Мой кабинет

Руководство · Закон штата США

VCDPA: закон Вирджинии простыми словами для тех, у кого есть реклама

Вирджиния стала вторым американским штатом, принявшим широкий закон о конфиденциальности, и стала образцом для многих других. Здесь вы узнаете, когда он применяется к вашему сайту, что закон называет таргетированной рекламой и от чего посетитель может отказаться.

  • ✓Основано на официальном тексте Кодекса Вирджинии
  • ✓Примеры для сайтов с AdSense и Ad Manager
  • ✓Проверка только для чтения, без изменения сайта
100 тысячпотребителей Вирджинии в год: главный порог применения закона
30 дн.срок на исправление нарушения после уведомления генерального прокурора, до любого иска
7 500 долл. СШАмаксимальный гражданский штраф за нарушение
45 дн.срок ответа на запросы потребителей, с одним продлением на такой же срок

Что это

Закон, ставший образцом для половины Соединённых Штатов

Virginia Consumer Data Protection Act, или VCDPA, находится в Кодексе Вирджинии, в разделах 59.1-575 - 59.1-584. Он принят в 2021 году и начал действовать 1 января 2023 года, в тот же день, когда в Калифорнии вступили в силу изменения CPRA.

В отличие от калифорнийского закона, VCDPA возник с более лёгкой структурой, похожей на европейский GDPR: контролёры, операторы, оценка защиты данных и согласие на конфиденциальные данные. Такие штаты, как Колорадо, Коннектикут, Юта, Техас и Орегон, скопировали большую часть этой схемы.

Для сайта с рекламой практический эффект такой: если закон к вам применяется, посетитель из Вирджинии может отказаться от таргетированной рекламы, а ваша политика конфиденциальности должна объяснять, как он это делает.

Закон работает по принципу opt-out для рекламы. То есть он не требует просить разрешение до показа персонализированной рекламы взрослым. Предварительное разрешение требуется только для конфиденциальных данных.

Чек-лист

Что нужно выполнить

Действуют для тех, кто превышает один из порогов закона Виргинии.

  1. Чётко покажите, как отказаться

    Если сайт показывает таргетированную рекламу или продаёт данные, он должен сказать об этом понятно и заметно, вместе со способом отказа. Закон не определяет текст ссылки.

    Пример

    Подвал: Your Privacy Choices, ведущая на экран отказа от таргетированной рекламы

  2. Опубликуйте полное уведомление о конфиденциальности

    В уведомлении перечислены категории данных, цели, способы реализации прав и обжалования, данные, передаваемые третьим лицам, и типы третьих лиц.

    Пример

    Категории данных: идентификаторы cookie и данные о просмотрах. Цель: показ и измерение рекламы. Третьи лица: рекламные сети.

  3. Не требуйте новый аккаунт

    Каналы для реализации прав должны быть безопасными и надёжными и не могут требовать от посетителя создавать аккаунт.

  4. Запрашивайте согласие на чувствительные данные

    Чувствительные данные можно обрабатывать только с согласия. Для известного ребёнка действует согласие родителей в формате закона COPPA, а закон запрещает продавать точное местоположение.

  5. Отвечайте и принимайте апелляции

    Ответ даётся в течение 45 дней, с однократным продлением ещё на 45, и бесплатен до двух раз в год. На апелляцию отвечают в течение 60 дней, с указанием пути для жалобы генеральному прокурору.

  6. Проведите оценку защиты данных

    Таргетированная реклама, продажа данных, рисковое профилирование и чувствительные данные требуют документированной оценки для видов деятельности, созданных после 1 января 2023 года.

  7. Не ухудшайте обращение с теми, кто реализует права

    Сайт не может отказывать в услуге или брать другую цену с тех, кто воспользовался правами по закону.

  8. Передайте отказ в Google

    В разделе Виргинии или US National строки GPP отказ от продажи или таргетированной рекламы включает RDP. Сообщение Google для штатов США также охватывает Виргинию.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP для Виргинии. Используйте сообщение Google для штатов США, CMP, создающую GPP, или RDP в теге. Вот официальные ссылки.

К кому относится

Объём посетителей, а не выручка

VCDPA действует для тех, кто ведёт бизнес в Вирджинии или предлагает товары и услуги жителям штата и достигает одного из порогов ниже за год. Порога по выручке нет: небольшая компания с большим трафиком может попасть.

100 тысяч потребителей

Контролировать или обрабатывать персональные данные не менее 100 тысяч потребителей Вирджинии за календарный год. Посетители сайта с рекламными cookie учитываются.

25 тысяч и больше половины выручки

Обрабатывать данные не менее 25 тысяч потребителей и получать более 50% валовой выручки от продажи персональных данных.

Кто не подпадает

Государственные органы, некоммерческие организации, университеты, финансовые учреждения, подпадающие под федеральный закон GLBA, и медицинские организации, подпадающие под HIPAA.

