Краткий ответ: Закон о защите данных потребителей Вирджинии (VCDPA) — это комплексный закон о конфиденциальности на уровне штата, который вступил в силу 1 января 2023 года и требует от бизнеса, соответствующего определенным порогам по доходам или обработке данных, уважать права потребителей на личные данные. Бизнес Восточного побережья, даже если он зарегистрирован вне Вирджинии, должен соблюдать закон, если он обслуживает жителей Вирджинии в значительных масштабах. С 1 июля 2026 года закон был дополнительно усилен запретом на продажу точных данных геолокации в соответствии с SB 338.
Основные выводы
- VCDPA применяется к любому бизнесу, контролирующему или обрабатывающему данные более 100,000 потребителей Вирджинии ежегодно, или более 25,000 потребителей, если 50% или более дохода поступает от продажи личных данных.
- У потребителей Вирджинии есть шесть основных прав: доступ, исправление, удаление, переносимость, отказ от таргетированной рекламы/продажи/профилирования и право на обжалование отклоненного запроса.
- Генеральный прокурор Вирджинии обладает исключительными полномочиями по обеспечению соблюдения; частного права на иск по VCDPA не существует.
- Гражданские штрафы могут достигать $7,500 за преднамеренное нарушение, с 30-дневным сроком для исправления (который истекает после 1 января 2026 года).
- С 1 июля 2026 года SB 338 запрещает продажу точных данных геолокации, добавляя значительное новое обязательство для брокеров данных и компаний в области рекламных технологий.
- Категории чувствительных данных (биометрические, здоровье, расовое/этническое происхождение, точная геолокация и т. д.) требуют явного согласия на обработку.
- В отличие от GDPR, VCDPA не требует юридического основания для обработки общих личных данных, но требует оценки защиты данных для высокорисковых действий.
- Малые предприятия, не достигающие порогов, освобождены, но те, кто обрабатывает чувствительные данные или продает личные данные, должны внимательно пересмотреть свои риски.
- Платформа управления согласиями, такая как Biscotti CMP, может помочь автоматизировать обработку сигналов об отказе и ведение записей о согласии.
- Политики конфиденциальности должны четко раскрывать категории собираемых данных, цели, передачу третьим лицам и все права потребителей в соответствии с VCDPA.
Что такое Закон о защите данных потребителей Вирджинии и как он работает
VCDPA — это комплексный закон о конфиденциальности потребителей Вирджинии, кодифицированный в Разделе 59.1, Глава 53 Кодекса Вирджинии, и вступивший в силу 1 января 2023 года [10]. Он устанавливает рамки прав потребителей и соответствующих обязательств бизнеса, которые в целом моделируются на основе GDPR ЕС, хотя с заметными структурными отличиями, подходящими для коммерческого контекста США.
Закон работает по модели контроллер-процессор. Контроллеры (субъекты, определяющие цели и средства обработки) несут основную нагрузку по соблюдению. Процессоры (поставщики, обрабатывающие данные от имени контроллера) должны действовать в соответствии с соглашением о обработке данных и следовать документированным инструкциям контроллера [1].
Ключевые механизмы включают:
- Обязательный ответ на запросы прав потребителей в течение 45 дней (с возможностью продления еще на 45 дней с уведомлением)
- Обязательные оценки защиты данных для обработки, представляющей повышенный риск
- Договорные обязательства между контроллерами и процессорами
- Необходимость явного согласия для чувствительных данных; права на отказ от таргетированной рекламы и продажи данных [8]
Когда VCDPA вступает в силу для бизнеса
VCDPA вступил в силу 1 января 2023 года для всех охваченных бизнесов [5]. Не было поэтапного внедрения по размеру бизнеса, в отличие от CPRA Калифорнии. Если бизнес достиг порогов на или после этой даты, соблюдение было немедленно обязательным.
Последняя поправка, SB 338, добавила запрет на продажу точных данных геолокации, вступающий в силу 1 июля 2026 года [2][3]. Это означает, что бизнесы, которые монетизируют данные о местоположении, включая брокеров данных, рекламные сети и издателей мобильных приложений, обслуживающих потребителей Вирджинии, столкнутся с новым жестким сроком в этом году.
