Szybka odpowiedź: Ustawa o ochronie danych osobowych konsumentów w Wirginii (VCDPA) to kompleksowe prawo dotyczące prywatności w stanie, które weszło w życie 1 stycznia 2023 roku, wymagające od przedsiębiorstw spełniających określone progi przychodów lub przetwarzania danych przestrzegania praw konsumentów dotyczących danych osobowych. Przedsiębiorstwa z Wschodniego Wybrzeża, nawet te z siedzibą poza Wirginią, muszą przestrzegać przepisów, jeśli obsługują mieszkańców Wirginii na dużą skalę. Od 1 lipca 2026 roku prawo zostało dodatkowo wzmocnione zakazem sprzedaży precyzyjnych danych geolokalizacyjnych na mocy SB 338.
Kluczowe informacje
- VCDPA dotyczy każdego przedsiębiorstwa kontrolującego lub przetwarzającego dane ponad 100 000 konsumentów z Wirginii rocznie, lub ponad 25 000 konsumentów, jeśli 50% lub więcej przychodów pochodzi ze sprzedaży danych osobowych.
- Konsumenci z Wirginii mają sześć podstawowych praw: dostęp, poprawę, usunięcie, przenoszenie, rezygnację z reklamy ukierunkowanej/sprzedaży/profilowania oraz prawo do odwołania się od odmowy wniosku.
- Prokurator Generalny Wirginii ma wyłączne uprawnienia do egzekwowania przepisów; nie ma prywatnego prawa do działania na mocy VCDPA.
- Kary cywilne mogą wynosić do 7 500 USD za umyślne naruszenie, z 30-dniowym okresem naprawczym (który wygasa po 1 stycznia 2026 roku).
- Od 1 lipca 2026 roku SB 338 zakazuje sprzedaży precyzyjnych danych geolokalizacyjnych, co wprowadza istotny nowy obowiązek dla brokerów danych i firm technologicznych reklamowych.
- Kategorie danych wrażliwych (biometryczne, zdrowotne, pochodzenie rasowe/etniczne, precyzyjna geolokalizacja itp.) wymagają wyraźnej zgody na przetwarzanie.
- W przeciwieństwie do GDPR, VCDPA nie wymaga podstawy prawnej do przetwarzania ogólnych danych osobowych, ale wymaga ocen ochrony danych dla działań wysokiego ryzyka.
- Małe przedsiębiorstwa poniżej progów są zwolnione, ale te, które przetwarzają dane wrażliwe lub sprzedają dane osobowe, powinny dokładnie przeanalizować swoje ryzyko.
- Platforma zarządzania zgodami, taka jak Biscotti CMP, może pomóc w automatyzacji obsługi sygnałów rezygnacji i rejestrów zgód.
- Polityki prywatności muszą jasno ujawniać kategorie zbieranych danych, cele, udostępnianie osobom trzecim oraz wszystkie prawa konsumentów na mocy VCDPA.
Czym jest Ustawa o Ochronie Danych Osobowych Konsumentów w Wirginii i jak działa
VCDPA to kompleksowy akt prawny dotyczący prywatności konsumentów w Wirginii, skodyfikowany w Tytule 59.1, Rozdziale 53 Kodeksu Wirginii, obowiązujący od 1 stycznia 2023 roku [10]. Ustanawia ramy praw konsumentów i odpowiadających im obowiązków przedsiębiorstw, luźno wzorując się na GDPR UE, chociaż z zauważalnymi różnicami strukturalnymi dostosowanymi do amerykańskiego kontekstu komercyjnego.
Prawo działa na modelu kontrolera-przetwarzającego. Kontrolerzy (podmioty, które określają cel i środki przetwarzania) ponoszą główny ciężar zgodności. Przetwarzający (dostawcy obsługujący dane w imieniu kontrolera) muszą działać na podstawie umowy o przetwarzaniu danych i przestrzegać udokumentowanych instrukcji kontrolera [1].
