Які дані фактично захищає та охоплює VCDPA

Згода та банери

VCDPA Вірджинії: Що потрібно знати бізнесу Східного узбережжя про захист даних

7 липня 2026 р. · 15 хв читання

Швидка відповідь: Закон про захист даних споживачів Вірджинії (VCDPA) є комплексним державним законом про конфіденційність, який набрав чинності 1 січня 2023 року, вимагаючи від бізнесу, що відповідає певним порогам доходу або обробки даних, поважати права споживачів на персональні дані. Бізнеси Східного узбережжя, навіть ті, що мають штаб-квартиру за межами Вірджинії, повинні дотримуватися вимог, якщо вони обслуговують мешканців Вірджинії в значних обсягах. З 1 липня 2026 року закон був додатково посилений забороною на продаж точних даних геолокації відповідно до SB 338.

Основні висновки

VCDPA застосовується до будь-якого бізнесу, який контролює або обробляє дані понад 100,000 споживачів Вірджинії щорічно, або понад 25,000 споживачів, якщо 50% або більше доходу походить від продажу персональних даних.
Споживачі Вірджинії мають шість основних прав: доступ, виправлення, видалення, портативність, відмова від таргетованої реклами/продажу/профілювання та право на апеляцію у разі відмови у запиті.
Генеральний прокурор Вірджинії має виключні повноваження щодо виконання; приватного права на позов за VCDPA немає.
Цивільні штрафи можуть досягати 7,500 доларів за навмисне порушення, з 30-денною можливістю виправлення (яка закінчується після 1 січня 2026 року).
З 1 липня 2026 року SB 338 забороняє продаж точних даних геолокації, що додає значні нові зобов'язання для брокерів даних та компаній у сфері реклами.
Категорії чутливих даних (біометричні, медичні, расове/етнічне походження, точна геолокація тощо) вимагають явної згоди на обробку.
На відміну від GDPR, VCDPA не вимагає юридичної основи для обробки загальних персональних даних, але вимагає оцінок захисту даних для діяльності з високим ризиком.
Малі підприємства, що не досягають порогів, звільнені, але ті, що обробляють чутливі дані або продають персональні дані, повинні уважно переглянути свою експозицію.
Платформа управління згодою, така як Biscotti CMP, може допомогти автоматизувати обробку сигналів відмови та записи згоди.
Політики конфіденційності повинні чітко розкривати категорії даних, що збираються, цілі, обмін з третіми сторонами та всі права споживачів відповідно до VCDPA.

Що таке Закон про захист даних споживачів Вірджинії і як він працює

VCDPA є комплексним законом про конфіденційність споживачів Вірджинії, закріпленим у Розділі 59.1, Главі 53 Кодексу Вірджинії, і набрав чинності 1 січня 2023 року [10]. Він встановлює рамки прав споживачів та відповідних зобов'язань бізнесу, які вільно моделюються на GDPR ЄС, хоча з помітними структурними відмінностями, що підходять для комерційного контексту США.

Закон працює за моделлю контролера-обробника. Контролери (суб'єкти, які визначають мету та засоби обробки) несуть основний тягар відповідності. Обробники (постачальники, які обробляють дані від імені контролера) повинні діяти відповідно до угоди про обробку даних та дотримуватися документованих інструкцій контролера [1].

Ключові механізми включають:

Обов'язкову відповідь на запити прав споживачів протягом 45 днів (можливе продовження ще на 45 днів з повідомленням)
Вимогу оцінок захисту даних для обробки, що представляє підвищений ризик
Договірні зобов'язання між контролерами та обробниками
Необхідність згоди на обробку чутливих даних; права на відмову від таргетованої реклами та продажу даних [8]

Коли VCDPA набирає чинності для бізнесу

VCDPA набрав чинності 1 січня 2023 року для всіх охоплених бізнесів [5]. Не було поетапного впровадження за розміром бізнесу, на відміну від CPRA Каліфорнії. Якщо бізнес відповідав порогам на цю дату або після неї, дотримання вимог було негайно обов'язковим.

