Câu trả lời nhanh: Luật Bảo vệ Dữ liệu Người tiêu dùng của Virginia (VCDPA) là một luật bảo mật toàn diện của tiểu bang có hiệu lực từ ngày 1 tháng 1 năm 2023, yêu cầu các doanh nghiệp đáp ứng các ngưỡng doanh thu hoặc xử lý dữ liệu cụ thể phải tôn trọng quyền của người tiêu dùng đối với dữ liệu cá nhân. Các doanh nghiệp Bờ Đông, ngay cả những doanh nghiệp có trụ sở ngoài Virginia, phải tuân thủ nếu họ phục vụ cư dân Virginia với quy mô lớn. Từ ngày 1 tháng 7 năm 2026, luật này đã được củng cố thêm với lệnh cấm bán dữ liệu định vị chính xác theo SB 338.
Những điểm chính
- VCDPA áp dụng cho bất kỳ doanh nghiệp nào kiểm soát hoặc xử lý dữ liệu của hơn 100,000 người tiêu dùng Virginia hàng năm, hoặc hơn 25,000 người tiêu dùng nếu 50% hoặc nhiều hơn doanh thu đến từ việc bán dữ liệu cá nhân.
- Người tiêu dùng Virginia có sáu quyền cơ bản: quyền truy cập, quyền sửa đổi, quyền xóa, quyền chuyển nhượng, quyền từ chối quảng cáo/ bán/ lập hồ sơ nhắm mục tiêu, và quyền kháng cáo yêu cầu bị từ chối.
- Tổng chưởng lý Virginia giữ quyền hạn thực thi độc quyền; không có quyền khởi kiện tư nhân theo VCDPA.
- Các hình phạt dân sự có thể lên tới 7,500 đô la cho mỗi vi phạm cố ý, với thời gian khắc phục 30 ngày (hết hạn sau ngày 1 tháng 1 năm 2026).
- Từ ngày 1 tháng 7 năm 2026, SB 338 cấm bán dữ liệu định vị chính xác, tạo thêm nghĩa vụ mới đáng kể cho các nhà môi giới dữ liệu và công ty công nghệ quảng cáo.
- Các loại dữ liệu nhạy cảm (dữ liệu sinh trắc học, sức khỏe, nguồn gốc chủng tộc/dân tộc, định vị chính xác, v.v.) yêu cầu sự đồng ý rõ ràng trước khi xử lý.
- Không giống như GDPR, VCDPA không yêu cầu cơ sở pháp lý để xử lý dữ liệu cá nhân chung, nhưng yêu cầu đánh giá bảo vệ dữ liệu cho các hoạt động có rủi ro cao.
- Các doanh nghiệp nhỏ dưới ngưỡng được miễn, nhưng những doanh nghiệp xử lý dữ liệu nhạy cảm hoặc bán dữ liệu cá nhân nên xem xét kỹ lưỡng mức độ tiếp xúc của họ.
- Một nền tảng quản lý đồng ý như Biscotti CMP có thể giúp tự động hóa việc xử lý tín hiệu từ chối và ghi chép đồng ý.
- Chính sách bảo mật phải công khai rõ ràng các loại dữ liệu được thu thập, mục đích, chia sẻ bên thứ ba và tất cả quyền của người tiêu dùng theo VCDPA.
Luật Bảo vệ Dữ liệu Người tiêu dùng của Virginia là gì và nó hoạt động như thế nào
VCDPA là đạo luật bảo mật người tiêu dùng toàn diện của Virginia, được quy định tại Tiêu đề 59.1, Chương 53 của Bộ luật Virginia, có hiệu lực từ ngày 1 tháng 1 năm 2023 [10]. Nó thiết lập một khung quyền của người tiêu dùng và các nghĩa vụ tương ứng của doanh nghiệp được mô phỏng lỏng lẻo theo GDPR của EU, mặc dù có những khác biệt cấu trúc đáng chú ý phù hợp với bối cảnh thương mại của Mỹ.