Kluczowe mechanizmy obejmują:
- Obowiązkową odpowiedź na wnioski o prawa konsumentów w ciągu 45 dni (możliwe przedłużenie o kolejne 45 dni z powiadomieniem)
- Wymagane oceny ochrony danych dla przetwarzania, które stwarza podwyższone ryzyko
- Obowiązki umowne między kontrolerami a przetwarzającymi
- Wymagana zgoda na przetwarzanie danych wrażliwych; prawa do rezygnacji z reklamy ukierunkowanej i sprzedaży danych [8]
Kiedy VCDPA wchodzi w życie dla przedsiębiorstw
VCDPA weszła w życie 1 stycznia 2023 roku dla wszystkich objętych przedsiębiorstw [5]. Nie było stopniowego wprowadzania w zależności od wielkości przedsiębiorstwa, w przeciwieństwie do CPRA w Kalifornii. Jeśli przedsiębiorstwo spełniało progi w dniu lub po tej dacie, zgodność była natychmiast wymagana.
Najbardziej niedawna nowelizacja, SB 338, dodała zakaz sprzedaży precyzyjnych danych geolokalizacyjnych, obowiązujący od 1 lipca 2026 roku [2][3]. Oznacza to, że przedsiębiorstwa, które monetyzują dane lokalizacyjne, w tym brokerzy danych, sieci reklamowe i wydawcy aplikacji mobilnych obsługujący konsumentów z Wirginii, mają nowy, twardy termin w tym roku.
Kto musi przestrzegać wymogów VCDPA w Wirginii
VCDPA dotyczy podmiotów nastawionych na zysk, które prowadzą działalność w Wirginii lub produkują produkty/usługi skierowane do mieszkańców Wirginii i spełniają przynajmniej jeden z dwóch progów [8][10]:
| Próg | Warunek |
|---|---|
| Oparty na wolumenie | Kontrolują lub przetwarzają dane ponad 100 000 konsumentów z Wirginii rocznie |
| Oparty na przychodach | Kontrolują lub przetwarzają dane ponad 25 000 konsumentów ORAZ uzyskują 50% lub więcej przychodów brutto ze sprzedaży danych osobowych |
Zwolnione podmioty i typy danych obejmują:
- Organizacje non-profit
- Instytucje szkolnictwa wyższego
- Instytucje finansowe objęte GLBA
- Podmioty objęte HIPAA i ich współpracownicy (w przypadku danych regulowanych przez HIPAA)
- Podmioty rządowe
- Dane kontaktowe pracowników i B2B (w kontekście zatrudnienia lub transakcji komercyjnych)
Prawo nie wymaga fizycznej obecności w Wirginii. Firma e-commerce z siedzibą w Nowym Jorku, dostawca SaaS w Massachusetts lub agencja marketingowa na Florydzie mogą wszystkie podlegać przepisom, jeśli przetwarzają dane konsumentów z Wirginii w wymaganej ilości [1].
Czy VCDPA dotyczy mojej firmy, jeśli nie jestem w Wirginii
Tak, lokalizacja geograficzna przedsiębiorstwa nie ma znaczenia. Zakres VCDPA określa, gdzie znajdują się konsumenci, a nie gdzie działa przedsiębiorstwo [7]. Każde przedsiębiorstwo z Wschodniego Wybrzeża z istotną bazą klientów z Wirginii powinno ocenić swoje wolumeny danych w odniesieniu do powyższych progów.
Przykład praktyczny: Detalista e-commerce z siedzibą w Baltimore sprzedający do 150 000 klientów rocznie, z których znaczna część to mieszkańcy Wirginii, prawdopodobnie przekracza próg 100 000 konsumentów i musi przestrzegać przepisów.
Jakie dane chroni i obejmuje VCDPA
VCDPA obejmuje dane osobowe, definiowane jako wszelkie informacje, które są powiązane lub mogą być rozsądnie powiązane z zidentyfikowaną lub identyfikowalną osobą fizyczną [10]. Wyklucza to dane zanonimizowane i informacje publicznie dostępne.
Dane wrażliwe to odrębna kategoria o wyższym poziomie ochrony, wymagająca zgody na przetwarzanie [8]:
- Pochodzenie rasowe lub etniczne
- Przekonania religijne
- Diagnozy zdrowia psychicznego lub fizycznego
- Orientacja seksualna lub tożsamość płciowa
- Status imigracyjny
- Dane genetyczne lub biometryczne przetwarzane w celu unikalnej identyfikacji
- Dane osobowe znanego dziecka (poniżej 13 roku życia)
- Precyzyjne dane geolokalizacyjne (a od 1 lipca 2026 roku takie dane nie mogą być sprzedawane w ogóle) [2]
Jakie są główne obowiązki przedsiębiorstw na mocy VCDPA
Kontrolerzy muszą spełnić sześć kategorii obowiązków na mocy VCDPA w Wirginii: Co powinni wiedzieć przedsiębiorcy z Wschodniego Wybrzeża na temat ochrony danych zaczyna się tutaj w praktycznych terminach.
