalaujama.

Naujausias pakeitimas, SB 338, pridėjo draudimą parduoti tikslius geolokacijos duomenis, įsigaliojantį 2026 m. liepos 1 d. [2][3]. Tai reiškia, kad verslai, kurie monetizuoja vietos duomenis, įskaitant duomenų brokerius, reklamos tinklus ir mobiliųjų programėlių leidėjus, aptarnaujančius Virginijos vartotojus, šiais metais susidūrė su nauju griežtu terminu.

Kas turi laikytis Virginijos VCDPA reikalavimų

VCDPA taikomas pelno siekiančioms įmonėms, kurios vykdo veiklą Virginijoje arba gamina produktus/paslaugas, skirtas Virginijos gyventojams ir atitinka bent vieną iš dviejų ribų [8][10]:

Riba	Sąlyga
Apimties pagrindu	Valdo arba apdoroja daugiau nei 100 000 Virginijos vartotojų duomenis per kalendorinius metus
Pajamų pagrindu	Valdo arba apdoroja daugiau nei 25 000 vartotojų IR gauna 50%+ bendrųjų pajamų iš asmens duomenų pardavimo

Išimtis apima:

Ne pelno siekiančios organizacijos
Aukštojo mokslo institucijos
Finansinės institucijos, kurioms taikomas GLBA
HIPAA reguliuojamos įmonės ir verslo partneriai (dėl HIPAA reguliuojamų duomenų)
Vyriausybinės institucijos
Darbuotojų ir B2B kontaktiniai duomenys (darbo ar komercinių sandorių kontekste)

Įstatymas nereikalauja fizinės buvimo Virginijoje. E. prekybos įmonė, įsikūrusi Niujorke, SaaS paslaugų teikėjas Masačusetse ar rinkodaros agentūra Floridoje gali vis tiek patekti į taikymo sritį, jei jie apdoroja Virginijos vartotojų duomenis reikiamu apimtimi [1].

Ar VCDPA taikomas mano verslui, jei nesu Virginijoje

Taip, verslo geografinė vieta nėra svarbi. VCDPA taikymo sritis nustatoma pagal tai, kur yra vartotojai, o ne kur veikia verslas [7]. Bet kuris Rytų Pakrantės verslas, turintis reikšmingą Virginijos klientų bazę, turėtų įvertinti savo duomenų apimtis pagal aukščiau nurodytas ribas.

Praktinis pavyzdys: Baltimorėje įsikūręs e. prekybos mažmenininkas, parduodantis 150 000 klientų per metus, iš kurių reikšminga dalis yra Virginijos gyventojai, greičiausiai viršija 100 000 vartotojų ribą ir turi laikytis.

Kokius duomenis VCDPA iš tikrųjų saugo ir apima

VCDPA apima asmens duomenis, apibrėžtus kaip bet kokia informacija, susijusi arba protingai susijusi su identifikuotu arba identifikuojamu fiziniu asmeniu [10]. Tai neapima deidentifikuotų duomenų ir viešai prieinamos informacijos.

Jautrūs duomenys yra atskira, didesnės apsaugos kategorija, reikalaujanti sutikimo prieš apdorojant [8]:

Rasinė arba etninė kilmė
Religijos įsitikinimai
Psichinės arba fizinės sveikatos diagnozės
Lytinė orientacija arba lyties tapatybė
Imigracijos statusas
Genetiniai arba biometriniai duomenys, apdorojami unikaliam identifikavimui
Asmens duomenys apie žinomą vaiką (iki 13 metų)
Tiksli geolokacija (ir nuo 2026 m. liepos 1 d. tokie duomenys negali būti parduodami) [2]

Kokius duomenis VCDPA iš tikrųjų saugo ir apima

Kokios yra pagrindinės verslo pareigos pagal VCDPA

Valdytojai turi įvykdyti šešias pareigų kategorijas pagal Virginijos VCDPA: Ką Rytų Pakrantės verslai turi žinoti apie duomenų apsaugą prasideda čia praktiniais terminais.

