คำตอบด่วน: พระราชบัญญัติคุ้มครองข้อมูลผู้บริโภคของเวอร์จิเนีย (VCDPA) เป็นกฎหมายความเป็นส่วนตัวของรัฐที่ครอบคลุมซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2023 โดยกำหนดให้ธุรกิจที่มีรายได้หรือเกณฑ์การประมวลผลข้อมูลตามที่กำหนดต้องเคารพสิทธิของผู้บริโภคในข้อมูลส่วนบุคคล ธุรกิจในชายฝั่งตะวันออก แม้จะมีสำนักงานใหญ่ตั้งอยู่นอกเวอร์จิเนีย ต้องปฏิบัติตามหากให้บริการแก่ผู้อยู่อาศัยในเวอร์จิเนียในระดับที่มาก ตั้งแต่วันที่ 1 กรกฎาคม 2026 กฎหมายได้มีการเสริมสร้างเพิ่มเติมด้วยการห้ามขายข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำภายใต้ SB 338
ข้อสรุปสำคัญ
- VCDPA ใช้กับธุรกิจใดๆ ที่ควบคุมหรือประมวลผลข้อมูลของผู้บริโภคเวอร์จิเนียมากกว่า 100,000 คนต่อปี หรือมากกว่า 25,000 คน หากมีรายได้ 50% หรือมากกว่ามาจากการขายข้อมูลส่วนบุคคล
- ผู้บริโภคในเวอร์จิเนียมีสิทธิหลักหกประการ: การเข้าถึง การแก้ไข การลบ การพกพา การเลือกไม่เข้าร่วมการโฆษณา/การขาย/การสร้างโปรไฟล์ และสิทธิในการอุทธรณ์คำขอที่ถูกปฏิเสธ
- อัยการสูงสุดของเวอร์จิเนียมีอำนาจในการบังคับใช้กฎหมายแต่เพียงผู้เดียว; ไม่มีสิทธิในการฟ้องร้องส่วนบุคคลภายใต้ VCDPA
- โทษทางแพ่งอาจสูงถึง $7,500 ต่อการละเมิดที่ตั้งใจ โดยมีระยะเวลาแก้ไข 30 วัน (ซึ่งจะสิ้นสุดหลังจากวันที่ 1 มกราคม 2026)
- ตั้งแต่วันที่ 1 กรกฎาคม 2026 SB 338 ห้ามการขายข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำ เพิ่มภาระหน้าที่ใหม่ที่สำคัญสำหรับนายหน้าข้อมูลและบริษัทเทคโนโลยีโฆษณา
- หมวดหมู่ข้อมูลที่ละเอียดอ่อน (ข้อมูลชีวภาพ สุขภาพ เชื้อชาติ/ชาติพันธุ์ ตำแหน่งทางภูมิศาสตร์ที่แม่นยำ ฯลฯ) ต้องได้รับความยินยอมแบบเลือกเข้าก่อนการประมวลผล
- แตกต่างจาก GDPR VCDPA ไม่ต้องการฐานทางกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคลทั่วไป แต่ต้องการการประเมินการคุ้มครองข้อมูลสำหรับกิจกรรมที่มีความเสี่ยงสูง
- ธุรกิจขนาดเล็กที่ต่ำกว่าเกณฑ์ได้รับการยกเว้น แต่ธุรกิจที่ประมวลผลข้อมูลที่ละเอียดอ่อนหรือขายข้อมูลส่วนบุคคลควรตรวจสอบความเสี่ยงของตนอย่างรอบคอบ
- แพลตฟอร์มการจัดการความยินยอมเช่น Biscotti CMP สามารถช่วยในการจัดการสัญญาณการเลือกไม่เข้าร่วมและบันทึกความยินยอมโดยอัตโนมัติ
- นโยบายความเป็นส่วนตัวต้องเปิดเผยหมวดหมู่ข้อมูลที่เก็บรวบรวม วัตถุประสงค์ การแบ่งปันกับบุคคลที่สาม และสิทธิของผู้บริโภคทั้งหมดภายใต้ VCDPA
VCDPA คืออะไรและทำงานอย่างไร