Luật này hoạt động theo mô hình kiểm soát - xử lý. Người kiểm soát (các thực thể xác định mục đích và phương tiện xử lý) chịu trách nhiệm chính về việc tuân thủ. Người xử lý (các nhà cung cấp xử lý dữ liệu thay mặt cho người kiểm soát) phải hoạt động theo một thỏa thuận xử lý dữ liệu và tuân theo các hướng dẫn đã được tài liệu hóa của người kiểm soát [1].
Các cơ chế chính bao gồm:
- Phải phản hồi yêu cầu quyền của người tiêu dùng trong vòng 45 ngày (có thể gia hạn thêm 45 ngày với thông báo)
- Cần thực hiện đánh giá bảo vệ dữ liệu cho việc xử lý có rủi ro cao
- Nghĩa vụ hợp đồng giữa người kiểm soát và người xử lý
- Cần có sự đồng ý trước cho dữ liệu nhạy cảm; quyền từ chối cho quảng cáo nhắm mục tiêu và bán dữ liệu [8]
Khi nào VCDPA có hiệu lực đối với các doanh nghiệp
VCDPA có hiệu lực từ ngày 1 tháng 1 năm 2023 đối với tất cả các doanh nghiệp được bảo vệ [5]. Không có việc triển khai theo từng giai đoạn theo kích thước doanh nghiệp, không giống như CPRA của California. Nếu một doanh nghiệp đáp ứng các ngưỡng vào hoặc sau ngày đó, việc tuân thủ là bắt buộc ngay lập tức.
Sửa đổi gần đây nhất, SB 338, đã thêm lệnh cấm bán dữ liệu định vị chính xác, có hiệu lực từ ngày 1 tháng 7 năm 2026 [2][3]. Điều này có nghĩa là các doanh nghiệp kiếm tiền từ dữ liệu vị trí, bao gồm các nhà môi giới dữ liệu, mạng quảng cáo và nhà phát hành ứng dụng di động phục vụ người tiêu dùng Virginia, phải đối mặt với một thời hạn cứng mới trong năm nay.
Ai phải tuân thủ các yêu cầu của VCDPA của Virginia
VCDPA áp dụng cho các thực thể vì lợi nhuận thực hiện kinh doanh tại Virginia hoặc sản xuất sản phẩm/dịch vụ nhắm đến cư dân Virginia và đáp ứng ít nhất một trong hai ngưỡng [8][10]:
| Ngưỡng | Điều kiện |
|---|---|
| Dựa trên khối lượng | Kiểm soát hoặc xử lý dữ liệu của hơn 100,000 người tiêu dùng Virginia mỗi năm dương lịch |
| Dựa trên doanh thu | Kiểm soát hoặc xử lý dữ liệu của hơn 25,000 người tiêu dùng VÀ thu được hơn 50% doanh thu gộp từ việc bán dữ liệu cá nhân |
Các thực thể và loại dữ liệu miễn trừ bao gồm:
- Tổ chức phi lợi nhuận
- Các cơ sở giáo dục đại học
- Các tổ chức tài chính chịu sự điều chỉnh của GLBA
- Các thực thể và đối tác kinh doanh được điều chỉnh bởi HIPAA (đối với dữ liệu theo quy định của HIPAA)
- Các thực thể chính phủ
- Dữ liệu liên hệ của nhân viên và B2B (trong bối cảnh việc làm hoặc giao dịch thương mại)
Luật này không yêu cầu có mặt vật lý tại Virginia. Một công ty thương mại điện tử có trụ sở tại New York, một nhà cung cấp SaaS ở Massachusetts, hoặc một công ty marketing ở Florida đều có thể nằm trong phạm vi nếu họ xử lý dữ liệu người tiêu dùng Virginia với khối lượng yêu cầu [1].
VCDPA có áp dụng cho doanh nghiệp của tôi nếu tôi không ở Virginia không
Có, vị trí địa lý của doanh nghiệp không quan trọng. Phạm vi của VCDPA được xác định bởi nơi người tiêu dùng đang ở, không phải nơi doanh nghiệp hoạt động [7]. Bất kỳ doanh nghiệp nào ở Bờ Đông có cơ sở khách hàng Virginia đáng kể nên đánh giá khối lượng dữ liệu của họ so với các ngưỡng trên.
