Hızlı Cevap: Virginia'nın Tüketici Veri Koruma Yasası (VCDPA), 1 Ocak 2023'te yürürlüğe giren kapsamlı bir eyalet gizlilik yasasıdır ve belirli gelir veya veri işleme eşiklerini karşılayan işletmelerin kişisel veriler üzerindeki tüketici haklarına saygı göstermesini gerektirir. Doğu Kıyısı işletmeleri, Virginia'da ikamet edenlere ölçekli hizmet veriyorlarsa, Virginia'da merkezi olmayanlar bile uyum sağlamak zorundadır. 1 Temmuz 2026 itibarıyla, yasa, SB 338 kapsamında kesin konum verisi satışını yasaklayarak daha da güçlendirilmiştir.
Ana Noktalar
- VCDPA, yıllık 100.000'den fazla Virginia tüketicisinin verilerini kontrol eden veya işleyen herhangi bir işletmeye veya kişisel verilerin satışından gelirinin %50 veya daha fazlasını elde eden 25.000'den fazla tüketicinin verilerini kontrol eden veya işleyen işletmelere uygulanır.
- Virginia tüketicilerinin altı temel hakkı vardır: erişim, düzeltme, silme, taşınabilirlik, hedefli reklam/satış/profil oluşturma için opt-out ve reddedilen talepleri itiraz etme hakkı.
- Virginia Başsavcısı, özel uygulama yetkisine sahiptir; VCDPA kapsamında özel bir dava hakkı yoktur.
- Sivil cezalar, kasıtlı ihlal başına 7.500 $'a kadar çıkabilir ve 30 günlük düzeltme süresi vardır (bu süre 1 Ocak 2026'dan sonra sona erer).
- 1 Temmuz 2026 itibarıyla, SB 338 kesin konum verisi satışını yasaklamaktadır ve bu, veri brokerleri ve reklam teknolojisi şirketleri için önemli bir yeni yükümlülük eklemektedir.
- Hassas veri kategorileri (biyometrik, sağlık, ırksal/etnik köken, kesin konum vb.) işleme öncesinde açık bir opt-in onayı gerektirir.
- GDPR'nın aksine, VCDPA genel kişisel verilerin işlenmesi için yasal bir dayanak gerektirmez, ancak yüksek riskli faaliyetler için veri koruma değerlendirmeleri gerektirir.
- Eşiklerin altında kalan küçük işletmeler muaf tutulur, ancak hassas verileri işleyen veya kişisel verileri satanlar maruz kalma durumlarını dikkatlice gözden geçirmelidir.
- Biscotti CMP gibi bir onay yönetim platformu, opt-out sinyali yönetimini ve onay kayıtlarını otomatikleştirmeye yardımcı olabilir.
- Gizlilik politikaları, toplanan veri kategorilerini, amaçlarını, üçüncü taraflarla paylaşımı ve VCDPA kapsamındaki tüm tüketici haklarını açıkça belirtmelidir.
Virginia Tüketici Veri Koruma Yasası Nedir ve Nasıl Çalışır
VCDPA, Virginia'nın kapsamlı tüketici gizliliği yasasıdır ve Virginia Kodunun 59.1. Başlığı, 53. Bölümünde yer almaktadır ve 1 Ocak 2023'te yürürlüğe girmiştir [10]. Bu yasa, tüketici hakları ve buna karşılık gelen işletme yükümlülükleri çerçevesini belirler ve bu çerçeve, AB'nin GDPR'sine benzer bir şekilde tasarlanmıştır, ancak ABD ticari bağlamına uygun belirgin yapısal farklılıklar içerir.
Yasa, bir kontrolör-işlemci modeli üzerinde çalışır. Kontrolörler (işlemenin amacını ve yöntemlerini belirleyen varlıklar) ana uyum yükümlülüğünü taşır. İşlemciler (verileri kontrolör adına işleyen satıcılar) bir veri işleme anlaşması altında çalışmalı ve kontrolörün belgelenmiş talimatlarına uymalıdır [1].