VCDPA เป็นกฎหมายความเป็นส่วนตัวของผู้บริโภคที่ครอบคลุมของเวอร์จิเนีย ซึ่งมีการบันทึกในหมวด 59.1, บทที่ 53 ของรหัสเวอร์จิเนีย และมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2023 [10] กฎหมายนี้สร้างกรอบของสิทธิของผู้บริโภคและภาระหน้าที่ของธุรกิจที่สอดคล้องกันซึ่งมีรูปแบบคล้ายคลึงกับ GDPR ของสหภาพยุโรป แม้ว่าจะมีความแตกต่างที่สำคัญในโครงสร้างที่เหมาะสมกับบริบททางการค้าของสหรัฐอเมริกา
กฎหมายทำงานตามโมเดลควบคุม-ประมวลผล ผู้ควบคุม (หน่วยงานที่กำหนดวัตถุประสงค์และวิธีการประมวลผล) จะต้องรับภาระการปฏิบัติตามหลักเกณฑ์หลัก ผู้ประมวลผล (ผู้ขายที่จัดการข้อมูลในนามของผู้ควบคุม) ต้องดำเนินการภายใต้ข้อตกลงการประมวลผลข้อมูลและปฏิบัติตามคำแนะนำที่บันทึกของผู้ควบคุม [1]
กลไกหลักประกอบด้วย:
- การตอบสนองต่อคำขอสิทธิของผู้บริโภคภายใน 45 วัน (สามารถขยายเวลาได้อีก 45 วันโดยมีการแจ้งเตือน)
- การประเมินการคุ้มครองข้อมูลที่จำเป็นสำหรับการประมวลผลที่มีความเสี่ยงสูง
- ข้อผูกพันตามสัญญาระหว่างผู้ควบคุมและผู้ประมวลผล
- ความยินยอมแบบเลือกเข้าที่จำเป็นสำหรับข้อมูลที่ละเอียดอ่อน; สิทธิในการเลือกไม่เข้าร่วมสำหรับการโฆษณาและการขายข้อมูลที่มุ่งเป้า [8]
VCDPA จะมีผลบังคับใช้กับธุรกิจเมื่อใด
VCDPA มีผลบังคับใช้ ตั้งแต่วันที่ 1 มกราคม 2023 สำหรับธุรกิจที่ครอบคลุมทั้งหมด [5] ไม่มีการเปิดตัวแบบแบ่งเฟสตามขนาดธุรกิจ แตกต่างจาก CPRA ของแคลิฟอร์เนีย หากธุรกิจใดมีเกณฑ์ในวันที่ดังกล่าวหรือหลังจากนั้น การปฏิบัติตามจะต้องดำเนินการทันที
การแก้ไขล่าสุด SB 338 ได้เพิ่มการห้ามขายข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำ ซึ่งมีผลบังคับใช้ ตั้งแต่วันที่ 1 กรกฎาคม 2026 [2][3] ซึ่งหมายความว่าธุรกิจที่สร้างรายได้จากข้อมูลตำแหน่ง รวมถึงนายหน้าข้อมูล เครือข่ายโฆษณา และผู้เผยแพร่แอปพลิเคชันมือถือที่ให้บริการแก่ผู้บริโภคในเวอร์จิเนีย จะต้องเผชิญกับเส้นตายใหม่ในปีนี้
ใครต้องปฏิบัติตามข้อกำหนดของ VCDPA ของเวอร์จิเนีย
VCDPA ใช้กับหน่วยงานที่มุ่งหวังผลกำไรที่ดำเนินธุรกิจในเวอร์จิเนียหรือผลิตผลิตภัณฑ์/บริการที่มุ่งเป้าไปที่ผู้อยู่อาศัยในเวอร์จิเนีย และ ต้องมีอย่างน้อยหนึ่งในสองเกณฑ์ [8][10]:
| เกณฑ์ | เงื่อนไข |
|---|---|
| ตามปริมาณ | ควบคุมหรือประมวลผลข้อมูลของผู้บริโภคเวอร์จิเนียมากกว่า 100,000 คนต่อปี |
| ตามรายได้ | ควบคุมหรือประมวลผลข้อมูลของผู้บริโภคมากกว่า 25,000 คน และ ได้รับรายได้ 50% หรือมากกว่าจากการขายข้อมูลส่วนบุคคล |
หน่วยงานและประเภทข้อมูลที่ได้รับการยกเว้น ได้แก่:
- องค์กรไม่แสวงหาผลกำไร
- สถาบันการศึกษาระดับสูง
- สถาบันการเงินที่อยู่ภายใต้ GLBA