Ví dụ thực tiễn: Một nhà bán lẻ thương mại điện tử có trụ sở tại Baltimore bán hàng cho 150,000 khách hàng hàng năm, một phần lớn trong số đó là cư dân Virginia, có khả năng vượt qua ngưỡng 100,000 người tiêu dùng và phải tuân thủ.
Dữ liệu nào mà VCDPA thực sự bảo vệ và bao phủ
VCDPA bảo vệ dữ liệu cá nhân, được định nghĩa là bất kỳ thông tin nào liên kết hoặc có thể liên kết hợp lý với một cá nhân tự nhiên đã được xác định hoặc có thể xác định [10]. Điều này không bao gồm dữ liệu đã được khử danh tính và thông tin công khai.
Dữ liệu nhạy cảm là một loại dữ liệu riêng biệt, yêu cầu sự đồng ý trước khi xử lý [8]:
- Nguồn gốc chủng tộc hoặc dân tộc
- Niềm tin tôn giáo
- Chẩn đoán sức khỏe tâm thần hoặc thể chất
- Xu hướng tình dục hoặc bản dạng giới
- Tình trạng di trú
- Dữ liệu di truyền hoặc sinh trắc học được xử lý để xác định duy nhất
- Dữ liệu cá nhân của một trẻ em đã biết (dưới 13 tuổi)
- Dữ liệu định vị chính xác (và kể từ ngày 1 tháng 7 năm 2026, dữ liệu như vậy không thể được bán) [2]
Các nghĩa vụ chính của doanh nghiệp theo VCDPA
Người kiểm soát phải thực hiện sáu loại nghĩa vụ theo VCDPA của Virginia: Những điều Doanh nghiệp Bờ Đông Cần Biết về Bảo vệ Dữ liệu bắt đầu từ đây theo cách thực tiễn.
- Minh bạch: Cung cấp thông báo bảo mật rõ ràng, dễ tiếp cận, công khai các loại dữ liệu, mục đích xử lý, chia sẻ bên thứ ba và quyền của người tiêu dùng [7].
- Thực hiện quyền của người tiêu dùng: Phản hồi yêu cầu truy cập, sửa đổi, xóa, chuyển nhượng và từ chối trong vòng 45 ngày.
- Giới hạn mục đích: Chỉ thu thập dữ liệu đủ và liên quan đến mục đích đã công khai.
- Bảo mật dữ liệu: Thực hiện các biện pháp bảo vệ hành chính, kỹ thuật và vật lý hợp lý.
- Không phân biệt: Không từ chối hàng hóa/dịch vụ hoặc tính giá khác biệt chỉ vì một người tiêu dùng đã thực hiện quyền bảo mật.
- Đánh giá bảo vệ dữ liệu: Thực hiện và ghi chép các đánh giá cho quảng cáo nhắm mục tiêu, bán dữ liệu, xử lý dữ liệu nhạy cảm, lập hồ sơ có tác động pháp lý/đáng kể, và một số hoạt động có rủi ro cao [1][9].
Người kiểm soát cũng phải tôn trọng các cơ chế từ chối toàn cầu (như tín hiệu kiểm soát quyền riêng tư toàn cầu dựa trên trình duyệt) cho quảng cáo nhắm mục tiêu và bán dữ liệu, một yêu cầu được triển khai theo các sửa đổi của Virginia [6].
Quyền của người tiêu dùng theo VCDPA mà doanh nghiệp cần hỗ trợ
Người tiêu dùng Virginia có sáu quyền có thể thi hành [8][10]:
- Quyền truy cập: Xác nhận xem dữ liệu của họ có đang được xử lý hay không và nhận một bản sao.
- Quyền sửa đổi: Sửa chữa các thông tin không chính xác trong dữ liệu cá nhân của họ.
- Quyền xóa: Yêu cầu xóa dữ liệu cá nhân mà họ đã cung cấp hoặc dữ liệu đã được thu thập về họ.
