Resposta Rápida: A Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA) é uma lei abrangente de privacidade estadual que entrou em vigor em 1 de janeiro de 2023, exigindo que as empresas que atendem a limiares específicos de receita ou processamento de dados respeitem os direitos dos consumidores sobre dados pessoais. As empresas da Costa Leste, mesmo aquelas com sede fora da Virgínia, devem cumprir se atenderem residentes da Virgínia em grande escala. A partir de 1 de julho de 2026, a lei foi ainda mais fortalecida com uma proibição da venda de dados de geolocalização precisos sob a SB 338.
Principais Conclusões
- A VCDPA aplica-se a qualquer empresa que controle ou processe dados de mais de 100.000 consumidores da Virgínia anualmente, ou mais de 25.000 consumidores se 50% ou mais da receita vier da venda de dados pessoais.
- Os consumidores da Virgínia têm seis direitos fundamentais: acesso, correção, exclusão, portabilidade, optar por não receber publicidade direcionada/venda/perfilagem, e o direito de apelar de um pedido negado.
- O Procurador-Geral da Virgínia detém a autoridade exclusiva de aplicação; não há direito de ação privada sob a VCDPA.
- As penalidades civis podem chegar a $7.500 por violação intencional, com um período de cura de 30 dias (que expira após 1 de janeiro de 2026).
- A partir de 1 de julho de 2026, a SB 338 proíbe a venda de dados de geolocalização precisos, adicionando uma nova obrigação significativa para corretores de dados e empresas de tecnologia publicitária.
- Categorias de dados sensíveis (biométricos, saúde, origem racial/étnica, geolocalização precisa, etc.) exigem consentimento explícito antes do processamento.
- Ao contrário do GDPR, a VCDPA não exige uma base legal para o processamento de dados pessoais gerais, mas exige avaliações de proteção de dados para atividades de alto risco.
- Pequenas empresas abaixo dos limiares estão isentas, mas aquelas que processam dados sensíveis ou vendem dados pessoais devem revisar cuidadosamente sua exposição.
- Uma plataforma de gestão de consentimento como Biscotti CMP pode ajudar a automatizar o manuseio de sinais de opt-out e registros de consentimento.
- As políticas de privacidade devem divulgar claramente as categorias de dados coletados, os propósitos, o compartilhamento com terceiros e todos os direitos dos consumidores sob a VCDPA.
O Que É a Lei de Proteção de Dados do Consumidor da Virgínia e Como Funciona
A VCDPA é o estatuto abrangente de privacidade do consumidor da Virgínia, codificado no Título 59.1, Capítulo 53 do Código da Virgínia, e efetivo a partir de 1 de janeiro de 2023 [10]. Estabelece um quadro de direitos dos consumidores e obrigações correspondentes das empresas, modelado de forma solta no GDPR da UE, embora com diferenças estruturais notáveis adequadas a um contexto comercial dos EUA.
A lei opera em um modelo de controlador-processador. Controladores (entidades que determinam a finalidade e os meios de processamento) suportam o principal ônus de conformidade. Processadores (fornecedores que lidam com dados em nome de um controlador) devem operar sob um acordo de processamento de dados e seguir as instruções documentadas do controlador [1].
As principais mecânicas incluem:
- Resposta obrigatória a pedidos de direitos dos consumidores dentro de 45 dias (prorrogável por mais 45 dias com aviso)
- Avaliações de proteção de dados exigidas para processamento que apresenta risco elevado
- Obrigações contratuais entre controladores e processadores
- Consentimento opt-in exigido para dados sensíveis; direitos de opt-out para publicidade direcionada e vendas de dados [8]
Quando a VCDPA Entra em Vigor para as Empresas
A VCDPA entrou em vigor em 1 de janeiro de 2023 para todas as empresas abrangidas [5]. Não houve um lançamento gradual por tamanho da empresa, ao contrário da CPRA da Califórnia. Se uma empresa atendia aos limiares na data ou após essa data, a conformidade era imediatamente exigida.
