Vilken data skyddar och omfattar VCDPA faktiskt

USA-rätt & CCPA

Virginias VCDPA: Vad företag på östkusten behöver veta om dataskydd

7 juli 2026 · 15 min läsning

Snabbt svar: Virginias Consumer Data Protection Act (VCDPA) är en omfattande delstatlig dataskyddslag som trädde i kraft den 1 januari 2023, och som kräver att företag som uppfyller specifika intäkts- eller databehandlingströsklar respekterar konsumenters rättigheter över personlig data. Företag på östkusten, även de med huvudkontor utanför Virginia, måste följa lagen om de betjänar invånare i Virginia i stor skala. Från och med den 1 juli 2026 förstärktes lagen ytterligare med ett förbud mot försäljning av exakt geolokationsdata enligt SB 338.

Viktiga punkter

VCDPA gäller för alla företag som kontrollerar eller behandlar data från 100 000+ konsumenter i Virginia årligen, eller 25 000+ konsumenter om 50 % eller mer av intäkterna kommer från försäljning av personlig data.
Konsumenter i Virginia har sex grundläggande rättigheter: tillgång, rättelse, radering, portabilitet, avregistrering från riktad reklam/försäljning/profilering, och rätten att överklaga en nekad begäran.
Virginias justitieminister har exklusiv verkställighetsmyndighet; det finns ingen privat rätt att väcka talan enligt VCDPA.
Civila påföljder kan uppgå till $7 500 per avsiktlig överträdelse, med en 30-dagars botperiod (som upphör efter den 1 januari 2026).
Från och med den 1 juli 2026 förbjuder SB 338 försäljning av exakt geolokationsdata, vilket lägger en betydande ny skyldighet på datamäklare och annonsföretag.
Kategorier av känslig data (biometrisk, hälsa, ras/etniskt ursprung, exakt geolokation, etc.) kräver uttryckligt samtycke innan behandling.
Till skillnad från GDPR kräver VCDPA ingen rättslig grund för behandling av allmän personlig data, men det kräver dataskyddsvärderingar för hög-riskaktiviteter.
Små företag under trösklarna är undantagna, men de som behandlar känslig data eller säljer personlig data bör noggrant granska sin exponering.
En samtyckeshanteringsplattform som Biscotti CMP kan hjälpa till att automatisera hanteringen av avregistreringssignaler och samtyckesregister.
Integritetspolicyer måste tydligt avslöja datakategorier som samlas in, syften, delning med tredje part och alla konsumenträttigheter enligt VCDPA.

Vad är Virginias Consumer Data Protection Act och hur fungerar den

VCDPA är Virginias omfattande lag om konsumenters integritet, kodifierad i Title 59.1, Chapter 53 i Virginias lagbok, och trädde i kraft den 1 januari 2023 [10]. Den etablerar en ram för konsumenträttigheter och motsvarande företagsåtaganden som löst modellerats efter EU:s GDPR, men med anmärkningsvärda strukturella skillnader anpassade till en amerikansk kommersiell kontext.

Lagen fungerar enligt en controller-processor-modell. Controllers (enheter som bestämmer syftet och medlen för behandling) bär den primära efterlevnadsbördan. Processors (leverantörer som hanterar data på uppdrag av en controller) måste verka under ett databehandlingsavtal och följa controllerns dokumenterade instruktioner [1].

Nyckelmekanismer inkluderar:

Obligatoriskt svar på konsumenters rättighetsbegärningar inom 45 dagar (kan förlängas med ytterligare 45 dagar med meddelande)
Obligatoriska dataskyddsvärderingar för behandling som innebär ökad risk
Kontraktliga skyldigheter mellan controllers och processors
Opt-in samtycke krävs för känslig data; avregistreringsrättigheter för riktad reklam och dat försäljning [8]

När träder VCDPA i kraft för företag

VCDPA trädde i kraft den 1 januari 2023 för alla berörda företag [5]. Det fanns ingen gradvis implementering baserat på företagsstorlek, till skillnad från Kaliforniens CPRA. Om ett företag uppfyllde trösklarna den dagen eller senare, var efterlevnad omedelbart nödvändig.