Кто должен соблюдать требования VCDPA Вирджинии
VCDPA применяется к коммерческим организациям, которые ведут бизнес в Вирджинии или производят товары/услуги, ориентированные на жителей Вирджинии и соответствуют хотя бы одному из двух порогов [8][10]:
| Порог | Условие |
|---|---|
| Объемный | Контролируют или обрабатывают данные более 100,000 потребителей Вирджинии за календарный год |
| Доходный | Контролируют или обрабатывают данные более 25,000 потребителей И ПОЛУЧАЮТ 50% или более от валового дохода от продажи личных данных |
Освобожденные организации и типы данных включают:
- Некоммерческие организации
- Учебные заведения высшего образования
- Финансовые учреждения, подпадающие под GLBA
- Субъекты, охваченные HIPAA, и бизнес-партнеры (для данных, регулируемых HIPAA)
- Государственные органы
- Данные сотрудников и контактов B2B (в контексте трудовых или коммерческих сделок)
Закон не требует физического присутствия в Вирджинии. Интернет-компания, базирующаяся в Нью-Йорке, поставщик SaaS в Массачусетсе или маркетинговое агентство во Флориде могут все подпадать под действие закона, если они обрабатывают данные потребителей Вирджинии в требуемом объеме [1].
Применяется ли VCDPA к моему бизнесу, если я не нахожусь в Вирджинии
Да, географическое положение бизнеса не имеет значения. Объем действия VCDPA определяется местоположением потребителей, а не местом работы бизнеса [7]. Любой бизнес Восточного побережья с значительной клиентской базой в Вирджинии должен оценить свои объемы данных в соответствии с вышеуказанными порогами.
Практический пример: Интернет-ритейлер из Балтимора, продающий 150,000 товаров ежегодно, значительная часть которых — жители Вирджинии, вероятно, превышает порог в 100,000 потребителей и должен соблюдать закон.
Какие данные фактически защищает и охватывает VCDPA
VCDPA охватывает личные данные, определяемые как любая информация, которая связана или может быть разумно связана с идентифицированным или идентифицируемым физическим лицом [10]. Это исключает анонимизированные данные и общедоступную информацию.
Чувствительные данные — это отдельная категория с более высокой защитой, требующая согласия на обработку [8]:
- Расовое или этническое происхождение
- Религиозные убеждения
- Диагнозы психического или физического здоровья
- Половая ориентация или гендерная идентичность
- Иммиграционный статус
- Генетические или биометрические данные, обрабатываемые для уникальной идентификации
- Личные данные известного ребенка (до 13 лет)
- Точные данные геолокации (и с 1 июля 2026 года такие данные не могут быть проданы вообще) [2]
Каковы основные обязательства для бизнеса в соответствии с VCDPA
Контроллеры должны выполнять шесть категорий обязательств в соответствии с VCDPA Вирджинии: что необходимо знать бизнесу Восточного побережья о защите данных начинается здесь в практическом плане.
- Прозрачность: Предоставить разумно доступное, четкое уведомление о конфиденциальности, раскрывающее категории данных, цели обработки, передачу третьим лицам и права потребителей [7].
- Исполнение прав потребителей: Ответить на запросы доступа, исправления, удаления, переносимости и отказа в течение 45 дней.
- Ограничение цели: Собирать только данные, адекватные и относящиеся к раскрытой цели.
- Безопасность данных: Реализовать разумные административные, технические и физические меры безопасности.
- Недискриминация: Не отказывать в предоставлении товаров/услуг или не взимать разные цены исключительно потому, что потребитель воспользовался правом на конфиденциальность.
- Оценки защиты данных: Проводить и документировать оценки для таргетированной рекламы, продажи данных, обработки чувствительных данных, профилирования с юридическими/значительными последствиями и определенных высокорисковых действий [1][9].
Контроллеры также должны уважать универсальные механизмы отказа (такие как сигналы глобального контроля конфиденциальности на уровне браузера) для таргетированной рекламы и продажи данных, требование, введенное в соответствии с поправками Вирджинии [6].