- Quyền chuyển nhượng dữ liệu: Nhận một bản sao có thể chuyển nhượng trong định dạng dễ sử dụng.
- Quyền từ chối: Từ chối quảng cáo nhắm mục tiêu, bán dữ liệu cá nhân và lập hồ sơ cho các quyết định có tác động pháp lý hoặc đáng kể.
- Quyền kháng cáo: Nếu một doanh nghiệp từ chối một yêu cầu, người tiêu dùng có thể kháng cáo, và doanh nghiệp phải phản hồi trong vòng 60 ngày kể từ khi kháng cáo.
Doanh nghiệp phải cung cấp ít nhất hai phương thức để gửi yêu cầu (ví dụ: một biểu mẫu web và một số điện thoại miễn phí hoặc địa chỉ email) [9].
Vi phạm tuân thủ VCDPA có thể bị phạt bao nhiêu
Tổng chưởng lý Virginia có thể áp dụng các hình phạt dân sự lên tới 7,500 đô la cho mỗi vi phạm cố ý và lên tới 2,500 đô la cho mỗi vi phạm vô ý [8][10]. Các hình phạt cũng có thể bao gồm biện pháp khắc phục và phí luật sư.
Điều quan trọng là, VCDPA ban đầu bao gồm một thời gian khắc phục 30 ngày, doanh nghiệp có thể sửa chữa các vi phạm trước khi bị phạt. Tuy nhiên, thời gian khắc phục đó hết hạn vào ngày 1 tháng 1 năm 2026, có nghĩa là Tổng chưởng lý hiện có quyền tự quyết trong việc theo đuổi thực thi mà không cần cung cấp cơ hội khắc phục [6].
Không có quyền khởi kiện tư nhân, vì vậy người tiêu dùng cá nhân không thể kiện doanh nghiệp trực tiếp theo VCDPA. Việc thực thi hoàn toàn thuộc về Văn phòng Tổng chưởng lý.
VCDPA khác gì so với CCPA và sự khác biệt với GDPR đối với các công ty Bờ Đông
Hiểu VCDPA của Virginia: Những điều Doanh nghiệp Bờ Đông Cần Biết về Bảo vệ Dữ liệu yêu cầu đặt nó trong bối cảnh so sánh.
| Tính năng | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| Quyền khởi kiện tư nhân | Không | Hạn chế (vi phạm dữ liệu) | Có (các quốc gia thành viên khác nhau) |
| Đồng ý trước cho dữ liệu nhạy cảm | Có | Không (mô hình từ chối) | Có |
| Thời gian khắc phục | Hết hạn tháng 1 năm 2026 | Hết hạn tháng 1 năm 2023 | Không áp dụng |
| Hình phạt tối đa cho mỗi vi phạm | 7,500 đô la | 7,500 đô la | Lên tới 4% doanh thu toàn cầu |
| Đánh giá Bảo vệ Dữ liệu | Bắt buộc (rủi ro cao) | Bắt buộc (rủi ro cao) | Bắt buộc (DPIA) |
| Cơ sở pháp lý cho việc xử lý | Không yêu cầu (dữ liệu chung) | Không yêu cầu | Bắt buộc (6 cơ sở hợp pháp) |
Điểm chính cho các doanh nghiệp Bờ Đông: VCDPA ít nặng nề hơn so với GDPR về yêu cầu cơ sở pháp lý, nhưng quy định hơn so với CCPA ban đầu về sự đồng ý cho dữ liệu nhạy cảm. Các doanh nghiệp đã tuân thủ GDPR sẽ thấy việc thích ứng với VCDPA là dễ quản lý; những doanh nghiệp chỉ quen thuộc với CCPA cần điều chỉnh quy trình làm việc với dữ liệu nhạy cảm của họ.
Doanh nghiệp nhỏ có cần tuân thủ VCDPA của Virginia không
Các doanh nghiệp nhỏ dưới ngưỡng 100,000 người tiêu dùng hoặc 25,000 người tiêu dùng cộng với doanh thu không bắt buộc phải tuân thủ VCDPA [10]. Đây là một miễn trừ có ý nghĩa phân biệt luật của Virginia với một số khung pháp lý quốc tế.
