Rýchla odpoveď: Zákon o ochrane údajov spotrebiteľov vo Virgínii (VCDPA) je komplexný štátny zákon o ochrane súkromia, ktorý nadobudol účinnosť 1. januára 2023 a vyžaduje od podnikov, ktoré spĺňajú konkrétne prahy príjmu alebo spracovania údajov, aby rešpektovali práva spotrebiteľov na osobné údaje. Podniky na východnom pobreží, aj tie, ktoré majú sídlo mimo Virgínie, musia dodržiavať zákon, ak obsluhujú obyvateľov Virgínie vo veľkom. Od 1. júla 2026 bol zákon ďalej posilnený zákazom predaja presných údajov o geolokácii podľa SB 338.
Kľúčové poznatky
- VCDPA sa vzťahuje na akékoľvek podniky, ktoré kontrolujú alebo spracovávajú údaje viac ako 100 000 spotrebiteľov vo Virgínii ročne, alebo viac ako 25 000 spotrebiteľov, ak 50 % alebo viac príjmov pochádza z predaja osobných údajov.
- Spotrebitelia vo Virgínii majú šesť základných práv: prístup, oprava, vymazanie, prenosnosť, odhlásenie sa z cielenej reklamy/predaja/profilovania a právo na odvolanie zamietnutej žiadosti.
- Generálny prokurátor Virgínie má výhradnú právomoc na vymáhanie; pod VCDPA neexistuje súkromné právo na žalobu.
- Občianske sankcie môžu dosiahnuť 7 500 dolárov za úmyselné porušenie, s 30-dňovou lehotou na nápravu (ktorá zaniká po 1. januári 2026).
- Od 1. júla 2026 SB 338 zakazuje predaj presných údajov o geolokácii, čo pridáva významnú novú povinnosť pre brokerov údajov a spoločnosti v oblasti reklamy.
- Kategórie citlivých údajov (biometrické, zdravotné, rasový/etnický pôvod, presná geolokácia atď.) vyžadujú explicitný súhlas pred spracovaním.
- Na rozdiel od GDPR, VCDPA nevyžaduje právny základ na spracovanie všeobecných osobných údajov, ale vyžaduje hodnotenia ochrany údajov pre činnosti s vysokým rizikom.
- Malé podniky pod prahmi sú oslobodené, ale tie, ktoré spracovávajú citlivé údaje alebo predávajú osobné údaje, by mali starostlivo preskúmať svoje vystavenie.
- Platforma na správu súhlasov, ako je Biscotti CMP, môže pomôcť automatizovať spracovanie signálov na odhlásenie a záznamy o súhlase.
- Zásady ochrany osobných údajov musia jasne zverejniť kategórie údajov, ktoré sa zbierajú, účely, zdieľanie s tretími stranami a všetky práva spotrebiteľov podľa VCDPA.
Čo je Zákon o ochrane údajov spotrebiteľov vo Virgínii a ako funguje
VCDPA je komplexný zákon o ochrane súkromia spotrebiteľov vo Virgínii, zakotvený v Titule 59.1, Kapitole 53 Zákonníka Virgínie, a nadobudol účinnosť 1. januára 2023 [10]. Stanovuje rámec práv spotrebiteľov a zodpovedajúcich povinností podnikov, ktorý je voľne modelovaný na GDPR EÚ, hoci s pozoruhodnými štrukturálnymi rozdielmi prispôsobenými americkému obchodnému kontextu.
Zákon funguje na modeli kontrolóra-spracovateľa. Kontrolóri (subjekty, ktoré určujú účel a prostriedky spracovania) nesú primárnu zodpovednosť za dodržiavanie predpisov. Spracovatelia (dodávatelia, ktorí spracovávajú údaje v mene kontrolóra) musia fungovať na základe zmluvy o spracovaní údajov a dodržiavať písomné pokyny kontrolóra [1].
