快速回答： 弗吉尼亚州的消费者数据保护法（VCDPA）是一项全面的州隐私法，自2023年1月1日起生效，要求满足特定收入或数据处理门槛的企业尊重消费者对个人数据的权利。东海岸的企业，即使总部位于弗吉尼亚州以外，只要大规模服务弗吉尼亚居民，也必须遵守该法律。自2026年7月1日起，该法律进一步加强，禁止根据SB 338出售精确的地理位置数据。
关键要点
- VCDPA适用于每年控制或处理100,000名以上弗吉尼亚消费者数据的任何企业，或如果50%或更多收入来自出售个人数据，则适用于25,000名以上消费者。
- 弗吉尼亚消费者拥有六项核心权利：访问、纠正、删除、可携带性、选择退出定向广告/销售/分析的权利，以及对被拒请求的上诉权。
- 弗吉尼亚州检察长拥有独占的执法权；VCDPA下没有私人诉讼权。
- 民事罚款可高达每次故意违规7,500美元，且有30天的补救期（在2026年1月1日后失效）。
- 自2026年7月1日起，SB 338禁止出售精确的地理位置数据，为数据经纪人和广告技术公司增加了一项重要的新义务。
- 敏感数据类别（生物识别、健康、种族/民族来源、精确地理位置等）在处理前需要明确的选择加入同意。
- 与GDPR不同，VCDPA不要求处理一般个人数据的法律依据，但确实要求对高风险活动进行数据保护评估。
- 小型企业低于门槛是免除的，但那些处理敏感数据或出售个人数据的企业应仔细审查其风险。
- 像Biscotti CMP这样的同意管理平台可以帮助自动化选择退出信号处理和同意记录。
- 隐私政策必须清楚地披露收集的数据类别、目的、第三方共享以及根据VCDPA的所有消费者权利。
弗吉尼亚消费者数据保护法是什么，如何运作
VCDPA是弗吉尼亚州的全面消费者隐私法规，编纂于弗吉尼亚法典第59.1标题第53章，自2023年1月1日起生效[10]。它建立了一套消费者权利和相应的企业义务框架，松散地模仿了欧盟的GDPR，尽管在适合美国商业环境的结构上有显著差异。
该法律采用控制者-处理者模型。控制者（确定处理目的和方式的实体）承担主要的合规负担。处理者（代表控制者处理数据的供应商）必须在数据处理协议下运作，并遵循控制者的书面指示[1]。
关键机制包括：
- 必须在45天内对消费者权利请求作出回应（可在通知的情况下延长45天）
- 对于存在高度风险的处理，要求进行数据保护评估
- 控制者与处理者之间的合同义务
- 敏感数据需选择加入同意；针对定向广告和数据销售的选择退出权利[8]
VCDPA何时对企业生效
VCDPA于2023年1月1日对所有受覆盖的企业生效[5]。与加利福尼亚的CPRA不同，没有按企业规模分阶段实施。如果企业在该日期或之后满足门槛，则立即需要合规。
最近的修正案SB 338增加了对出售精确地理位置数据的禁令，自2026年7月1日生效[2][3]。这意味着包括数据经纪人、广告网络和服务弗吉尼亚消费者的移动应用发布商在内的企业面临着新的严格截止日期。
谁必须遵守弗吉尼亚的VCDPA要求
VCDPA适用于在弗吉尼亚州开展业务或生产针对弗吉尼亚居民的产品/服务的营利性实体并且满足以下两个门槛中的至少一个[8][10]：
| 门槛 | 条件 |
|---|---|
| 基于数量 | 每个日历年控制或处理100,000名以上弗吉尼亚消费者的数据 |
| 基于收入 | 控制或处理25,000名以上消费者的数据，并且从出售个人数据中获得50%以上的总收入 |
免除的实体和数据类型包括：
- 非营利组织
- 高等教育机构
- 受GLBA约束的金融机构
- 受HIPAA监管的实体和商业合作伙伴（针对HIPAA监管的数据）
- 政府实体
- 员工和B2B联系数据（在就业或商业交易的背景下）
该法律不要求在弗吉尼亚州有实体存在。位于纽约的电子商务公司、马萨诸塞州的SaaS提供商或佛罗里达州的营销机构，如果在所需数量上处理弗吉尼亚消费者数据，都可以在适用范围内[1]。
如果我不在弗吉尼亚，VCDPA是否适用于我的企业