- หน่วยงานที่อยู่ภายใต้ HIPAA และผู้ร่วมธุรกิจ (สำหรับข้อมูลที่อยู่ภายใต้ HIPAA)
- หน่วยงานของรัฐ
- ข้อมูลการติดต่อพนักงานและ B2B (ในบริบทของการจ้างงานหรือธุรกรรมเชิงพาณิชย์)
กฎหมายนี้ ไม่ ต้องการการมีอยู่ทางกายภาพในเวอร์จิเนีย บริษัทอีคอมเมิร์ซที่ตั้งอยู่ในนิวยอร์ก ผู้ให้บริการ SaaS ในแมสซาชูเซตส์ หรือเอเจนซี่การตลาดในฟลอริดาสามารถอยู่ในขอบเขตได้หากพวกเขาประมวลผลข้อมูลผู้บริโภคเวอร์จิเนียในปริมาณที่กำหนด [1]
VCDPA จะใช้กับธุรกิจของฉันถ้าฉันไม่ได้อยู่ในเวอร์จิเนียหรือไม่
ใช่ ตำแหน่งทางภูมิศาสตร์ของธุรกิจไม่เกี่ยวข้อง ขอบเขตของ VCDPA ถูกกำหนดโดยที่ ผู้บริโภค ตั้งอยู่ ไม่ใช่ที่ที่ธุรกิจดำเนินการ [7] ธุรกิจในชายฝั่งตะวันออกใดๆ ที่มีฐานลูกค้าในเวอร์จิเนียอย่างมีนัยสำคัญควรประเมินปริมาณข้อมูลของตนตามเกณฑ์ข้างต้น
ตัวอย่างที่เป็นรูปธรรม: ผู้ค้าปลีกอีคอมเมิร์ซที่ตั้งอยู่ในบัลติมอร์ซึ่งขายให้กับลูกค้า 150,000 คนต่อปี ซึ่งส่วนใหญ่เป็นผู้บริโภคในเวอร์จิเนีย น่าจะเกินเกณฑ์ 100,000 คนและต้องปฏิบัติตาม
ข้อมูลใดบ้างที่ VCDPA ปกป้องและครอบคลุมจริงๆ
VCDPA ครอบคลุม ข้อมูลส่วนบุคคล ซึ่งกำหนดว่าเป็นข้อมูลใดๆ ที่เชื่อมโยงหรือสามารถเชื่อมโยงได้อย่างสมเหตุสมผลกับบุคคลธรรมชาติที่ระบุหรือสามารถระบุได้ [10] ข้อมูลที่ถูกระบุออกจะถูกยกเว้นและข้อมูลที่เปิดเผยต่อสาธารณะ
ข้อมูลที่ละเอียดอ่อน เป็นหมวดหมู่ที่มีการปกป้องสูงกว่าที่ต้องการความยินยอมแบบเลือกเข้าก่อนการประมวลผล [8]:
- เชื้อชาติหรือชาติพันธุ์
- ความเชื่อทางศาสนา
- การวินิจฉัยสุขภาพจิตหรือร่างกาย
- รสนิยมทางเพศหรืออัตลักษณ์ทางเพศ
- สถานะการเข้าเมือง
- ข้อมูลทางพันธุกรรมหรือชีวภาพที่ประมวลผลเพื่อการระบุเฉพาะ
- ข้อมูลส่วนบุคคลของเด็กที่รู้จัก (อายุต่ำกว่า 13 ปี)
- ข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำ (และตั้งแต่วันที่ 1 กรกฎาคม 2026 ข้อมูลดังกล่าวไม่สามารถขายได้เลย) [2]
ข้อผูกพันหลักสำหรับธุรกิจภายใต้ VCDPA คืออะไร
ผู้ควบคุมต้องปฏิบัติตามข้อผูกพันหกหมวดหมู่ภายใต้ VCDPA ของเวอร์จิเนีย: สิ่งที่ธุรกิจในชายฝั่งตะวันออกต้องรู้เกี่ยวกับการปกป้องข้อมูลเริ่มต้นที่นี่ในแง่ปฏิบัติ
- ความโปร่งใส: ให้ข้อมูลความเป็นส่วนตัวที่ชัดเจนและเข้าถึงได้ง่ายซึ่งเปิดเผยหมวดหมู่ข้อมูล วัตถุประสงค์ในการประมวลผล การแบ่งปันกับบุคคลที่สาม และสิทธิของผู้บริโภค [7]
- การปฏิบัติตามสิทธิของผู้บริโภค: ตอบสนองต่อคำขอการเข้าถึง การแก้ไข การลบ การพกพา และการเลือกไม่เข้าร่วมภายใน 45 วัน
