Abrir espacio

Guía · Ley estatal de EE. UU.

VCDPA: la ley de Virginia explicada para quienes tienen anuncios

Virginia fue el segundo estado de EE. UU. en aprobar una ley amplia de privacidad y se convirtió en modelo para muchos otros. Aquí entenderás cuándo rige para tu sitio, qué llama la ley publicidad dirigida y qué puede rechazar el visitante.

Auditar mi sitio para VirginiaLeer la guía
  • ✓Basado en el texto oficial del Código de Virginia
  • ✓Ejemplos pensados para sitios con AdSense y Ad Manager
  • ✓Auditoría de solo lectura, sin modificar el sitio
100 milconsumidores de Virginia por año: el principal límite para que se aplique la ley
30 díasplazo para corregir una falla después del aviso del fiscal general, antes de cualquier proceso
US$ 7.500multa civil máxima por infracción
45 díasplazo para responder a las solicitudes de los consumidores, prorrogable una vez por igual período

Qué es

La ley que sirvió de modelo para la mitad de Estados Unidos

La Virginia Consumer Data Protection Act, o VCDPA, está en el Código de Virginia, en las secciones 59.1-575 a 59.1-584. Se aprobó en 2021 y empezó a regir el 1 de enero de 2023, el mismo día en que entraron en vigor los cambios de la CPRA en California.

A diferencia de la ley californiana, la VCDPA nació con una estructura más compacta, parecida a la del GDPR europeo: controladores, encargados, evaluación de protección de datos y consentimiento para datos sensibles. Estados como Colorado, Connecticut, Utah, Texas y Oregón copiaron buena parte de ese diseño.

Para un sitio con anuncios, el efecto práctico es este: si la ley se aplica a ti, el visitante de Virginia puede rechazar la publicidad dirigida, y tu política de privacidad debe explicar cómo hacerlo.

La ley funciona por opt-out para los anuncios. Es decir, no exige pedir permiso antes de mostrar anuncios personalizados a adultos. El permiso previo solo se exige para los datos sensibles.

Lista de verificación

Lo que debes cumplir

Valen para quien supera uno de los límites de la ley de Virginia.

  1. Muestra con claridad cómo rechazar

    Si el sitio hace publicidad dirigida o vende datos, tiene que decirlo de forma clara y visible, junto con la forma de rechazar. La ley no define el texto del enlace.

    Ejemplo

    Pie de página: Your Privacy Choices, que lleve a la pantalla de rechazo de la publicidad dirigida

  2. Publica un aviso de privacidad completo

    El aviso lista las categorías de datos, las finalidades, cómo ejercer los derechos y apelar, los datos pasados a terceros y los tipos de terceros.

    Ejemplo

    Categorías de datos: identificadores de cookies y datos de navegación. Finalidad: mostrar y medir anuncios. Terceros: redes de anuncios.

  3. No exijas una cuenta nueva

    Los canales para ejercer los derechos tienen que ser seguros y confiables y no pueden exigir que el visitante cree una cuenta.

  4. Pide consentimiento para datos sensibles

    Los datos sensibles solo pueden tratarse con consentimiento. Para un niño conocido, rige el consentimiento de los padres en el formato de la ley COPPA, y la ley prohíbe vender la ubicación precisa.

  5. Responde y acepta apelaciones

    La respuesta sale en un máximo de 45 días, prorrogables una vez por otros 45, y es gratuita hasta dos veces al año. La apelación se responde en 60 días, con el camino para reclamar ante el fiscal general.

  6. Haz la evaluación de protección de datos

    La publicidad dirigida, la venta de datos, los perfiles de riesgo y los datos sensibles exigen una evaluación documentada, para actividades creadas después del 1 de enero de 2023.

  7. No trates peor a quien ejerce sus derechos

    El sitio no puede negar el servicio ni cobrar un precio distinto a quien usó los derechos de la ley.

  8. Lleva el rechazo a Google

    En la sección de Virginia o en la US National de la string GPP, el rechazo de venta o de publicidad dirigida activa el RDP. El mensaje de estados de EE. UU. de Google también cubre Virginia.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada para Virginia. Usa el mensaje de estados de EE. UU. de Google, una CMP que genere GPP o el RDP en la etiqueta. Estos son los enlaces oficiales.

A quién se aplica

Volumen de visitantes, no facturación

La VCDPA rige para quienes hacen negocios en Virginia u ofrecen productos y servicios a residentes del estado y alcanzan uno de los límites siguientes en un año. No existe un límite de facturación: una empresa pequeña con mucho tráfico puede entrar.

100 mil consumidores

Controlar o procesar datos personales de al menos 100 mil consumidores de Virginia en un año calendario. Los visitantes de un sitio con cookies de anuncios cuentan.

25 mil y más de la mitad de los ingresos

Procesar datos de al menos 25 mil consumidores y obtener más del 50% de los ingresos brutos de la venta de datos personales.