- Przejrzystość: Zapewnić rozsądnie dostępne, jasne powiadomienie o prywatności ujawniające kategorie danych, cele przetwarzania, udostępnianie osobom trzecim oraz prawa konsumentów [7].
- Realizacja praw konsumentów: Odpowiadać na wnioski o dostęp, poprawę, usunięcie, przenoszenie i rezygnację w ciągu 45 dni.
- Ograniczenie celu: Zbierać tylko dane adekwatne i istotne dla ujawnionego celu.
- Bezpieczeństwo danych: Wdrażać rozsądne administracyjne, techniczne i fizyczne zabezpieczenia.
- Brak dyskryminacji: Nie odmawiać towarów/usług ani nie pobierać różnych cen wyłącznie dlatego, że konsument skorzystał z prawa do prywatności.
- Oceny ochrony danych: Przeprowadzać i dokumentować oceny dla reklamy ukierunkowanej, sprzedaży danych, przetwarzania danych wrażliwych, profilowania z prawem/istotnymi skutkami oraz niektórych działań wysokiego ryzyka [1][9].
Kontrolerzy muszą również honorować uniwersalne mechanizmy rezygnacji (takie jak sygnały Global Privacy Control w przeglądarkach) dla reklamy ukierunkowanej i sprzedaży danych, co jest wymaganiem wprowadzonym w ramach nowelizacji Wirginii [6].
Jakie prawa mają konsumenci na mocy VCDPA, które przedsiębiorstwa muszą wspierać
Konsumenci z Wirginii mają sześć egzekwowalnych praw [8][10]:
- Prawo dostępu: Potwierdzić, czy ich dane są przetwarzane i uzyskać kopię.
- Prawo do poprawy: Poprawić nieścisłości w swoich danych osobowych.
- Prawo do usunięcia: Zażądać usunięcia danych osobowych, które dostarczyli lub które zostały zebrane na ich temat.
- Prawo do przenoszenia danych: Otrzymać przenośną kopię w łatwo używalnym formacie.
- Prawo do rezygnacji: Zrezygnować z reklamy ukierunkowanej, sprzedaży danych osobowych i profilowania w celu podejmowania decyzji o prawnych lub istotnych skutkach.
- Prawo do odwołania: Jeśli przedsiębiorstwo odmawia wniosku, konsumenci mogą się odwołać, a przedsiębiorstwo musi odpowiedzieć w ciągu 60 dni od odwołania.
Przedsiębiorstwa muszą zapewnić przynajmniej dwie metody składania wniosków (np. formularz internetowy i bezpłatny numer telefonu lub adres e-mail) [9].
Jakie są koszty naruszeń zgodności z VCDPA w postaci grzywien i kar
Prokurator Generalny Wirginii może nałożyć kary cywilne do 7 500 USD za umyślne naruszenie i do 2 500 USD za nieumyślne naruszenie [8][10]. Kary mogą również obejmować środki zabezpieczające i honoraria adwokackie.
Krytycznie, VCDPA pierwotnie zawierała 30-dniowy okres naprawczy, w którym przedsiębiorstwa mogły naprawić naruszenia przed nałożeniem kar. Jednak ten okres naprawczy wygasa 1 stycznia 2026 roku, co oznacza, że Prokurator Generalny ma teraz swobodę w egzekwowaniu przepisów bez oferowania możliwości naprawy [6].
Nie ma prywatnego prawa do działania, więc indywidualni konsumenci nie mogą bezpośrednio pozywać przedsiębiorstw na mocy VCDPA. Egzekwowanie odbywa się wyłącznie przez Biuro Prokuratora Generalnego.