是的，企业的地理位置无关紧要。VCDPA的适用范围由消费者的位置决定，而不是企业的运营地点[7]。任何在弗吉尼亚有大量客户基础的东海岸企业都应根据上述门槛评估其数据量。
实际例子： 一家位于巴尔的摩的电子商务零售商，每年向150,000名客户销售，其中相当一部分是弗吉尼亚居民，可能超过100,000消费者的门槛，必须遵守。
VCDPA实际上保护和涵盖哪些数据
VCDPA涵盖个人数据，定义为任何与已识别或可识别的自然人相关联或合理可关联的信息[10]。这不包括去标识化数据和公开可用的信息。
敏感数据是一个独特的、更高保护类别，在处理之前需要选择加入同意[8]：
- 种族或民族来源
- 宗教信仰
- 精神或身体健康诊断
- 性取向或性别身份
- 移民身份
- 用于唯一识别的遗传或生物识别数据
- 已知儿童的个人数据（13岁以下）
- 精确地理位置数据（自2026年7月1日起，此类数据将完全禁止出售）[2]
VCDPA下企业的主要义务是什么
控制者必须履行六类义务，关于弗吉尼亚的VCDPA：东海岸企业需要了解的数据保护在实际层面上从这里开始。
- 透明度： 提供合理可访问、清晰的隐私通知，披露数据类别、处理目的、第三方共享和消费者权利[7]。
- 消费者权利的履行： 在45天内回应访问、纠正、删除、可携带性和选择退出请求。
- 目的限制： 仅收集与披露目的相关和适当的数据。
- 数据安全： 实施合理的行政、技术和物理保护措施。
- 非歧视： 不因消费者行使隐私权而拒绝提供商品/服务或收取不同价格。
- 数据保护评估： 针对定向广告、数据销售、敏感数据处理、具有法律/重大影响的分析以及某些高风险活动进行评估和记录[1][9]。
控制者还必须尊重通用选择退出机制（如基于浏览器的全球隐私控制信号），这是根据弗吉尼亚的修正案逐步实施的要求[6]。
VCDPA下消费者的权利是什么，企业需要支持哪些权利
弗吉尼亚消费者拥有六项可执行的权利[8][10]：
- 访问权： 确认他们的数据是否正在被处理并获取副本。
- 纠正权： 更正其个人数据中的不准确之处。
- 删除权： 请求删除他们提供的或收集的个人数据。
- 数据可携带权： 以易于使用的格式接收可携带的副本。
- 选择退出权： 选择退出定向广告、个人数据销售和具有法律或重大影响的分析。
- 上诉权： 如果企业拒绝请求，消费者可以上诉，企业必须在上诉后的60天内作出回应。
企业必须提供至少两种方法来提交请求（例如，网络表单和免费电话或电子邮件地址）[9]。
VCDPA合规违规的罚款和处罚是多少
弗吉尼亚州检察长可以对每次故意违规处以高达7,500美元的民事罚款，对每次非故意违规处以高达2,500美元的罚款[8][10]。处罚还可能包括禁令救济和律师费。
重要的是，VCDPA最初包括30天的补救期，企业可以在评估罚款之前修复违规行为。然而，该补救期在2026年1月1日失效，这意味着检察长现在有权在不提供补救机会的情况下追求执法[6]。
没有私人诉讼权，因此个人消费者不能直接根据VCDPA起诉企业。执法仅通过检察长办公室进行。
VCDPA与CCPA的不同之处，以及东海岸公司与GDPR的区别
理解弗吉尼亚的VCDPA：东海岸企业需要了解的数据保护需要将其放在比较的背景中。
| 特征 | VCDPA | CCPA/CPRA | GDPR |
|---|---|---|---|
| 私人诉讼权 | 否 | 有限（数据泄露） | 是（成员国各异） |
| 敏感数据的选择加入 | 是 | 否（选择退出模型） | 是 |
| 补救期 | 2026年1月失效 | 2023年1月失效 | 不适用 |
| 每次违规的最高罚款 | 7,500美元 | 7,500美元 | 高达全球收入的4% |
| 数据保护评估 | 必需（高风险） | 必需（高风险） | 必需（DPIA） |
| 处理的法律依据 | 不要求（一般数据） | 不要求 | 要求（6个合法依据） |
东海岸企业的关键要点： VCDPA在法律依据要求方面比GDPR负担更轻，但在敏感数据同意方面比原始CCPA更具规定性。已经符合GDPR的企业会发现适应VCDPA是可管理的；那些仅熟悉CCPA的企业需要调整其敏感数据工作流程。