Skaidrumas: Pateikti pakankamai prieinamą, aiškią privatumo politiką, atskleidžiančią duomenų kategorijas, apdorojimo tikslus, trečiųjų šalių dalijimąsi ir vartotojų teises [7].
Vartotojų teisių įgyvendinimas: Atsakyti į prieigos, taisymo, naikinimo, perkėlimo ir atsisakymo prašymus per 45 dienas.
Tikslo apribojimas: Rinkti tik duomenis, kurie yra tinkami ir susiję su atskleista tikslu.
Duomenų saugumas: Įgyvendinti protingas administracines, technines ir fizines apsaugos priemones.
Nediskriminavimas: Neatsisakyti prekių/paslaugų arba neskirti skirtingų kainų vien dėl to, kad vartotojas pasinaudojo privatumo teise.
Duomenų apsaugos vertinimai: Atlikti ir dokumentuoti vertinimus dėl tikslinės reklamos, duomenų pardavimo, jautrių duomenų apdorojimo, profiliavimo su teisinėmis/reikšmingomis pasekmėmis ir tam tikrų didelės rizikos veiklų [1][9].

Valdytojai taip pat turi gerbti universalius atsisakymo mechanizmus (tokius kaip naršyklės pagrindu veikiantys Global Privacy Control signalai) tikslinės reklamos ir duomenų pardavimo atvejais, reikalavimas, kuris buvo įgyvendintas pagal Virginijos pakeitimus [6].

Kokios yra vartotojų teisės pagal VCDPA, kurias verslai turi palaikyti

Virginijos vartotojai turi šešias vykdytinas teises [8][10]:

Teisė į prieigą: Patvirtinti, ar jų duomenys yra apdorojami, ir gauti kopiją.
Teisė į taisymą: Ištaisyti netikslumus savo asmens duomenyse.
Teisė į naikinimą: Prašyti ištrinti asmens duomenis, kuriuos jie pateikė arba kurie buvo surinkti apie juos.
Teisė į duomenų perkėlimą: Gauti perkeliamą kopiją lengvai naudojamu formatu.
Teisė atsisakyti: Atsisakyti tikslinės reklamos, asmens duomenų pardavimo ir profiliavimo sprendimams, turintiems teisinius arba reikšmingus padarinius.
Teisė apskųsti: Jei verslas atmeta prašymą, vartotojai gali apskųsti, o verslas turi atsakyti per 60 dienų nuo apskundimo.

Verslai turi pateikti bent du metodus prašymams teikti (pvz., internetinę formą ir nemokamą telefoną arba el. pašto adresą) [9].

Kiek kainuoja VCDPA atitikties pažeidimai baudų ir sankcijų atžvilgiu

Virginijos generalinis prokuroras gali skirti civilines baudas iki 7 500 USD už tyčinį pažeidimą ir iki 2 500 USD už netyčinį pažeidimą [8][10]. Baudos gali apimti ir teismo sprendimus, ir advokato mokesčius.

Kritiniu atveju, VCDPA iš pradžių apėmė 30 dienų ištaisymo laikotarpį, per kurį verslai galėjo ištaisyti pažeidimus prieš baudas. Tačiau šis ištaisymo laikotarpis pasibaigė 2026 m. sausio 1 d., tai reiškia, kad generalinis prokuroras dabar turi diskreciją vykdyti vykdymą, nesuteikdamas galimybės ištaisyti [6].

Nėra privataus veiksmo teisės, todėl individualūs vartotojai negali tiesiogiai paduoti ieškinio verslams pagal VCDPA. Vykdymas yra išskirtinai per Generalinio prokuroro biurą.

