Il Virginia Consumer Data Protection Act (VCDPA) è una legge completa sulla privacy dei dati che protegge le persone in Virginia ed è stata promulgata nel 2021.
In questa guida spiego i requisiti del VCDPA e il suo impatto sulle aziende e sui consumatori e vi fornisco le risorse per semplificare la conformità.
- Che cos'è la legge sulla protezione dei dati dei consumatori della Virginia (VCDPA)?
- Termini e definizioni chiave del VCDPA
- Quando è entrato in vigore il Virginia Consumer Data Protection Act?
- Chi protegge il VCDPA?
- Chi deve rispettare il VCDPA?
- Diritti dei consumatori sulla privacy
- Requisiti aziendali del VCDPA
- Sanzioni in caso di violazione del VCDPA
- Utilizzo di Termly per la conformità VCDPA
- Riassunto
Che cos'è la legge sulla protezione dei dati dei consumatori della Virginia (VCDPA)?
Il Virginia Consumer Data Protection Act(VCDPA) è una legge sulla privacy degli Stati Uniti che protegge le informazioni personali dei residenti in Virginia.
La legge delinea i requisiti che gli enti devono seguire per raccogliere, elaborare e utilizzare legalmente i dati personali, garantisce vari diritti ai consumatori e descrive le sanzioni in caso di violazione della legge.
La Virginia è stata uno dei primi quattro Stati degli USA ad approvare una legge sulla privacy dei consumatori, di portata simile al California Consumer Privacy Act (CCPA).
Termini e definizioni chiave del VCDPA
Di seguito, ho compilato un elenco di termini e definizioni chiave così come appaiono nel testo del VCDPA per aiutarvi a comprendere meglio la portata della legge.
Quando è entrato in vigore il Virginia Consumer Data Protection Act?
Il VCDPA è entrato in vigore il 1° gennaio 2023.
Il 1° gennaio 2025 è entrato in vigore un emendamento al VCDPA che rafforza la protezione della privacy dei bambini.
Chi protegge il VCDPA?
Il VCDPA si applica a qualsiasi residente della Virginia che agisca in un contesto individuale o familiare.
Non si applica alle persone dello Stato che agiscono in contesti commerciali o lavorativi.
Chi deve rispettare il VCDPA?
La vostra azienda deve conformarsi al VCDPA se svolge attività commerciali in Virginia o se rivolge i propri prodotti e servizi ai residenti della Virginia e soddisfa una delle due soglie:
- controlla o tratta i dati personali di 100.000 consumatori nel corso di un anno solare, oppure
- Controlla o elabora i dati personali di 25.000 consumatori e ricava il 50% dei ricavi lordi dalla vendita di dati personali.
Tuttavia, le seguenti entità sono esenti dal VCDPA:
- Banche o istituzioni finanziarie
- Agenzie statali
- Organizzazioni non profit
- Scuole e università
Esistono inoltre esenzioni per alcuni tipi di informazioni, tra cui le seguenti:
- Aziende che agiscono in contesti commerciali o lavorativi
- Informazioni ai sensi della legge sulla portabilità e la responsabilità dell'assicurazione sanitaria (HIPAA)
- Dati personali regolati dal Family Educational Rights and Privacy Act (FERPA).
- Informazioni e dati relativi ai rapporti di credito, come regolamentato dal Fair Credit Reporting Act (FCRA).
- Informazioni e dati relativi alle informazioni sui conducenti dei veicoli, come disciplinato dalla legge federale sulla protezione della privacy dei conducenti del 1994.
- Informazioni e dati soggetti al Titolo V del Gramm-Leach-Bliley Act (15 U.S.C. § 6801 e seguenti), che regolamenta le banche e le istituzioni finanziarie.
Diritti dei consumatori sulla privacy
Il VCDPA garantisce ai consumatori diritti specifici relativi alla raccolta e all'utilizzo dei loro dati personali, tra cui i seguenti:
- Confermare se un responsabile del trattamento sta trattando i loro dati
- Accedere ai propri dati personali
- Correggere le imprecisioni nei propri dati
- Richiesta di cancellazione da parte delle aziende
- Ottenere una copia dei dati personali
- Opt-out dal trattamento dei dati personali per la pubblicità mirata
- Opt-out per la vendita dei propri dati personali
- Opt-out della profilazione
- Non discriminazione per l'esercizio dei diritti
- Presentare un reclamo per violazione dei diritti
Requisiti aziendali del VCDPA
Di seguito, ho riassunto i principali requisiti aziendali delineati dalla legge sulla privacy della Virginia.