Ana mekanikler şunları içerir:
- Tüketici hakları taleplerine 45 gün içinde zorunlu yanıt verme (bildirim ile başka bir 45 gün uzatma yapılabilir)
- Yüksek risk taşıyan işleme için gerekli veri koruma değerlendirmeleri
- Kontrolörler ve işlemciler arasındaki sözleşmesel yükümlülükler
- Hassas veriler için opt-in onayı gereklidir; hedefli reklam ve veri satışları için opt-out hakları [8]
VCDPA İşletmeler İçin Ne Zaman Yürürlüğe Girecek
VCDPA, tüm kapsanan işletmeler için 1 Ocak 2023 itibarıyla yürürlüğe girmiştir [5]. İşletme boyutuna göre aşamalı bir uygulama yoktur, bu durum Kaliforniya'nın CPRA'sından farklıdır. Bir işletme, bu tarihten itibaren eşikleri karşılıyorsa, uyum hemen gereklidir.
En son değişiklik olan SB 338, kesin konum verisi satışını yasaklayan bir madde eklemiştir ve bu, 1 Temmuz 2026 itibarıyla geçerlidir [2][3]. Bu, konum verilerini paraya çeviren işletmelerin, veri brokerleri, reklam ağları ve Virginia tüketicilerine hizmet veren mobil uygulama yayıncıları gibi, bu yıl yeni bir katı son tarih ile karşı karşıya olduğu anlamına gelir.
Virginia'nın VCDPA Gerekliliklerine Kim Uymak Zorunda
VCDPA, Virginia'da iş yapan veya Virginia sakinlerine yönelik ürün/hizmet üreten ve en az bir iki eşikten birini karşılayan kâr amacı güden varlıklara uygulanır [8][10]:
| Eşik | Koşul |
|---|---|
| Hacim bazlı | Yıllık 100.000'den fazla Virginia tüketicisinin verilerini kontrol etmek veya işlemek |
| Gelir bazlı | 25.000'den fazla tüketicinin verilerini kontrol etmek veya işlemek VE kişisel verilerin satışından brüt gelirin %50'sinden fazlasını elde etmek |
Muaf varlıklar ve veri türleri şunlardır:
- Kar amacı gütmeyen kuruluşlar
- Yüksek öğrenim kurumları
- GLBA'ya tabi finansal kuruluşlar
- HIPAA kapsamındaki varlıklar ve iş ortakları (HIPAA düzenlemelerine tabi veriler için)
- Devlet kuruluşları
- Çalışan ve B2B iletişim verileri (istihdam veya ticari işlemler bağlamında)
Yasa, Virginia'da fiziksel bir varlık gerektirmez. New York'ta bulunan bir e-ticaret şirketi, Massachusetts'teki bir SaaS sağlayıcısı veya Florida'daki bir pazarlama ajansı, gerekli hacimde Virginia tüketici verilerini işliyorlarsa kapsam içine girebilir [1].
VCDPA, Virginia'da Değilsem İşletmeme Uygulanır mı
Evet, işletmenin coğrafi konumu önemsizdir. VCDPA'nın kapsamı, tüketicilerin bulunduğu yere göre belirlenir, işletmenin faaliyet gösterdiği yere göre değil [7]. Önemli bir Virginia müşteri tabanına sahip herhangi bir Doğu Kıyısı işletmesi, yukarıdaki eşiklere göre veri hacimlerini değerlendirmelidir.
Pratik örnek: Yıllık 150.000 müşteriye hizmet veren, bunların önemli bir kısmı Virginia sakinleri olan Baltimore merkezli bir e-ticaret perakendecisi, muhtemelen 100.000 tüketici eşik değerini aşmakta ve uyum sağlamak zorundadır.
VCDPA Gerçekten Hangi Verileri Koruyor ve Kapsıyor
VCDPA, tanımlanmış veya tanımlanabilir bir gerçek kişi ile bağlantılı veya makul bir şekilde bağlantılı herhangi bir bilgiyi kişisel veri olarak tanımlar [10]. Bu, kimliği belirlenmiş verileri ve kamuya açık bilgileri hariç tutar.