Tuy nhiên, "nhỏ" là tương đối. Một công cụ SaaS ngách với 110,000 người dùng miễn phí ở Virginia vượt qua ngưỡng khối lượng bất kể doanh thu. Các doanh nghiệp nên:
- Kiểm toán khối lượng dữ liệu người tiêu dùng thực tế hàng năm
- Theo dõi xem việc bán dữ liệu có chiếm hơn 50% doanh thu không
- Đánh giá lại các ngưỡng khi doanh nghiệp phát triển
Ngay cả các doanh nghiệp miễn trừ cũng được lợi từ việc xây dựng các thực tiễn bảo mật sớm, vì việc điều chỉnh tuân thủ thường tốn kém hơn so với thiết kế chủ động.
Những sai lầm phổ biến mà các công ty mắc phải khi tuân thủ VCDPA
1. Phân loại sai người xử lý thành người kiểm soát (hoặc ngược lại). Các nhà cung cấp đưa ra quyết định độc lập về việc sử dụng dữ liệu là người kiểm soát, không phải người xử lý. Việc phân loại sai dẫn đến bảo vệ hợp đồng không đầy đủ và nghĩa vụ không được giải quyết.
2. Bỏ qua tín hiệu từ chối toàn cầu. Nhiều doanh nghiệp chỉ xây dựng quy trình từ chối cho các yêu cầu thủ công, bỏ qua yêu cầu tôn trọng các tín hiệu cấp trình duyệt như Kiểm soát Quyền riêng tư Toàn cầu [6].
3. Không cập nhật các thỏa thuận xử lý dữ liệu. VCDPA yêu cầu các điều khoản hợp đồng cụ thể giữa người kiểm soát và người xử lý. Các hợp đồng nhà cung cấp chung thường thiếu chúng [1].
4. Đối xử với dữ liệu nhạy cảm như dữ liệu cá nhân chung. Xử lý dữ liệu sinh trắc học, sức khỏe hoặc dữ liệu định vị chính xác mà không có sự đồng ý trước là một vi phạm rõ ràng, không chỉ là một khoảng trống quy trình.
5. Giả định rằng thời gian khắc phục vẫn áp dụng. Với thời gian khắc phục đã hết hạn vào tháng 1 năm 2026, các doanh nghiệp không còn có thể dựa vào một khoảng thời gian sửa chữa trước khi hành động thực thi [6].
6. Bỏ qua cơ chế kháng cáo. Nhiều chính sách bảo mật và quy trình yêu cầu thiếu một quy trình kháng cáo được tài liệu hóa, đây là một yếu tố bắt buộc theo VCDPA [9].
Làm thế nào để tôi kiểm toán doanh nghiệp của mình về sự sẵn sàng VCDPA
Một cuộc kiểm toán sự sẵn sàng VCDPA nên bao gồm năm lĩnh vực:
- Đánh giá ngưỡng: Lập bản đồ tất cả các luồng dữ liệu người tiêu dùng Virginia và tính toán khối lượng xử lý hàng năm so với các ngưỡng theo luật.
- Danh mục dữ liệu: Ghi chép tất cả các loại dữ liệu cá nhân được thu thập, nguồn gốc, mục đích, thời gian lưu giữ và bên nhận dữ liệu.
- Xem xét dữ liệu nhạy cảm: Xác định bất kỳ loại dữ liệu nhạy cảm nào và xác nhận rằng các cơ chế đồng ý trước đã được thiết lập.
- Cơ sở hạ tầng quyền: Kiểm tra tất cả sáu quy trình quyền của người tiêu dùng từ đầu đến cuối, bao gồm quy trình kháng cáo.
- Hợp đồng nhà cung cấp: Xem xét tất cả các thỏa thuận xử lý cho các điều khoản yêu cầu theo VCDPA (hướng dẫn xử lý, bảo mật, kiểm soát nhà thầu phụ, quyền kiểm toán) [7].