Kaip VCDPA skiriasi nuo CCPA ir koks skirtumas nuo GDPR Rytų Pakrantės įmonėms

Suprasti Virginijos VCDPA: Ką Rytų Pakrantės verslai turi žinoti apie duomenų apsaugą reikalauja palyginimo konteksto.

Ypatybė	VCDPA	CCPA/CPRA	GDPR
Privatus veiksmas	Ne	Ribotas (duomenų pažeidimai)	Taip (nariai skiriasi)
Sutikimas jautriems duomenims	Taip	Ne (atsisakymo modelis)	Taip
Ištaisymo laikotarpis	Pasibaigęs 2026 m. sausio mėn.	Pasibaigęs 2023 m. sausio mėn.	Netinka
Maksimali bauda už pažeidimą	7 500 USD	7 500 USD	Iki 4% pasaulinių pajamų
Duomenų apsaugos vertinimai	Reikalingi (didelės rizikos)	Reikalingi (didelės rizikos)	Reikalingi (DPIA)
Teisinis pagrindas apdorojimui	Nereikalingas (bendri duomenys)	Nereikalingas	Reikalingas (6 teisėti pagrindai)

Pagrindinė išvada Rytų Pakrantės verslams: VCDPA yra mažiau varginantis nei GDPR teisinio pagrindo reikalavimams, tačiau labiau nurodantis nei originalus CCPA dėl jautrių duomenų sutikimo. Verslai, kurie jau atitinka GDPR, ras VCDPA pritaikymą valdomą; tie, kurie tik pažįsta CCPA, turi pritaikyti savo jautrių duomenų darbo srautus.

Ar mažos įmonės turi laikytis Virginijos VCDPA

Mažos įmonės, kurios nepatenka į 100 000 vartotojų arba 25 000 vartotojų plius pajamų ribas, neturi laikytis VCDPA [10]. Tai yra reikšminga išimtis, skirianti Virginijos įstatymą nuo kai kurių tarptautinių sistemų.

Tačiau "mažas" yra santykinis. Nišinis SaaS įrankis su 110 000 nemokamų Virginijos vartotojų viršija apimties ribą, nepriklausomai nuo pajamų. Verslai turėtų:

Kasmet audituoti faktinę vartotojų duomenų apimtį
Stebėti, ar duomenų pardavimai sudaro 50%+ pajamų
Pervertinti ribas, kai verslas plečiasi

Net ir atleistos įmonės gali pasinaudoti ankstyvu privatumo praktikų kūrimu, nes atitikties pritaikymas visada yra brangesnis nei proaktyvus dizainas.

Kokios yra dažniausiai daromos klaidos įmonių, susijusių su VCDPA atitiktimi

1. Neteisingas apdorotojų klasifikavimas kaip valdytojų (arba atvirkščiai). Tiekėjai, kurie priima nepriklausomus sprendimus dėl duomenų naudojimo, yra valdytojai, o ne apdorotojai. Neteisinga klasifikacija lemia nepakankamas sutartines apsaugas ir neatsižvelgiamas įsipareigojimus.

2. Ignoruojami universalūs atsisakymo signalai. Daugelis verslų sukūrė atsisakymo srautus tik rankiniams prašymams, nepaisydami reikalavimo gerbti naršyklės lygio signalus, tokius kaip Global Privacy Control [6].

3. Nepakankamas duomenų apdorojimo sutarčių atnaujinimas. VCDPA reikalauja specifinių sutartinių nuostatų tarp valdytojų ir apdorotojų. Bendros tiekėjų sutartys dažnai jų neturi [1].

4. Jautrių duomenų laikymas kaip bendrų asmens duomenų. Biometrinių, sveikatos ar tikslių geolokacijos duomenų apdorojimas be sutikimo yra atskiras pažeidimas, o ne tik procedūrinis trūkumas.

5. Manoma, kad ištaisymo laikotarpis vis dar galioja. Pasibaigus ištaisymo laikotarpiui 2026 m. sausio mėn., verslai negali pasikliauti ištaisymo laikotarpiu prieš vykdymo veiksmus [6].