- การจำกัดวัตถุประสงค์: เก็บรวบรวมเฉพาะข้อมูลที่เพียงพอและเกี่ยวข้องกับวัตถุประสงค์ที่เปิดเผย
- ความปลอดภัยของข้อมูล: ดำเนินการตามมาตรการป้องกันทางการบริหาร เทคนิค และทางกายภาพที่เหมาะสม
- การไม่เลือกปฏิบัติ: ไม่ปฏิเสธสินค้าหรือบริการหรือเรียกเก็บราคาแตกต่างกันเพียงเพราะผู้บริโภคใช้สิทธิความเป็นส่วนตัว
- การประเมินการคุ้มครองข้อมูล: ดำเนินการและบันทึกการประเมินสำหรับการโฆษณาที่มุ่งเป้า การขายข้อมูล การประมวลผลข้อมูลที่ละเอียดอ่อน การสร้างโปรไฟล์ที่มีผลทางกฎหมาย/สำคัญ และกิจกรรมที่มีความเสี่ยงสูงบางอย่าง [1][9]
ผู้ควบคุมต้องให้เกียรติ กลไกการเลือกไม่เข้าร่วมทั่วไป (เช่น สัญญาณการควบคุมความเป็นส่วนตัวทั่วโลกที่ใช้ในเบราว์เซอร์) สำหรับการโฆษณาที่มุ่งเป้าและการขายข้อมูล ซึ่งเป็นข้อกำหนดที่มีการนำมาใช้ภายใต้การแก้ไขของเวอร์จิเนีย [6]
สิทธิของผู้บริโภคภายใต้ VCDPA ที่ธุรกิจต้องสนับสนุนคืออะไร
ผู้บริโภคในเวอร์จิเนียมีสิทธิที่บังคับใช้ได้หกประการ [8][10]:
- สิทธิในการเข้าถึง: ยืนยันว่าข้อมูลของพวกเขากำลังถูกประมวลผลและขอสำเนา
- สิทธิในการแก้ไข: แก้ไขความไม่ถูกต้องในข้อมูลส่วนบุคคลของพวกเขา
- สิทธิในการลบ: ขอให้ลบข้อมูลส่วนบุคคลที่พวกเขาให้หรือที่ถูกเก็บรวบรวมเกี่ยวกับพวกเขา
- สิทธิในการพกพาข้อมูล: รับสำเนาที่สามารถพกพาได้ในรูปแบบที่ใช้งานได้ง่าย
- สิทธิในการเลือกไม่เข้าร่วม: เลือกไม่เข้าร่วมการโฆษณาที่มุ่งเป้า การขายข้อมูลส่วนบุคคล และการสร้างโปรไฟล์สำหรับการตัดสินใจที่มีผลทางกฎหมายหรือสำคัญ
- สิทธิในการอุทธรณ์: หากธุรกิจปฏิเสธคำขอ ผู้บริโภคสามารถอุทธรณ์ได้ และธุรกิจต้องตอบกลับภายใน 60 วันหลังจากการอุทธรณ์
ธุรกิจต้องจัดเตรียมอย่างน้อย สองวิธี สำหรับการส่งคำขอ (เช่น แบบฟอร์มเว็บและหมายเลขโทรศัพท์หรือที่อยู่อีเมลที่ไม่มีค่าใช้จ่าย) [9]
การละเมิดการปฏิบัติตาม VCDPA มีค่าใช้จ่ายเท่าไรในโทษและค่าปรับ
อัยการสูงสุดของเวอร์จิเนียสามารถกำหนดโทษทางแพ่งสูงสุดถึง $7,500 ต่อการละเมิดที่ตั้งใจ และสูงสุดถึง $2,500 ต่อการละเมิดที่ไม่ตั้งใจ [8][10] โทษอาจรวมถึงการบรรเทาทุกข์เชิงบังคับและค่าทนายความ
สำคัญคือ VCDPA เดิมมีระยะเวลาแก้ไข 30 วัน ซึ่งธุรกิจสามารถแก้ไขการละเมิดก่อนที่จะมีการประเมินโทษ อย่างไรก็ตาม ระยะเวลาแก้ไขนั้น สิ้นสุดลงในวันที่ 1 มกราคม 2026 ซึ่งหมายความว่าอัยการสูงสุดมีดุลยพินิจในการดำเนินการบังคับใช้โดยไม่ต้องเสนอทางเลือกในการแก้ไข [6]
ไม่มี สิทธิในการฟ้องร้องส่วนบุคคล ดังนั้นผู้บริโภคแต่ละคนไม่สามารถฟ้องร้องธุรกิจโดยตรงภายใต้ VCDPA การบังคับใช้จะดำเนินการโดยสำนักงานของอัยการสูงสุดเท่านั้น
