CDPA de Virginie: Ce que votre site web doit proposer aux clients de Virginie

Le CDPA s’applique-t-il à votre entreprise ?

La loi couvre les entreprises qui exercent une activité en Virginie ou proposent des produits ou services destinés à ses résidents et qui, au cours d’une année civile :

• Critère de volume : contrôlent ou traitent les données personnelles d’au moins 100 000 consommateurs ; ou
• Critère de vente de données : contrôlent ou traitent les données personnelles d’au moins 25 000 consommateurs et tirent plus de 50 % de leur chiffre d’affaires brut de la vente de données personnelles.

Les consommateurs sont des résidents de Virginie agissant à titre personnel ou domestique, et non dans un cadre professionnel ou d’emploi. Comptez les personnes, pas les pages vues. Il n’existe pas de critère fondé uniquement sur le chiffre d’affaires.

La disposition sur le champ d’application exempte les organismes à but non lucratif, les établissements d’enseignement supérieur, les organismes publics, les institutions financières soumises au GLBA et les entités couvertes par la HIPAA, ainsi que certaines données comme les informations de santé protégées et les données des salariés.

En quoi les définitions de la Virginie diffèrent-elles de celles de la Californie ?

Le CCPA californien est différent : il prévoit un critère de chiffre d’affaires, considère aussi comme une vente l’échange contre toute autre contrepartie de valeur et encadre le « partage » à des fins de publicité comportementale intercontextuelle. Menez séparément l’évaluation au titre du CCPA.

Comment l’opposition à la publicité ciblée doit-elle fonctionner ?

Si vous vendez des données personnelles ou les utilisez pour de la publicité ciblée, la Virginie exige une information claire et bien visible sur cette activité et sur la manière de s’y opposer. Les consommateurs peuvent aussi s’opposer au profilage produisant des effets juridiques ou des effets similaires significatifs.

L’opposition doit atteindre l’activité, pas seulement le bandeau. Exemple : une boutique en ligne constitue des audiences publicitaires à partir des données de navigation et d’achat. Lorsqu’un client de Virginie s’y oppose, la balise de reciblage comme l’envoi nocturne de la liste de clients doivent cesser d’utiliser ses données, tandis que les commandes et le support continuent.

La loi de Virginie ne vous oblige pas à reconnaître les signaux de navigateur comme Global Privacy Control. Respecter GPC est ici un choix pratique, pas une exigence du CDPA.

Quand avez-vous besoin d’un consentement ?

Les obligations du responsable du traitement imposent d’obtenir le consentement avant de traiter des données sensibles : données révélant l’origine raciale ou ethnique, les convictions religieuses, un diagnostic de santé, l’orientation sexuelle, ou la citoyenneté ou le statut d’immigration ; données génétiques ou biométriques utilisées pour identifier une personne ; données d’un enfant identifié comme tel ; et données de géolocalisation précise.

Le consentement désigne un acte positif clair par lequel la personne exprime un accord libre, spécifique, éclairé et univoque. Il est aussi nécessaire pour des finalités qui ne sont ni raisonnablement nécessaires ni compatibles avec celles que vous avez indiquées.

Changement au 1er juillet 2026 : une modification du § 59.1-578 (2026 Acts of Assembly, chapitre 820) interdit de vendre ou de proposer à la vente les données de géolocalisation précise d’un consommateur. Le consentement ne lève pas cette interdiction.

Depuis le 1er janvier 2025, les données d’un enfant identifié comme tel ne peuvent être utilisées pour de la publicité ciblée, de la vente ou du profilage significatif qu’avec un consentement parental vérifiable au titre du COPPA. La collecte de la géolocalisation précise d’un enfant identifié comme tel nécessite aussi ce consentement, doit être nécessaire au service et requiert un signal visible pendant toute sa durée.

Comment traiter les demandes et les recours ?

Les consommateurs peuvent accéder à leurs données, les rectifier et les supprimer (y compris les données obtenues à leur sujet), obtenir une copie portable des données qu’ils ont fournies et s’opposer. Votre notice de confidentialité doit décrire un moyen sûr et fiable de présenter des demandes, et vous ne pouvez pas exiger la création d’un nouveau compte.

Répondez dans un délai de 45 jours, ou prolongez une fois ce délai de 45 jours en donnant les raisons pendant le premier délai. Les réponses sont gratuites jusqu’à deux fois par an.

Si vous refusez, expliquez pourquoi et comment former un recours. Selon la disposition sur les droits des consommateurs, la voie de recours doit être bien visible et similaire à la procédure de demande. Répondez aux recours par écrit dans un délai de 60 jours ; si vous en rejetez un, indiquez au consommateur comment porter plainte auprès du procureur général.

Quelles activités nécessitent une évaluation documentée ?

La disposition sur les évaluations exige une évaluation documentée de la protection des données pour la publicité ciblée, la vente, les données sensibles, le profilage à risque, les autres traitements à haut risque et les services en ligne destinés à des enfants identifiés comme tels. Mettez en balance les avantages et les risques, et consignez vos garanties.

Liste de contrôle pour votre site web

• Champ d’application : consignez le critère que vous remplissez, ou l’exemption applicable, avec la date.
• Opposition : exercez l’opposition en tant qu’utilisateur test ; les balises de reciblage et les exports d’audiences devraient cesser pour cet utilisateur.
• Données sensibles : parcourez les formulaires et les fonctionnalités de localisation ; aucune donnée de ces catégories ne devrait être traitée avant l’enregistrement du consentement.
• Géolocalisation : vérifiez les contrats et les SDK ; aucun ne devrait vendre de données de localisation précise.
• Simulation de recours : refusez une demande test et formez un recours ; le rejet écrit devrait expliquer comment contacter le procureur général.
• Évaluations et sous-traitants : réexaminez les évaluations et les contrats de sous-traitance lorsqu’un outil ou une finalité change.

FAQ