Trattamento lecito dei dati
Ai sensi del VCDPA, le aziende devono limitare la raccolta di dati personali a quelli adeguati, pertinenti e ragionevolmente necessari in relazione allo scopo del trattamento comunicato al consumatore.
Le entità coperte non possono inoltre trattare i dati sensibili dei consumatori senza aver prima ottenuto il loro esplicito consenso.
Linee guida sulla privacy
Il VCDPA richiede alle aziende di presentare agli utenti un'informativa sulla privacy chiara, ragionevolmente accessibile e significativa, che includa le seguenti informazioni:
- Lo scopo del trattamento dei dati personali
- Categorie di dati trattati
- Categorie di dati condivisi con terzi
- Categorie di dati venduti a terzi
- Divulga le categorie di terzi stessi
- Spiega come possono essere presentate le richieste dei consumatori
- Fornisce un meccanismo di ricorso per le decisioni relative alle richieste dei consumatori.
- Indica chiaramente l'elaborazione dei dati personali per la pubblicità mirata.
- Fornisce il diritto di rinunciare all'elaborazione dei dati.
Gestione del consenso
Il VCDPA impone alle aziende di ottenere il consenso esplicito e affermativo dei consumatori per alcuni tipi di trattamento dei dati, compresa la raccolta di dati sensibili.
Il consenso ai sensi dell'VCDPA deve essere affermativo, informato e non ambiguo.
Ma dovete anche fornire ai consumatori la possibilità di rinunciare agli annunci mirati, alla vendita delle loro informazioni e alla profilazione.
Le aziende che rientrano in questa legge devono implementare soluzioni di gestione del consenso in modo che i residenti della Virginia possano facilmente far valere questi diritti.
Obblighi contrattuali
I responsabili del trattamento dei dati che si affidano a un terzo come incaricato del trattamento dei dati devono stipulare e far firmare a entrambe le parti un contratto che illustri le seguenti clausole:
- Assicurarsi che tutte le persone che trattano i dati siano soggette all'obbligo di riservatezza,
- Cancellare o restituire tutti i dati al termine del contratto su indicazione del responsabile del trattamento,
- Mettere a disposizione del responsabile del trattamento, su sua ragionevole richiesta, tutte le informazioni in suo possesso per dimostrare la conformità alla legge,
- Collaborare e consentire valutazioni ragionevoli da parte del responsabile del trattamento o di un valutatore terzo,
- Impegnate eventuali subappaltatori con un contratto scritto che segua le stesse linee guida.
Rispondere alle richieste dei consumatori
Le aziende ai sensi del VCDPA devono rispondere alle richieste dei consumatori di dare seguito ai loro diritti entro un termine di 45 giorni.
Questa tempistica può essere estesa di altri 45 giorni, se necessario, a seconda della complessità e del numero di richieste ricevute dall'azienda.
In base al VCPDA, le imprese devono fornire gratuitamente le risposte alle richieste dei consumatori fino a due volte l'anno.
Le aziende sono tenute a verificare l'identità del consumatore che ha presentato una richiesta prima di inviare una risposta. Se necessario, è consentito richiedere ulteriori informazioni alla persona in questione per confermarne l'identità.
Processo di appello
Il VCDPA richiede alle aziende di implementare un processo che consenta ai consumatori di presentare ricorsi in base alla decisione dell'azienda di rifiutarsi di rispondere a una richiesta di dare seguito ai diritti sulla privacy.
Il processo deve essere facile per il consumatore come l'invio di una richiesta iniziale, e voi dovete rispondere entro 60 giorni dal ricevimento.
Valutazioni sulla protezione dei dati
Le aziende ai sensi del VCDPA devono effettuare valutazioni sulla protezione dei dati per le seguenti attività di trattamento dei dati:
- Trattamento dei dati personali per pubblicità mirata
- Vendita di dati personali
- Trattamento dei dati personali per finalità di profilazione
- Trattamento dei dati personali sensibili
- Qualsiasi attività di trattamento che presenti un rischio elevato di danno per i consumatori.
A partire dal 1° gennaio 2025, anche i responsabili del trattamento che offrono servizi, prodotti o funzioni online rivolti a bambini conosciuti dovranno effettuare queste valutazioni.