Den senaste ändringen, SB 338, lade till ett förbud mot försäljning av exakt geolokationsdata, som träder i kraft den 1 juli 2026 [2][3]. Detta innebär att företag som tjänar pengar på platsdata, inklusive datamäklare, annonsnätverk och mobilapputgivare som betjänar konsumenter i Virginia, står inför en ny hård deadline i år.

Vilka måste följa Virginias VCDPA-krav

VCDPA gäller för vinstdrivande enheter som bedriver verksamhet i Virginia eller producerar produkter/tjänster riktade till invånare i Virginia och uppfyller minst en av två trösklar [8][10]:

Tröskel	Villkor
Volymbaserad	Kontrollerar eller behandlar data från 100 000+ konsumenter i Virginia per kalenderår
Intäktsbaserad	Kontrollerar eller behandlar data från 25 000+ konsumenter OCH får 50 %+ av bruttointäkterna från försäljning av personlig data

Undantagna enheter och datatyper inkluderar:

Ideella organisationer
Högskolor och universitet
Finansiella institutioner som omfattas av GLBA
HIPAA-omfattade enheter och affärspartner (för HIPAA-reglerad data)
Offentliga enheter
Anställdas och B2B-kontaktdat (i samband med anställning eller kommersiella transaktioner)

Lagen kräver inte fysisk närvaro i Virginia. Ett e-handelsföretag baserat i New York, en SaaS-leverantör i Massachusetts eller en marknadsföringsbyrå i Florida kan alla falla inom tillämpningsområdet om de behandlar konsumentdata från Virginia i den erforderliga volymen [1].

Gäller VCDPA för mitt företag om jag inte är i Virginia

Ja, företagets geografiska läge är irrelevant. VCDPA:s tillämpningsområde bestäms av var konsumenterna är belägna, inte var företaget verkar [7]. Alla företag på östkusten med en betydande kundbas i Virginia bör bedöma sina datavolymer mot ovanstående trösklar.

Praktiskt exempel: En e-handelsåterförsäljare baserad i Baltimore som säljer till 150 000 kunder årligen, en betydande del av dem är invånare i Virginia, överskrider sannolikt tröskeln på 100 000 konsumenter och måste följa lagen.

Vilken data skyddar och omfattar VCDPA faktiskt

VCDPA omfattar personlig data, definierad som all information som är kopplad eller rimligt kopplad till en identifierad eller identifierbar fysisk person [10]. Detta utesluter deidentifierad data och offentligt tillgänglig information.

Känslig data är en distinkt, högre skyddad kategori som kräver opt-in samtycke innan behandling [8]:

Ras eller etniskt ursprung
Religiösa övertygelser
Diagnoser av psykisk eller fysisk hälsa
Sexuell läggning eller könsidentitet
Immigrationsstatus
Genetisk eller biometrisk data som behandlas för unik identifiering
Personlig data om ett känt barn (under 13 år)
Exakt geolokationsdata (och från och med den 1 juli 2026 får sådan data inte säljas alls) [2]

Vilken data skyddar och omfattar VCDPA faktiskt

Vilka är de viktigaste skyldigheterna för företag enligt VCDPA

Controllers måste uppfylla sex kategorier av skyldigheter enligt Virginias VCDPA: Vad företag på östkusten behöver veta om dataskydd börjar här i praktiska termer.

Transparens: Tillhandahålla en rimligt tillgänglig, tydlig integritetspolicy som avslöjar datakategorier, behandlingssyften, delning med tredje part och konsumenträttigheter [7].
Uppfyllande av konsumenträttigheter: Svara på begärningar om tillgång, rättelse, radering, portabilitet och avregistrering inom 45 dagar.
Syftesbegränsning: Samla endast in data som är adekvat och relevant för det avslöjade syftet.
Datasäkerhet: Implementera rimliga administrativa, tekniska och fysiska skyddsåtgärder.
Icke-diskriminering: Vägra inte varor/tjänster eller ta ut olika priser enbart för att en konsument har utövat en integritetsrätt.
Dataskyddsvärderingar: Genomföra och dokumentera värderingar för riktad reklam, dat försäljning, behandling av känslig data, profilering med juridiska/betydande effekter och vissa hög-riskaktiviteter [1][9].