Hassas veriler, işleme öncesinde opt-in onayı gerektiren ayrı, daha yüksek koruma kategorisidir [8]:
- Irksal veya etnik köken
- Dini inançlar
- Zihinsel veya fiziksel sağlık tanıları
- Cinsel yönelim veya cinsiyet kimliği
- Göçmen durumu
- Benzersiz tanımlama için işlenen genetik veya biyometrik veriler
- Bilinen bir çocuğun (13 yaş altı) kişisel verileri
- Kesin konum verisi (ve 1 Temmuz 2026 itibarıyla, bu tür veriler kesinlikle satılamaz) [2]
VCDPA Kapsamında İşletmelerin Ana Yükümlülükleri Nelerdir
Kontrolörler, Virginia'nın VCDPA'sı kapsamında altı yükümlülük kategorisini yerine getirmek zorundadır: Doğu Kıyısı İşletmelerinin Veri Koruma Hakkında Bilmesi Gerekenler burada pratik terimlerle başlar.
- Şeffaflık: Veri kategorilerini, işleme amaçlarını, üçüncü taraflarla paylaşımı ve tüketici haklarını açıklayan makul derecede erişilebilir, net bir gizlilik bildirimi sağlamalıdır [7].
- Tüketici haklarının yerine getirilmesi: Erişim, düzeltme, silme, taşınabilirlik ve opt-out taleplerine 45 gün içinde yanıt vermelidir.
- Amaç sınırlaması: Sadece açıklanan amaca uygun ve yeterli verileri toplamalıdır.
- Veri güvenliği: Makul idari, teknik ve fiziksel koruma önlemleri uygulamalıdır.
- Ayrımcılık yapmama: Tüketici bir gizlilik hakkını kullandığı için mal/hizmet sağlamayı reddetmemeli veya farklı fiyatlar talep etmemelidir.
- Veri koruma değerlendirmeleri: Hedefli reklam, veri satışları, hassas veri işleme, yasal/önemli etkileri olan profil oluşturma ve belirli yüksek riskli faaliyetler için değerlendirmeleri gerçekleştirmeli ve belgelenmelidir [1][9].
Kontrolörler ayrıca, hedefli reklam ve veri satışları için evrensel opt-out mekanizmalarını (tarayıcı tabanlı Küresel Gizlilik Kontrol sinyalleri gibi) kabul etmelidir; bu, Virginia'nın değişiklikleri kapsamında aşamalı olarak uygulanacak bir gerekliliktir [6].
VCDPA Kapsamında Tüketici Hakları Nelerdir ve İşletmeler Bunları Desteklemek Zorunda
Virginia tüketicileri, altı uygulanabilir hakka sahiptir [8][10]:
- Erişim hakkı: Verilerinin işlenip işlenmediğini doğrulama ve bir kopyasını alma.
- Düzeltme hakkı: Kişisel verilerindeki yanlışlıkları düzeltme.
- Silme hakkı: Sağladıkları veya kendileri hakkında toplanan kişisel verilerin silinmesini talep etme.
- Veri taşınabilirliği hakkı: Kullanılabilir bir formatta taşınabilir bir kopya alma.
- Opt-out hakkı: Hedefli reklam, kişisel verilerin satışı ve yasal veya önemli etkileri olan kararlar için profil oluşturma işlemlerinden çıkma.
- İtiraz hakkı: Bir işletme talebi reddederse, tüketiciler itiraz edebilir ve işletme itirazdan itibaren 60 gün içinde yanıt vermelidir.
İşletmeler, talepleri iletmek için en az iki yöntem sağlamalıdır (örneğin, bir web formu ve bir ücretsiz telefon numarası veya e-posta adresi) [9].
VCDPA Uyum İhlalleri Ne Kadar Cezaya Mal Oluyor
Virginia Başsavcısı, kasten yapılan ihlaller için 7.500 $'a kadar ve kasten yapılmayan ihlaller için 2.500 $'a kadar sivil cezalar uygulayabilir [8][10]. Cezalar ayrıca ihtiyati tedbirler ve avukat ücretlerini de içerebilir.
Önemli olarak, VCDPA başlangıçta 30 günlük bir düzeltme süresi içeriyordu; işletmeler, cezalar değerlendirilmeden önce ihlalleri düzeltme fırsatına sahipti. Ancak, bu düzeltme süresi 1 Ocak 2026'da sona erdi, bu da Başsavcı'nın artık düzeltme fırsatı sunmadan uygulama başlatma yetkisine sahip olduğu anlamına gelir [6].