La valutazione deve identificare e soppesare i benefici diretti e indiretti del trattamento per il responsabile del trattamento, il consumatore e le altre parti interessate rispetto ai rischi per i diritti dei consumatori.
Il procuratore generale può chiedere ai responsabili del trattamento di divulgare le loro valutazioni sulla protezione dei dati quando sono rilevanti per le indagini sulla conformità alla legge.
Se la vostra azienda è soggetta a più leggi che prevedono l'obbligo di valutazione della protezione dei dati, il VCDPA vi consente di utilizzare un'unica valutazione, a condizione che si occupi di serie comparabili di operazioni di trattamento e includa attività simili.
Linee guida per la sicurezza dei dati
Il VCDPA richiede alle aziende di stabilire, implementare e mantenere ragionevoli misure di sicurezza amministrativa, tecnica e fisica dei dati per mantenere tutti i dati al sicuro.
Le misure di sicurezza devono proteggere la riservatezza, l'integrità e l'accessibilità dei dati.
Le misure di sicurezza devono essere adeguate al volume e alla natura delle informazioni.
I metodi più comuni includono la crittografia dei dati, l'autenticazione a più fattori e la limitazione dell'accesso ai dati personali raccolti.
Sanzioni in caso di violazione del VCDPA
Le sanzioni per la violazione del VCDPA includono multe fino a 2.500 dollari per ogni violazione non intenzionale e fino a 7.500 dollari per ogni violazione intenzionale.
Il Procuratore generale ha l'autorità di applicare il VCDPA.
I consumatori non hanno un diritto di azione privata ai sensi di questa legge.
Utilizzo di Termly per la conformità VCDPA
Le aziende possono utilizzare Termly per semplificare la conformità a diversi aspetti del VCDPA, tra cui le linee guida per la notifica della privacy, la gestione del consenso e la possibilità di aiutare gli utenti a far valere i propri diritti in materia di privacy.
Termly›s generatore di informativa sulla privacy include tutte le clausole necessarie come richiesto dal testo della VCDPA. Il generatore di informazioni sulla privacy di Termly è un generatore di informazioni sulla privacy che pone domande di base sulla vostra azienda e sulle sue attività di trattamento, per poi creare un'informativa unica e completa sulla base delle vostre risposte.
Con il supporto del nostro team legale e dei nostri esperti in materia di privacy dei dati, include consigli utili per rendere ancora più semplice la risposta alle domande.
Inoltre, le aziende possono utilizzare la gestione del consenso Platform di gestione del consenso Platform (CMP) diTermly per soddisfare i requisiti di consenso delineati dal VCDPA. Include un banner di consenso personalizzabile e una politica sui cookie che si aggiorna ogni volta che si esegue una scansione del sito web.
È inoltre dotato di un modulo gratuito per la richiesta di accesso ai dati, in modo che i vostri utenti possano facilmente presentare richieste per far valere i vari diritti alla privacy previsti dalla legge della Virginia.
Riassunto
Il VCDPA è una legge completa sulla privacy dei dati che ha un impatto sulle imprese e sui consumatori in diversi modi.
Se la vostra azienda è soggetta a questa legge, assicuratevi di aggiornare la vostra politica sulla privacy e di implementare una gestione del consenso platform per soddisfare i requisiti di notifica e trasparenza delineati dalla legge.
Aggiungete al vostro sito web uno o più modi semplici per consentire ai residenti della Virginia di esercitare facilmente i loro diritti alla privacy.
Semplificate al massimo la conformità e utilizzate la suite di soluzioni di Termlyper soddisfare facilmente le linee guida di leggi come la VCDPA e altre ancora.
Per saperne di più su chi scrive
Scritto da Anokhy Desai CIPP/US, CIPT, CIPM
Anokhy è un avvocato specializzato in privacy con precedenti esperienze in materia di privacy e cybersecurity nel settore pubblico e privato. In qualità di ex Westin Fellow presso l'iAPP, ha pubblicato diversi articoli, white paper e infografiche e ha condotto, coordinato e moderato webinar e panel, tutti riguardanti la privacy e la tecnologia della privacy negli Stati Uniti. Anokhy ha conseguito un master presso la Carnegie Mellon University e un dottorato in giurisprudenza presso l'università di Pittsburgh. Per saperne di più su chi scrive