Đối với các doanh nghiệp quản lý đồng ý qua nhiều điểm tiếp xúc kỹ thuật số, một nền tảng quản lý đồng ý như Biscotti CMP có thể tập trung việc xử lý tín hiệu từ chối và duy trì ghi chép đồng ý có thể kiểm toán, hỗ trợ cả chương trình tuân thủ VCDPA và đa bang.
Chính sách bảo mật của tôi nên nói gì để tuân thủ VCDPA
Một chính sách bảo mật tuân thủ VCDPA phải công khai [8][9]:
- Các loại dữ liệu cá nhân được xử lý
- Mục đích xử lý mỗi loại
- Cách người tiêu dùng có thể thực hiện sáu quyền của họ, bao gồm quy trình kháng cáo
- Dữ liệu cá nhân có được bán hoặc sử dụng cho quảng cáo nhắm mục tiêu (kèm theo hướng dẫn từ chối)
- Các loại bên thứ ba mà dữ liệu được chia sẻ
- Thông tin liên hệ để gửi yêu cầu (ít nhất hai phương thức)
- Nếu dữ liệu nhạy cảm được xử lý, cơ sở để làm như vậy (sự đồng ý trước)
Các chính sách nên được viết bằng ngôn ngữ đơn giản, dễ tiếp cận (liên kết nổi bật trên các trang web và ứng dụng), và được cập nhật bất cứ khi nào thực tiễn dữ liệu thay đổi một cách đáng kể.
Kết luận và các bước hành động tiếp theo
VCDPA của Virginia đại diện cho một trong những khung bảo mật tiểu bang có nội dung nhất tại Hoa Kỳ, và việc bổ sung lệnh cấm bán dữ liệu định vị chính xác vào tháng 7 năm 2026 cho thấy rằng cơ quan lập pháp Virginia có ý định tiếp tục củng cố nó. Đối với các doanh nghiệp Bờ Đông, phạm vi của luật này có nghĩa là địa lý không phải là một biện hộ, khối lượng dữ liệu và mục đích xử lý xác định mức độ tiếp xúc.
Các bước hành động cho năm 2026:
- Thực hiện phân tích ngưỡng so với khối lượng dữ liệu người tiêu dùng Virginia hiện tại của bạn trước khi năm kết thúc.
- Kiểm toán tất cả các quy trình dữ liệu nhạy cảm, đặc biệt là bất kỳ quy trình nào liên quan đến định vị chính xác, sinh trắc học hoặc dữ liệu sức khỏe, để đảm bảo tuân thủ sự đồng ý trước.
- Xác nhận rằng chính sách bảo mật của bạn bao gồm tất cả sáu quyền của người tiêu dùng và một cơ chế kháng cáo được tài liệu hóa.
- Xem xét các thỏa thuận xử lý cho các điều khoản hợp đồng yêu cầu theo VCDPA.
- Thực hiện hoặc xác minh việc xử lý tín hiệu từ chối toàn cầu (Kiểm soát Quyền riêng tư Toàn cầu) trên tất cả các tài sản kỹ thuật số của bạn.
- Cân nhắc một giải pháp quản lý đồng ý như Biscotti CMP để tự động hóa việc thu thập đồng ý, xử lý tín hiệu từ chối và tài liệu tuân thủ.
- Lên lịch đánh giá lại ngưỡng hàng năm khi doanh nghiệp của bạn phát triển.
Thời gian khắc phục đã qua. Việc thực thi đang diễn ra. Các doanh nghiệp coi việc tuân thủ VCDPA như một dấu kiểm một lần thay vì một kỷ luật hoạt động liên tục sẽ phải đối mặt với rủi ro lớn nhất.
Câu hỏi thường gặp
Q: VCDPA có áp dụng cho các tổ chức phi lợi nhuận không? Không. Các tổ chức phi lợi nhuận được miễn trừ rõ ràng khỏi các yêu cầu của VCDPA [10].