Только потребитель-физическое лицо

Закон защищает жителей, действующих в личном или домашнем контексте. Данные сотрудников и деловых контактов не входят.

Определения

Термины, важные для тех, кто продает рекламу

VCDPA определяет каждое понятие уже, чем Калифорния, и это сильно меняет результат.

Персональные данные

Любая информация, связанная или разумно связываемая с идентифицированным или идентифицируемым лицом. Обезличенные и публичные данные не входят.

Чувствительные данные

Расовое или этническое происхождение, религия, медицинский диагноз, сексуальная ориентация, миграционный статус, генетические и биометрические данные, данные известного ребёнка и точная геолокация в радиусе 1750 футов, около 530 метров.

Продажа

Обмен персональных данных на деньги с третьей стороной. Вирджиния считает только денежную оплату, в отличие от штатов, включающих иные виды ценности.

Таргетированная реклама

Реклама, выбранная на основе данных об активности человека со временем на сайтах и в приложениях других компаний. Контекстная реклама или реклама только на основе собственного сайта не входит.

Права

Что может потребовать посетитель из Вирджинии

Компания отвечает в течение 45 дней с одним продлением ещё на 45. До двух запросов в год бесплатны, а тот, кому отказали, может подать апелляцию.

Доступ и переносимость

Узнать, обрабатывает ли компания его данные, увидеть эти данные и получить копию в формате, который можно перенести в другой сервис.

Исправление и удаление

Исправить неверные данные и просить удалить данные, которые предоставил он или полученные о нём.

Отказ

Отказаться от таргетированной рекламы, продажи данных и создания профилей, используемых в решениях с юридическими или столь же важными последствиями.

Апелляция

Обжаловать отказ. У компании есть 60 дней на ответ на апелляцию, а при повторном отказе она должна сообщить, как пожаловаться генеральному прокурору.

Обязанности сайта

Уведомление о конфиденциальности, opt-out и конфиденциальные данные

Компании нужно ясное и доступное уведомление о конфиденциальности. В нём должны быть перечислены категории обрабатываемых данных, цели, способы реализации прав и обжалования, категории данных, передаваемых третьим лицам, и категории этих третьих лиц.

Если сайт занимается таргетированной рекламой или продаёт данные, это должно быть написано ясно и заметно, вместе с путём для отказа. Закон не определяет точный текст ссылки, но путь должен быть безопасным, надёжным и не может требовать создания нового аккаунта.

Конфиденциальные данные можно обрабатывать только с согласия. Для известного ребёнка, то есть младше 13 лет, действует согласие родителей в формате федерального закона COPPA. Закон также запрещает продавать точную геолокацию и, без такого согласия родителей, использовать данные известного ребёнка для таргетированной рекламы или продажи.

VCDPA не обязывает сайт уважать автоматические сигналы браузера, такие как Global Privacy Control. Многие сайты всё равно уважают GPC, потому что этого требуют другие штаты и потому что единое национальное правило проще поддерживать.

Хронология

Даты закона Вирджинии

VCDPA мало менялся с момента вступления в силу. Изменения касались в основном детей и подростков.

  1. 2021

    Закон принят

    Вирджиния становится вторым штатом с широким законом о конфиденциальности потребителей.

  2. 1 января 2023 года

    Вступление в силу

    Начинают действовать права, opt-out от таргетированной рекламы и оценки защиты данных.

  3. 2024

    Правила для детей

    Изменения расширяют защиту данных известного ребёнка, например ограничения таргетированной рекламы и точной геолокации.

  4. 2025

    Социальные сети и младше 16 лет

    Одно изменение создаёт правила для платформ социальных сетей с пользователями младше 16 лет, например дневной лимит использования. Оно не направлено на блоги и порталы.

Оценки, контроль и штрафы

Письменная оценка, предварительное уведомление и штраф до 7 500 долларов США

Охваченная компания должна проводить и хранить оценку защиты данных для таргетированной рекламы, продажи данных, профилей риска, конфиденциальных данных и другой обработки повышенного риска. Оценка сравнивает выгоды и риски для потребителя и действует для видов деятельности, созданных после 1 января 2023 года. Генеральный прокурор может запросить её в ходе расследования, и она защищена от публичного раскрытия.

Закон применяет только генеральный прокурор Вирджинии. Гражданин не может подать иск против компании на основании VCDPA.

Прежде чем подавать иск, генеральный прокурор должен направить письменное уведомление. У компании есть 30 дней, чтобы исправить и направить заявление о том, что исправила и не повторит. В отличие от других штатов, у этого срока на исправление нет даты окончания.

Если компания не исправляет или снова нарушает, гражданский штраф достигает 7 500 долларов США за нарушение, помимо расходов и гонораров. Поскольку каждого затронутого посетителя можно считать отдельно, сумма может стать большой даже за простую ошибку.