Özel bir dava hakkı yoktur, bu nedenle bireysel tüketiciler VCDPA kapsamında işletmelere doğrudan dava açamaz. Uygulama yalnızca Başsavcı Ofisi aracılığıyla gerçekleştirilir.
VCDPA, CCPA'dan Nasıl Farklıdır ve Doğu Kıyısı Şirketleri İçin GDPR ile Farkı Nedir
Virginia'nın VCDPA'sını anlamak: Doğu Kıyısı İşletmelerinin Veri Koruma Hakkında Bilmesi Gerekenler, onu karşılaştırmalı bir bağlama yerleştirmeyi gerektirir.
| Özellik | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Özel dava hakkı | Hayır | Sınırlı (veri ihlalleri) | Evet (üye devletler değişkenlik gösterir) |
| Hassas veriler için opt-in | Evet | Hayır (opt-out modeli) | Evet |
| Düzeltme süresi | 2026 Ocak'ta sona erdi | 2023 Ocak'ta sona erdi | Geçerli değil |
| İhlal başına maksimum ceza | 7.500 $ | 7.500 $ | Küresel gelirin %4'üne kadar |
| Veri Koruma Değerlendirmeleri | Gereklidir (yüksek risk) | Gereklidir (yüksek risk) | Gereklidir (DPIA'lar) |
| İşleme için yasal dayanak | Gerekmiyor (genel veriler) | Gerekmiyor | Gereklidir (6 yasal dayanak) |
Doğu Kıyısı işletmeleri için ana çıkarım: VCDPA, yasal dayanak gereklilikleri açısından GDPR'dan daha az yük getirirken, hassas veriler için onay konusunda orijinal CCPA'dan daha fazla düzenleyicidir. Zaten GDPR uyumlu olan işletmeler, VCDPA'ya uyum sağlamanın yönetilebilir olduğunu görecektir; yalnızca CCPA ile tanışık olanların hassas veri iş akışlarını ayarlamaları gerekecektir.
Küçük İşletmeler Virginia'nın VCDPA'sına Uymak Zorunda mı
100.000 tüketici veya 25.000 tüketici artı gelir eşiklerinin altında kalan küçük işletmeler VCDPA'ya uymak zorunda değildir [10]. Bu, Virginia'nın yasasını bazı uluslararası çerçevelerden ayıran anlamlı bir muafiyettir.
Ancak, "küçük" görecelidir. 110.000 ücretsiz katmanlı Virginia kullanıcısına sahip bir niş SaaS aracı, gelirine bakılmaksızın hacim eşik değerini aşmaktadır. İşletmeler şunları yapmalıdır:
- Yıllık gerçek tüketici veri hacimlerini denetlemek
- Veri satışlarının %50'den fazlasını oluşturup oluşturmadığını takip etmek
- İşletme büyüdükçe eşikleri yeniden değerlendirmek
Hatta muaf işletmeler, uyum sağlamayı proaktif bir şekilde tasarlamanın her zaman daha pahalı olduğu göz önüne alındığında, gizlilik odaklı uygulamalar geliştirmekten fayda sağlar.
VCDPA Uyumunda Şirketlerin Yaptığı Yaygın Hatalar
1. İşlemcileri kontrolör olarak yanlış sınıflandırmak (veya tersine). Verilerin kullanımı hakkında bağımsız kararlar veren satıcılar kontrolörlerdir, işlemciler değil. Yanlış sınıflandırma, yetersiz sözleşmesel korumalara ve ele alınmamış yükümlülüklere yol açar.
2. Evrensel opt-out sinyallerini göz ardı etmek. Birçok işletme yalnızca manuel talepler için opt-out akışları oluşturdu ve Global Gizlilik Kontrol gibi tarayıcı düzeyindeki sinyalleri kabul etme gerekliliğini göz ardı etti [6].
3. Veri işleme anlaşmalarını güncellemeyi ihmal etmek. VCDPA, kontrolörler ve işlemciler arasında belirli sözleşmesel hükümler gerektirir. Genel satıcı sözleşmeleri genellikle bunları içermez [1].
4. Hassas verileri genel kişisel veriler gibi ele almak. Biyometrik, sağlık veya kesin konum verilerini opt-in onayı olmadan işlemek, yalnızca bir prosedürel boşluk değil, belirgin bir ihlaldir.