A emenda mais recente, SB 338, adicionou uma proibição à venda de dados de geolocalização precisos, efetiva a partir de 1 de julho de 2026 [2][3]. Isso significa que as empresas que monetizam dados de localização, incluindo corretores de dados, redes de anúncios e editores de aplicativos móveis que atendem consumidores da Virgínia, enfrentaram um novo prazo rigoroso este ano.
Quem Precisa Cumprir os Requisitos da VCDPA da Virgínia
A VCDPA aplica-se a entidades com fins lucrativos que conduzem negócios na Virgínia ou produzem produtos/serviços direcionados a residentes da Virgínia e atendem a pelo menos um dos dois limiares [8][10]:
| Limiar | Condição |
|---|---|
| Baseado em volume | Controlar ou processar dados de mais de 100.000 consumidores da Virgínia por ano civil |
| Baseado em receita | Controlar ou processar dados de mais de 25.000 consumidores E derivar 50% ou mais da receita bruta da venda de dados pessoais |
Entidades e tipos de dados isentos incluem:
- Organizações sem fins lucrativos
- Instituições de ensino superior
- Instituições financeiras sujeitas ao GLBA
- Entidades cobertas pelo HIPAA e associados comerciais (para dados regulados pelo HIPAA)
- Entidades governamentais
- Dados de contato de funcionários e B2B (no contexto de emprego ou transações comerciais)
A lei não exige uma presença física na Virgínia. Uma empresa de e-commerce com sede em Nova Iorque, um fornecedor de SaaS em Massachusetts ou uma agência de marketing na Flórida podem todos estar dentro do escopo se processarem dados de consumidores da Virgínia no volume exigido [1].
A VCDPA Se Aplica à Minha Empresa Se Eu Não Estiver na Virgínia
Sim, a localização geográfica da empresa é irrelevante. O escopo da VCDPA é determinado pela localização dos consumidores, não onde a empresa opera [7]. Qualquer empresa da Costa Leste com uma base de clientes significativa na Virgínia deve avaliar seus volumes de dados em relação aos limiares acima.
Exemplo prático: Um retalhista de e-commerce com sede em Baltimore que vende para 150.000 clientes anualmente, uma parte significativa dos quais são residentes da Virgínia, provavelmente ultrapassa o limiar de 100.000 consumidores e deve cumprir.
Quais Dados a VCDPA Realmente Protege e Abrange
A VCDPA cobre dados pessoais, definidos como qualquer informação que esteja vinculada ou razoavelmente vinculável a uma pessoa natural identificada ou identificável [10]. Isso exclui dados desidentificados e informações disponíveis publicamente.
Dados sensíveis são uma categoria distinta, de maior proteção, que exige consentimento opt-in antes do processamento [8]:
- Origem racial ou étnica
- Crenças religiosas
- Diagnósticos de saúde mental ou física
- Orientação sexual ou identidade de gênero
- Status de imigração
- Dados genéticos ou biométricos processados para identificação única
- Dados pessoais de uma criança conhecida (menor de 13 anos)
- Dados de geolocalização precisos (e a partir de 1 de julho de 2026, esses dados não podem ser vendidos) [2]
Quais São as Principais Obrigações para as Empresas Sob a VCDPA
Os controladores devem cumprir seis categorias de obrigação sob a VCDPA da Virgínia: O Que as Empresas da Costa Leste Precisam Saber Sobre Proteção de Dados começa aqui em termos práticos.
- Transparência: Fornecer um aviso de privacidade razoavelmente acessível e claro, divulgando categorias de dados, propósitos de processamento, compartilhamento com terceiros e direitos dos consumidores [7].
- Cumprimento dos direitos dos consumidores: Responder a pedidos de acesso, correção, exclusão, portabilidade e opt-out dentro de 45 dias.
- Limitação de propósito: Coletar apenas dados adequados e relevantes para o propósito divulgado.
- Segurança dos dados: Implementar salvaguardas administrativas, técnicas e físicas razoáveis.
- Não discriminação: Não negar bens/serviços ou cobrar preços diferentes apenas porque um consumidor exerceu um direito de privacidade.