Kľúčové mechanizmy zahŕňajú:
- Povinnú odpoveď na žiadosti o práva spotrebiteľov do 45 dní (predĺžiteľné o ďalších 45 dní s oznámením)
- Povinné hodnotenia ochrany údajov pre spracovanie, ktoré predstavuje zvýšené riziko
- Zmluvné povinnosti medzi kontrolórmi a spracovateľmi
- Vyžaduje sa súhlas na spracovanie citlivých údajov; práva na odhlásenie sa z cielenej reklamy a predaja údajov [8]
Kedy nadobúda VCDPA účinnosť pre podniky
VCDPA nadobudol účinnosť 1. januára 2023 pre všetky pokryté podniky [5]. Nebolo zavedené postupné zavádzanie podľa veľkosti podniku, na rozdiel od CPRA v Kalifornii. Ak podnik splnil prahy k tomuto dátumu alebo po ňom, dodržiavanie bolo okamžite požadované.
Najnovšia novela, SB 338, pridala zákaz predaja presných údajov o geolokácii, účinný 1. júla 2026 [2][3]. To znamená, že podniky, ktoré monetizujú údaje o polohe, vrátane brokerov údajov, reklamných sietí a vydavateľov mobilných aplikácií obsluhujúcich spotrebiteľov vo Virgínii, čelili novému pevnému termínu tento rok.
Kto musí dodržiavať požiadavky VCDPA vo Virgínii
VCDPA sa vzťahuje na ziskové subjekty, ktoré vykonávajú podnikanie vo Virgínii alebo produkujú produkty/služby zamerané na obyvateľov Virgínie a spĺňajú aspoň jednu z dvoch podmienok [8][10]:
| Prah | Podmienka |
|---|---|
| Na základe objemu | Kontrolujú alebo spracovávajú údaje viac ako 100 000 spotrebiteľov vo Virgínii za kalendárny rok |
| Na základe príjmu | Kontrolujú alebo spracovávajú údaje viac ako 25 000 spotrebiteľov A ZÍSKAJÚ 50 % alebo viac hrubého príjmu z predaja osobných údajov |
Oslobodené subjekty a typy údajov zahŕňajú:
- Neziskové organizácie
- Vysoké školy a univerzity
- Finančné inštitúcie podliehajúce GLBA
- Subjekty a obchodní partneri pokrývaní HIPAA (pre údaje regulované HIPAA)
- Vládne subjekty
- Údaje o zamestnancoch a B2B kontaktné údaje (v kontexte zamestnania alebo obchodných transakcií)
Zákon nevyžaduje fyzickú prítomnosť vo Virgínii. E-commerce spoločnosť so sídlom v New Yorku, poskytovateľ SaaS v Massachusetts alebo marketingová agentúra na Floride môžu všetky spadať pod pôsobnosť, ak spracovávajú údaje spotrebiteľov vo Virgínii v požadovanom objeme [1].
Platí VCDPA pre moju firmu, ak nie som vo Virgínii
Áno, geografická poloha podniku nie je relevantná. Rozsah VCDPA je určený miestom, kde sa nachádzajú spotrebitelia, nie miestom, kde podnik pôsobí [7]. Akýkoľvek podnik na východnom pobreží s významnou zákazníckou základňou vo Virgínii by mal posúdiť svoje objemy údajov v porovnaní s vyššie uvedenými prahmi.
Praktický príklad: E-commerce predajca so sídlom v Baltimore, ktorý predáva 150 000 zákazníkom ročne, z ktorých významná časť sú obyvatelia Virgínie, pravdepodobne prekročí prah 100 000 spotrebiteľov a musí dodržiavať.
Aké údaje VCDPA skutočne chráni a pokrýva
VCDPA pokrýva osobné údaje, definované ako akékoľvek informácie, ktoré sú spojené alebo rozumne spojiteľné s identifikovanou alebo identifikovateľnou fyzickou osobou [10]. To vylučuje de-identifikované údaje a verejne dostupné informácie.