6. Praleidžiamas apskundimo mechanizmas. Daugelis privatumo politikų ir prašymų srautų neturi dokumentuoto apskundimo proceso, kuris yra reikalaujamas elementas pagal VCDPA [9].

Kaip aš galiu audituoti savo verslą dėl VCDPA atitikties

VCDPA atitikties auditas turėtų apimti penkias sritis:

Ribų vertinimas: Nustatyti visus Virginijos vartotojų duomenų srautus ir apskaičiuoti metines apdorojimo apimtis pagal įstatymų nustatytas ribas.
Duomenų inventorizacija: Kataloguoti visų renkamų asmens duomenų kategorijas, jų šaltinius, tikslus, saugojimo laikotarpius ir trečiųjų šalių gavėjus.
Jautrių duomenų peržiūra: Nustatyti bet kokias jautrių duomenų kategorijas ir patvirtinti, kad yra įdiegtos sutikimo mechanizmai.
Teisių infrastruktūra: Išbandyti visus šešis vartotojų teisių darbo srautus nuo pradžios iki pabaigos, įskaitant apskundimo procesą.
Tiekėjų sutartys: Peržiūrėti visas apdorotojų sutartis dėl VCDPA reikalaujamų nuostatų (apdorojimo nurodymai, konfidencialumas, subapdorotojų kontrolės, audito teisės) [7].

Verslams, kurie valdo sutikimus per kelis skaitmeninius taškus, sutikimų valdymo platforma, tokia kaip Biscotti CMP, gali centralizuoti atsisakymo signalų tvarkymą ir išlaikyti audituojamus sutikimų įrašus, palaikydama tiek VCDPA, tiek daugiavalstybes atitikties programas.

Ką turėtų sakyti mano privatumo politika, kad būtų VCDPA atitinkama

VCDPA atitinkanti privatumo politika turi atskleisti [8][9]:

Asmens duomenų kategorijas, kurios yra apdorojamos
Apdorojimo tikslą kiekvienai kategorijai
Kaip vartotojai gali pasinaudoti savo šešiomis teisėmis, įskaitant apskundimo procesą
Ar asmens duomenys yra parduodami arba naudojami tikslinei reklamai (su atsisakymo instrukcijomis)
Trečiųjų šalių kategorijas, su kuriomis duomenys yra dalijamasi
Kontaktinę informaciją prašymams teikti (bent du metodai)
Jei apdorojami jautrūs duomenys, pagrindas tai daryti (sutikimas)

Politikos turėtų būti rašomos paprasta kalba, būti pakankamai prieinamos (aiškiai matomos svetainėse ir programėlėse) ir būti atnaujinamos, kai duomenų praktikos žymiai keičiasi.

Išvada ir veiksmai

Virginijos VCDPA yra viena iš reikšmingiausių valstijų privatumo sistemų Jungtinėse Valstijose, o 2026 m. liepos mėn. tikslių geolokacijos duomenų pardavimo draudimo pridėjimas rodo, kad Virginijos įstatymų leidėjai ketina toliau stiprinti šį įstatymą. Rytų Pakrantės verslams įstatymo užsienio taikymas reiškia, kad geografija nėra gynyba, duomenų apimtis ir apdorojimo tikslas nustato riziką.

