Apri lo spazio

Guida · Legge statale degli USA

VCDPA: la legge della Virginia spiegata a chi ha annunci

La Virginia è stato il secondo stato americano ad approvare una legge ampia sulla privacy ed è diventata un modello per molti altri. Qui capisci quando vale per il tuo sito, cosa la legge chiama pubblicità mirata e cosa può rifiutare il visitatore.

  • ✓Basato sul testo ufficiale del Codice della Virginia
  • ✓Esempi pensati per siti con AdSense e Ad Manager
  • ✓Audit in sola lettura, senza modificare il sito
100 milaconsumatori della Virginia all'anno: la soglia principale perché la legge si applichi
30 giornitermine per correggere una violazione dopo l'avviso del procuratore generale, prima di qualsiasi azione legale
7.500 USDmulta civile massima per violazione
45 giornitermine per rispondere alle richieste dei consumatori, prorogabile una volta per un periodo uguale

Che cos'è

La legge che ha fatto da modello a metà degli Stati Uniti

La Virginia Consumer Data Protection Act, o VCDPA, si trova nel Codice della Virginia, alle sezioni da 59.1-575 a 59.1-584. È stata approvata nel 2021 ed è entrata in vigore il 1° gennaio 2023, lo stesso giorno in cui sono entrate in vigore le modifiche della CPRA in California.

A differenza della legge californiana, la VCDPA è nata con una struttura più snella, simile a quella del GDPR europeo: titolari, responsabili, valutazione della protezione dei dati e consenso per i dati sensibili. Stati come Colorado, Connecticut, Utah, Texas e Oregon hanno copiato gran parte di questo schema.

Per un sito con annunci, l'effetto pratico è questo: se la legge si applica a te, il visitatore della Virginia può rifiutare la pubblicità mirata, e la tua informativa sulla privacy deve spiegare come fare.

La legge funziona con l'opt-out per gli annunci. Cioè, non richiede di chiedere il permesso prima di mostrare annunci personalizzati agli adulti. Il permesso preventivo è richiesto solo per i dati sensibili.

Checklist

Cosa devi rispettare

Valgono per chi supera una delle soglie della legge della Virginia.

  1. Mostra con chiarezza come rifiutare

    Se il sito fa pubblicità mirata o vende dati, deve dirlo in modo chiaro e visibile, insieme al modo di rifiutare. La legge non definisce il testo del link.

    Esempio

    Footer: Your Privacy Choices, che porta alla schermata di rifiuto della pubblicità mirata

  2. Pubblica un'informativa sulla privacy completa

    L'avviso elenca le categorie di dati, le finalità, come esercitare i diritti e fare ricorso, i dati ceduti a terzi e i tipi di terzi.

    Esempio

    Categorie di dati: identificatori dei cookie e dati di navigazione. Finalità: mostrare e misurare gli annunci. Terzi: reti pubblicitarie.

  3. Non richiedere un nuovo account

    I canali per esercitare i diritti devono essere sicuri e affidabili e non possono richiedere al visitatore di creare un account.

  4. Chiedi il consenso per i dati sensibili

    I dati sensibili possono essere trattati solo con il consenso. Per un bambino noto, vale il consenso dei genitori nel formato della legge COPPA, e la legge vieta di vendere la posizione precisa.

  5. Rispondi e accetta i ricorsi

    La risposta arriva entro 45 giorni, prorogabili una volta di altri 45, ed è gratuita fino a due volte l'anno. Il ricorso ha risposta in 60 giorni, con il percorso per presentare reclamo al procuratore generale.

  6. Fai la valutazione della protezione dei dati

    Pubblicità mirata, vendita di dati, profili a rischio e dati sensibili richiedono una valutazione documentata, per le attività create dopo il 1º gennaio 2023.

  7. Non trattare peggio chi esercita i diritti

    Il sito non può negare il servizio né applicare un prezzo diverso a chi ha usato i diritti previsti dalla legge.

  8. Porta il rifiuto a Google

    Nella sezione della Virginia o nella US National della stringa GPP, il rifiuto di vendita o di pubblicità mirata attiva l'RDP. Il messaggio per gli stati USA di Google copre anche la Virginia.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata per la Virginia. Usa il messaggio per gli stati USA di Google, una CMP che generi GPP o l'RDP nel tag. Questi sono i link ufficiali.

A chi si applica

Volume di visitatori, non fatturato

La VCDPA vale per chi fa affari in Virginia o offre prodotti e servizi ai residenti dello stato e raggiunge una delle soglie seguenti in un anno. Non esiste una soglia di fatturato: un'azienda piccola con molto traffico può rientrare.

100 mila consumatori

Controllare o trattare dati personali di almeno 100.000 consumatori della Virginia in un anno solare. Contano i visitatori di un sito con cookie pubblicitari.

25.000 e più della metà dei ricavi

Trattare dati di almeno 25.000 consumatori e ottenere oltre il 50% dei ricavi lordi dalla vendita di dati personali.

Chi resta fuori

Enti pubblici, organizzazioni senza scopo di lucro, università, istituzioni finanziarie soggette alla legge federale GLBA ed enti sanitari soggetti all'HIPAA.