Citlivé údaje sú osobitná, vyššia kategória ochrany, ktorá vyžaduje súhlas pred spracovaním [8]:
- Rasový alebo etnický pôvod
- Náboženské presvedčenia
- Diagnózy duševného alebo fyzického zdravia
- Sexuálna orientácia alebo rodová identita
- Imigračný status
- Genetické alebo biometrické údaje spracovávané na jedinečnú identifikáciu
- Osobné údaje známeho dieťaťa (do 13 rokov)
- Presné údaje o geolokácii (a od 1. júla 2026 takéto údaje nemožno predávať vôbec) [2]
Aké sú hlavné povinnosti pre podniky podľa VCDPA
Kontrolóri musia splniť šesť kategórií povinností podľa VCDPA vo Virgínii: Čo potrebujú vedieť podniky na východnom pobreží o ochrane údajov začína tu v praktických termínoch.
- Transparentnosť: Poskytnúť rozumne prístupné, jasné oznámenie o ochrane súkromia, ktoré zverejňuje kategórie údajov, účely spracovania, zdieľanie s tretími stranami a práva spotrebiteľov [7].
- Plnenie práv spotrebiteľov: Odpovedať na žiadosti o prístup, opravu, vymazanie, prenosnosť a odhlásenie sa do 45 dní.
- Obmedzenie účelu: Zhromažďovať iba údaje, ktoré sú primerané a relevantné k zverejnenému účelu.
- Bezpečnosť údajov: Implementovať primerané administratívne, technické a fyzické ochranné opatrenia.
- Nediskriminácia: Nepopierať tovary/služby alebo neúčtovať rôzne ceny len preto, že spotrebiteľ uplatnil právo na ochranu súkromia.
- Hodnotenia ochrany údajov: Vykonávať a dokumentovať hodnotenia pre cielenej reklamu, predaj údajov, spracovanie citlivých údajov, profilovanie s právnymi/znateľnými účinkami a určité činnosti s vysokým rizikom [1][9].
Kontrolóri musia tiež rešpektovať univerzálne mechanizmy odhlásenia (ako sú signály Global Privacy Control na úrovni prehliadača) pre cielenej reklamu a predaj údajov, čo je požiadavka zavedená v rámci noviel Virgínie [6].
Aké sú práva spotrebiteľov podľa VCDPA, ktoré musia podniky podporovať
Spotrebitelia vo Virgínii majú šesť vykonateľných práv [8][10]:
- Právo na prístup: Potvrdiť, či sú ich údaje spracovávané a získať kópiu.
- Právo na opravu: Opraviť nepresnosti vo svojich osobných údajoch.
- Právo na vymazanie: Požiadať o vymazanie osobných údajov, ktoré poskytli alebo ktoré boli o nich zhromaždené.
- Právo na prenosnosť údajov: Získať prenosnú kópiu v ľahko použiteľnom formáte.
- Právo na odhlásenie: Odhlásiť sa z cielenej reklamy, predaja osobných údajov a profilovania pre rozhodnutia s právnymi alebo významnými účinkami.
- Právo na odvolanie: Ak podnik zamietne žiadosť, spotrebitelia môžu odvolať a podnik musí odpovedať do 60 dní od odvolania.
Podniky musia poskytnúť aspoň dva spôsoby na podávanie žiadostí (napr. webový formulár a bezplatné číslo alebo e-mailovú adresu) [9].
Aké sú náklady na porušenia dodržiavania VCDPA v pokutách a sankciách
Generálny prokurátor Virgínie môže uložiť občianske pokuty až do 7 500 dolárov za úmyselné porušenie a až do 2 500 dolárov za neúmyselné porušenie [8][10]. Sankcie môžu tiež zahŕňať nápravné opatrenia a poplatky za právne služby.
Kriticky, VCDPA pôvodne obsahoval 30-dňovú lehotu na nápravu, počas ktorej mohli podniky opraviť porušenia pred uložením sankcií. Avšak táto lehota zanikla 1. januára 2026, čo znamená, že generálny prokurátor má teraz právomoc uplatniť vymáhanie bez ponuky nápravy [6].
Neexistuje súkromné právo na žalobu, takže jednotliví spotrebitelia nemôžu žalovať podniky priamo na základe VCDPA. Vymáhanie je výhradne prostredníctvom Úradu generálneho prokurátora.