- Avaliações de proteção de dados: Conduzir e documentar avaliações para publicidade direcionada, vendas de dados, processamento de dados sensíveis, perfilagem com efeitos legais/significativos e certas atividades de alto risco [1][9].
Os controladores também devem honrar mecanismos universais de opt-out (como sinais de Controle de Privacidade Global baseados em navegador) para publicidade direcionada e vendas de dados, uma exigência que foi implementada sob as emendas da Virgínia [6].
Quais São os Direitos dos Consumidores Sob a VCDPA Que as Empresas Precisam Apoiar
Os consumidores da Virgínia têm seis direitos executáveis [8][10]:
- Direito de acesso: Confirmar se seus dados estão sendo processados e obter uma cópia.
- Direito de correção: Corrigir imprecisões em seus dados pessoais.
- Direito de exclusão: Solicitar a exclusão de dados pessoais que forneceram ou que foram coletados sobre eles.
- Direito à portabilidade de dados: Receber uma cópia portátil em um formato prontamente utilizável.
- Direito de optar por não participar: Optar por não receber publicidade direcionada, a venda de dados pessoais e perfilagem para decisões com efeitos legais ou significativos.
- Direito de apelação: Se uma empresa negar um pedido, os consumidores podem apelar, e a empresa deve responder dentro de 60 dias após a apelação.
As empresas devem fornecer pelo menos dois métodos para a submissão de pedidos (por exemplo, um formulário na web e um número de telefone gratuito ou endereço de e-mail) [9].
Quanto Custam as Violações de Conformidade com a VCDPA em Multas e Penalidades
O Procurador-Geral da Virgínia pode impor penalidades civis de até $7.500 por violação intencional e até $2.500 por violação não intencional [8][10]. As penalidades também podem incluir medidas cautelares e honorários advocatícios.
Crucialmente, a VCDPA incluía originalmente um período de cura de 30 dias, permitindo que as empresas corrigissem violações antes que as penalidades fossem avaliadas. No entanto, esse período de cura expirou em 1 de janeiro de 2026, significando que o Procurador-Geral agora tem discrição para buscar a aplicação sem oferecer uma oportunidade de cura [6].
Não há direito de ação privada, portanto, consumidores individuais não podem processar empresas diretamente sob a VCDPA. A aplicação é exclusivamente através do Escritório do Procurador-Geral.
Como a VCDPA Difere da CCPA e Qual é a Diferença em Relação ao GDPR para Empresas da Costa Leste
Compreender a VCDPA da Virgínia: O Que as Empresas da Costa Leste Precisam Saber Sobre Proteção de Dados requer colocá-la em contexto comparativo.
| Recurso | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Direito de ação privada | Não | Limitado (vazamentos de dados) | Sim (os estados membros variam) |
| Opt-in para dados sensíveis | Sim | Não (modelo opt-out) | Sim |
| Período de cura | Expirou em janeiro de 2026 | Expirou em janeiro de 2023 | Não aplicável |
| Máxima penalidade por violação | $7.500 | $7.500 | Até 4% da receita global |
| Avaliações de Proteção de Dados | Exigidas (alto risco) | Exigidas (alto risco) | Exigidas (DPIAs) |
| Base legal para processamento | Não exigida (dados gerais) | Não exigida | Exigida (6 bases legais) |
Conclusão chave para empresas da Costa Leste: A VCDPA é menos onerosa do que o GDPR em termos de requisitos de base legal, mas mais prescritiva do que a CCPA original em relação ao consentimento de dados sensíveis. Empresas já em conformidade com o GDPR acharão a adaptação à VCDPA gerenciável; aquelas apenas familiarizadas com a CCPA precisam ajustar seus fluxos de trabalho de dados sensíveis.
As Pequenas Empresas Precisam Cumprir a VCDPA da Virgínia
Pequenas empresas abaixo dos limiares de 100.000 consumidores ou 25.000 consumidores mais receita não são obrigadas a cumprir a VCDPA [10]. Esta é uma isenção significativa que distingue a lei da Virgínia de alguns quadros internacionais.