VCDPA แตกต่างจาก CCPA อย่างไรและมีความแตกต่างจาก GDPR สำหรับบริษัทในชายฝั่งตะวันออกอย่างไร
การทำความเข้าใจ VCDPA ของเวอร์จิเนีย: สิ่งที่ธุรกิจในชายฝั่งตะวันออกต้องรู้เกี่ยวกับการปกป้องข้อมูลต้องการการเปรียบเทียบในบริบท
| ฟีเจอร์ | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| สิทธิในการฟ้องร้องส่วนบุคคล | ไม่มี | จำกัด (การละเมิดข้อมูล) | ใช่ (รัฐสมาชิกแตกต่างกัน) |
| ความยินยอมแบบเลือกเข้าสำหรับข้อมูลที่ละเอียดอ่อน | ใช่ | ไม่ (โมเดลเลือกไม่เข้าร่วม) | ใช่ |
| ระยะเวลาแก้ไข | หมดอายุในเดือนมกราคม 2026 | หมดอายุในเดือนมกราคม 2023 | ไม่สามารถใช้ได้ |
| โทษสูงสุดต่อการละเมิด | $7,500 | $7,500 | สูงสุด 4% ของรายได้ทั่วโลก |
| การประเมินการคุ้มครองข้อมูล | จำเป็น (ความเสี่ยงสูง) | จำเป็น (ความเสี่ยงสูง) | จำเป็น (DPIAs) |
| ฐานทางกฎหมายสำหรับการประมวลผล | ไม่จำเป็น (ข้อมูลทั่วไป) | ไม่จำเป็น | จำเป็น (6 ฐานทางกฎหมาย) |
ข้อสรุปที่สำคัญสำหรับธุรกิจในชายฝั่งตะวันออก: VCDPA มีภาระน้อยกว่ากว่า GDPR ในแง่ของความต้องการฐานทางกฎหมาย แต่มีข้อกำหนดที่ชัดเจนมากกว่าต่อ CCPA ดั้งเดิมในเรื่องความยินยอมสำหรับข้อมูลที่ละเอียดอ่อน ธุรกิจที่ปฏิบัติตาม GDPR อยู่แล้วจะพบว่าการปรับตัวให้เข้ากับ VCDPA เป็นเรื่องที่จัดการได้; ส่วนธุรกิจที่คุ้นเคยกับ CCPA เพียงอย่างเดียวจะต้องปรับกระบวนการทำงานเกี่ยวกับข้อมูลที่ละเอียดอ่อนของตน
ธุรกิจขนาดเล็กต้องปฏิบัติตาม VCDPA ของเวอร์จิเนียหรือไม่
ธุรกิจขนาดเล็กที่ต่ำกว่าเกณฑ์ 100,000 ผู้บริโภคหรือ 25,000 ผู้บริโภคบวกกับรายได้ ไม่จำเป็นต้องปฏิบัติตาม VCDPA [10] นี่เป็นการยกเว้นที่มีความหมายซึ่งทำให้กฎหมายของเวอร์จิเนียแตกต่างจากกรอบระเบียบระหว่างประเทศบางประการ
อย่างไรก็ตาม "เล็ก" เป็นคำที่สัมพันธ์กัน เครื่องมือ SaaS ที่มีผู้ใช้ในระดับฟรี 110,000 คนในเวอร์จิเนียจะเกินเกณฑ์ปริมาณไม่ว่าจะมีรายได้หรือไม่ ธุรกิจควร:
- ตรวจสอบปริมาณข้อมูลผู้บริโภคจริงทุกปี
- ติดตามว่าการขายข้อมูลคิดเป็น 50% หรือมากกว่าของรายได้หรือไม่
- ประเมินเกณฑ์ใหม่เมื่อธุรกิจขยายตัว
แม้แต่ธุรกิจที่ได้รับการยกเว้นก็ยังได้รับประโยชน์จากการสร้างแนวทางที่มุ่งเน้นความเป็นส่วนตัวตั้งแต่เนิ่นๆ เนื่องจากการปรับปรุงการปฏิบัติตามกฎหมายมักมีค่าใช้จ่ายสูงกว่าการออกแบบเชิงรุก
ข้อผิดพลาดทั่วไปที่บริษัททำในการปฏิบัติตาม VCDPA
1. การจัดประเภทผู้ประมวลผลผิดเป็นผู้ควบคุม (หรือในทางกลับกัน). ผู้ขายที่ตัดสินใจอย่างอิสระเกี่ยวกับการใช้ข้อมูลคือผู้ควบคุม ไม่ใช่ผู้ประมวลผล การจัดประเภทผิดนำไปสู่การป้องกันตามสัญญาที่ไม่เพียงพอและภาระหน้าที่ที่ไม่ได้รับการแก้ไข