5. Düzeltme süresinin hala geçerli olduğunu varsaymak. Düzeltme süresi 2026 Ocak itibarıyla sona erdiğinden, işletmeler artık uygulama eyleminden önce düzeltme penceresine güvenemez [6].
6. İtiraz mekanizmasını atlamak. Birçok gizlilik politikası ve talep akışı, VCDPA kapsamında gerekli bir unsur olan belgelenmiş bir itiraz sürecini içermemektedir [9].
İşletmemi VCDPA Uygunluğu İçin Nasıl Denetlerim
Bir VCDPA uygunluk denetimi beş alanı kapsamalıdır:
- Eşik değerlendirmesi: Tüm Virginia tüketici veri akışlarını haritalayın ve yıllık işleme hacimlerini yasal eşiklerle karşılaştırın.
- Veri envanteri: Toplanan tüm kişisel veri kategorilerini, kaynaklarını, amaçlarını, saklama sürelerini ve üçüncü taraf alıcılarını kataloglayın.
- Hassas veri incelemesi: Herhangi bir hassas veri kategorisini belirleyin ve opt-in onay mekanizmalarının mevcut olduğunu doğrulayın.
- Haklar altyapısı: Tüketici hakları akışlarının tamamını, itiraz sürecini de dahil ederek, uçtan uca test edin.
- Satıcı sözleşmeleri: Tüm işlemci anlaşmalarını VCDPA'nın gerektirdiği hükümler (işleme talimatları, gizlilik, alt işlemci kontrolleri, denetim hakları) açısından gözden geçirin [7].
Birden fazla dijital temas noktası üzerinden onay yönetimi yapan işletmeler için, Biscotti CMP gibi bir onay yönetim platformu, opt-out sinyali yönetimini merkezi hale getirebilir ve denetlenebilir onay kayıtlarını sürdürebilir, hem VCDPA hem de çok eyaletli uyum programlarını destekleyebilir.
Gizlilik Politikam Ne Demeli ki VCDPA Uyumlu Olsun
VCDPA uyumlu bir gizlilik politikası şunları açıklamalıdır [8][9]:
- İşlenen kişisel veri kategorileri
- Her kategori için işleme amacı
- Tüketicilerin altı haklarını nasıl kullanabilecekleri, itiraz süreci dahil
- Kişisel verilerin satılıp satılmadığı veya hedefli reklam için kullanılıp kullanılmadığı (opt-out talimatları ile)
- Verilerin paylaşıldığı üçüncü taraf kategorileri
- Talepleri iletmek için iletişim bilgileri (en az iki yöntem)
- Hassas veriler işleniyorsa, bunun dayanağı (opt-in onayı)
Politikalar, sade bir dille yazılmalı, makul derecede erişilebilir olmalı (web sitelerinde ve uygulamalarda belirgin bir şekilde bağlantılı olmalı) ve veri uygulamaları önemli ölçüde değiştiğinde güncellenmelidir.
Sonuç ve Uygulanabilir Sonraki Adımlar
Virginia'nın VCDPA'sı, Amerika Birleşik Devletleri'ndeki en kapsamlı eyalet gizlilik çerçevelerinden birini temsil etmektedir ve Temmuz 2026'da kesin konum verisi satış yasağının eklenmesi, Virginia yasama organının bunu güçlendirmeye devam etmek istediğini göstermektedir. Doğu Kıyısı işletmeleri için, yasanın sınır ötesi etkisi, coğrafyanın bir savunma olmadığı anlamına gelir; veri hacmi ve işleme amacı maruz kalmayı belirler.
2026 için uygulanabilir adımlar:
- Yıl sonundan önce mevcut Virginia tüketici veri hacimlerinize karşı bir eşik analizi yapın.
- Özellikle kesin konum, biyometrik veya sağlık verileri içeren tüm hassas veri iş akışlarını opt-in onayı uyumu açısından denetleyin.
- Gizlilik politikanızın altı tüketici hakkını ve belgelenmiş bir itiraz mekanizmasını içerdiğinden emin olun.
- VCDPA'nın gerektirdiği sözleşmesel hükümleri içeren işlemci anlaşmalarını gözden geçirin.
- Dijital mülklerinizde evrensel opt-out sinyali yönetimini (Küresel Gizlilik Kontrol) uygulayın veya doğrulayın.