Q: Người tiêu dùng Virginia có thể kiện doanh nghiệp của tôi trực tiếp theo VCDPA không? Không. VCDPA không có quyền khởi kiện tư nhân. Chỉ Tổng chưởng lý Virginia mới có thể thực hiện các hành động thực thi [8].
Q: Thời hạn để phản hồi yêu cầu quyền của người tiêu dùng là bao lâu? Các doanh nghiệp phải phản hồi trong vòng 45 ngày kể từ khi nhận được yêu cầu có thể xác minh. Một lần gia hạn 45 ngày được phép nếu doanh nghiệp thông báo cho người tiêu dùng về sự chậm trễ và lý do [9].
Q: Dữ liệu của nhân viên có được VCDPA bảo vệ không? Dữ liệu của nhân viên được xử lý trong bối cảnh việc làm được miễn trừ theo VCDPA. Tuy nhiên, miễn trừ này được hiểu một cách hẹp và không bao gồm tất cả các sử dụng dữ liệu liên quan đến nhân sự [1].
Q: Điều gì được coi là "bán" dữ liệu cá nhân theo VCDPA? VCDPA định nghĩa "bán" là việc trao đổi dữ liệu cá nhân để nhận tiền. Không giống như CCPA, nó không mở rộng đến các khoản bồi thường có giá trị phi tiền tệ, điều này là một sự phân biệt có ý nghĩa cho các thỏa thuận công nghệ quảng cáo [5].
Q: Tôi có cần một Nhân viên Bảo vệ Dữ liệu theo VCDPA không? Không. VCDPA không yêu cầu bổ nhiệm Nhân viên Bảo vệ Dữ liệu, không giống như GDPR [7].
Q: Điều gì đã thay đổi với SB 338 vào năm 2026? SB 338, có hiệu lực từ ngày 1 tháng 7 năm 2026, cấm bán dữ liệu định vị chính xác, thêm một hạn chế loại mới ngoài khung từ chối chung đã điều chỉnh dữ liệu như vậy trước đây [2][3].
Q: VCDPA định nghĩa "định vị chính xác" như thế nào? Định vị chính xác có nghĩa là dữ liệu được lấy từ công nghệ xác định vị trí của người tiêu dùng trong bán kính 1,750 feet hoặc ít hơn [10].
Q: Có cần đánh giá bảo vệ dữ liệu cho tất cả các hoạt động xử lý không? Không. Chỉ có các đánh giá được yêu cầu cho việc xử lý có rủi ro cao: quảng cáo nhắm mục tiêu, bán dữ liệu, xử lý dữ liệu nhạy cảm, lập hồ sơ có tác động pháp lý/đáng kể, và xử lý có rủi ro cao về tổn hại [1][9].
Q: Điều gì xảy ra nếu một người tiêu dùng kháng cáo yêu cầu bị từ chối? Doanh nghiệp phải hoàn thành việc xem xét kháng cáo trong vòng 60 ngày và thông báo cho người tiêu dùng về kết quả. Nếu kháng cáo bị từ chối, doanh nghiệp phải cung cấp thông tin về cách người tiêu dùng có thể liên hệ với Tổng chưởng lý [8].
Trình kiểm tra ngưỡng tuân thủ VCDPA tương tác
Tài liệu tham khảo
[1] Hướng dẫn Luật Bảo vệ Dữ liệu Người tiêu dùng Virginia - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Mở rộng VCDPA Với Lệnh Cấm Bán Dữ liệu Định vị Chính xác - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Được Sửa đổi - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Luật Bảo vệ Dữ liệu Người tiêu dùng Virginia (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] Quy trình Sửa đổi VCDPA Hoàn tất: Văn bản Được Hoàn thiện Trước Ngày Có hiệu lực 1 tháng 1 - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Hướng dẫn Luật Bảo vệ Quyền riêng tư Dữ liệu Người tiêu dùng: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Tóm tắt Luật Bảo vệ Dữ liệu Người tiêu dùng Virginia - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] Tổng quan về VCDPA - https://termly.io/resources/articles/vcdpa/
[10] Bộ luật Virginia Tiêu đề 59.1, Chương 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/