2. การมองข้ามสัญญาณการเลือกไม่เข้าร่วมทั่วไป. ธุรกิจหลายแห่งสร้างกระบวนการเลือกไม่เข้าร่วมเฉพาะสำหรับคำขอด้วยตนเอง โดยมองข้ามข้อกำหนดในการเคารพสัญญาณระดับเบราว์เซอร์เช่น Global Privacy Control [6]
3. การไม่อัปเดตข้อตกลงการประมวลผลข้อมูล. VCDPA ต้องการข้อกำหนดตามสัญญาที่เฉพาะเจาะจงระหว่างผู้ควบคุมและผู้ประมวลผล สัญญาผู้ขายทั่วไปมักจะขาดข้อกำหนดเหล่านี้ [1]
4. การปฏิบัติต่อข้อมูลที่ละเอียดอ่อนเหมือนข้อมูลส่วนบุคคลทั่วไป. การประมวลผลข้อมูลชีวภาพ สุขภาพ หรือข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำโดยไม่มีความยินยอมแบบเลือกเข้าถือเป็นการละเมิดที่แตกต่าง ไม่ใช่แค่ช่องว่างทางกระบวนการ
5. การสมมติว่าระยะเวลาแก้ไขยังคงใช้ได้. ด้วยระยะเวลาแก้ไขที่หมดอายุในเดือนมกราคม 2026 ธุรกิจไม่สามารถพึ่งพาหน้าต่างการแก้ไขก่อนที่จะมีการดำเนินการบังคับใช้ [6]
6. การละเว้นกลไกการอุทธรณ์. นโยบายความเป็นส่วนตัวและกระบวนการขอคำขอหลายแห่งขาดกระบวนการอุทธรณ์ที่บันทึก ซึ่งเป็นองค์ประกอบที่จำเป็นภายใต้ VCDPA [9]
ฉันจะตรวจสอบความพร้อมของธุรกิจของฉันสำหรับ VCDPA ได้อย่างไร
การตรวจสอบความพร้อมสำหรับ VCDPA ควรครอบคลุมห้าด้าน:
- การประเมินเกณฑ์: แผนที่การไหลของข้อมูลผู้บริโภคเวอร์จิเนียทั้งหมดและคำนวณปริมาณการประมวลผลประจำปีตามเกณฑ์ทางกฎหมาย
- การจัดทำบัญชีข้อมูล: จัดทำบัญชีหมวดหมู่ข้อมูลส่วนบุคคลทั้งหมดที่เก็บรวบรวม แหล่งที่มา วัตถุประสงค์ ระยะเวลาการเก็บรักษา และผู้รับบุคคลที่สาม
- การตรวจสอบข้อมูลที่ละเอียดอ่อน: ระบุหมวดหมู่ข้อมูลที่ละเอียดอ่อนและยืนยันว่ามีกลไกความยินยอมแบบเลือกเข้าหรือไม่
- โครงสร้างสิทธิ: ทดสอบกระบวนการสิทธิของผู้บริโภคทั้งหกอย่างครบวงจร รวมถึงกระบวนการอุทธรณ์
- สัญญาผู้ขาย: ตรวจสอบข้อตกลงผู้ประมวลผลทั้งหมดสำหรับข้อกำหนดที่จำเป็นตาม VCDPA (คำแนะนำการประมวลผล ความลับ การควบคุมผู้ประมวลผลรอง สิทธิในการตรวจสอบ) [7]
สำหรับธุรกิจที่จัดการความยินยอมข้ามจุดสัมผัสดิจิทัลหลายจุด แพลตฟอร์มการจัดการความยินยอมเช่น Biscotti CMP สามารถรวมการจัดการสัญญาณการเลือกไม่เข้าร่วมและรักษาบันทึกความยินยอมที่ตรวจสอบได้ ซึ่งสนับสนุนทั้ง VCDPA และโปรแกรมการปฏิบัติตามหลายรัฐ
นโยบายความเป็นส่วนตัวของฉันควรกล่าวถึงอะไรเพื่อให้เป็นไปตาม VCDPA
นโยบายความเป็นส่วนตัวที่เป็นไปตาม VCDPA ต้องเปิดเผย [8][9]:
- หมวดหมู่ของข้อมูลส่วนบุคคล ที่ประมวลผล
- วัตถุประสงค์ สำหรับการประมวลผลแต่ละหมวดหมู่