Остання поправка, SB 338, додала заборону на продаж точних даних геолокації, що набирає чинності 1 липня 2026 року [2][3]. Це означає, що бізнеси, які монетизують дані про місцезнаходження, включаючи брокерів даних, рекламні мережі та видавців мобільних додатків, що обслуговують споживачів Вірджинії, зіткнуться з новим жорстким терміном цього року.

Хто повинен дотримуватися вимог VCDPA Вірджинії

VCDPA застосовується до комерційних суб'єктів, які ведуть бізнес у Вірджинії або виробляють продукти/послуги, націлені на мешканців Вірджинії і відповідають принаймні одному з двох порогів [8][10]:

Поріг	Умова
Обсяг	Контролює або обробляє дані понад 100,000 споживачів Вірджинії за календарний рік
Доходи	Контролює або обробляє дані понад 25,000 споживачів І отримує 50%+ валового доходу від продажу персональних даних

Виключені суб'єкти та типи даних включають:

Некомерційні організації
Заклади вищої освіти
Фінансові установи, що підлягають GLBA
Суб'єкти, що підпадають під HIPAA, та бізнес-партнери (для даних, що регулюються HIPAA)
Державні органи
Дані про працівників та B2B-контакти (в контексті працевлаштування або комерційних угод)

Закон не вимагає фізичної присутності у Вірджинії. Інтернет-компанія, що базується в Нью-Йорку, постачальник SaaS у Массачусетсі або рекламне агентство у Флориді можуть потрапити під дію закону, якщо вони обробляють дані споживачів Вірджинії у необхідному обсязі [1].

Чи застосовується VCDPA до мого бізнесу, якщо я не у Вірджинії

Так, географічне розташування бізнесу не має значення. Обсяг дії VCDPA визначається місцем розташування споживачів, а не місцем роботи бізнесу [7]. Будь-який бізнес Східного узбережжя з значною базою клієнтів у Вірджинії повинен оцінити свої обсяги даних відповідно до наведених вище порогів.

Практичний приклад: Інтернет-ритейлер з Балтимора, що продає 150,000 клієнтів щорічно, значна частина яких є мешканцями Вірджинії, ймовірно, перевищує поріг у 100,000 споживачів і повинен дотримуватися вимог.

Які дані фактично захищає та охоплює VCDPA

VCDPA охоплює персональні дані, визначені як будь-яка інформація, що пов'язана або може бути розумно пов'язана з ідентифікованою або такою, що може бути ідентифікованою, фізичною особою [10]. Це виключає анонімізовані дані та публічно доступну інформацію.

Чутливі дані є окремою категорією з вищим рівнем захисту, що вимагає згоди на обробку [8]:

Расове або етнічне походження
Релігійні переконання
Діагнози психічного або фізичного здоров'я
Сексуальна орієнтація або гендерна ідентичність
Імміграційний статус
Генетичні або біометричні дані, оброблені для унікальної ідентифікації
Персональні дані відомої дитини (до 13 років)
Точні дані геолокації (і з 1 липня 2026 року такі дані не можуть бути продані взагалі) [2]

Які дані фактично захищає та охоплює VCDPA

Які основні зобов'язання для бізнесу відповідно до VCDPA

Контролери повинні виконати шість категорій зобов'язань відповідно до VCDPA Вірджинії: Що потрібно знати бізнесу Східного узбережжя про захист даних починається тут у практичному сенсі.

Прозорість: Надати розумно доступне, чітке повідомлення про конфіденційність, що розкриває категорії даних, цілі обробки, обмін з третіми сторонами та права споживачів [7].
Виконання прав споживачів: Відповідати на запити доступу, виправлення, видалення, портативності та відмови протягом 45 днів.
Обмеження мети: Збирати лише дані, які є адекватними та релевантними для розкритої мети.
Безпека даних: Впроваджувати розумні адміністративні, технічні та фізичні заходи безпеки.
Недискримінація: Не відмовляти у наданні товарів/послуг або не стягувати різні ціни лише через те, що споживач скористався правом на конфіденційність.
Оцінки захисту даних: Проводити та документувати оцінки для таргетованої реклами, продажу даних, обробки чутливих даних, профілювання з юридичними/значними наслідками та певних високоризикових діяльностей [1][9].

