CDPA della Virginia: Cosa deve offrire il tuo sito web ai clienti della Virginia

Il CDPA si applica alla tua azienda?

La legge riguarda le aziende che operano in Virginia o rivolgono prodotti o servizi ai suoi residenti e che, in un anno solare:

• Criterio del volume: controllano o trattano dati personali di almeno 100.000 consumatori; oppure
• Criterio della vendita di dati: controllano o trattano dati personali di almeno 25.000 consumatori e ricavano più del 50% del fatturato lordo dalla vendita di dati personali.

I consumatori sono residenti della Virginia che agiscono a titolo personale o familiare, non in un contesto aziendale o lavorativo. Conta le persone, non le visualizzazioni di pagina. Non esiste un criterio basato solo sul fatturato.

La disposizione sull’ambito di applicazione esenta le organizzazioni non profit, gli istituti di istruzione superiore, gli enti pubblici, gli istituti finanziari soggetti al GLBA e i soggetti coperti dall’HIPAA, oltre a dati specifici come le informazioni sanitarie protette e i dati dei dipendenti.

In cosa le definizioni della Virginia differiscono da quelle della California?

Il CCPA della California è diverso: prevede un criterio di fatturato, considera vendita anche altri corrispettivi di valore e disciplina la “condivisione” per la pubblicità comportamentale cross-context. Tieni separata la valutazione per il CCPA.

Come deve funzionare l’opt-out dalla pubblicità mirata?

Se vendi dati personali o li usi per la pubblicità mirata, la Virginia richiede di comunicare in modo chiaro ed evidente questa attività e come esercitare l’opt-out. I consumatori possono anche opporsi alla profilazione che produce effetti giuridici o effetti analogamente significativi.

L’opt-out deve raggiungere l’attività, non solo il banner. Esempio: un negozio online crea audience pubblicitarie a partire dai dati di navigazione e di acquisto. Quando un cliente della Virginia esercita l’opt-out, sia il tag di retargeting sia il caricamento notturno della lista clienti devono smettere di usare i suoi dati, mentre ordini e assistenza continuano.

La legge della Virginia non impone di riconoscere segnali del browser come Global Privacy Control. Qui rispettare il GPC è una scelta pratica, non un requisito del CDPA.

Quando serve il consenso?

Gli obblighi del titolare del trattamento richiedono il consenso prima di trattare dati sensibili: dati che rivelano l’origine razziale o etnica, le convinzioni religiose, una diagnosi medica, l’orientamento sessuale, la cittadinanza o lo status di immigrato; dati genetici o biometrici usati per identificare una persona; i dati di un bambino di cui si conosce l’età; e i dati di geolocalizzazione precisa.

Per consenso si intende un atto affermativo chiaro, espresso liberamente, specifico, informato e inequivocabile. È necessario anche per finalità che non sono né ragionevolmente necessarie né compatibili rispetto a quelle che hai comunicato.

Modifica in vigore dal 1° luglio 2026: un emendamento al § 59.1-578 (2026 Acts of Assembly, chapter 820) vieta di vendere o offrire in vendita i dati di geolocalizzazione precisa di un consumatore. Il consenso non elimina questo divieto.

Dal 1° gennaio 2025, i dati di un bambino di cui si conosce l’età possono essere usati per pubblicità mirata, vendita o profilazione significativa solo con il consenso verificabile dei genitori ai sensi del COPPA. Anche la raccolta della geolocalizzazione precisa di un bambino di cui si conosce l’età richiede questo consenso, deve essere necessaria per il servizio e richiede un segnale visibile per tutta la sua durata.

Come devi gestire richieste e ricorsi?

I consumatori possono accedere ai propri dati, rettificarli e cancellarli (compresi i dati ottenuti su di loro), ricevere una copia portabile dei dati che hanno fornito ed esercitare l’opt-out. La tua informativa sulla privacy deve descrivere un modo sicuro e affidabile per presentare le richieste, e non puoi imporre la creazione di un nuovo account.

Rispondi entro 45 giorni, oppure proroga una sola volta di 45 giorni indicandone i motivi entro il primo periodo. Le risposte sono gratuite fino a due volte all’anno.

Se rifiuti, spiega il motivo e come presentare ricorso. In base alla disposizione sui diritti dei consumatori, la procedura di ricorso deve essere ben visibile e simile alla procedura di richiesta. Rispondi ai ricorsi per iscritto entro 60 giorni; se ne respingi uno, indica al consumatore come presentare un reclamo al Procuratore generale.

Quali attività richiedono una valutazione documentata?

La disposizione sulle valutazioni richiede una valutazione documentata della protezione dei dati per pubblicità mirata, vendita, dati sensibili, profilazione rischiosa, altri trattamenti ad alto rischio e servizi online rivolti a bambini di cui si conosce l’età. Metti a confronto benefici e rischi e documenta le tue misure di tutela.

Checklist per il sito web

• Ambito: annota quale criterio soddisfi, o quale esenzione si applica, con la data.
• Opt-out: esercita l’opt-out come utente di prova; i tag di retargeting e le esportazioni delle audience dovrebbero interrompersi per quell’utente.
• Dati sensibili: esamina moduli e funzioni di localizzazione; nessun dato di queste categorie dovrebbe essere trattato prima che il consenso venga registrato.
• Geolocalizzazione: controlla contratti e SDK; nessuno dovrebbe vendere dati di posizione precisi.
• Simulazione di ricorso: rifiuta una richiesta di prova e presenta ricorso; il rifiuto scritto dovrebbe spiegare come contattare il Procuratore generale.
• Valutazioni e responsabili del trattamento: rivedi le valutazioni e i contratti con i responsabili del trattamento quando cambia uno strumento o una finalità.

Domande frequenti