小型企业需要遵守弗吉尼亚的VCDPA吗
低于100,000消费者或25,000消费者加收入门槛的小型企业不需要遵守VCDPA[10]。这是一个重要的豁免，使弗吉尼亚的法律与一些国际框架区分开来。
然而，“小型”是相对的。拥有110,000名免费用户的利基SaaS工具无论收入如何都超过了数量门槛。企业应：
- 每年审计实际消费者数据量
- 跟踪数据销售是否占总收入的50%以上
- 随着企业规模的扩大重新评估门槛
即使是免除的企业也能从早期建立隐私优先的实践中受益，因为合规的后期调整通常比主动设计更昂贵。
企业在VCDPA合规中常犯的错误
1. 错误地将处理者分类为控制者（或反之亦然）。 独立决定数据使用的供应商是控制者，而不是处理者。错误分类会导致合同保护不足和未解决的义务。
2. 忽视通用选择退出信号。 许多企业仅为手动请求建立选择退出流程，忽视了尊重浏览器级信号（如全球隐私控制）的要求[6]。
3. 未能更新数据处理协议。 VCDPA要求控制者与处理者之间的特定合同条款。通用供应商合同通常缺乏这些条款[1]。
4. 将敏感数据视为一般个人数据。 在没有选择加入同意的情况下处理生物识别、健康或精确地理位置数据是一种明显的违规，而不仅仅是程序上的缺口。
5. 假设补救期仍然适用。 随着补救期在2026年1月失效，企业不再能依赖于在执法行动之前的纠正窗口[6]。
6. 忽略上诉机制。 许多隐私政策和请求工作流程缺乏记录的上诉流程，这是VCDPA下的必需元素[9]。
如何审计我的企业以确保VCDPA准备就绪
VCDPA准备审计应涵盖五个领域：
- 门槛评估： 映射所有弗吉尼亚消费者数据流，并根据法定门槛计算年度处理量。
- 数据清单： 记录收集的所有个人数据类别、来源、目的、保留期限和第三方接收者。
- 敏感数据审查： 确认任何敏感数据类别，并确认选择加入同意机制是否到位。
- 权利基础设施： 测试所有六个消费者权利的工作流程，包括上诉流程。
- 供应商合同： 审查所有处理者协议，以确保符合VCDPA要求的条款（处理指令、保密性、子处理者控制、审计权）[7]。
对于在多个数字接触点管理同意的企业，像Biscotti CMP这样的同意管理平台可以集中处理选择退出信号，并维护可审计的同意记录，支持VCDPA和多州合规计划。
我的隐私政策应该如何表述以符合VCDPA
符合VCDPA的隐私政策必须披露[8][9]：
- 处理的个人数据类别
- 每个类别的处理目的
- 消费者如何行使他们的六项权利，包括上诉流程
- 个人数据是否被出售或用于定向广告（附带选择退出说明）
- 与数据共享的第三方类别
- 提交请求的联系信息（至少两种方法）
- 如果处理敏感数据，进行处理的依据（选择加入同意）
政策应使用简单易懂的语言编写，合理可访问（在网站和应用上显著链接），并在数据实践发生实质性变化时进行更新。
结论和可行的下一步
弗吉尼亚的VCDPA代表了美国最实质性的州隐私框架之一，2026年7月增加的精确地理位置数据销售禁令表明，弗吉尼亚州立法机构打算继续加强该法律。对于东海岸企业而言，该法律的域外适用意味着地理位置不是防御，数据量和处理目的决定了风险。
2026年的可行步骤：
- 在年底之前对当前的弗吉尼亚消费者数据量进行门槛分析。
- 审计所有敏感数据工作流程，特别是涉及精确地理位置、生物识别或健康数据的工作流程，以确保符合选择加入同意。
- 确认您的隐私政策包括所有六项消费者权利和记录的上诉机制。
- 审查处理者协议，以确保符合VCDPA要求的合同条款。
- 在您的数字资产中实施或验证通用选择退出信号处理（全球隐私控制）。
- 考虑使用像Biscotti CMP这样的同意管理解决方案，以自动化同意收集、选择退出信号处理和合规文档。
- 随着企业规模的扩大，安排年度门槛重新评估。
补救期已经结束。执法已经开始。将VCDPA合规视为一次性复选框而非持续的运营纪律的企业面临最大的风险。
常见问题
问：VCDPA适用于非营利组织吗？ 不适用。非营利组织明确免于VCDPA的要求[10]。