Jak VCDPA różni się od CCPA i jaka jest różnica w porównaniu do GDPR dla firm z Wschodniego Wybrzeża
Zrozumienie VCDPA w Wirginii: Co powinni wiedzieć przedsiębiorcy z Wschodniego Wybrzeża na temat ochrony danych wymaga umiejscowienia go w kontekście porównawczym.
| Cecha | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Prywatne prawo do działania | Nie | Ograniczone (naruszenia danych) | Tak (państwa członkowskie różnią się) |
| Zgoda na przetwarzanie danych wrażliwych | Tak | Nie (model rezygnacji) | Tak |
| Okres naprawczy | Wygasł w styczniu 2026 | Wygasł w styczniu 2023 | Nie dotyczy |
| Maksymalna kara za naruszenie | 7 500 USD | 7 500 USD | Do 4% globalnych przychodów |
| Oceny ochrony danych | Wymagane (wysokie ryzyko) | Wymagane (wysokie ryzyko) | Wymagane (DPIA) |
| Podstawa prawna do przetwarzania | Nie jest wymagana (dane ogólne) | Nie jest wymagana | Wymagana (6 podstaw prawnych) |
Kluczowa informacja dla przedsiębiorstw z Wschodniego Wybrzeża: VCDPA jest mniej obciążająca niż GDPR w zakresie wymagań dotyczących podstawy prawnej, ale bardziej szczegółowa niż pierwotny CCPA w kwestii zgody na dane wrażliwe. Przedsiębiorstwa, które są już zgodne z GDPR, znajdą dostosowanie do VCDPA jako wykonalne; te, które są tylko zaznajomione z CCPA, muszą dostosować swoje procesy dotyczące danych wrażliwych.
Czy małe przedsiębiorstwa muszą przestrzegać VCDPA w Wirginii
Małe przedsiębiorstwa poniżej progów 100 000 konsumentów lub 25 000 konsumentów plus przychody nie muszą przestrzegać VCDPA [10]. To istotne zwolnienie, które odróżnia prawo Wirginii od niektórych międzynarodowych ram.
Jednak "małe" jest względne. Niszowe narzędzie SaaS z 110 000 użytkowników z darmowego poziomu w Wirginii przekracza próg wolumenu niezależnie od przychodów. Przedsiębiorstwa powinny:
- Audytować rzeczywiste wolumeny danych konsumenckich rocznie
- Śledzić, czy sprzedaż danych stanowi 50% lub więcej przychodów
- Ponownie oceniać progi w miarę rozwoju przedsiębiorstwa
Nawet zwolnione przedsiębiorstwa korzystają na wczesnym budowaniu praktyk zorientowanych na prywatność, ponieważ dostosowanie zgodności jest konsekwentnie droższe niż proaktywne projektowanie.
Jakie są powszechne błędy, które firmy popełniają w zakresie zgodności z VCDPA
1. Błędne klasyfikowanie przetwarzających jako kontrolerów (lub odwrotnie). Dostawcy, którzy podejmują niezależne decyzje dotyczące wykorzystania danych, są kontrolerami, a nie przetwarzającymi. Błędna klasyfikacja prowadzi do niewystarczających zabezpieczeń umownych i niezaadresowanych obowiązków.
2. Ignorowanie uniwersalnych sygnałów rezygnacji. Wiele przedsiębiorstw stworzyło procesy rezygnacji tylko dla ręcznych wniosków, pomijając wymóg honorowania sygnałów na poziomie przeglądarki, takich jak Global Privacy Control [6].
3. Nieaktualizowanie umów o przetwarzaniu danych. VCDPA wymaga określonych postanowień umownych między kontrolerami a przetwarzającymi. Ogólne umowy z dostawcami często ich nie zawierają [1].
4. Traktowanie danych wrażliwych jak ogólnych danych osobowych. Przetwarzanie danych biometrycznych, zdrowotnych lub precyzyjnych danych geolokalizacyjnych bez zgody na przetwarzanie to wyraźne naruszenie, a nie tylko luka proceduralna.
5. Zakładanie, że okres naprawczy nadal obowiązuje. Po wygaśnięciu okresu naprawczego 1 stycznia 2026 roku przedsiębiorstwa nie mogą już polegać na oknie korekcyjnym przed podjęciem działań egzekwujących [6].
6. Pomijanie mechanizmu odwołania. Wiele polityk prywatności i procesów wnioskowania nie zawiera udokumentowanego procesu odwoławczego, co jest wymaganym elementem na mocy VCDPA [9].