- Onay toplama, opt-out sinyali işleme ve uyum belgelerini otomatikleştirmek için Biscotti CMP gibi bir onay yönetim çözümünü düşünün.
- İşletmeniz büyüdükçe yıllık eşik yeniden değerlendirmeleri planlayın.
Düzeltme süresi sona erdi. Uygulama başladı. VCDPA uyumunu bir kez yapılacak bir kontrol listesi olarak değil, sürekli bir operasyon disiplini olarak gören işletmeler en büyük riski taşımaktadır.
SSS
S: VCDPA, kâr amacı gütmeyen kuruluşlara uygulanır mı? Hayır. Kâr amacı gütmeyen kuruluşlar, VCDPA'nın gerekliliklerinden açıkça muaf tutulmuştur [10].
S: Bir Virginia tüketicisi, işletmeme doğrudan VCDPA kapsamında dava açabilir mi? Hayır. VCDPA'nın özel bir dava hakkı yoktur. Yalnızca Virginia Başsavcısı uygulama eylemleri başlatabilir [8].
S: Tüketici hakları talebine yanıt verme süresi nedir? İşletmeler, doğrulanabilir bir talep aldıklarında 45 gün içinde yanıt vermelidir. İşletme, gecikmeyi ve nedenini tüketiciye bildirmesi durumunda bir kez 45 günlük uzatma yapılmasına izin verilir [9].
S: Çalışan verileri VCDPA kapsamına girer mi? İstihdam bağlamında işlenen çalışan verileri, VCDPA kapsamında muaf tutulur. Ancak, bu muafiyet dar bir şekilde yorumlanır ve tüm İK ile ilgili veri kullanımlarını kapsamaz [1].
S: VCDPA kapsamında kişisel verilerin "satışı" ne anlama gelir? VCDPA, "satış" terimini kişisel verilerin maddi karşılıkla değişimini tanımlar. CCPA'nın aksine, bu, maddi olmayan değerli karşılıkları kapsamaz; bu, reklam teknolojisi düzenlemeleri için anlamlı bir ayrımdır [5].
S: VCDPA kapsamında bir Veri Koruma Görevlisi atamam gerekir mi? Hayır. VCDPA, GDPR'nın aksine Veri Koruma Görevlisi atanmasını gerektirmez [7].
S: 2026'da SB 338 ile ne değişti? SB 338, 1 Temmuz 2026 itibarıyla kesin konum verisi satışını yasaklamakta ve daha önce bu tür verileri yöneten genel opt-out çerçevesinin ötesinde yeni bir kategorik kısıtlama eklemektedir [2][3].
S: VCDPA, "kesin konum" terimini nasıl tanımlar? Kesin konum, bir tüketicinin konumunu 1.750 feet veya daha az bir mesafede tanımlayan teknolojiden elde edilen verileri ifade eder [10].
S: Tüm işleme faaliyetleri için veri koruma değerlendirmeleri gerekli midir? Hayır. Değerlendirmeler yalnızca yüksek riskli işleme için gereklidir: hedefli reklam, veri satışları, hassas veri işleme, yasal/önemli etkileri olan profil oluşturma ve zarar riski yüksek olan işleme [1][9].
S: Bir tüketici reddedilen bir talebe itiraz ederse ne olur? İşletme, itiraz incelemesini 60 gün içinde tamamlamalı ve tüketiciye sonucu bildirmelidir. İtiraz reddedilirse, işletme tüketicinin Başsavcı ile nasıl iletişim kurabileceğine dair bilgi sağlamalıdır [8].
Etkileşimli VCDPA Uyum Eşik Kontrol Aracı
Referanslar
[1] Virginia Tüketici Veri Koruma Yasası Rehberi - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia, Kesin Konum Verisi Satışını Yasaklayan VCDPA'yı Genişletiyor - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Değiştirildi - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Tüketici Veri Koruma Yasası (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Değişiklik Süreci Tamamlandı: Metin 1 Ocak Geçerlilik Tarihinden Önce Tamamlandı - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Tüketici Veri Gizliliği Yasası Rehberi: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Tüketici Veri Koruma Yasası Özeti - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Genel Bakış - https://termly.io/resources/articles/vcdpa/
[10] Virginia Kod Başlığı 59.1, Bölüm 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/