问：弗吉尼亚消费者可以直接根据VCDPA起诉我的企业吗？ 不可以。VCDPA没有私人诉讼权。只有弗吉尼亚州检察长可以提起执法行动[8]。
问：对消费者权利请求的回应截止日期是什么？ 企业必须在收到可验证请求后的45天内作出回应。如果企业通知消费者延迟及原因，可以允许一次性延长45天[9]。
问：员工数据是否受VCDPA保护？ 在就业背景下处理的员工数据在VCDPA下是免除的。然而，这一豁免的解释较为狭窄，并不涵盖所有与人力资源相关的数据使用[1]。
问：根据VCDPA，什么算作“出售”个人数据？ VCDPA将“出售”定义为以货币对价交换个人数据。与CCPA不同，它不扩展到非货币有价值对价，这对于广告技术安排是一个重要的区别[5]。
问：我需要在VCDPA下任命数据保护官吗？ 不需要。VCDPA不要求任命数据保护官，这与GDPR不同[7]。
问：SB 338在2026年有什么变化？ SB 338自2026年7月1日起生效，禁止出售精确的地理位置数据，增加了一项超出之前管理此类数据的一般选择退出框架的新类别限制[2][3]。
问：VCDPA如何定义“精确地理位置”？ 精确地理位置是指从技术中得出的数据，该技术能够在半径为1,750英尺或更小的范围内识别消费者的位置[10]。
问：所有处理活动都需要进行数据保护评估吗？ 不需要。仅对高风险处理（定向广告、数据销售、敏感数据处理、具有法律/重大影响的分析以及存在高度风险的处理）要求进行评估[1][9]。
问：如果消费者对被拒请求提出上诉，会发生什么？ 企业必须在60天内完成上诉审查并通知消费者结果。如果上诉被拒，企业必须提供信息，说明消费者如何联系检察长[8]。
互动VCDPA合规门槛检查器
参考文献
[1] 弗吉尼亚消费者数据保护法指南 - https://privacylawmap.com/blog/virginia-consumer-data-protection-act-guide
[2] 弗吉尼亚州扩大VCDPA，禁止出售精确地理位置数据 - https://www.jdsupra.com/legalnews/virginia-expands-vcdpa-with-ban-on-sale-7091146/
[3] VCDPA修正案 - https://www.cblaw.com/vcdpa-amended
[4] 弗吉尼亚CDPA - https://clearlaunch.dev/cs/regulations/virginia-cdpa
[5] 弗吉尼亚消费者数据保护法（VCDPA） - https://pro.bloomberglaw.com/insights/privacy/virginia-consumer-data-protection-act-vcdpa/
[6] VCDPA修正案过程完成：文本在1月1日生效日期之前最终确定 - https://iapp.org/news/a/vcdpa-amendment-process-complete-text-finalized-ahead-of-jan-1-effective-date
[7] 消费者数据隐私法指南：弗吉尼亚 - https://www.bakerdonelson.com/consumer-data-privacy-law-guide-virginia
[8] 弗吉尼亚消费者数据保护法摘要 - https://www.oag.state.va.us/consumer-protection/files/tips-and-info/Virginia-Consumer-Data-Protection-Act-Summary-2-2-23.pdf
[9] VCDPA概述 - https://termly.io/resources/articles/vcdpa/
[10] 弗吉尼亚法典第59.1标题第53章 - https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/