No entanto, "pequeno" é relativo. Uma ferramenta SaaS de nicho com 110.000 usuários do nível gratuito da Virgínia ultrapassa o limiar de volume independentemente da receita. As empresas devem:
- Auditar volumes reais de dados de consumidores anualmente
- Rastrear se as vendas de dados constituem 50% ou mais da receita
- Reavaliar os limiares à medida que a empresa cresce
Mesmo empresas isentas se beneficiam de construir práticas voltadas para a privacidade desde cedo, pois a adaptação à conformidade é consistentemente mais cara do que o design proativo.
Quais São os Erros Comuns que as Empresas Cometem com a Conformidade da VCDPA
1. Classificar incorretamente processadores como controladores (ou vice-versa). Fornecedores que tomam decisões independentes sobre o uso de dados são controladores, não processadores. A classificação incorreta leva a proteções contratuais inadequadas e obrigações não atendidas.
2. Ignorar sinais universais de opt-out. Muitas empresas construíram fluxos de opt-out apenas para pedidos manuais, ignorando a exigência de honrar sinais em nível de navegador como o Controle de Privacidade Global [6].
3. Não atualizar acordos de processamento de dados. A VCDPA exige disposições contratuais específicas entre controladores e processadores. Contratos genéricos de fornecedores muitas vezes não as incluem [1].
4. Tratar dados sensíveis como dados pessoais gerais. Processar dados biométricos, de saúde ou de geolocalização precisa sem consentimento opt-in é uma violação distinta, não apenas uma lacuna processual.
5. Assumir que o período de cura ainda se aplica. Com o período de cura expirado em janeiro de 2026, as empresas não podem mais contar com uma janela de correção antes da ação de aplicação [6].
6. Omitir o mecanismo de apelação. Muitas políticas de privacidade e fluxos de trabalho de pedidos carecem de um processo de apelação documentado, que é um elemento exigido sob a VCDPA [9].
Como Posso Auditar Minha Empresa para a Prontidão da VCDPA
Uma auditoria de prontidão da VCDPA deve cobrir cinco domínios:
- Avaliação de limiares: Mapear todos os fluxos de dados de consumidores da Virgínia e calcular volumes de processamento anuais em relação aos limiares legais.
- Inventário de dados: Catalogar todas as categorias de dados pessoais coletados, suas fontes, propósitos, períodos de retenção e destinatários terceiros.
- Revisão de dados sensíveis: Identificar quaisquer categorias de dados sensíveis e confirmar que os mecanismos de consentimento opt-in estão em vigor.
- Infraestrutura de direitos: Testar todos os seis fluxos de trabalho de direitos dos consumidores de ponta a ponta, incluindo o processo de apelação.
- Contratos de fornecedores: Revisar todos os acordos de processadores para disposições exigidas pela VCDPA (instruções de processamento, confidencialidade, controles de subprocessadores, direitos de auditoria) [7].
Para empresas que gerenciam consentimento em vários pontos de contato digitais, uma plataforma de gestão de consentimento como Biscotti CMP pode centralizar o manuseio de sinais de opt-out e manter registros de consentimento auditáveis, apoiando tanto a VCDPA quanto programas de conformidade em vários estados.
O Que Minha Política de Privacidade Deve Dizer Para Ser Compatível com a VCDPA
Uma política de privacidade compatível com a VCDPA deve divulgar [8][9]:
- As categorias de dados pessoais processados
- O propósito para o processamento de cada categoria
- Como os consumidores podem exercer seus seis direitos, incluindo o processo de apelação
- Se os dados pessoais são vendidos ou usados para publicidade direcionada (com instruções de opt-out)
- As categorias de terceiros com os quais os dados são compartilhados
- Informações de contato para a submissão de pedidos (pelo menos dois métodos)
- Se dados sensíveis são processados, a base para fazê-lo (consentimento opt-in)
As políticas devem ser escritas em linguagem simples, ser razoavelmente acessíveis (linkadas de forma proeminente em sites e aplicativos) e ser atualizadas sempre que as práticas de dados mudarem materialmente.