Ako sa VCDPA líši od CCPA a aký je rozdiel od GDPR pre podniky na východnom pobreží
Pochopenie VCDPA vo Virgínii: Čo potrebujú vedieť podniky na východnom pobreží o ochrane údajov si vyžaduje umiestnenie do porovnávacieho kontextu.
| Funkcia | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Súkromné právo na žalobu | Nie | Obmedzené (úniky údajov) | Áno (členské štáty sa líšia) |
| Súhlas na spracovanie citlivých údajov | Áno | Nie (model odhlásenia) | Áno |
| Lehota na nápravu | Zanikla január 2026 | Zanikla január 2023 | Neplatí |
| Maximálna pokuta za porušenie | 7 500 dolárov | 7 500 dolárov | Až 4 % globálnych príjmov |
| Hodnotenia ochrany údajov | Povinné (vysoké riziko) | Povinné (vysoké riziko) | Povinné (DPIA) |
| Právny základ na spracovanie | Nie je potrebný (všeobecné údaje) | Nie je potrebný | Povinný (6 zákonných základov) |
Kľúčový poznatok pre podniky na východnom pobreží: VCDPA je menej zaťažujúci ako GDPR z hľadiska požiadaviek na právny základ, ale je predpisovejší ako pôvodný CCPA, pokiaľ ide o súhlas s citlivými údajmi. Podniky, ktoré už dodržiavajú GDPR, zistia, že prispôsobenie VCDPA je zvládnuteľné; tie, ktoré sú oboznámené iba s CCPA, musia prispôsobiť svoje pracovné postupy pre citlivé údaje.
Musia malé podniky dodržiavať VCDPA vo Virgínii
Malé podniky pod prahmi 100 000 spotrebiteľov alebo 25 000 spotrebiteľov plus príjmy nemusia dodržiavať VCDPA [10]. Toto je významné oslobodenie, ktoré odlišuje zákon vo Virgínii od niektorých medzinárodných rámcov.
Avšak "malé" je relatívne. Niche SaaS nástroj s 110 000 bezplatnými používateľmi vo Virgínii prekračuje objemový prah bez ohľadu na príjmy. Podniky by mali:
- Ročne audítovať skutočné objemy údajov spotrebiteľov
- Sledovať, či predaj údajov predstavuje 50 % alebo viac príjmu
- Znovu posúdiť prahy, keď sa podnik rozširuje
Aj oslobodené podniky majú prospech z budovania praktík orientovaných na ochranu súkromia už na začiatku, pretože dodatočné prispôsobenie dodržiavania je zvyčajne drahšie ako proaktívny dizajn.
Aké sú bežné chyby, ktoré podniky robia pri dodržiavaní VCDPA
1. Nesprávne klasifikovanie spracovateľov ako kontrolórov (alebo naopak). Dodávatelia, ktorí robia nezávislé rozhodnutia o použití údajov, sú kontrolóri, nie spracovatelia. Nesprávna klasifikácia vedie k nedostatočným zmluvným ochranám a neadresovaným povinnostiam.
2. Ignorovanie univerzálnych signálov na odhlásenie. Mnohé podniky vytvorili toky na odhlásenie iba pre manuálne žiadosti, pričom prehliadli požiadavku rešpektovať signály na úrovni prehliadača, ako je Global Privacy Control [6].
3. Zlyhanie pri aktualizácii zmlúv o spracovaní údajov. VCDPA vyžaduje konkrétne zmluvné ustanovenia medzi kontrolórmi a spracovateľmi. Generické zmluvy s dodávateľmi ich často nemajú [1].
4. Zaobchádzanie s citlivými údajmi ako s všeobecnými osobnými údajmi. Spracovanie biometrických, zdravotných alebo presných údajov o geolokácii bez súhlasu je osobitným porušením, nie len procedurálnou medzerou.
5. Predpokladanie, že lehota na nápravu sa stále uplatňuje. S lehotou na nápravu, ktorá zanikla v januári 2026, sa podniky už nemôžu spoliehať na okno na opravu pred vymáhaním [6].
6. Vynechanie mechanizmu odvolania. Mnohé zásady ochrany osobných údajov a pracovné toky žiadostí postrádajú zdokumentovaný proces odvolania, čo je požadovaný prvok podľa VCDPA [9].