Controllers måste också respektera universella avregistreringsmekanismer (såsom webbläsarbaserade Global Privacy Control-signaler) för riktad reklam och dat försäljning, ett krav som infördes under Virginias ändringar [6].

Vilka är konsumenternas rättigheter enligt VCDPA som företag måste stödja

Konsumenter i Virginia har sex verkställbara rättigheter [8][10]:

Rätt till tillgång: Bekräfta om deras data behandlas och få en kopia.
Rätt till rättelse: Korrigera felaktigheter i deras personliga data.
Rätt till radering: Begära radering av personlig data de har tillhandahållit eller som har samlats in om dem.
Rätt till dataportabilitet: Ta emot en portabel kopia i ett lättanvänt format.
Rätt att avregistrera sig: Avregistrera sig från riktad reklam, försäljning av personlig data och profilering för beslut med juridiska eller betydande effekter.
Rätt att överklaga: Om ett företag nekar en begäran kan konsumenten överklaga, och företaget måste svara inom 60 dagar efter överklagandet.

Företag måste tillhandahålla minst två metoder för att skicka in begärningar (t.ex. ett webbformulär och ett avgiftsfritt nummer eller e-postadress) [9].

Hur mycket kostar överträdelser av VCDPA i böter och påföljder

Virginias justitieminister kan ålägga civila påföljder på upp till $7 500 per avsiktlig överträdelse och upp till $2 500 per oavsiktlig överträdelse [8][10]. Påföljder kan också inkludera förbud och advokatkostnader.

Kritiskt nog inkluderade VCDPA ursprungligen en 30-dagars botperiod, där företag kunde åtgärda överträdelser innan påföljder ålades. Emellertid upphörde den botperioden den 1 januari 2026, vilket innebär att justitieministern nu har möjlighet att driva verkställighet utan att erbjuda en möjlighet till bot [6].

Det finns ingen privat rätt att väcka talan, så enskilda konsumenter kan inte stämma företag direkt enligt VCDPA. Verkställighet sker uteslutande genom justitieministerens kontor.

Hur skiljer sig VCDPA från CCPA och vad är skillnaden från GDPR för företag på östkusten

Att förstå Virginias VCDPA: Vad företag på östkusten behöver veta om dataskydd kräver att man placerar den i ett jämförande sammanhang.

Funktion	VCDPA	CCPA/CPRA	GDPR
Privat rätt att väcka talan	Nej	Begränsad (dataintrång)	Ja (medlemsstater varierar)
Opt-in för känslig data	Ja	Nej (opt-out-modell)	Ja
Botperiod	Utebliven jan 2026	Utebliven jan 2023	Inte tillämplig
Maximal påföljd per överträdelse	$7 500	$7 500	Upp till 4 % av global intäkt
Dataskyddsvärderingar	Obligatoriska (hög-risk)	Obligatoriska (hög-risk)	Obligatoriska (DPIA)
Rättslig grund för behandling	Inte nödvändig (allmän data)	Inte nödvändig	Nödvändig (6 lagliga grunder)

Viktig slutsats för företag på östkusten: VCDPA är mindre betungande än GDPR när det gäller krav på rättslig grund, men mer preskriptiv än den ursprungliga CCPA när det gäller samtycke för känslig data. Företag som redan följer GDPR kommer att finna anpassningen till VCDPA hanterbar; de som endast är bekanta med CCPA behöver justera sina arbetsflöden för känslig data.

Måste små företag följa Virginias VCDPA

Små företag under trösklarna på 100 000 konsumenter eller 25 000 konsumenter plus intäkter är inte skyldiga att följa VCDPA [10]. Detta är ett betydande undantag som särskiljer Virginias lag från vissa internationella ramverk.