Какие права потребителей в соответствии с VCDPA должны поддерживать бизнесы
Потребители Вирджинии имеют шесть исполнимых прав [8][10]:
- Право на доступ: Подтвердить, обрабатываются ли их данные, и получить копию.
- Право на исправление: Исправить неточности в своих личных данных.
- Право на удаление: Запросить удаление личных данных, которые они предоставили или которые были собраны о них.
- Право на переносимость данных: Получить переносимую копию в удобном формате.
- Право на отказ: Отказаться от таргетированной рекламы, продажи личных данных и профилирования для принятия решений с юридическими или значительными последствиями.
- Право на обжалование: Если бизнес отклоняет запрос, потребители могут подать апелляцию, и бизнес должен ответить в течение 60 дней с момента подачи апелляции.
Бизнесы должны предоставить как минимум два метода для подачи запросов (например, веб-форму и бесплатный номер телефона или адрес электронной почты) [9].
Каковы штрафы и санкции за нарушения соблюдения VCDPA
Генеральный прокурор Вирджинии может наложить гражданские штрафы до $7,500 за преднамеренное нарушение и до $2,500 за непреднамеренное нарушение [8][10]. Штрафы также могут включать судебные запреты и гонорары адвокатов.
Критически важно, что изначально VCDPA включал 30-дневный срок для исправления, в течение которого бизнесы могли исправить нарушения до наложения штрафов. Однако этот срок истек 1 января 2026 года, что означает, что Генеральный прокурор теперь имеет право на принудительное исполнение без предложения возможности исправления [6].
Частного права на иск не существует, поэтому отдельные потребители не могут напрямую подавать иски против бизнесов в соответствии с VCDPA. Исполнение осуществляется исключительно через Офис Генерального прокурора.
Как VCDPA отличается от CCPA и в чем разница с GDPR для компаний Восточного побережья
Понимание VCDPA Вирджинии: что необходимо знать бизнесу Восточного побережья о защите данных требует сравнения с другими законами.
| Особенность | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Частное право на иск | Нет | Ограниченное (нарушения данных) | Да (государства-члены различаются) |
| Согласие на обработку чувствительных данных | Да | Нет (модель отказа) | Да |
| Срок исправления | Истек в январе 2026 года | Истек в январе 2023 года | Не применяется |
| Максимальный штраф за нарушение | $7,500 | $7,500 | До 4% глобального дохода |
| Оценки защиты данных | Обязательны (высокий риск) | Обязательны (высокий риск) | Обязательны (DPIA) |
| Юридическое основание для обработки | Не требуется (общие данные) | Не требуется | Требуется (6 законных оснований) |
Ключевой вывод для бизнесов Восточного побережья: VCDPA менее обременителен, чем GDPR с точки зрения требований к юридическому основанию, но более предписывающий, чем оригинальный CCPA в отношении согласия на обработку чувствительных данных. Бизнесы, уже соответствующие требованиям GDPR, найдут адаптацию к VCDPA управляемой; тем, кто знаком только с CCPA, необходимо скорректировать свои рабочие процессы с чувствительными данными.
Должны ли малые бизнесы соблюдать VCDPA Вирджинии
Малые бизнесы, не достигающие порогов в 100,000 потребителей или 25,000 потребителей с доходом, не обязаны соблюдать VCDPA [10]. Это значительное освобождение, которое отличает закон Вирджинии от некоторых международных рамок.
Тем не менее, "малый" является относительным понятием. Нишевый инструмент SaaS с 110,000 пользователей бесплатного уровня из Вирджинии превышает объемный порог независимо от дохода. Бизнесы должны:
- Проводить ежегодный аудит фактических объемов данных потребителей
- Отслеживать, составляют ли продажи данных 50% или более от дохода
- Переоценивать пороги по мере роста бизнеса
Даже освобожденные бизнесы выигрывают от раннего внедрения практик, ориентированных на конфиденциальность, поскольку ретрофитинг соблюдения обычно обходится дороже, чем проактивный дизайн.