- วิธีที่ผู้บริโภคสามารถ ใช้สิทธิทั้งหก ของตน รวมถึงกระบวนการอุทธรณ์
- ข้อมูลส่วนบุคคลถูก ขายหรือใช้สำหรับการโฆษณาที่มุ่งเป้า (พร้อมคำแนะนำในการเลือกไม่เข้าร่วม)
- หมวดหมู่ของบุคคลที่สาม ที่ข้อมูลถูกแบ่งปัน
- ข้อมูลติดต่อสำหรับการส่งคำขอ (อย่างน้อยสองวิธี)
- หากมีการประมวลผลข้อมูลที่ละเอียดอ่อน ต้องระบุฐานในการดำเนินการ (ความยินยอมแบบเลือกเข้า)
นโยบายควรเขียนด้วยภาษาที่เข้าใจง่าย เข้าถึงได้อย่างสมเหตุสมผล (เชื่อมโยงอย่างเด่นชัดในเว็บไซต์และแอปพลิเคชัน) และอัปเดตเมื่อมีการเปลี่ยนแปลงในแนวทางการจัดการข้อมูลอย่างมีนัยสำคัญ
สรุปและขั้นตอนถัดไปที่สามารถดำเนินการได้
VCDPA ของเวอร์จิเนียเป็นหนึ่งในกรอบความเป็นส่วนตัวของรัฐที่สำคัญที่สุดในสหรัฐอเมริกา และการเพิ่มการห้ามขายข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำในเดือนกรกฎาคม 2026 แสดงให้เห็นว่ารัฐสภาของเวอร์จิเนียตั้งใจที่จะเสริมสร้างกฎหมายนี้อย่างต่อเนื่อง สำหรับธุรกิจในชายฝั่งตะวันออก ขอบเขตของกฎหมายหมายความว่าตำแหน่งทางภูมิศาสตร์ไม่ใช่การป้องกัน ปริมาณข้อมูลและวัตถุประสงค์ในการประมวลผลเป็นตัวกำหนดความเสี่ยง
ขั้นตอนที่สามารถดำเนินการได้สำหรับปี 2026:
- ทำการวิเคราะห์เกณฑ์ตามปริมาณข้อมูลผู้บริโภคเวอร์จิเนียในปัจจุบันของคุณก่อนสิ้นปี
- ตรวจสอบกระบวนการทำงานเกี่ยวกับข้อมูลที่ละเอียดอ่อนทั้งหมด โดยเฉพาะอย่างยิ่งข้อมูลที่เกี่ยวข้องกับตำแหน่งทางภูมิศาสตร์ที่แม่นยำ ข้อมูลชีวภาพ หรือข้อมูลสุขภาพ เพื่อให้เป็นไปตามความยินยอมแบบเลือกเข้า
- ยืนยันว่านโยบายความเป็นส่วนตัวของคุณรวมถึงสิทธิของผู้บริโภคทั้งหกและกลไกการอุทธรณ์ที่บันทึกไว้
- ตรวจสอบข้อตกลงผู้ประมวลผลสำหรับข้อกำหนดตามสัญญาที่จำเป็นตาม VCDPA
- ดำเนินการหรือยืนยันการจัดการสัญญาณการเลือกไม่เข้าร่วมทั่วไป (Global Privacy Control) ในทรัพย์สินดิจิทัลของคุณ
- พิจารณาใช้โซลูชันการจัดการความยินยอมเช่น Biscotti CMP เพื่อทำให้การเก็บรวบรวมความยินยอม การประมวลผลสัญญาณการเลือกไม่เข้าร่วม และเอกสารการปฏิบัติตามเป็นอัตโนมัติ
- กำหนดการประเมินเกณฑ์ใหม่ทุกปีเมื่อธุรกิจของคุณขยายตัว
ระยะเวลาแก้ไขได้หมดไป การบังคับใช้เริ่มต้นขึ้นแล้ว ธุรกิจที่มองว่าการปฏิบัติตาม VCDPA เป็นเพียงการทำเครื่องหมายในช่องหนึ่งครั้งแทนที่จะเป็นวินัยในการดำเนินงานอย่างต่อเนื่องจะเผชิญกับความเสี่ยงที่มากที่สุด
คำถามที่พบบ่อย
ถาม: VCDPA ใช้กับองค์กรไม่แสวงหาผลกำไรหรือไม่? ไม่ องค์กรไม่แสวงหาผลกำไรได้รับการยกเว้นจากข้อกำหนดของ VCDPA อย่างชัดเจน [10].