Quién queda fuera

Organismos públicos, entidades sin fines de lucro, universidades, instituciones financieras sujetas a la ley federal GLBA y entidades de salud sujetas a la HIPAA.

Solo el consumidor persona física

La ley protege a los residentes que actúan en un contexto personal o doméstico. Los datos de empleados y de contactos comerciales quedan fuera.

Definiciones

Los términos que importan para quien vende anuncios

La VCDPA define cada concepto de forma más estrecha que California, y eso cambia bastante el resultado.

Dato personal

Cualquier información vinculada, o que pueda vincularse razonablemente, a una persona identificada o identificable. Los datos anonimizados y los públicos quedan fuera.

Dato sensible

Origen racial o étnico, religión, diagnóstico de salud, orientación sexual, situación migratoria, datos genéticos y biométricos, datos de un niño conocido y ubicación precisa en un radio de 1.750 pies, unos 530 metros.

Venta

Intercambio de datos personales por dinero con un tercero. Virginia solo cuenta el pago en dinero, a diferencia de los estados que incluyen otro tipo de valor.

Publicidad dirigida

Anuncio elegido con base en datos de las actividades de la persona a lo largo del tiempo en sitios y apps de otras empresas. El anuncio contextual o basado solo en el propio sitio no entra.

Derechos

Lo que puede pedir el visitante de Virginia

La empresa responde en un máximo de 45 días, prorrogables una vez por 45 más. Hasta dos solicitudes por año son gratuitas, y quien reciba una negativa puede apelar.

Acceso y portabilidad

Confirmar si la empresa trata sus datos, ver esos datos y recibir una copia en un formato que pueda llevarse a otro servicio.

Corrección y eliminación

Corregir datos erróneos y pedir la eliminación de los datos proporcionados por él u obtenidos sobre él.

Opt-out

Rechazar la publicidad dirigida, la venta de datos y la creación de perfiles usados en decisiones con efectos legales o igualmente importantes.

Apelación

Apelar una negativa. La empresa tiene 60 días para responder a la apelación y, si niega de nuevo, debe informar cómo reclamar ante el fiscal general.

Obligaciones del sitio

Aviso de privacidad, opt-out y datos sensibles

La empresa necesita un aviso de privacidad claro y accesible. Debe enumerar las categorías de datos tratados, las finalidades, cómo ejercer los derechos y apelar, las categorías de datos transferidos a terceros y las categorías de esos terceros.

Si el sitio hace publicidad dirigida o vende datos, debe estar escrito de forma clara y visible, junto con el camino para rechazar. La ley no define el texto exacto del enlace, pero el camino debe ser seguro, confiable y no puede exigir la creación de una cuenta nueva.

Los datos sensibles solo pueden tratarse con consentimiento. Para un niño conocido, es decir, menor de 13 años, rige el consentimiento de los padres en el formato de la ley federal COPPA. La ley también prohíbe vender la ubicación precisa y, sin ese consentimiento de los padres, usar datos de un niño conocido para publicidad dirigida o venta.

La VCDPA no obliga al sitio a respetar señales automáticas del navegador, como el Global Privacy Control. Muchos sitios respetan el GPC de todos modos, porque otros estados lo exigen y porque una única regla nacional es más simple de mantener.

Cronología

Las fechas de la ley de Virginia

La VCDPA cambió poco desde que entró en vigor. Las modificaciones trataron principalmente de niños y adolescentes.

  1. 2021

    Ley aprobada

    Virginia se convierte en el segundo estado con una ley amplia de privacidad del consumidor.

  2. 1 de enero de 2023

    Entrada en vigor

    Pasan a regir los derechos, el opt-out de la publicidad dirigida y las evaluaciones de protección de datos.

  3. 2024

    Reglas para niños

    Las modificaciones amplían las protecciones para los datos de un niño conocido, como los límites a la publicidad dirigida y a la ubicación precisa.

  4. 2025

    Redes sociales y menores de 16

    Una modificación crea reglas para las plataformas de redes sociales con usuarios menores de 16 años, como un límite diario de uso. No apunta a blogs ni portales.

Evaluaciones, supervisión y multas

Evaluación escrita, aviso previo y multa de hasta US$ 7.500

La empresa cubierta debe hacer y guardar una evaluación de protección de datos para la publicidad dirigida, la venta de datos, los perfiles de riesgo, los datos sensibles y otros tratamientos de riesgo elevado. La evaluación compara beneficios y riesgos para el consumidor y rige para las actividades creadas después del 1 de enero de 2023. El fiscal general puede pedirla en una investigación, y queda protegida de la divulgación pública.

Solo el fiscal general de Virginia hace cumplir la ley. Los ciudadanos no pueden demandar a la empresa con base en la VCDPA.

Antes de presentar una demanda, el fiscal general debe enviar un aviso por escrito. La empresa tiene 30 días para corregir y enviar una declaración de que corrigió y no lo repetirá. A diferencia de otros estados, este plazo de corrección no tiene fecha de vencimiento.