Solo il consumatore persona fisica

La legge protegge i residenti che agiscono in un contesto personale o domestico. I dati dei dipendenti e dei contatti commerciali restano esclusi.

Definizioni

I termini che contano per chi vende annunci

La VCDPA definisce ogni concetto in modo più stretto della California, e questo cambia molto il risultato.

Dato personale

Qualsiasi informazione collegata o ragionevolmente collegabile a una persona identificata o identificabile. I dati anonimizzati e quelli pubblici sono esclusi.

Dato sensibile

Origine razziale o etnica, religione, diagnosi sanitarie, orientamento sessuale, status migratorio, dati genetici e biometrici, dati di un minore noto e posizione precisa entro un raggio di 1.750 piedi, circa 530 metri.

Vendita

Scambio di dati personali con denaro con una terza parte. La Virginia conta solo il pagamento in denaro, a differenza degli stati che includono altri tipi di valore.

Pubblicità mirata

Annuncio scelto in base ai dati delle attività della persona nel tempo su siti e app di altre aziende. L'annuncio contestuale o basato solo sul proprio sito non rientra.

Diritti

Cosa può chiedere il visitatore della Virginia

L'azienda risponde entro 45 giorni, prorogabili una volta di altri 45. Fino a due richieste all'anno sono gratuite e chi si vede negare la richiesta può fare ricorso.

Accesso e portabilità

Confermare se l'azienda tratta i suoi dati, vedere quei dati e ricevere una copia in un formato che si possa portare a un altro servizio.

Correzione e cancellazione

Correggere dati errati e chiedere la cancellazione dei dati forniti da lui o ottenuti su di lui.

Opt-out

Rifiutare la pubblicità mirata, la vendita di dati e la creazione di profili usati in decisioni con effetti giuridici o altrettanto importanti.

Ricorso

Ricorrere contro un diniego. L'azienda ha 60 giorni per rispondere al ricorso e, se nega di nuovo, deve indicare come presentare reclamo al procuratore generale.

Obblighi del sito

Informativa sulla privacy, opt-out e dati sensibili

L'azienda ha bisogno di un'informativa sulla privacy chiara e accessibile. Deve elencare le categorie di dati trattati, le finalità, come esercitare i diritti e fare ricorso, le categorie di dati ceduti a terzi e le categorie di tali terzi.

Se il sito fa pubblicità mirata o vende dati, questo deve essere scritto in modo chiaro e visibile, insieme al percorso per rifiutare. La legge non definisce il testo esatto del link, ma il percorso deve essere sicuro, affidabile e non può richiedere la creazione di un nuovo account.

I dati sensibili possono essere trattati solo con il consenso. Per un minore noto, cioè sotto i 13 anni, vale il consenso dei genitori nel formato della legge federale COPPA. La legge vieta anche di vendere la posizione precisa e, senza questo consenso dei genitori, di usare dati di un minore noto per pubblicità mirata o vendita.

La VCDPA non obbliga il sito a rispettare i segnali automatici del browser, come il Global Privacy Control. Molti siti rispettano comunque il GPC, perché altri stati lo richiedono e perché una sola regola nazionale è più semplice da mantenere.

Cronologia

Le date della legge della Virginia

La VCDPA è cambiata poco da quando è entrata in vigore. Le modifiche hanno riguardato soprattutto bambini e adolescenti.

  1. 2021

    Legge approvata

    La Virginia diventa il secondo stato con una legge ampia sulla privacy dei consumatori.

  2. 1° gennaio 2023

    Entrata in vigore

    Entrano in vigore i diritti, l'opt-out dalla pubblicità mirata e le valutazioni della protezione dei dati.

  3. 2024

    Regole per i minori

    Le modifiche ampliano le tutele per i dati di un minore noto, come limiti alla pubblicità mirata e alla posizione precisa.

  4. 2025

    Social network e under 16

    Una modifica crea regole per le piattaforme di social network con utenti sotto i 16 anni, come un limite giornaliero di utilizzo. Non riguarda blog né portali.

Valutazioni, controlli e multe

Valutazione scritta, avviso preventivo e sanzione fino a 7.500 USD

L'azienda coperta deve fare e conservare una valutazione della protezione dei dati per pubblicità mirata, vendita di dati, profilazioni a rischio, dati sensibili e altri trattamenti ad alto rischio. La valutazione confronta benefici e rischi per il consumatore e vale per le attività create dopo il 1° gennaio 2023. Il procuratore generale può richiederla in un'indagine e resta protetta dalla divulgazione pubblica.

Solo il procuratore generale della Virginia fa rispettare la legge. Il cittadino non può citare in giudizio l'azienda sulla base della VCDPA.

Prima di avviare un'azione legale, il procuratore generale deve inviare un avviso scritto. L'azienda ha 30 giorni per correggere e inviare una dichiarazione in cui afferma di aver risolto e di non ripetere l'errore. A differenza di altri stati, questo periodo di correzione non ha una data di scadenza.

Se l'azienda non corregge o torna a violare la legge, la sanzione civile arriva a 7.500 USD per violazione, oltre a spese e onorari. Poiché ogni visitatore coinvolto può essere contato a parte, l'importo può diventare alto anche per un errore semplice.