Какие распространенные ошибки совершают компании при соблюдении VCDPA
1. Неверная классификация процессоров как контроллеров (или наоборот). Поставщики, принимающие независимые решения о использовании данных, являются контроллерами, а не процессорами. Неверная классификация приводит к недостаточной договорной защите и неучтенным обязательствам.
2. Игнорирование универсальных сигналов отказа. Многие бизнесы создали потоки отказа только для ручных запросов, упуская требование уважать сигналы на уровне браузера, такие как Глобальный контроль конфиденциальности [6].
3. Невозможность обновить соглашения о обработке данных. VCDPA требует конкретных договорных положений между контроллерами и процессорами. Общие контракты с поставщиками часто не содержат их [1].
4. Обработка чувствительных данных как общих личных данных. Обработка биометрических, медицинских или точных данных геолокации без согласия является отдельным нарушением, а не просто процедурным пробелом.
5. Предположение, что срок исправления все еще применяется. С истечением срока исправления в январе 2026 года бизнесы больше не могут полагаться на окно для исправления перед принудительными действиями [6].
6. Пропуск механизма обжалования. Многие политики конфиденциальности и рабочие процессы запросов не содержат документированного процесса обжалования, который является обязательным элементом в соответствии с VCDPA [9].
Как провести аудит готовности моего бизнеса к VCDPA
Аудит готовности к VCDPA должен охватывать пять областей:
- Оценка порогов: Отследить все потоки данных потребителей Вирджинии и рассчитать годовые объемы обработки в соответствии с установленными порогами.
- Инвентаризация данных: Каталогизировать все категории личных данных, собираемых, их источники, цели, сроки хранения и третьих лиц, которым они передаются.
- Обзор чувствительных данных: Определить любые категории чувствительных данных и подтвердить наличие механизмов согласия на обработку.
- Инфраструктура прав: Протестировать все шесть рабочих процессов прав потребителей от начала до конца, включая процесс обжалования.
- Контракты с поставщиками: Пересмотреть все соглашения с процессорами на предмет необходимых положений в соответствии с VCDPA (инструкции по обработке, конфиденциальность, контроль за субподрядчиками, права на аудит) [7].
Для бизнесов, управляющих согласиями через несколько цифровых точек взаимодействия, платформа управления согласиями, такая как Biscotti CMP, может централизовать обработку сигналов об отказе и поддерживать аудируемые записи согласия, поддерживая как VCDPA, так и программы соблюдения в нескольких штатах.
Что должна содержать моя политика конфиденциальности для соблюдения VCDPA
Политика конфиденциальности, соответствующая VCDPA, должна раскрывать [8][9]:
- Категории личных данных, обрабатываемых
- Цель обработки каждой категории
- Как потребители могут осуществлять свои шесть прав, включая процесс обжалования
- Продаются ли личные данные или используются для таргетированной рекламы (с инструкциями по отказу)
- Категории третьих лиц, с которыми данные передаются
- Контактная информация для подачи запросов (как минимум два метода)
- Если обрабатываются чувствительные данные, основание для этого (согласие)
Политики должны быть написаны простым языком, быть разумно доступными (с явной ссылкой на веб-сайтах и приложениях) и обновляться всякий раз, когда практики обработки данных существенно меняются.
Заключение и практические шаги
VCDPA Вирджинии представляет собой одну из самых значительных государственных рамок конфиденциальности в Соединенных Штатах, а добавление запрета на продажу точных данных геолокации в июле 2026 года сигнализирует о том, что законодательство Вирджинии намерено продолжать его укрепление. Для бизнесов Восточного побережья экстерриториальный охват закона означает, что география не является защитой, объем данных и цель обработки определяют риски.
Практические шаги на 2026 год:
- Проведите анализ порогов в отношении ваших текущих объемов данных потребителей Вирджинии до конца года.
- Проведите аудит всех рабочих процессов с чувствительными данными, особенно тех, которые касаются точной геолокации, биометрических или медицинских данных, на соответствие требованиям согласия.
