Virginia, Estados Unidos
Consumer Data Protection Act (ley de protección de datos del consumidor)
CDPA de Virginia: Qué debe ofrecer tu web a los clientes de Virginia
La Consumer Data Protection Act de Virginia otorga a los residentes de Virginia derechos sobre sus datos personales y se aplica a las empresas que cumplen sus propios criterios de volumen. Para una web, los puntos específicos de Virginia son los umbrales, la exclusión de la publicidad dirigida, el consentimiento previo (opt-in) para los datos sensibles y un procedimiento de recurso por escrito.
De un vistazo
- A quién puede aplicarse
- Empresas que operan en Virginia o se dirigen a su población y que tratan datos personales de 100.000 o más consumidores de Virginia al año, o de 25.000 o más si más del 50 % de sus ingresos brutos procede de la venta de datos. Las entidades sin ánimo de lucro y algunas entidades reguladas están exentas.
- Qué es
- Una ley estatal de privacidad del consumidor: la Virginia Consumer Data Protection Act (Código de Virginia, § 59.1-575 y siguientes), cuyo cumplimiento corresponde al fiscal general (Attorney General).
- Opciones que ofrecer
- Exclusión de la publicidad dirigida, la venta y la elaboración de perfiles con efectos significativos. Consentimiento previo (opt-in) para los datos sensibles y consentimiento parental según la COPPA para los menores de 13 años cuando se sabe que lo son.
- Acciones en la web
- Documenta tu decisión sobre el ámbito con los umbrales propios de Virginia.
- Informa de una opción de exclusión de la publicidad dirigida y la venta, y pruébala.
- Obtén el consentimiento antes de tratar datos sensibles y no vendas nunca datos de geolocalización precisa.
- Responde a las solicitudes en un plazo de 45 días y ofrece un recurso por escrito.
- Documenta evaluaciones para la publicidad dirigida, la venta y los datos sensibles.
- Fuentes primarias
- Código de Virginia: Consumer Data Protection Act; Fiscal general de Virginia: resumen de la VCDPA (actualizado a 1 de julio de 2026)
- Última revisión
¿Se aplica la CDPA a tu empresa?
La ley abarca a las empresas que operan en Virginia u ofrecen productos o servicios dirigidos a sus residentes y que, en un año natural:
- Criterio de volumen: controlan o tratan datos personales de al menos 100.000 consumidores; o
- Criterio de venta de datos: controlan o tratan datos personales de al menos 25.000 consumidores y obtienen más del 50 % de sus ingresos brutos de la venta de datos personales.
Los consumidores son residentes de Virginia que actúan a título personal o doméstico, no en un contexto empresarial o laboral. Cuenta personas, no páginas vistas. No existe un criterio basado solo en los ingresos.
La disposición sobre el ámbito de aplicación exime a las entidades sin ánimo de lucro, las instituciones de educación superior, los organismos públicos, las entidades financieras reguladas por la GLBA y las entidades cubiertas por la HIPAA, así como determinados datos, como la información sanitaria protegida y los datos de empleados.
¿En qué se diferencian las definiciones de Virginia de las de California?
| Término | Significado en Virginia | Qué revisar |
|---|---|---|
| Venta | Significado en VirginiaIntercambio de datos personales por dinero con un tercero; se excluyen los encargados del tratamiento y las filiales. | Qué revisarAcuerdos en los que un socio paga por datos. |
| Publicidad dirigida | Significado en VirginiaAnuncios seleccionados a partir de la actividad de una persona a lo largo del tiempo en webs o apps no afiliadas. | Qué revisarRetargeting y cargas de audiencias; se excluyen los anuncios contextuales y la medición publicitaria. |
| Geolocalización precisa | Significado en VirginiaUbicación con una precisión de 1750 pies (unos 530 metros). | Qué revisarSDK de ubicación y localizadores de tiendas. |
| Niño | Significado en VirginiaMenor de 13 años; no hay una norma general para los menores de más edad. | Qué revisarServicios que pueden atraer a niños. |
La CCPA de California es distinta: tiene un criterio de ingresos, considera venta también otras contraprestaciones de valor y regula la «compartición» para publicidad comportamental entre contextos. Mantén separada la evaluación de la CCPA.
¿Cómo debe funcionar la exclusión de la publicidad dirigida?
Si vendes datos personales o los usas para publicidad dirigida, Virginia exige informar de forma clara y destacada de esa actividad y de cómo oponerse. Los consumidores también pueden oponerse a la elaboración de perfiles con efectos jurídicos o de importancia similar.
La exclusión tiene que llegar a la actividad, no solo al banner. Ejemplo: una tienda online crea audiencias publicitarias a partir de datos de navegación y de compra. Cuando un cliente de Virginia se opone, tanto la etiqueta de retargeting como la carga nocturna de la lista de clientes deben dejar de usar sus datos, mientras los pedidos y la atención al cliente continúan.
La ley de Virginia no te obliga a reconocer señales del navegador como Global Privacy Control. Respetar GPC es aquí una decisión práctica, no un requisito de la CDPA.