Veiksmai 2026 m.:

Atlikite ribų analizę pagal savo dabartines Virginijos vartotojų duomenų apimtis iki metų pabaigos.
Audituokite visus jautrių duomenų darbo srautus, ypač tuos, kurie apima tikslią geolokaciją, biometrinius ar sveikatos duomenis, dėl sutikimo atitikties.
Patvirtinkite, kad jūsų privatumo politika apima visas šešias vartotojų teises ir dokumentuotą apskundimo mechanizmą.
Peržiūrėkite apdorotojų sutartis dėl VCDPA reikalaujamų sutartinių nuostatų.
Įgyvendinkite arba patvirtinkite universalių atsisakymo signalų tvarkymą (Global Privacy Control) visose savo skaitmeninėse nuosavybėse.
Apsvarstykite sutikimų valdymo sprendimą, tokį kaip Biscotti CMP, kad automatizuotumėte sutikimų rinkimą, atsisakymo signalų apdorojimą ir atitikties dokumentavimą.
Planuokite metinius ribų peržiūrėjimus, kai jūsų verslas plečiasi.

Ištaisymo laikotarpis pasibaigė. Vykdymas prasidėjo. Verslai, kurie laikosi VCDPA atitikties kaip vienkartinio patikrinimo, o ne nuolatinės operatyvinės disciplinos, susiduria su didžiausia rizika.

DUK

K: Ar VCDPA taikomas ne pelno siekiančioms organizacijoms?
Ne. Ne pelno siekiančios organizacijos yra aiškiai atleistos nuo VCDPA reikalavimų [10].

K: Ar Virginijos vartotojas gali tiesiogiai paduoti ieškinį mano verslui pagal VCDPA?
Ne. VCDPA neturi privataus veiksmo teisės. Tik Virginijos generalinis prokuroras gali inicijuoti vykdymo veiksmus [8].

K: Koks yra terminas atsakyti į vartotojų teisių prašymą?
Verslai turi atsakyti per 45 dienas nuo patvirtinto prašymo gavimo. Vienkartinis 45 dienų pratęsimas yra leidžiamas, jei verslas praneša vartotojui apie vėlavimą ir priežastį [9].

K: Ar darbuotojų duomenys apimami VCDPA?
Darbuotojų duomenys, apdorojami darbo kontekste, yra atleidžiami pagal VCDPA. Tačiau ši išimtis yra siaurai aiškinama ir neapima visų HR gretimų duomenų naudojimų [1].

K: Kas laikoma "asmeninių duomenų pardavimu" pagal VCDPA?
VCDPA apibrėžia "pardavimą" kaip asmens duomenų mainus už piniginę kompensaciją. Skirtingai nuo CCPA, tai neapima nepiniginės vertingos kompensacijos, kas yra reikšmingas skirtumas reklamos technologijų susitarimams [5].

K: Ar man reikia Duomenų apsaugos pareigūno pagal VCDPA?
Ne. VCDPA nereikalauja paskirti Duomenų apsaugos pareigūną, skirtingai nuo GDPR [7].

K: Ką pakeitė SB 338 2026 m.?
SB 338, įsigaliojantis 2026 m. liepos 1 d., draudžia parduoti tikslius geolokacijos duomenis, pridėdamas naują kategorinį apribojimą, viršijančią bendrą atsisakymo sistemą, kuri anksčiau reguliavo tokius duomenis [2][3].

K: Kaip VCDPA apibrėžia "tikslią geolokaciją"?
Tiksli geolokacija reiškia duomenis, gautus iš technologijos, kuri identifikuoja vartotojo vietą per 1,750 pėdų arba mažesnį spindulį [10].

K: Ar duomenų apsaugos vertinimai reikalaujami visoms apdorojimo veikloms?
Ne. Vertinimai reikalaujami tik didelės rizikos apdorojimui: tikslinė reklama, duomenų pardavimas, jautrių duomenų apdorojimas, profiliavimas su teisinėmis/reikšmingomis pasekmėmis ir apdorojimas, kuris kelia padidintą riziką [1][9].

K: Ką daryti, jei vartotojas apskundžia atmestą prašymą?
Verslas turi užbaigti apskundimo peržiūrą per 60 dienų ir informuoti vartotoją apie rezultatą. Jei apskundimas atmestas, verslas turi pateikti informaciją, kaip vartotojas gali susisiekti su generaliniu prokuroru [8].