Контролери також повинні поважати універсальні механізми відмови (такі як сигнали Global Privacy Control на основі браузера) для таргетованої реклами та продажу даних, вимога, що вводиться в дію відповідно до поправок Вірджинії [6].

Які права споживачів відповідно до VCDPA, які бізнеси повинні підтримувати

Споживачі Вірджинії мають шість прав, що підлягають виконанню [8][10]:

Право на доступ: Підтвердити, чи обробляються їхні дані, та отримати копію.
Право на виправлення: Виправити неточності в їхніх персональних даних.
Право на видалення: Запросити видалення персональних даних, які вони надали або які були зібрані про них.
Право на портативність даних: Отримати портативну копію у зручному для використання форматі.
Право на відмову: Відмовитися від таргетованої реклами, продажу персональних даних та профілювання для рішень з юридичними або значними наслідками.
Право на апеляцію: Якщо бізнес відмовляє у запиті, споживачі можуть подати апеляцію, і бізнес повинен відповісти протягом 60 днів з моменту подання апеляції.

Бізнеси повинні надати принаймні два методи для подання запитів (наприклад, веб-форму та безкоштовний номер телефону або електронну адресу) [9].

Скільки коштують порушення VCDPA у вигляді штрафів і санкцій

Генеральний прокурор Вірджинії може накладати цивільні штрафи до 7,500 доларів за навмисне порушення та до 2,500 доларів за ненавмисне порушення [8][10]. Штрафи також можуть включати судові заборони та гонорари адвокатів.

Критично важливо, що VCDPA спочатку включав 30-денний період для виправлення, протягом якого бізнеси могли виправити порушення перед накладенням штрафів. Однак цей період закінчився 1 січня 2026 року, що означає, що Генеральний прокурор тепер має право на виконання без надання можливості для виправлення [6].

Приватного права на позов немає, тому окремі споживачі не можуть безпосередньо подавати позови проти бізнесів відповідно до VCDPA. Виконання здійснюється виключно через Офіс Генерального прокурора.

Чим VCDPA відрізняється від CCPA і яка різниця з GDPR для компаній Східного узбережжя

Розуміння VCDPA Вірджинії: Що потрібно знати бізнесу Східного узбережжя про захист даних вимагає порівняльного контексту.

Особливість	VCDPA	CCPA/CPRA	GDPR
Приватне право на позов	Немає	Обмежене (порушення даних)	Так (країни-члени різняться)
Згода на обробку чутливих даних	Так	Ні (модель відмови)	Так
Період виправлення	Закінчився січень 2026	Закінчився січень 2023	Не застосовується
Максимальний штраф за порушення	7,500 доларів	7,500 доларів	До 4% світового доходу
Оцінки захисту даних	Вимога (високий ризик)	Вимога (високий ризик)	Вимога (DPIA)
Юридична основа для обробки	Не вимагається (загальні дані)	Не вимагається	Вимагається (6 законних підстав)

Ключовий висновок для бізнесів Східного узбережжя: VCDPA є менш обтяжливим, ніж GDPR з точки зору вимог до юридичної основи, але більш детальним, ніж оригінальний CCPA щодо згоди на обробку чутливих даних. Бізнеси, які вже відповідають вимогам GDPR, знайдуть адаптацію до VCDPA керованою; тим, хто знайомий лише з CCPA, потрібно буде налаштувати свої робочі процеси з чутливими даними.

Чи повинні малі бізнеси дотримуватися VCDPA Вірджинії

Малі бізнеси, що не досягають порогів у 100,000 споживачів або 25,000 споживачів плюс доходи, не зобов'язані дотримуватися VCDPA [10]. Це значне звільнення, яке відрізняє закон Вірджинії від деяких міжнародних рамок.

