快速回答： 維吉尼亞州的消費者數據保護法（VCDPA）是一部全面的州隱私法，自 2023 年 1 月 1 日生效，要求符合特定收入或數據處理門檻的企業尊重消費者對個人數據的權利。東岸企業，即使總部位於維吉尼亞州以外，只要大規模服務維吉尼亞居民，亦必須遵守。自 2026 年 7 月 1 日起，該法律進一步加強，根據 SB 338 禁止銷售精確的地理位置數據。
主要要點
- VCDPA 適用於每年控制或處理 100,000 名以上維吉尼亞消費者數據的任何企業，或如果 50% 或以上的收入來自銷售個人數據，則適用於 25,000 名以上消費者。
- 維吉尼亞消費者擁有六項核心權利：訪問、修正、刪除、可攜性、選擇退出針對性廣告/銷售/分析的權利，以及對被拒請求的上訴權。
- 維吉尼亞州檢察總長擁有獨占的執法權限；VCDPA 下沒有私人訴訟權。
- 民事罰款可達每次故意違規 7,500 美元，並有 30 天的補救期（該補救期在 2026 年 1 月 1 日後失效）。
- 自 2026 年 7 月 1 日起，SB 338 禁止銷售精確的地理位置數據，為數據經紀人和廣告技術公司增加了一項重要的新義務。
- 敏感數據類別（生物識別、健康、種族/民族來源、精確地理位置等）在處理前需要明確的選擇加入同意。
- 與 GDPR 不同，VCDPA 不要求處理一般個人數據的法律依據，但對高風險活動要求進行數據保護評估。
- 小型企業如果低於門檻則豁免，但那些處理敏感數據或銷售個人數據的企業應仔細檢查其風險。
- 像 Biscotti CMP 這樣的同意管理平台可以幫助自動化選擇退出信號處理和同意記錄。
- 隱私政策必須清楚披露收集的數據類別、目的、第三方共享及 VCDPA 下的所有消費者權利。
維吉尼亞消費者數據保護法是什麼，如何運作
VCDPA 是維吉尼亞州的全面消費者隱私法，編纂於維吉尼亞法典第 59.1 標題，第 53 章，自 2023 年 1 月 1 日生效 [10]。它建立了一個消費者權利和相應商業義務的框架，這一框架在某種程度上模仿了歐盟的 GDPR，但在結構上有顯著差異，以適應美國商業環境。
該法律基於控制者-處理者模型運作。控制者（決定處理目的和方式的實體）承擔主要的合規負擔。處理者（代表控制者處理數據的供應商）必須根據數據處理協議運作，並遵循控制者的書面指示 [1]。
主要機制包括：
- 必須在 45 天內對消費者權利請求作出回應（可延長 45 天，需提前通知）
- 對於存在較高風險的處理，要求進行數據保護評估
- 控制者和處理者之間的合同義務
- 敏感數據需要選擇加入同意；針對性廣告和數據銷售的選擇退出權 [8]
VCDPA 何時對企業生效
VCDPA 自 2023 年 1 月 1 日 起對所有受涵蓋的企業生效 [5]。與加州的 CPRA 不同，沒有按企業規模分階段實施。如果企業在該日期或之後滿足門檻，則立即需要遵守。
最近的修正案 SB 338 增加了對精確地理位置數據銷售的禁令，自 2026 年 7 月 1 日 起生效 [2][3]。這意味著包括數據經紀人、廣告網絡和服務維吉尼亞消費者的移動應用發行商在內的企業，面臨著新的硬性截止日期。
誰需要遵守維吉尼亞的 VCDPA 要求
VCDPA 適用於在維吉尼亞州經營業務或生產針對維吉尼亞居民的產品/服務的營利性實體，並且滿足以下兩個門檻中的至少一個 [8][10]：
| 門檻 | 條件 |
|---|---|
| 基於數量 | 每曆年控制或處理 100,000 名以上維吉尼亞消費者的數據 |
| 基於收入 | 控制或處理 25,000 名以上消費者的數據，並且從銷售個人數據中獲得 50% 以上的總收入 |
豁免的實體和數據類型包括：
- 非營利組織
- 高等教育機構
- 受 GLBA 約束的金融機構
- 受 HIPAA 規範的實體及商業夥伴（針對 HIPAA 規範的數據）
- 政府實體
- 員工和 B2B 聯絡數據（在就業或商業交易的背景下）
該法律並不要求在維吉尼亞州有實體存在。位於紐約的電子商務公司、位於麻薩諸塞州的 SaaS 提供商或位於佛羅里達州的營銷機構，只要在所需的數量上處理維吉尼亞消費者數據，都可能在適用範圍內 [1]。
如果我的企業不在維吉尼亞，VCDPA 是否適用於我