Men "små" är relativt. Ett nischat SaaS-verktyg med 110 000 gratisanvändare i Virginia överskrider volymtröskeln oavsett intäkter. Företag bör:

Granska faktiska konsumentdatavolymer årligen
Spåra om dat försäljning utgör 50 %+ av intäkterna
Ompröva trösklarna i takt med att företaget växer

Även undantagna företag har nytta av att bygga integritetsinriktade metoder tidigt, eftersom efterlevnad av retroaktiva åtgärder konsekvent är dyrare än proaktiv design.

Vilka är vanliga misstag företag gör med VCDPA-efterlevnad

1. Felklassificera processors som controllers (eller vice versa). Leverantörer som fattar oberoende beslut om databruk är controllers, inte processors. Felklassificering leder till otillräckligt avtalsmässigt skydd och oadresserade skyldigheter.

2. Ignorera universella avregistreringssignaler. Många företag har byggt avregistreringsflöden endast för manuella begärningar och förbiser kravet att respektera webbläsarnivåsignaler som Global Privacy Control [6].

3. Misslyckas med att uppdatera databehandlingsavtal. VCDPA kräver specifika avtalsbestämmelser mellan controllers och processors. Generiska leverantörsavtal saknar ofta dessa [1].

4. Behandla känslig data som allmän personlig data. Behandling av biometrisk, hälsorelaterad eller exakt geolokationsdata utan opt-in samtycke är en distinkt överträdelse, inte bara ett proceduralt gap.

5. Anta att botperioden fortfarande gäller. Med botperioden som upphörde i januari 2026 kan företag inte längre förlita sig på en korrigeringsperiod innan verkställighetsåtgärder [6].

6. Utelämna överklagandemechanismen. Många integritetspolicyer och begärningsarbetsflöden saknar en dokumenterad överklagandeprocess, vilket är ett krav enligt VCDPA [9].

Hur gör jag en granskning av mitt företag för VCDPA-beredskap

En VCDPA-beredskapsgranskning bör täcka fem områden:

Tröskelbedömning: Kartlägga alla datavolymer från konsumenter i Virginia och beräkna årliga behandlingsvolymer mot de lagstadgade trösklarna.
Datainventering: Katalogisera alla kategorier av personlig data som samlas in, deras källor, syften, lagringsperioder och tredje part som mottar data.
Granskning av känslig data: Identifiera eventuella kategorier av känslig data och bekräfta att opt-in samtyckesmekanismer finns på plats.
Rättighetsinfrastruktur: Testa alla sex konsumenträttighetsarbetsflöden från början till slut, inklusive överklagandeprocessen.
Leverantörsavtal: Granska alla processoravtal för VCDPA-krav på avtalsbestämmelser (behandlingsinstruktioner, konfidentialitet, kontroller av underleverantörer, revisionsrättigheter) [7].

För företag som hanterar samtycke över flera digitala kontaktpunkter kan en samtyckeshanteringsplattform som Biscotti CMP centralisera hanteringen av avregistreringssignaler och upprätthålla reviderbara samtyckesregister, vilket stöder både VCDPA och efterlevnadsprogram i flera delstater.

Vad ska min integritetspolicy säga för att vara VCDPA-kompatibel

En VCDPA-kompatibel integritetspolicy måste avslöja [8][9]:

De kategorier av personlig data som behandlas
Syftet med behandlingen av varje kategori
Hur konsumenter kan utöva sina sex rättigheter, inklusive överklagandeprocessen
Om personlig data säljs eller används för riktad reklam (med instruktioner för avregistrering)
De kategorier av tredje parter som data delas med
Kontaktinformation för att skicka in begärningar (minst två metoder)
Om känslig data behandlas, grunden för detta (opt-in samtycke)

Policyer bör skrivas på klart språk, vara rimligt tillgängliga (länkade framträdande på webbplatser och appar) och uppdateras när datapraktiker förändras väsentligt.