Однак "малі" є відносним поняттям. Нішевий інструмент SaaS з 110,000 безкоштовних користувачів у Вірджинії перевищує обсяг порогу незалежно від доходу. Бізнеси повинні:

Щорічно перевіряти фактичні обсяги даних споживачів
Відстежувати, чи становлять продажі даних 50%+ доходу
Переглядати пороги в міру зростання бізнесу

Навіть звільнені бізнеси отримують вигоду від раннього впровадження практик, орієнтованих на конфіденційність, оскільки ретрофітинг відповідності завжди є дорожчим, ніж проактивний дизайн.

Які поширені помилки, які компанії роблять з дотриманням VCDPA

1. Неправильна класифікація обробників як контролерів (або навпаки). Постачальники, які приймають незалежні рішення щодо використання даних, є контролерами, а не обробниками. Неправильна класифікація призводить до недостатніх договірних захистів та невиконаних зобов'язань.

2. Ігнорування універсальних сигналів відмови. Багато бізнесів створили потоки відмови лише для ручних запитів, не звертаючи уваги на вимогу поважати сигнали на рівні браузера, такі як Global Privacy Control [6].

3. Невиконання оновлення угод про обробку даних. VCDPA вимагає специфічних договірних положень між контролерами та обробниками. Загальні контракти з постачальниками часто не містять їх [1].

4. Ставлення до чутливих даних як до загальних персональних даних. Обробка біометричних, медичних або точних даних геолокації без згоди є окремим порушенням, а не просто процедурною прогалиною.

5. Припущення, що період виправлення все ще застосовується. Оскільки період виправлення закінчився у січні 2026 року, бізнеси більше не можуть покладатися на вікно для виправлення перед виконанням дій [6].

6. Відсутність механізму апеляції. Багато політик конфіденційності та робочих процесів запитів не містять документованого процесу апеляції, що є обов'язковим елементом відповідно до VCDPA [9].

Як я можу провести аудит свого бізнесу на готовність до VCDPA

Аудит готовності до VCDPA повинен охоплювати п'ять областей:

Оцінка порогів: Відстежити всі потоки даних споживачів Вірджинії та розрахувати річні обсяги обробки відповідно до законодавчих порогів.
Інвентаризація даних: Каталогізувати всі категорії персональних даних, що збираються, їх джерела, цілі, терміни зберігання та третіх осіб-одержувачів.
Перегляд чутливих даних: Визначити будь-які категорії чутливих даних та підтвердити, що механізми згоди на обробку наявні.
Інфраструктура прав: Перевірити всі шість робочих процесів прав споживачів від початку до кінця, включаючи процес апеляції.
Контракти з постачальниками: Переглянути всі угоди з обробниками на предмет положень, що вимагаються VCDPA (інструкції з обробки, конфіденційність, контроль за субобробниками, права на аудит) [7].

Для бізнесів, які управляють згодою через кілька цифрових точок дотику, платформа управління згодою, така як Biscotti CMP, може централізувати обробку сигналів відмови та підтримувати аудиторські записи згоди, підтримуючи як VCDPA, так і програми відповідності в кількох штатах.

Що повинна містити моя політика конфіденційності, щоб відповідати VCDPA

Політика конфіденційності, що відповідає VCDPA, повинна розкривати [8][9]:

категорії персональних даних, що обробляються
мету обробки кожної категорії
Як споживачі можуть використовувати свої шість прав, включаючи процес апеляції
Чи продаються або використовуються персональні дані для таргетованої реклами (з інструкціями для відмови)
категорії третіх сторін, з якими дані діляться
Контактну інформацію для подання запитів (принаймні два методи)
Якщо обробляються чутливі дані, підставу для цього (згода на обробку)

Політики повинні бути написані простою мовою, бути розумно доступними (помітно пов'язаними на веб-сайтах та в додатках) і оновлюватися щоразу, коли матеріально змінюються практики обробки даних.