是的，企業的地理位置無關緊要。VCDPA 的適用範圍取決於 消費者 的位置，而不是企業的運營地點 [7]。任何在維吉尼亞擁有大量客戶的東岸企業應評估其數據量是否符合上述門檻。
實際例子： 一家位於巴爾的摩的電子商務零售商，每年向 150,000 名客戶銷售，其中相當一部分是維吉尼亞居民，可能已經超過 100,000 名消費者的門檻，必須遵守。
VCDPA 實際上保護和涵蓋哪些數據
VCDPA 涵蓋 個人數據，定義為任何與已識別或可識別的自然人相關或合理可連結的信息 [10]。這不包括去識別數據和公開可用的信息。
敏感數據是一個獨特的、更高保護的類別，要求在處理前獲得選擇加入同意 [8]：
- 種族或民族來源
- 宗教信仰
- 精神或身體健康診斷
- 性取向或性別身份
- 移民身份
- 用於唯一識別的基因或生物識別數據
- 已知兒童的個人數據（13 歲以下）
- 精確地理位置數據（自 2026 年 7 月 1 日起，此類數據將無法銷售） [2]
VCDPA 下企業的主要義務是什麼
控制者必須在維吉尼亞的 VCDPA 下履行六類義務：東岸企業需要了解的數據保護從這裡開始。
- 透明度： 提供合理可訪問的清晰隱私通知，披露數據類別、處理目的、第三方共享及消費者權利 [7]。
- 消費者權利的履行： 在 45 天內回應訪問、修正、刪除、可攜性和選擇退出請求。
- 目的限制： 只收集與披露目的相關和足夠的數據。
- 數據安全： 實施合理的行政、技術和物理保護措施。
- 非歧視： 不因消費者行使隱私權而拒絕提供商品/服務或收取不同價格。
- 數據保護評估： 對針對性廣告、數據銷售、敏感數據處理、具有法律/重大影響的分析以及某些高風險活動進行評估並記錄 [1][9]。
控制者還必須尊重 普遍選擇退出機制（如基於瀏覽器的全球隱私控制信號）以針對性廣告和數據銷售，這是根據維吉尼亞的修正案逐步實施的要求 [6]。
消費者在 VCDPA 下的權利是什麼，企業需要支持哪些
維吉尼亞消費者擁有六項可執行的權利 [8][10]：
- 訪問權： 確認其數據是否正在被處理並獲得副本。
- 修正權： 更正其個人數據中的不準確之處。
- 刪除權： 請求刪除其提供的或收集的個人數據。
- 數據可攜權： 獲得可攜帶的副本，以便於使用的格式。
- 選擇退出權： 選擇退出針對性廣告、個人數據的銷售和具有法律或重大影響的分析。
- 上訴權： 如果企業拒絕請求，消費者可以上訴，企業必須在 60 天內對上訴作出回應。
企業必須提供至少 兩種方法 來提交請求（例如，網頁表單和免費電話號碼或電子郵件地址） [9]。
VCDPA 合規違規的罰款和處罰是多少
維吉尼亞州檢察總長可以對每次 故意違規 處以最高 7,500 美元 的民事罰款，對每次 非故意違規 處以最高 2,500 美元 的罰款 [8][10]。罰款還可能包括禁令救濟和律師費。
重要的是，VCDPA 最初包括 30 天的補救期，企業可以在評估罰款之前修正違規行為。然而，該補救期 在 2026 年 1 月 1 日失效，這意味著檢察總長現在有權在不提供補救機會的情況下進行執法 [6]。
沒有 私人訴訟權，因此個別消費者無法根據 VCDPA 直接起訴企業。執法完全由檢察總長辦公室負責。
VCDPA 與 CCPA 的區別以及對東岸公司的 GDPR 差異
了解維吉尼亞的 VCDPA：東岸企業需要了解的數據保護需要將其放在比較的背景下。
| 特徵 | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| 私人訴訟權 | 否 | 有限（數據洩露） | 是（成員國各異） |
| 敏感數據的選擇加入 | 是 | 否（選擇退出模型） | 是 |
| 補救期 | 2026 年 1 月失效 | 2023 年 1 月失效 | 不適用 |
| 每次違規的最高罰款 | 7,500 美元 | 7,500 美元 | 高達全球收入的 4% |
| 數據保護評估 | 需要（高風險） | 需要（高風險） | 需要（DPIA） |
| 處理的法律依據 | 不需要（一般數據） | 不需要 | 需要（6 種合法依據） |