Jak przeprowadzić audyt gotowości mojej firmy do VCDPA
Audyt gotowości do VCDPA powinien obejmować pięć obszarów:
- Ocena progów: Mapowanie wszystkich przepływów danych konsumentów z Wirginii i obliczenie rocznych wolumenów przetwarzania w odniesieniu do ustawowych progów.
- Inwentaryzacja danych: Katalogowanie wszystkich kategorii danych osobowych zbieranych, ich źródeł, celów, okresów przechowywania i odbiorców zewnętrznych.
- Przegląd danych wrażliwych: Identyfikacja wszelkich kategorii danych wrażliwych i potwierdzenie, że mechanizmy zgody na przetwarzanie są wdrożone.
- Infrastruktura praw: Testowanie wszystkich sześciu procesów praw konsumentów od początku do końca, w tym procesu odwoławczego.
- Umowy z dostawcami: Przegląd wszystkich umów z przetwarzającymi pod kątem wymaganych postanowień VCDPA (instrukcje przetwarzania, poufność, kontrole podprzetwarzających, prawa do audytu) [7].
Dla przedsiębiorstw zarządzających zgodami w wielu punktach kontaktowych cyfrowych, platforma zarządzania zgodami, taka jak Biscotti CMP, może zcentralizować obsługę sygnałów rezygnacji i utrzymywać audytowalne rejestry zgód, wspierając zarówno programy zgodności z VCDPA, jak i z wieloma stanami.
Co powinna zawierać moja polityka prywatności, aby być zgodną z VCDPA
Polityka prywatności zgodna z VCDPA musi ujawniać [8][9]:
- Kategorie danych osobowych przetwarzanych
- Cel przetwarzania każdej kategorii
- Jak konsumenci mogą wykorzystać swoje sześć praw, w tym proces odwoławczy
- Czy dane osobowe są sprzedawane lub wykorzystywane do reklamy ukierunkowanej (z instrukcjami rezygnacji)
- Kategorie osób trzecich, z którymi dane są udostępniane
- Informacje kontaktowe do składania wniosków (przynajmniej dwie metody)
- Jeśli przetwarzane są dane wrażliwe, podstawa ich przetwarzania (zgoda na przetwarzanie)
Polityki powinny być napisane w prostym języku, być rozsądnie dostępne (widocznie linkowane na stronach internetowych i aplikacjach) i być aktualizowane za każdym razem, gdy praktyki dotyczące danych ulegają istotnym zmianom.
Podsumowanie i działania do podjęcia
VCDPA w Wirginii reprezentuje jeden z najbardziej substancjalnych stanowych ram ochrony prywatności w Stanach Zjednoczonych, a dodanie zakazu sprzedaży precyzyjnych danych geolokalizacyjnych w lipcu 2026 roku sygnalizuje, że legislatura Wirginii zamierza nadal go wzmacniać. Dla przedsiębiorstw z Wschodniego Wybrzeża zasięg terytorialny prawa oznacza, że geografia nie jest obroną, a wolumen danych i cel przetwarzania określają narażenie.
Działania do podjęcia na 2026 rok:
- Przeprowadź analizę progów w odniesieniu do aktualnych wolumenów danych konsumentów z Wirginii przed końcem roku.
- Audytuj wszystkie procesy dotyczące danych wrażliwych, szczególnie te związane z precyzyjną geolokalizacją, danymi biometrycznymi lub zdrowotnymi, w celu zapewnienia zgodności z wymogiem zgody na przetwarzanie.
- Potwierdź, że Twoja polityka prywatności zawiera wszystkie sześć praw konsumentów oraz udokumentowany mechanizm odwoławczy.
- Przejrzyj umowy z przetwarzającymi pod kątem wymaganych postanowień umownych VCDPA.
- Wdrażaj lub weryfikuj obsługę uniwersalnych sygnałów rezygnacji (Global Privacy Control) w swoich zasobach cyfrowych.
- Rozważ rozwiązanie do zarządzania zgodami, takie jak Biscotti CMP, aby zautomatyzować zbieranie zgód, przetwarzanie sygnałów rezygnacji i dokumentację zgodności.
- Zaplanuj coroczne ponowne oceny progów w miarę rozwoju Twojego przedsiębiorstwa.