¿Cuándo necesitas consentimiento?
Los deberes del responsable del tratamiento exigen el consentimiento antes de tratar datos sensibles: datos que revelen el origen racial o étnico, las creencias religiosas, un diagnóstico de salud, la orientación sexual, o la ciudadanía o la situación migratoria; datos genéticos o biométricos usados para identificar a alguien; los datos de un niño cuando se sabe que lo es; y los datos de geolocalización precisa.
Por consentimiento se entiende un acto afirmativo claro que se presta de forma libre, específica, informada e inequívoca. También es necesario para fines que no son razonablemente necesarios para los que comunicaste ni compatibles con ellos.
Cambio del 1 de julio de 2026: una modificación del § 59.1-578 (Acts of Assembly de 2026, capítulo 820) prohíbe vender u ofrecer la venta de los datos de geolocalización precisa de un consumidor. El consentimiento no levanta esta prohibición.
Desde el 1 de enero de 2025, los datos de un niño, cuando se sabe que lo es, solo pueden usarse para publicidad dirigida, venta o elaboración de perfiles con efectos significativos con el consentimiento parental verificable que exige la COPPA. Recoger la geolocalización precisa de un niño, cuando se sabe que lo es, también requiere ese consentimiento, debe ser necesario para el servicio y exige una señal visible mientras dure.
¿Cómo debes gestionar las solicitudes y los recursos?
Los consumidores pueden acceder a sus datos, rectificarlos y suprimirlos (incluidos los datos obtenidos sobre ellos), obtener una copia portátil de los datos que facilitaron y oponerse. Tu aviso de privacidad debe describir un medio seguro y fiable para presentar solicitudes, y no puedes exigir que se cree una cuenta nueva.
Responde en un plazo de 45 días o prorrógalo una vez otros 45 días, indicando los motivos dentro del primer plazo. Las respuestas son gratuitas hasta dos veces al año.
Si rechazas una solicitud, explica por qué y cómo recurrir. Según la disposición sobre los derechos del consumidor, la vía de recurso debe ser visible y similar al proceso de solicitud. Responde a los recursos por escrito en un plazo de 60 días; si deniegas uno, indica al consumidor cómo presentar una reclamación ante el fiscal general.
¿Qué actividades requieren una evaluación documentada?
La disposición sobre evaluaciones exige una evaluación de protección de datos documentada para la publicidad dirigida, la venta, los datos sensibles, la elaboración de perfiles de riesgo, otros tratamientos de alto riesgo y los servicios online dirigidos a niños cuando se sabe que lo son. Sopesa los beneficios frente a los riesgos y documenta tus garantías.
Lista de comprobación para tu web
- Ámbito: anota qué criterio cumples, o qué exención se aplica, con la fecha.
- Exclusión: oponte como usuario de prueba; las etiquetas de retargeting y las exportaciones de audiencias deberían detenerse para ese usuario.
- Datos sensibles: recorre los formularios y las funciones de ubicación; no debería tratarse nada de estas categorías antes de que se registre el consentimiento.
- Geolocalización: revisa los contratos y los SDK; ninguno debería vender datos de ubicación precisa.
- Simulacro de recurso: rechaza una solicitud de prueba y recúrrela; la denegación por escrito debería explicar cómo contactar con el fiscal general.
- Evaluaciones y encargados: revisa las evaluaciones y los contratos con encargados del tratamiento cuando cambie una herramienta o un fin.
Preguntas frecuentes
Tratamos datos de menos de 100.000 consumidores de Virginia. ¿Podemos ignorar la CDPA?
En general, sí, salvo que cumplas el criterio de venta de datos de 25.000 consumidores. Pueden seguir aplicándose otras leyes y contratos, así que vuelve a evaluarlo a medida que crezcas.
¿Necesitan todas las cookies consentimiento previo en Virginia?
No. La CDPA no tiene una norma general de consentimiento para las cookies. El consentimiento se aplica a los datos sensibles y a los fines incompatibles; la publicidad y la venta necesitan una opción de exclusión que funcione.
¿Podemos pedir un documento de identidad antes de atender una solicitud?
Solo en la medida necesaria. Si no puedes autenticar una solicitud con esfuerzos comercialmente razonables, puedes pedir la información razonablemente necesaria para hacerlo.
¿Sigue existiendo un plazo de subsanación en Virginia?
Sí. El fiscal general debe enviar un preaviso por escrito de 30 días y no puede demandar si subsanas la infracción y lo confirmas por escrito. En caso contrario, las sanciones llegan hasta 7.500 $ por infracción. No existe un derecho de acción privada.
¿Tiene Virginia normas de privacidad para adolescentes?
Las normas de la CDPA sobre niños abarcan a los menores de 13 años cuando se sabe que lo son. Una sección distinta del mismo capítulo limita el uso de redes sociales por parte de menores de 16 años a partir del 1 de enero de 2026; un tribunal federal bloqueó cautelarmente su aplicación frente a los miembros de NetChoice en febrero de 2026, así que los servicios de redes sociales deberían comprobar su situación actual.