對東岸企業的主要啟示： VCDPA 在法律依據要求方面比 GDPR 較不繁重，但在敏感數據同意方面比原始的 CCPA 更具規範性。已經符合 GDPR 的企業會發現 VCDPA 的適應是可管理的；而僅熟悉 CCPA 的企業則需要調整其敏感數據工作流程。
小型企業需要遵守維吉尼亞的 VCDPA 嗎
小型企業如果低於 100,000 名消費者或 25,000 名消費者加收入的門檻，則 不需要遵守 VCDPA [10]。這是一項重要的豁免，將維吉尼亞的法律與一些國際框架區分開來。
然而，「小型」是相對的。一個擁有 110,000 名免費層維吉尼亞用戶的利基 SaaS 工具無論收入如何，都已經超過了數量門檻。企業應該：
- 每年審核實際的消費者數據量
- 跟踪數據銷售是否占 50% 以上的收入
- 隨著業務擴展重新評估門檻
即使是豁免企業也能從早期建立以隱私為導向的實踐中受益，因為合規的補救成本通常比主動設計要高。
企業在 VCDPA 合規中常犯的錯誤
1. 錯誤分類處理者為控制者（或反之）。 獨立決定數據使用的供應商是控制者，而不是處理者。錯誤分類會導致合同保護不足和未解決的義務。
2. 忽視普遍選擇退出信號。 許多企業僅為手動請求建立選擇退出流程，忽略了遵守瀏覽器級信號（如全球隱私控制）的要求 [6]。
3. 未更新數據處理協議。 VCDPA 要求控制者和處理者之間的具體合同條款。通用供應商合同通常缺乏這些條款 [1]。
4. 將敏感數據視為一般個人數據。 在未獲得選擇加入同意的情況下處理生物識別、健康或精確地理位置數據是一種明顯的違規，而不僅僅是程序上的缺口。
5. 假設補救期仍然適用。 隨著補救期在 2026 年 1 月失效，企業不再能依賴於執法行動之前的修正窗口 [6]。
6. 忽略上訴機制。 許多隱私政策和請求工作流程缺乏文檔化的上訴過程，這是 VCDPA 下的要求元素 [9]。
如何審核我的企業以確保 VCDPA 準備就緒
VCDPA 準備審核應涵蓋五個領域：
- 門檻評估： 繪製所有維吉尼亞消費者數據流，並計算年處理量是否符合法定門檻。
- 數據清單： 編目所有收集的個人數據類別、來源、目的、保留期限和第三方接收者。
- 敏感數據審查： 確認任何敏感數據類別並確認選擇加入同意機制是否到位。
- 權利基礎設施： 測試所有六項消費者權利的工作流程，包括上訴過程。
- 供應商合同： 審查所有處理者協議是否符合 VCDPA 要求的條款（處理指示、保密性、子處理者控制、審計權） [7]。
對於在多個數字接觸點管理同意的企業，像 Biscotti CMP 這樣的同意管理平台可以集中處理選擇退出信號並維護可審計的同意記錄，支持 VCDPA 和多州合規計劃。
我的隱私政策應該說些什麼才能符合 VCDPA
符合 VCDPA 的隱私政策必須披露 [8][9]：
- 處理的個人數據類別
- 每個類別的 處理目的
- 消費者如何 行使他們的六項權利，包括上訴過程
- 個人數據是否 被出售或用於針對性廣告（附上選擇退出的指示）
- 與數據共享的 第三方類別
- 提交請求的聯繫信息（至少兩種方法）
- 如果處理敏感數據，則進行的基礎（選擇加入同意）
政策應以簡單的語言撰寫，合理可訪問（在網站和應用上顯著鏈接），並在數據實踐發生實質性變化時進行更新。
結論及可行的下一步
維吉尼亞的 VCDPA 代表了美國最實質性的州隱私框架之一，而 2026 年 7 月新增的精確地理位置數據銷售禁令表明維吉尼亞州立法機構打算持續加強該法。對於東岸企業來說，該法律的域外適用意味著地理位置無法作為防禦，數據量和處理目的決定了風險。
2026 年的可行步驟：
- 在年底之前對當前維吉尼亞消費者數據量進行門檻分析。
- 審核所有敏感數據工作流程，特別是涉及精確地理位置、生物識別或健康數據的工作流程，以確保符合選擇加入同意的要求。
- 確認您的隱私政策包含所有六項消費者權利和文檔化的上訴機制。
- 審查處理者協議以確保符合 VCDPA 要求的合同條款。
- 在您的數字資產中實施或驗證普遍選擇退出信號處理（全球隱私控制）。
- 考慮使用像 Biscotti CMP 這樣的同意管理解決方案，自動化同意收集、選擇退出信號處理和合規文檔。
- 隨著業務擴展，安排每年重新評估門檻。