Висновок та наступні дії

VCDPA Вірджинії є одним з найбільш суттєвих державних рамок конфіденційності в Сполучених Штатах, а додавання заборони на продаж точних даних геолокації у липні 2026 року сигналізує про те, що законодавчий орган Вірджинії має намір продовжувати його посилення. Для бізнесів Східного узбережжя екстериторіальний обсяг закону означає, що географія не є захистом, обсяг даних та мета обробки визначають експозицію.

Дії на 2026 рік:

Проведіть аналіз порогів щодо ваших поточних обсягів даних споживачів Вірджинії до кінця року.
Аудит усіх робочих процесів з чутливими даними, особливо тих, що стосуються точних даних геолокації, біометричних або медичних даних, на відповідність згоді на обробку.
Підтвердьте, що ваша політика конфіденційності включає всі шість прав споживачів та документований механізм апеляції.
Перегляньте угоди з обробниками на предмет договірних положень, що вимагаються VCDPA.
Впровадьте або перевірте обробку універсальних сигналів відмови (Global Privacy Control) на всіх ваших цифрових ресурсах.
Розгляньте рішення для управління згодою, таке як Biscotti CMP, для автоматизації збору згоди, обробки сигналів відмови та документації відповідності.
Заплануйте щорічні повторні оцінки порогів у міру зростання вашого бізнесу.

Період виправлення закінчився. Виконання в дії. Бізнеси, які сприймають відповідність VCDPA як одноразову галочку, а не як постійну операційну дисципліну, стикаються з найбільшим ризиком.

Питання та відповіді

Q: Чи застосовується VCDPA до неприбуткових організацій? Ні. Некомерційні організації явно звільнені від вимог VCDPA [10].

Q: Чи може споживач Вірджинії подати позов проти мого бізнесу безпосередньо відповідно до VCDPA? Ні. VCDPA не має приватного права на позов. Лише Генеральний прокурор Вірджинії може ініціювати дії щодо виконання [8].

Q: Який термін для відповіді на запит прав споживачів? Бізнеси повинні відповісти протягом 45 днів з моменту отримання перевірного запиту. Одноразове продовження на 45 днів дозволено, якщо бізнес повідомляє споживача про затримку та причину [9].

Q: Чи охоплюються дані працівників VCDPA? Дані працівників, оброблені в контексті працевлаштування, звільнені відповідно до VCDPA. Однак це звільнення має вузьке тлумачення і не охоплює всі використання даних, пов'язані з HR [1].

Q: Що вважається "продажем" персональних даних відповідно до VCDPA? VCDPA визначає "продаж" як обмін персональними даними за грошову винагороду. На відміну від CCPA, це не поширюється на немонетарну цінну винагороду, що є суттєвим відмінністю для угод у сфері реклами [5].

Q: Чи потрібен мені Офіцер з захисту даних відповідно до VCDPA? Ні. VCDPA не вимагає призначення Офіцера з захисту даних, на відміну від GDPR [7].

Q: Що змінилося з SB 338 у 2026 році? SB 338, що набирає чинності 1 липня 2026 року, забороняє продаж точних даних геолокації, додаючи нове категоричне обмеження, яке виходить за межі загальної моделі відмови, що раніше регулювала такі дані [2][3].

Q: Як VCDPA визначає "точну геолокацію"? Точна геолокація означає дані, отримані з технології, яка ідентифікує місцезнаходження споживача в радіусі 1,750 футів або менше [10].

Q: Чи потрібні оцінки захисту даних для всіх видів обробки? Ні. Оцінки потрібні лише для обробки з високим ризиком: таргетована реклама, продаж даних, обробка чутливих даних, профілювання з юридичними/значними наслідками та обробка, що представляє підвищений ризик шкоди [1][9].

Q: Що відбувається, якщо споживач подає апеляцію на відмовлений запит? Бізнес повинен завершити перегляд апеляції протягом 60 днів і повідомити споживача про результат. Якщо апеляцію відхилено, бізнес повинен надати інформацію про те, як споживач може зв'язатися з Генеральним прокурором [8].