AdSense и Ad Manager

Как Google обращается с посетителем из Вирджинии

AdSense и Ad Manager читают строку GPP, формат IAB Tech Lab для сигналов конфиденциальности. Для Вирджинии Google принимает собственный раздел штата и раздел US National. Когда посетитель отказывается от продажи или таргетированной рекламы, Google включает ограниченную обработку данных, RDP, и начинает показывать только неперсонализированную рекламу.

В разделе Вирджинии Google также читает поле согласия для конфиденциальных данных известного ребёнка и при необходимости применяет детский режим.

Сообщение о конфиденциальности для штатов США в AdSense и Ad Manager включает Вирджинию. Оно показывает ссылку для отказа и записывает выбор в GPP. Другой вариант: включить RDP прямо в рекламном теге для тех, кто отказался по собственной ссылке сайта.

Помните, что header bidding, видео, пиксели и виджеты других компаний тоже получают данные. Отказ должен дойти до всех, а не только до Google.

На практике

Что можно и что нельзя в Вирджинии

Повседневные примеры сайта с рекламой и посетителями из Вирджинии.

Можно

  • Показывать персонализированную рекламу взрослым без предварительного разрешения, предлагая opt-out
  • Использовать ссылку для отказа в футере, ведущую на простой экран выбора
  • Записывать отказ в раздел Вирджинии или US National строки GPP
  • Требовать вход для запроса доступа от тех, у кого уже есть аккаунт на сайте
  • Отвечать на сложный запрос в течение 90 дней, уведомив посетителя в первые 45

Нельзя

  • Требовать от посетителя создать аккаунт только чтобы отказаться от таргетированной рекламы
  • Обрабатывать данные о здоровье или точной геолокации без согласия
  • Продавать точную геолокацию посетителей, даже с уведомлением
  • Скрывать в политике, что сайт занимается таргетированной рекламой
  • Брать плату за первые два запроса в году от одного посетителя

Частые ошибки

Где сайты с рекламой обычно спотыкаются

Закон проще калифорнийского, но возникают те же проблемы.

Думать, что важна только Калифорния

Сайт показывает сообщение opt-out только для Калифорнии и забывает Вирджинию и другие штаты с похожими законами.

Политика без слова «реклама»

Политика говорит о cookie, но не говорит, что данные служат для таргетированной рекламы, и не говорит, как отказаться.

Отказ, который не доходит до Google

Посетитель нажимает «отказаться», но строка GPP не создаётся, и рекламный запрос идёт без RDP.

Оценка, которая никогда не проводилась

Компания выше порога, занимается таргетированной рекламой и не имеет никакой письменной оценки защиты данных.

В ConsentMode

Что аудит проверяет по VCDPA

  • Открывает сайт как посетитель из Вирджинии и ищет ссылку или кнопку отказа от таргетированной рекламы.
  • Определяет CMP по коду страницы и проверяет, показывает ли она сообщение и за пределами Калифорнии.
  • Читает строку GPP в рекламных запросах и показывает, указывают ли раздел Вирджинии или US National на отказ после нажатия.
  • Включает GPC и фиксирует, меняет ли сайт сигнал, что не обязательно в Вирджинии, но требуется в других штатах.
  • Читает политику конфиденциальности и указывает, не хватает ли целей, категорий третьих лиц, прав и пути обжалования.

Частые вопросы о VCDPA

Нужен ли баннер согласия для Вирджинии?

Для персонализированной рекламы взрослым нет. Закон требует opt-out, а не предварительного разрешения. Согласие требуется только для конфиденциальных данных, таких как здоровье и точная геолокация.

Считается ли AdSense продажей данных в Вирджинии?

Вирджиния считает продажей только обмен на деньги. Даже если продажи нет, персонализированная реклама на основе просмотра других сайтов это таргетированная реклама, и посетитель может отказаться.

Обязан ли я уважать GPC в Вирджинии?

Текст VCDPA этого не требует. Но Калифорния, Колорадо, Коннектикут и Орегон требуют, поэтому обычно проще уважать GPC по всей стране.

Что будет, если генеральный прокурор меня уведомит?

У вас есть 30 дней, чтобы исправить и направить письменное заявление. Если исправите, иска не будет. Если не исправите или повторите нарушение, штраф может достигать 7 500 долларов США за нарушение.

Проводит ли ConsentMode оценку защиты данных?

Нет. ConsentMode проверяет сайт снаружи и показывает, какие партнёры получают данные и какие сигналы отправляются, что помогает написать оценку. Документ остаётся ответственностью компании.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, доходит ли отказ из Вирджинии до рекламы

Аудит открывает сайт как посетитель из Вирджинии и показывает, что исправить, ничего не меняя.

Начать аудит