Si la empresa no corrige o vuelve a incumplir, la multa civil llega a US$ 7.500 por infracción, además de gastos y honorarios. Como cada visitante afectado puede contarse por separado, el valor puede resultar alto incluso para una falla simple.

AdSense y Ad Manager

Cómo trata Google al visitante de Virginia

AdSense y Ad Manager leen la cadena GPP, el formato de IAB Tech Lab para señales de privacidad. Para Virginia, Google acepta la sección propia del estado y la sección US National. Cuando el visitante rechaza la venta o la publicidad dirigida, Google activa el procesamiento restringido de datos, el RDP, y pasa a mostrar solo anuncios no personalizados.

En la sección de Virginia, Google también lee el campo de consentimiento para los datos sensibles de un niño conocido y aplica el tratamiento para niños cuando es necesario.

El Mensaje de privacidad para estados de EE. UU., en AdSense y en Ad Manager, incluye Virginia. Muestra el enlace de rechazo y guarda la elección en la GPP. Otra opción es activar el RDP directamente en la etiqueta de anuncios para quienes rechazaron en un enlace propio del sitio.

Recuerda que header bidding, video, píxeles y widgets de otras empresas también reciben datos. El rechazo debe llegar a todos ellos, no solo a Google.

En la práctica

Qué se puede y qué no se puede en Virginia

Ejemplos del día a día de un sitio con anuncios y visitantes de Virginia.

Sí se puede

  • Mostrar anuncios personalizados a adultos sin pedir permiso antes, ofreciendo el opt-out
  • Usar un enlace de rechazo en el pie de página que lleve a una pantalla simple de elección
  • Guardar el rechazo en la sección de Virginia o en la US National de la cadena GPP
  • Exigir inicio de sesión para la solicitud de acceso de quien ya tiene cuenta en el sitio
  • Responder una solicitud compleja en un máximo de 90 días, avisando al visitante dentro de los primeros 45

No se puede

  • Exigir que el visitante cree una cuenta solo para rechazar los anuncios dirigidos
  • Tratar datos de salud o ubicación precisa sin consentimiento
  • Vender la ubicación precisa de los visitantes, incluso con aviso
  • Esconder en la política que el sitio hace publicidad dirigida
  • Cobrar por las dos primeras solicitudes del año de un mismo visitante

Errores comunes

Dónde suelen tropezar los sitios con anuncios

La ley es más simple que la de California, pero aparecen los mismos problemas.

Creer que solo importa California

El sitio muestra el mensaje de opt-out solo para California y olvida Virginia y los otros estados con leyes parecidas.

Política sin la palabra anuncios

La política habla de cookies, pero no dice que los datos sirven para publicidad dirigida ni cómo rechazarla.

Rechazo que no llega a Google

El visitante hace clic en rechazar, pero no se genera ninguna cadena GPP y la solicitud de anuncio sigue sin RDP.

Evaluación que nunca se hizo

La empresa está por encima del límite, hace publicidad dirigida y no tiene ninguna evaluación de protección de datos escrita.

En ConsentMode

Qué revisa la auditoría sobre la VCDPA

  • Abre el sitio como visitante de Virginia y busca el enlace o botón de rechazo de la publicidad dirigida.
  • Identifica la CMP por el código de la página y comprueba si muestra el mensaje también fuera de California.
  • Lee la cadena GPP en las solicitudes de anuncio y muestra si la sección de Virginia o la US National indican el rechazo después del clic.
  • Activa el GPC y registra si el sitio cambia la señal, algo que no es obligatorio en Virginia, pero sí se exige en otros estados.
  • Lee la política de privacidad y señala si faltan finalidades, categorías de terceros, derechos y el camino de apelación.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes sobre la VCDPA

¿Necesito un banner de consentimiento para Virginia?

Para los anuncios personalizados de adultos, no. La ley pide opt-out, no un permiso previo. El consentimiento solo se exige para los datos sensibles, como la salud y la ubicación precisa.

¿AdSense cuenta como venta de datos en Virginia?

Virginia solo considera venta el intercambio por dinero. Aunque no haya venta, los anuncios personalizados basados en la navegación en otros sitios son publicidad dirigida, y el visitante puede rechazarlos.

¿Estoy obligado a respetar el GPC en Virginia?

El texto de la VCDPA no lo exige. Pero California, Colorado, Connecticut y Oregón sí lo exigen, así que suele ser más simple respetar el GPC en todo el país.

¿Qué pasa si el fiscal general me notifica?

Tienes 30 días para corregir y enviar una declaración escrita. Si corriges, no hay proceso. Si no corriges o repites la falla, la multa puede llegar a US$ 7.500 por infracción.

¿ConsentMode hace la evaluación de protección de datos?

No. ConsentMode audita el sitio desde fuera y muestra qué socios reciben datos y qué señales se envían, lo que ayuda a redactar la evaluación. El documento es responsabilidad de la empresa.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si el rechazo de Virginia llega a los anuncios

La auditoría abre el sitio como visitante de Virginia y muestra qué corregir, sin cambiar nada.

Comenzar la auditoría