補救期已經結束。執法已經開始。將 VCDPA 合規視為一次性核對清單而非持續的運營紀律的企業面臨著最大的風險。
常見問題
問：VCDPA 是否適用於非營利組織？ 不適用。非營利組織明確豁免 VCDPA 的要求 [10]。
問：維吉尼亞消費者可以直接根據 VCDPA 起訴我的企業嗎？ 不可以。VCDPA 沒有私人訴訟權。只有維吉尼亞州檢察總長可以提起執法行動 [8]。
問：對消費者權利請求的回應截止日期是什麼？ 企業必須在收到可驗證請求後的 45 天內作出回應。如果企業通知消費者延遲及原因，可以允許一次性 45 天的延長 [9]。
問：員工數據是否受 VCDPA 保護？ 在就業背景下處理的員工數據在 VCDPA 下是豁免的。然而，這一豁免的解釋相對狹窄，並不涵蓋所有與人力資源相關的數據使用 [1]。
問：根據 VCDPA，什麼算作「出售」個人數據？ VCDPA 將「出售」定義為以金錢對價交換個人數據。與 CCPA 不同，它不擴展到非金錢的有價值對價，這對廣告技術安排來說是一個重要的區別 [5]。
問：我需要根據 VCDPA 任命數據保護官嗎？ 不需要。VCDPA 不要求任命數據保護官，這與 GDPR 不同 [7]。
問：2026 年的 SB 338 有什麼變化？ SB 338 自 2026 年 7 月 1 日起生效，禁止銷售精確的地理位置數據，增加了一項超出之前針對性廣告框架的新類別限制 [2][3]。
問：VCDPA 如何定義「精確地理位置」？ 精確地理位置是指從技術中獲得的數據，該數據能夠在 1,750 英尺或更小的半徑內識別消費者的位置 [10]。
問：所有處理活動都需要進行數據保護評估嗎？ 不需要。只有高風險處理需要進行評估：針對性廣告、數據銷售、敏感數據處理、具有法律/重大影響的分析，以及存在較高風險的處理 [1][9]。
問：如果消費者對被拒請求提出上訴會怎樣？ 企業必須在 60 天內完成上訴審查並告知消費者結果。如果上訴被拒，企業必須提供消費者如何聯繫檢察總長的信息 [8]。
互動式 VCDPA 合規門檻檢查器
參考資料
[1] Virginia Consumer Data Protection Act Guide - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] Virginia Expands VCDPA With Ban On Sale of Precise Geolocation Data - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA Amended - https://www.cblaw.com/vcdpa-amended
[4] Virginia CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] Virginia Consumer Data Protection Act (VCDPA) - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA Amendment Process Complete: Text Finalized Ahead of Jan 1 Effective Date - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] Consumer Data Privacy Law Guide: Virginia - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] Virginia Consumer Data Protection Act Summary - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA Overview - https://termly.io/resources/articles/vcdpa/
[10] Virginia Code Title 59.1, Chapter 53 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/