- Подтвердите, что ваша политика конфиденциальности включает все шесть прав потребителей и документированный механизм обжалования.
- Пересмотрите соглашения с процессорами на предмет необходимых договорных положений в соответствии с VCDPA.
- Реализуйте или проверьте обработку универсальных сигналов отказа (Глобальный контроль конфиденциальности) на всех ваших цифровых ресурсах.
- Рассмотрите возможность использования решения для управления согласиями, такого как Biscotti CMP, для автоматизации сбора согласий, обработки сигналов об отказе и документации соблюдения.
- Запланируйте ежегодные переоценки порогов по мере роста вашего бизнеса.
Срок исправления истек. Исполнение в силе. Бизнесы, которые рассматривают соблюдение VCDPA как одноразовую задачу, а не как постоянную операционную дисциплину, сталкиваются с наибольшими рисками.
Часто задаваемые вопросы
В: Применяется ли VCDPA к некоммерческим организациям? Нет. Некоммерческие организации явно освобождены от требований VCDPA [10].
В: Может ли потребитель из Вирджинии подать иск против моего бизнеса напрямую в соответствии с VCDPA? Нет. VCDPA не имеет частного права на иск. Только Генеральный прокурор Вирджинии может инициировать действия по обеспечению соблюдения [8].
В: Каков срок для ответа на запрос прав потребителей? Бизнесы должны ответить в течение 45 дней с момента получения проверяемого запроса. Разрешено одноразовое продление на 45 дней, если бизнес уведомляет потребителя о задержке и причине [9].
В: Охватываются ли данные сотрудников VCDPA? Данные сотрудников, обрабатываемые в контексте трудовых отношений, освобождены от VCDPA. Однако это освобождение узко трактуется и не охватывает все смежные с HR использования данных [1].
В: Что считается "продажей" личных данных в соответствии с VCDPA? VCDPA определяет "продажу" как обмен личными данными за денежное вознаграждение. В отличие от CCPA, это не распространяется на немонетарное ценное вознаграждение, что является значительным отличием для рекламных технологий [5].
В: Нужен ли мне Офицер по защите данных в соответствии с VCDPA? Нет. VCDPA не требует назначения Офицера по защите данных, в отличие от GDPR [7].
В: Что изменилось с SB 338 в 2026 году? SB 338, вступающий в силу 1 июля 2026 года, запрещает продажу точных данных геолокации, добавляя новое категориальное ограничение помимо общего механизма отказа, который ранее регулировал такие данные [2][3].
В: Как VCDPA определяет "точную геолокацию"? Точная геолокация означает данные, полученные с помощью технологий, которые определяют местоположение потребителя в радиусе 1,750 футов или менее [10].
В: Требуются ли оценки защиты данных для всех видов обработки? Нет. Оценки требуются только для высокорисковой обработки: таргетированной рекламы, продажи данных, обработки чувствительных данных, профилирования с юридическими/значительными последствиями и обработки, представляющей повышенный риск вреда [1][9].
В: Что происходит, если потребитель обжалует отклоненный запрос? Бизнес должен завершить рассмотрение апелляции в течение 60 дней и уведомить потребителя о результате. Если апелляция отклонена, бизнес должен предоставить информацию о том, как потребитель может связаться с Генеральным прокурором [8].
Интерактивный проверщик порогов соблюдения VCDPA
Ссылки
[1] Руководство по Закону о защите данных потребителей Вирджинии - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Вирджиния расширяет VCDPA с запретом на продажу точных данных геолокации - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA изменен - https://www.cblaw.com/vcdpa-amended
[4] VCDPA Вирджинии - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Закон о защите данных потребителей Вирджинии (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] Процесс внесения поправок в VCDPA завершен: текст окончательно утвержден перед датой вступления в силу 1 января - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Руководство по законам о конфиденциальности данных потребителей: Вирджиния - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Резюме Закона о защите данных потребителей Вирджинии - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] Обзор VCDPA - https://termly.io/resources/articles/vcdpa/
[10] Кодекс Вирджинии, Раздел 59.1, Глава 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/