Okres naprawczy minął. Egzekwowanie jest w toku. Przedsiębiorstwa, które traktują zgodność z VCDPA jako jednorazowe zadanie, a nie jako ciągłą dyscyplinę operacyjną, narażają się na największe ryzyko.
FAQ
Q: Czy VCDPA dotyczy organizacji non-profit? Nie. Organizacje non-profit są wyraźnie zwolnione z wymogów VCDPA [10].
Q: Czy konsument z Wirginii może bezpośrednio pozwać moją firmę na mocy VCDPA? Nie. VCDPA nie przewiduje prywatnego prawa do działania. Tylko Prokurator Generalny Wirginii może podejmować działania egzekwujące [8].
Q: Jaki jest termin na odpowiedź na wniosek o prawa konsumentów? Przedsiębiorstwa muszą odpowiedzieć w ciągu 45 dni od otrzymania weryfikowalnego wniosku. Dozwolone jest jednokrotne przedłużenie o 45 dni, jeśli przedsiębiorstwo powiadomi konsumenta o opóźnieniu i jego przyczynie [9].
Q: Czy dane pracowników są objęte VCDPA? Dane pracowników przetwarzane w kontekście zatrudnienia są zwolnione na mocy VCDPA. Jednak to zwolnienie jest wąsko interpretowane i nie obejmuje wszystkich zastosowań danych związanych z HR [1].
Q: Co liczy się jako "sprzedaż" danych osobowych na mocy VCDPA? VCDPA definiuje "sprzedaż" jako wymianę danych osobowych za wynagrodzeniem pieniężnym. W przeciwieństwie do CCPA, nie obejmuje to wartościowych świadczeń niematerialnych, co stanowi istotną różnicę w umowach technologicznych reklamowych [5].
Q: Czy potrzebuję Inspektora Ochrony Danych na mocy VCDPA? Nie. VCDPA nie wymaga powołania Inspektora Ochrony Danych, w przeciwieństwie do GDPR [7].
Q: Co zmieniło się w SB 338 w 2026 roku? SB 338, obowiązujący od 1 lipca 2026 roku, zakazuje sprzedaży precyzyjnych danych geolokalizacyjnych, wprowadzając nowy kategoryczny zakaz poza ogólnym modelem rezygnacji, który wcześniej regulował takie dane [2][3].
Q: Jak VCDPA definiuje "precyzyjną geolokalizację"? Precyzyjna geolokalizacja oznacza dane uzyskane z technologii, która identyfikuje lokalizację konsumenta w promieniu 1 750 stóp lub mniej [10].
Q: Czy oceny ochrony danych są wymagane dla wszystkich działań przetwarzających? Nie. Oceny są wymagane tylko dla przetwarzania wysokiego ryzyka: reklamy ukierunkowanej, sprzedaży danych, przetwarzania danych wrażliwych, profilowania z prawem/istotnymi skutkami oraz przetwarzania, które stwarza podwyższone ryzyko szkody [1][9].
Q: Co się dzieje, jeśli konsument odwołuje się od odmowy wniosku? Przedsiębiorstwo musi zakończyć przegląd odwołania w ciągu 60 dni i poinformować konsumenta o wyniku. Jeśli odwołanie zostanie odrzucone, przedsiębiorstwo musi podać informacje, jak konsument może skontaktować się z Prokuratorem Generalnym [8].
Interaktywny kalkulator progów zgodności VCDPA
Źródła
[1] Przewodnik po Ustawie o Ochronie Danych Osobowych Konsumentów w Wirginii - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Wirginia rozszerza VCDPA o zakaz sprzedaży precyzyjnych danych geolokalizacyjnych - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] Znowelizowane VCDPA - https://www.cblaw.com/vcdpa-amended
[4] Wirginijska CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Ustawa o Ochronie Danych Osobowych Konsumentów w Wirginii (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] Proces nowelizacji VCDPA zakończony: tekst sfinalizowany przed datą wejścia w życie 1 stycznia - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Przewodnik po prawie ochrony prywatności danych konsumenckich: Wirginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Streszczenie Ustawy o Ochronie Danych Osobowych Konsumentów w Wirginii - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] Przegląd VCDPA - https://termly.io/resources/articles/vcdpa/
[10] Kodeks Wirginii Tytuł 59.1, Rozdział 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/