Ako audítovať svoju firmu na pripravenosť na VCDPA
Audít pripravenosti na VCDPA by mal pokrývať päť oblastí:
- Hodnotenie prahu: Mapovať všetky toky údajov spotrebiteľov vo Virgínii a vypočítať ročné objemy spracovania v porovnaní so zákonnými prahmi.
- Inventár údajov: Katalogizovať všetky kategórie osobných údajov, ktoré sa zbierajú, ich zdroje, účely, obdobia uchovávania a tretie strany, ktorým sa zdieľajú.
- Prehľad citlivých údajov: Identifikovať akékoľvek kategórie citlivých údajov a potvrdiť, že súhlasové mechanizmy sú na mieste.
- Infrastruktúra práv: Testovať všetky šesť pracovných tokov práv spotrebiteľov od začiatku do konca, vrátane procesu odvolania.
- Zmluvy s dodávateľmi: Preskúmať všetky zmluvy so spracovateľmi na požadované ustanovenia VCDPA (pokyny na spracovanie, dôvernosť, kontroly subdodávateľov, práva na audit) [7].
Pre podniky, ktoré spravujú súhlas naprieč viacerými digitálnymi dotykovými bodmi, môže platforma na správu súhlasov, ako je Biscotti CMP, centralizovať spracovanie signálov na odhlásenie a udržiavať audítovateľné záznamy o súhlase, čím podporuje dodržiavanie VCDPA a programy dodržiavania viacerých štátov.
Čo by mala moja politika ochrany osobných údajov obsahovať, aby bola v súlade s VCDPA
Politika ochrany osobných údajov v súlade s VCDPA musí zverejniť [8][9]:
- kategórie osobných údajov, ktoré sa spracovávajú
- účel spracovania každej kategórie
- Ako môžu spotrebitelia uplatniť svoje šesť práv, vrátane procesu odvolania
- Či sú osobné údaje predávané alebo používané na cielenej reklamu (s pokynmi na odhlásenie)
- kategórie tretích strán, s ktorými sa údaje zdieľajú
- Kontaktné informácie na podávanie žiadostí (aspoň dva spôsoby)
- Ak sa spracovávajú citlivé údaje, základ pre ich spracovanie (súhlas)
Politiky by mali byť napísané jednoduchým jazykom, byť rozumne prístupné (výrazne prepojené na webových stránkach a aplikáciách) a mali by sa aktualizovať vždy, keď sa materiálne zmenia praktiky spracovania údajov.
Záver a akčné kroky
VCDPA vo Virgínii predstavuje jeden z najsubstantívnejších štátnych rámcov ochrany súkromia v Spojených štátoch a pridanie zákazu predaja presných údajov o geolokácii v júli 2026 naznačuje, že zákonodarcovia Virgínie majú v úmysle naďalej ho posilňovať. Pre podniky na východnom pobreží znamená extraterritoriálny dosah zákona, že geografia nie je obranou, objem údajov a účel spracovania určujú vystavenie.
Akčné kroky na rok 2026:
- Vykonajte analýzu prahu voči aktuálnym objemom údajov spotrebiteľov vo Virgínii pred koncom roka.
- Audítujte všetky pracovné toky citlivých údajov, najmä tie, ktoré sa týkajú presnej geolokácie, biometrických alebo zdravotných údajov, na dodržiavanie súhlasu.
- Potvrďte, že vaša politika ochrany osobných údajov obsahuje všetky šesť práv spotrebiteľov a zdokumentovaný mechanizmus odvolania.
- Preskúmajte zmluvy so spracovateľmi na požadované zmluvné ustanovenia VCDPA.
- Implementujte alebo overte spracovanie univerzálnych signálov na odhlásenie (Global Privacy Control) naprieč vašimi digitálnymi vlastnosťami.
- Zvážte riešenie na správu súhlasov, ako je Biscotti CMP, na automatizáciu zbierania súhlasov, spracovania signálov na odhlásenie a dokumentácie dodržiavania.