ถาม: ผู้บริโภคในเวอร์จิเนียสามารถฟ้องธุรกิจของฉันโดยตรงภายใต้ VCDPA ได้หรือไม่? ไม่ VCDPA ไม่มีสิทธิในการฟ้องร้องส่วนบุคคล อัยการสูงสุดของเวอร์จิเนียเท่านั้นที่สามารถดำเนินการบังคับใช้ได้ [8].
ถาม: กำหนดเวลาตอบสนองต่อคำขอสิทธิของผู้บริโภคคืออะไร? ธุรกิจต้องตอบสนองภายใน 45 วันหลังจากได้รับคำขอที่สามารถตรวจสอบได้ การขยายเวลา 45 วันครั้งเดียวได้รับอนุญาตหากธุรกิจแจ้งผู้บริโภคเกี่ยวกับความล่าช้าและเหตุผล [9].
ถาม: ข้อมูลพนักงานอยู่ภายใต้ VCDPA หรือไม่? ข้อมูลพนักงานที่ประมวลผลในบริบทของการจ้างงานได้รับการยกเว้นภายใต้ VCDPA อย่างไรก็ตาม การยกเว้นนี้ถูกตีความอย่างแคบและไม่ได้ครอบคลุมการใช้ข้อมูลที่เกี่ยวข้องกับ HR ทั้งหมด [1].
ถาม: อะไรคือการ "ขาย" ข้อมูลส่วนบุคคลภายใต้ VCDPA? VCDPA กำหนดว่า "การขาย" คือการแลกเปลี่ยนข้อมูลส่วนบุคคลเพื่อการพิจารณาในเชิงการเงิน แตกต่างจาก CCPA มันไม่ขยายไปถึงการพิจารณาที่มีค่าไม่ใช่เงิน ซึ่งเป็นความแตกต่างที่สำคัญสำหรับการจัดการโฆษณา [5].
ถาม: ฉันต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลภายใต้ VCDPA หรือไม่? ไม่ VCDPA ไม่ต้องการการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล แตกต่างจาก GDPR [7].
ถาม: SB 338 มีการเปลี่ยนแปลงอะไรในปี 2026? SB 338 ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 1 กรกฎาคม 2026 ห้ามการขายข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำ เพิ่มข้อจำกัดประเภทใหม่ที่เหนือกว่ากรอบการเลือกไม่เข้าร่วมทั่วไปที่เคยควบคุมข้อมูลดังกล่าว [2][3].
ถาม: VCDPA กำหนด "ตำแหน่งทางภูมิศาสตร์ที่แม่นยำ" อย่างไร? ตำแหน่งทางภูมิศาสตร์ที่แม่นยำหมายถึงข้อมูลที่ได้มาจากเทคโนโลยีที่ระบุที่ตั้งของผู้บริโภคภายในรัศมี 1,750 ฟุตหรือน้อยกว่า [10].
ถาม: การประเมินการคุ้มครองข้อมูลจำเป็นต้องมีสำหรับกิจกรรมการประมวลผลทั้งหมดหรือไม่? ไม่ การประเมินจะต้องมีเฉพาะสำหรับการประมวลผลที่มีความเสี่ยงสูง: การโฆษณาที่มุ่งเป้า การขายข้อมูล การประมวลผลข้อมูลที่ละเอียดอ่อน การสร้างโปรไฟล์ที่มีผลทางกฎหมาย/สำคัญ และการประมวลผลที่มีความเสี่ยงสูงต่อการทำอันตราย [1][9].
ถาม: จะเกิดอะไรขึ้นหากผู้บริโภคอุทธรณ์คำขอที่ถูกปฏิเสธ? ธุรกิจต้องดำเนินการตรวจสอบการอุทธรณ์ภายใน 60 วันและแจ้งผลให้ผู้บริโภคทราบ หากการอุทธรณ์ถูกปฏิเสธ ธุรกิจต้องให้ข้อมูลเกี่ยวกับวิธีที่ผู้บริโภคสามารถติดต่ออัยการสูงสุด [8].
เครื่องมือเช็คเกณฑ์การปฏิบัติตาม VCDPA แบบโต้ตอบ
อ้างอิง
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/