Slutsats och handlingsbara nästa steg

Virginias VCDPA representerar en av de mest substantiella delstatliga integritetsramarna i USA, och tillägget av ett förbud mot försäljning av exakt geolokationsdata i juli 2026 signalerar att Virginias lagstiftare avser att fortsätta stärka den. För företag på östkusten innebär lagens extraterritoriella räckvidd att geografi inte är ett försvar, datavolym och behandlingssyfte avgör exponeringen.

Handlingsbara steg för 2026:

Genomför en tröskelanalys mot dina nuvarande datavolymer från konsumenter i Virginia före årsskiftet.
Granska alla arbetsflöden för känslig data, särskilt de som involverar exakt geolokation, biometrisk eller hälsodata, för att säkerställa efterlevnad av opt-in samtycke.
Bekräfta att din integritetspolicy inkluderar alla sex konsumenträttigheter och en dokumenterad överklagandemechanism.
Granska processoravtal för VCDPA-krav på avtalsbestämmelser.
Implementera eller verifiera hanteringen av universella avregistreringssignaler (Global Privacy Control) över dina digitala plattformar.
Överväg en samtyckeshanteringslösning som Biscotti CMP för att automatisera insamling av samtycke, bearbetning av avregistreringssignaler och efterlevnadsdokumentation.
Schemalägg årliga omprövningar av trösklarna i takt med att ditt företag växer.

Botperioden är borta. Verkställighet är aktiv. Företag som behandlar VCDPA-efterlevnad som en engångschecklista snarare än en pågående operativ disciplin står inför störst risk.

FAQ

Q: Gäller VCDPA för ideella organisationer? Nej. Ideella organisationer är uttryckligen undantagna från VCDPA:s krav [10].

Q: Kan en konsument i Virginia stämma mitt företag direkt enligt VCDPA? Nej. VCDPA har ingen privat rätt att väcka talan. Endast Virginias justitieminister kan väcka verkställighetsåtgärder [8].

Q: Vad är tidsfristen för att svara på en begäran om konsumenträttigheter? Företag måste svara inom 45 dagar efter att ha mottagit en verifierbar begäran. En engångsförlängning på 45 dagar är tillåten om företaget meddelar konsumenten om förseningen och orsaken [9].

Q: Är anställdas data omfattad av VCDPA? Anställdas data som behandlas i samband med anställning är undantagna enligt VCDPA. Detta undantag är dock snävt tolkad och omfattar inte alla HR-relaterade databruk [1].

Q: Vad räknas som "försäljning" av personlig data enligt VCDPA? VCDPA definierar "försäljning" som utbytet av personlig data mot monetär ersättning. Till skillnad från CCPA sträcker det sig inte till icke-monetär värdefull ersättning, vilket är en betydande skillnad för annons-tekniska arrangemang [5].

Q: Behöver jag en dataskyddsombud enligt VCDPA? Nej. VCDPA kräver inte utnämning av ett dataskyddsombud, till skillnad från GDPR [7].

Q: Vad ändrades med SB 338 2026? SB 338, som träder i kraft den 1 juli 2026, förbjuder försäljning av exakt geolokationsdata, vilket lägger till en ny kategorisk begränsning utöver den allmänna avregistreringsram som tidigare styrde sådan data [2][3].

Q: Hur definierar VCDPA "exakt geolokation"? Exakt geolokation betyder data som härstammar från teknik som identifierar en konsuments plats inom en radie av 1 750 fot eller mindre [10].

Q: Krävs dataskyddsvärderingar för alla behandlingsaktiviteter? Nej. Värderingar krävs endast för hög-riskbehandling: riktad reklam, dat försäljning, behandling av känslig data, profilering med juridiska/betydande effekter och behandling som innebär en ökad risk för skada [1][9].

Q: Vad händer om en konsument överklagar en nekad begäran? Företaget måste slutföra överklagandegranskningen inom 60 dagar och informera konsumenten om resultatet. Om överklagandet nekas måste företaget ge information om hur konsumenten kan kontakta justitieministern [8].