AdSense e Ad Manager

Come Google tratta il visitatore della Virginia

AdSense e Ad Manager leggono la stringa GPP, il formato dell'IAB Tech Lab per i segnali di privacy. Per la Virginia, Google accetta la sezione specifica dello stato e la sezione US National. Quando il visitatore rifiuta la vendita o la pubblicità mirata, Google attiva il trattamento limitato dei dati, l'RDP, e inizia a mostrare solo annunci non personalizzati.

Nella sezione della Virginia, Google legge anche il campo del consenso per i dati sensibili di un minore noto e applica il trattamento per minori quando necessario.

Il messaggio sulla privacy per gli stati USA, in AdSense e in Ad Manager, include la Virginia. Mostra il link di rifiuto e registra la scelta nel GPP. Un'altra opzione è attivare l'RDP direttamente nel tag degli annunci per chi ha rifiutato tramite un link proprio del sito.

Ricorda che anche header bidding, video, pixel e widget di altre aziende ricevono dati. Il rifiuto deve arrivare a tutti, non solo a Google.

In pratica

Cosa è consentito e cosa no in Virginia

Esempi quotidiani di un sito con annunci e visitatori della Virginia.

Consentito

  • Mostrare annunci personalizzati agli adulti senza chiedere prima il permesso, offrendo l'opt-out
  • Usare un link di rifiuto nel footer che porta a una schermata di scelta semplice
  • Registrare il rifiuto nella sezione della Virginia o nella US National della stringa GPP
  • Richiedere il login per la richiesta di accesso di chi ha già un account nel sito
  • Rispondere a una richiesta complessa entro 90 giorni, avvisando il visitatore nei primi 45

Non consentito

  • Richiedere che il visitatore crei un account solo per rifiutare gli annunci mirati
  • Trattare dati sanitari o di posizione precisa senza consenso
  • Vendere la posizione precisa dei visitatori, anche con avviso
  • Nascondere nell'informativa che il sito fa pubblicità mirata
  • Far pagare le prime due richieste dell'anno dello stesso visitatore

Errori comuni

Dove i siti con annunci inciampano più spesso

La legge è più semplice di quella della California, ma compaiono gli stessi problemi.

Pensare che conti solo la California

Il sito mostra il messaggio di opt-out solo per la California e dimentica la Virginia e gli altri stati con leggi simili.

Informativa senza la parola annunci

L'informativa parla di cookie, ma non dice che i dati servono per la pubblicità mirata né come rifiutarla.

Rifiuto che non arriva a Google

Il visitatore clicca su rifiuta, ma non viene generata alcuna stringa GPP e la richiesta di annuncio prosegue senza RDP.

Valutazione mai fatta

L'azienda supera la soglia, fa pubblicità mirata e non ha alcuna valutazione scritta della protezione dei dati.

In ConsentMode

Cosa controlla l'audit sulla VCDPA

  • Apre il sito come visitatore della Virginia e cerca il link o il pulsante di rifiuto della pubblicità mirata.
  • Identifica la CMP dal codice della pagina e verifica se mostra il messaggio anche fuori dalla California.
  • Legge la stringa GPP nelle richieste di annuncio e mostra se la sezione della Virginia o la US National indicano il rifiuto dopo il clic.
  • Attiva il GPC e registra se il sito cambia il segnale, cosa non obbligatoria in Virginia, ma richiesta in altri stati.
  • Legge l'informativa sulla privacy e segnala se mancano finalità, categorie di terzi, diritti e il percorso di ricorso.

Domande frequenti sulla VCDPA

Mi serve un banner di consenso per la Virginia?

Per gli annunci personalizzati agli adulti, no. La legge richiede l'opt-out, non il permesso preventivo. Il consenso è richiesto solo per i dati sensibili, come salute e posizione precisa.

AdSense conta come vendita di dati in Virginia?

La Virginia considera vendita solo lo scambio con denaro. Anche se non c'è vendita, gli annunci personalizzati basati sulla navigazione su altri siti sono pubblicità mirata, e il visitatore può rifiutarla.

Sono obbligato a rispettare il GPC in Virginia?

Il testo della VCDPA non lo richiede. Ma California, Colorado, Connecticut e Oregon lo richiedono, quindi di solito è più semplice rispettare il GPC in tutto il paese.

Cosa succede se il procuratore generale mi notifica una violazione?

Hai 30 giorni per correggere e inviare una dichiarazione scritta. Se correggi, non c'è alcun procedimento. Se non correggi o ripeti l'errore, la sanzione può arrivare a 7.500 USD per violazione.

ConsentMode fa la valutazione della protezione dei dati?

No. ConsentMode controlla il sito dall'esterno e mostra quali partner ricevono dati e quali segnali vengono inviati, il che aiuta a scrivere la valutazione. Il documento è responsabilità dell'azienda.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Verifica se il rifiuto della Virginia arriva agli annunci

L'audit apre il sito come visitatore della Virginia e mostra cosa correggere, senza modificare nulla.

Avvia l'audit