- Naplánujte ročné opätovné posúdenia prahov, keď sa váš podnik rozširuje.
Lehota na nápravu je preč. Vymáhanie je aktívne. Podniky, ktoré považujú dodržiavanie VCDPA za jednorazovú úlohu, a nie za prebiehajúcu prevádzkovú disciplínu, čelí najväčšiemu riziku.
FAQ
Q: Platí VCDPA pre neziskové organizácie? Nie. Neziskové organizácie sú výslovne oslobodené od požiadaviek VCDPA [10].
Q: Môže spotrebiteľ vo Virgínii žalovať moju firmu priamo na základe VCDPA? Nie. VCDPA nemá súkromné právo na žalobu. Iba generálny prokurátor Virgínie môže podávať vymáhacie akcie [8].
Q: Aký je termín na odpoveď na žiadosť o práva spotrebiteľov? Podniky musia odpovedať do 45 dní od prijatia overiteľnej žiadosti. Jednorazové predĺženie o 45 dní je povolené, ak podnik oznámi spotrebiteľovi oneskorenie a dôvod [9].
Q: Sú údaje zamestnancov pokryté VCDPA? Údaje zamestnancov spracovávané v kontexte zamestnania sú podľa VCDPA oslobodené. Avšak toto oslobodenie je úzko vykladané a nepokrýva všetky použitia údajov súvisiacich s HR [1].
Q: Čo sa považuje za "predaj" osobných údajov podľa VCDPA? VCDPA definuje "predaj" ako výmenu osobných údajov za peňažnú protihodnotu. Na rozdiel od CCPA sa nevzťahuje na nepeňažné hodnotné protihodnoty, čo je významný rozdiel pre dohody v oblasti reklamy [5].
Q: Potrebujem pod VCDPA povereného pracovníka na ochranu údajov? Nie. VCDPA nevyžaduje vymenovanie povereného pracovníka na ochranu údajov, na rozdiel od GDPR [7].
Q: Čo sa zmenilo s SB 338 v roku 2026? SB 338, účinný od 1. júla 2026, zakazuje predaj presných údajov o geolokácii, čím pridáva novú kategorizovanú obmedzenie nad rámec všeobecného rámca odhlásenia, ktorý predtým upravoval takéto údaje [2][3].
Q: Ako VCDPA definuje "presnú geolokáciu"? Presná geolokácia znamená údaje získané z technológie, ktorá identifikuje polohu spotrebiteľa v okruhu 1 750 stôp alebo menej [10].
Q: Sú hodnotenia ochrany údajov požadované pre všetky spracovateľské činnosti? Nie. Hodnotenia sú požadované iba pre spracovanie s vysokým rizikom: cielenej reklama, predaj údajov, spracovanie citlivých údajov, profilovanie s právnymi/znateľnými účinkami a spracovanie, ktoré predstavuje zvýšené riziko poškodenia [1][9].
Q: Čo sa stane, ak spotrebiteľ odvolá zamietnutú žiadosť? Podnik musí dokončiť preskúmanie odvolania do 60 dní a informovať spotrebiteľa o výsledku. Ak je odvolanie zamietnuté, podnik musí poskytnúť informácie o tom, ako môže spotrebiteľ kontaktovať generálneho prokurátora [8].
Interaktívny kontrolór prahu dodržiavania VCDPA
Odkazy
[1] Sprievodca Zákonom o ochrane údajov spotrebiteľov vo Virgínii - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virgínia rozširuje VCDPA so zákazom predaja presných údajov o geolokácii - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA novelizovaný - https://www.cblaw.com/vcdpa-amended
[4] Virgínsky CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Zákon o ochrane údajov spotrebiteľov vo Virgínii (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] Proces novely VCDPA dokončený: Text finalizovaný pred účinnosťou 1. januára - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Sprievodca zákonom o ochrane údajov spotrebiteľov: Virgínia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Zhrnutie Zákona o ochrane údajov spotrebiteľov vo Virgínii - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] Prehľad VCDPA - https://termly.io/resources/articles/vcdpa/
[10] Zákonník Virgínie, Titul 59.1, Kapitola 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/