Conclusão e Próximos Passos Ação
A VCDPA da Virgínia representa um dos quadros de privacidade estadual mais substanciais nos Estados Unidos, e a adição em julho de 2026 de uma proibição de venda de dados de geolocalização precisa sinaliza que a legislatura da Virgínia pretende continuar a fortalecê-la. Para as empresas da Costa Leste, o alcance extraterritorial da lei significa que a geografia não é uma defesa; o volume de dados e o propósito de processamento determinam a exposição.
Passos acionáveis para 2026:
- Realizar uma análise de limiares em relação aos seus volumes atuais de dados de consumidores da Virgínia antes do final do ano.
- Auditar todos os fluxos de trabalho de dados sensíveis, particularmente aqueles envolvendo geolocalização precisa, biometria ou dados de saúde, para conformidade com o consentimento opt-in.
- Confirmar que sua política de privacidade inclui todos os seis direitos dos consumidores e um mecanismo de apelação documentado.
- Revisar acordos de processadores para disposições contratuais exigidas pela VCDPA.
- Implementar ou verificar o manuseio de sinais universais de opt-out (Controle de Privacidade Global) em suas propriedades digitais.
- Considerar uma solução de gestão de consentimento como Biscotti CMP para automatizar a coleta de consentimento, o processamento de sinais de opt-out e a documentação de conformidade.
- Agendar reavaliações anuais de limiares à medida que sua empresa cresce.
O período de cura se foi. A aplicação está ativa. Empresas que tratam a conformidade com a VCDPA como uma verificação única em vez de uma disciplina operacional contínua enfrentam o maior risco.
FAQ
Q: A VCDPA se aplica a organizações sem fins lucrativos?
Não. Organizações sem fins lucrativos estão explicitamente isentas dos requisitos da VCDPA [10].
Q: Um consumidor da Virgínia pode processar minha empresa diretamente sob a VCDPA?
Não. A VCDPA não tem direito de ação privada. Apenas o Procurador-Geral da Virgínia pode mover ações de aplicação [8].
Q: Qual é o prazo para responder a um pedido de direitos do consumidor?
As empresas devem responder dentro de 45 dias após receber um pedido verificável. Uma prorrogação única de 45 dias é permitida se a empresa notificar o consumidor sobre o atraso e o motivo [9].
Q: Os dados dos funcionários estão cobertos pela VCDPA?
Dados de funcionários processados no contexto de emprego estão isentos sob a VCDPA. No entanto, essa isenção é interpretada de forma restrita e não cobre todos os usos de dados adjacentes a RH [1].
Q: O que conta como "venda" de dados pessoais sob a VCDPA?
A VCDPA define "venda" como a troca de dados pessoais por consideração monetária. Ao contrário da CCPA, não se estende a considerações valiosas não monetárias, o que é uma distinção significativa para arranjos de tecnologia publicitária [5].
Q: Preciso de um Oficial de Proteção de Dados sob a VCDPA?
Não. A VCDPA não exige a nomeação de um Oficial de Proteção de Dados, ao contrário do GDPR [7].
Q: O que mudou com a SB 338 em 2026?
A SB 338, efetiva a partir de 1 de julho de 2026, proíbe a venda de dados de geolocalização precisos, adicionando uma nova restrição categórica além do quadro geral de opt-out que anteriormente governava tais dados [2][3].
Q: Como a VCDPA define "geolocalização precisa"?
Geolocalização precisa significa dados derivados de tecnologia que identifica a localização de um consumidor dentro de um raio de 1.750 pés ou menos [10].
Q: As avaliações de proteção de dados são exigidas para todas as atividades de processamento?
Não. Avaliações são exigidas apenas para processamento de alto risco: publicidade direcionada, vendas de dados, processamento de dados sensíveis, perfilagem com efeitos legais/significativos e processamento que apresenta um risco elevado de dano [1][9].
Q: O que acontece se um consumidor apelar de um pedido negado?
A empresa deve concluir a revisão da apelação dentro de 60 dias e informar o consumidor sobre o resultado. Se a apelação for negada, a empresa deve fornecer informações sobre como o consumidor pode contatar o Procurador-Geral [8].
Verificador Interativo de Limiares de Conformidade da VCDPA
Referências
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/