Virginia CDPA: Hvad din hjemmeside skal tilbyde kunder i Virginia

Gælder CDPA for din virksomhed?

Loven omfatter virksomheder, der driver forretning i Virginia eller målretter produkter eller tjenester mod delstatens indbyggere, og som i et kalenderår:

• Volumentest: kontrollerer eller behandler personoplysninger om mindst 100.000 forbrugere; eller
• Datasalgstest: kontrollerer eller behandler personoplysninger om mindst 25.000 forbrugere og har over 50 % af bruttoomsætningen fra salg af personoplysninger.

Forbrugere er indbyggere i Virginia, der handler som privatpersoner eller i husstandens interesse, ikke i en erhvervs- eller ansættelsesrolle. Tæl dem, ikke sidevisninger. Der er ingen test, der alene bygger på omsætning.

Bestemmelsen om anvendelsesområdet undtager nonprofitorganisationer, videregående uddannelsesinstitutioner, offentlige organer, finansielle institutioner reguleret af GLBA og enheder omfattet af HIPAA (covered entities) samt bestemte data som beskyttede helbredsoplysninger og medarbejderdata.

Hvordan adskiller Virginias definitioner sig fra Californiens?

Californiens CCPA er anderledes: den har en omsætningstest, regner også anden værdifuld modydelse som salg og regulerer “deling” til adfærdsbaseret annoncering på tværs af kontekster. Hold vurderingen efter CCPA adskilt.

Hvordan skal fravalg af målrettet annoncering fungere?

Hvis du sælger personoplysninger eller bruger dem til målrettet annoncering, kræver Virginia en klar og iøjnefaldende oplysning om denne aktivitet, og om hvordan man fravælger den. Forbrugere kan også fravælge profilering, der har retsvirkninger eller tilsvarende betydelige virkninger.

Fravalget skal nå selve aktiviteten, ikke kun banneret. Eksempel: en webshop bygger annoncemålgrupper ud fra browsing- og købsdata. Når en kunde i Virginia fravælger, skal både retargeting-tagget og den natlige upload af kundelisten holde op med at bruge kundens data, mens ordrer og support fortsætter.

Virginias lov kræver ikke, at du anerkender browsersignaler som Global Privacy Control. At respektere GPC er her et praktisk valg, ikke et krav i CDPA.

Hvornår har du brug for samtykke?

Bestemmelserne om den dataansvarliges pligter kræver samtykke, før du behandler følsomme data: data, der afslører race eller etnisk oprindelse, religiøs overbevisning, en helbredsdiagnose, seksuel orientering eller statsborgerskab eller immigrationsstatus; genetiske eller biometriske data, der bruges til at identificere en person; data om et barn, som du ved er et barn; og præcise geolokationsdata.

Samtykke betyder en klar bekræftende handling, der er frivillig, specifik, informeret og utvetydig. Der kræves også samtykke til formål, der hverken er rimeligt nødvendige for eller forenelige med dem, du har oplyst.

Ændring pr. 1. juli 2026: en ændring af § 59.1-578 (2026 Acts of Assembly, chapter 820) forbyder salg eller tilbud om salg af en forbrugers præcise geolokationsdata. Samtykke ophæver ikke dette forbud.

Siden 1. januar 2025 må data om et barn, som du ved er et barn, kun bruges til målrettet annoncering, salg eller profilering med betydelige virkninger med verificerbart forældresamtykke efter COPPA. Indsamling af præcis geolokation om et sådant barn kræver også dette samtykke, skal være nødvendig for tjenesten og kræver et synligt signal, så længe den står på.

Hvordan skal du håndtere anmodninger og klager?

Forbrugere kan få indsigt i, berigtige og slette deres data (herunder data, der er indhentet om dem), få en portabel kopi af de data, de selv har givet, og fravælge. Din privatlivserklæring skal beskrive en sikker og pålidelig måde at fremsætte anmodninger på, og du må ikke kræve, at de opretter en ny konto.

Svar inden for 45 dage, eller forlæng én gang med 45 dage med en begrundelse, der gives inden for den første periode. Svarene er gratis op til to gange om året.

Hvis du afslår, skal du forklare hvorfor, og hvordan man klager. Efter bestemmelsen om forbrugerrettigheder skal klageadgangen være iøjnefaldende og ligne anmodningsprocessen. Besvar klager skriftligt inden for 60 dage; hvis du afviser en klage, skal du fortælle forbrugeren, hvordan sagen kan indbringes for Attorney General.

Hvilke aktiviteter kræver en dokumenteret vurdering?

Bestemmelsen om vurderinger kræver en dokumenteret vurdering af databeskyttelse for målrettet annoncering, salg, følsomme data, risikabel profilering, anden højrisikobehandling og onlinetjenester rettet mod børn, som du ved er børn. Afvej fordele mod risici, og dokumentér dine sikkerhedsforanstaltninger.

Tjekliste for hjemmesiden

• Omfang: notér, hvilken test du opfylder, eller hvilken undtagelse der gælder, med dato.
• Fravalg: fravælg som testbruger; retargeting-tags og eksport af målgrupper bør stoppe for den bruger.
• Følsomme data: gennemgå formularer og lokationsfunktioner; intet i disse kategorier bør behandles, før samtykke er registreret.
• Geolokation: tjek kontrakter og SDK’er; ingen af dem bør sælge præcise lokationsdata.
• Klageøvelse: afslå en testanmodning, og klag over afslaget; det skriftlige afslag bør forklare, hvordan man kontakter Attorney General.
• Vurderinger og databehandlere: gennemgå vurderinger og databehandleraftaler, når et værktøj eller formål ændres.

Ofte stillede spørgsmål