100 тысяч потребителей
Контролировать или обрабатывать персональные данные не менее 100 тысяч потребителей Вирджинии за календарный год. Посетители сайта с рекламными cookie учитываются.
Руководство · Закон штата США
Вирджиния стала вторым американским штатом, принявшим широкий закон о конфиденциальности, и стала образцом для многих других. Здесь вы узнаете, когда он применяется к вашему сайту, что закон называет таргетированной рекламой и от чего посетитель может отказаться.
Что это
Virginia Consumer Data Protection Act, или VCDPA, находится в Кодексе Вирджинии, в разделах 59.1-575 - 59.1-584. Он принят в 2021 году и начал действовать 1 января 2023 года, в тот же день, когда в Калифорнии вступили в силу изменения CPRA.
В отличие от калифорнийского закона, VCDPA возник с более лёгкой структурой, похожей на европейский GDPR: контролёры, операторы, оценка защиты данных и согласие на конфиденциальные данные. Такие штаты, как Колорадо, Коннектикут, Юта, Техас и Орегон, скопировали большую часть этой схемы.
Для сайта с рекламой практический эффект такой: если закон к вам применяется, посетитель из Вирджинии может отказаться от таргетированной рекламы, а ваша политика конфиденциальности должна объяснять, как он это делает.
Закон работает по принципу opt-out для рекламы. То есть он не требует просить разрешение до показа персонализированной рекламы взрослым. Предварительное разрешение требуется только для конфиденциальных данных.
Чек-лист
Действуют для тех, кто превышает один из порогов закона Виргинии.
Если сайт показывает таргетированную рекламу или продаёт данные, он должен сказать об этом понятно и заметно, вместе со способом отказа. Закон не определяет текст ссылки.
Подвал: Your Privacy Choices, ведущая на экран отказа от таргетированной рекламы
В уведомлении перечислены категории данных, цели, способы реализации прав и обжалования, данные, передаваемые третьим лицам, и типы третьих лиц.
Категории данных: идентификаторы cookie и данные о просмотрах. Цель: показ и измерение рекламы. Третьи лица: рекламные сети.
Каналы для реализации прав должны быть безопасными и надёжными и не могут требовать от посетителя создавать аккаунт.
Чувствительные данные можно обрабатывать только с согласия. Для известного ребёнка действует согласие родителей в формате закона COPPA, а закон запрещает продавать точное местоположение.
Ответ даётся в течение 45 дней, с однократным продлением ещё на 45, и бесплатен до двух раз в год. На апелляцию отвечают в течение 60 дней, с указанием пути для жалобы генеральному прокурору.
Таргетированная реклама, продажа данных, рисковое профилирование и чувствительные данные требуют документированной оценки для видов деятельности, созданных после 1 января 2023 года.
Сайт не может отказывать в услуге или брать другую цену с тех, кто воспользовался правами по закону.
В разделе Виргинии или US National строки GPP отказ от продажи или таргетированной рекламы включает RDP. Сообщение Google для штатов США также охватывает Виргинию.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});На практике
Официальные инструменты
Google не требует сертифицированную CMP для Виргинии. Используйте сообщение Google для штатов США, CMP, создающую GPP, или RDP в теге. Вот официальные ссылки.
К кому относится
VCDPA действует для тех, кто ведёт бизнес в Вирджинии или предлагает товары и услуги жителям штата и достигает одного из порогов ниже за год. Порога по выручке нет: небольшая компания с большим трафиком может попасть.
Контролировать или обрабатывать персональные данные не менее 100 тысяч потребителей Вирджинии за календарный год. Посетители сайта с рекламными cookie учитываются.
Обрабатывать данные не менее 25 тысяч потребителей и получать более 50% валовой выручки от продажи персональных данных.
Государственные органы, некоммерческие организации, университеты, финансовые учреждения, подпадающие под федеральный закон GLBA, и медицинские организации, подпадающие под HIPAA.
Закон защищает жителей, действующих в личном или домашнем контексте. Данные сотрудников и деловых контактов не входят.
Определения
VCDPA определяет каждое понятие уже, чем Калифорния, и это сильно меняет результат.
Любая информация, связанная или разумно связываемая с идентифицированным или идентифицируемым лицом. Обезличенные и публичные данные не входят.
Расовое или этническое происхождение, религия, медицинский диагноз, сексуальная ориентация, миграционный статус, генетические и биометрические данные, данные известного ребёнка и точная геолокация в радиусе 1750 футов, около 530 метров.
Обмен персональных данных на деньги с третьей стороной. Вирджиния считает только денежную оплату, в отличие от штатов, включающих иные виды ценности.
Реклама, выбранная на основе данных об активности человека со временем на сайтах и в приложениях других компаний. Контекстная реклама или реклама только на основе собственного сайта не входит.
Права
Компания отвечает в течение 45 дней с одним продлением ещё на 45. До двух запросов в год бесплатны, а тот, кому отказали, может подать апелляцию.
Узнать, обрабатывает ли компания его данные, увидеть эти данные и получить копию в формате, который можно перенести в другой сервис.
Исправить неверные данные и просить удалить данные, которые предоставил он или полученные о нём.
Отказаться от таргетированной рекламы, продажи данных и создания профилей, используемых в решениях с юридическими или столь же важными последствиями.
Обжаловать отказ. У компании есть 60 дней на ответ на апелляцию, а при повторном отказе она должна сообщить, как пожаловаться генеральному прокурору.
Обязанности сайта
Компании нужно ясное и доступное уведомление о конфиденциальности. В нём должны быть перечислены категории обрабатываемых данных, цели, способы реализации прав и обжалования, категории данных, передаваемых третьим лицам, и категории этих третьих лиц.
Если сайт занимается таргетированной рекламой или продаёт данные, это должно быть написано ясно и заметно, вместе с путём для отказа. Закон не определяет точный текст ссылки, но путь должен быть безопасным, надёжным и не может требовать создания нового аккаунта.
Конфиденциальные данные можно обрабатывать только с согласия. Для известного ребёнка, то есть младше 13 лет, действует согласие родителей в формате федерального закона COPPA. Закон также запрещает продавать точную геолокацию и, без такого согласия родителей, использовать данные известного ребёнка для таргетированной рекламы или продажи.
VCDPA не обязывает сайт уважать автоматические сигналы браузера, такие как Global Privacy Control. Многие сайты всё равно уважают GPC, потому что этого требуют другие штаты и потому что единое национальное правило проще поддерживать.
Хронология
VCDPA мало менялся с момента вступления в силу. Изменения касались в основном детей и подростков.
Вирджиния становится вторым штатом с широким законом о конфиденциальности потребителей.
Начинают действовать права, opt-out от таргетированной рекламы и оценки защиты данных.
Изменения расширяют защиту данных известного ребёнка, например ограничения таргетированной рекламы и точной геолокации.
Одно изменение создаёт правила для платформ социальных сетей с пользователями младше 16 лет, например дневной лимит использования. Оно не направлено на блоги и порталы.
Оценки, контроль и штрафы
Охваченная компания должна проводить и хранить оценку защиты данных для таргетированной рекламы, продажи данных, профилей риска, конфиденциальных данных и другой обработки повышенного риска. Оценка сравнивает выгоды и риски для потребителя и действует для видов деятельности, созданных после 1 января 2023 года. Генеральный прокурор может запросить её в ходе расследования, и она защищена от публичного раскрытия.
Закон применяет только генеральный прокурор Вирджинии. Гражданин не может подать иск против компании на основании VCDPA.
Прежде чем подавать иск, генеральный прокурор должен направить письменное уведомление. У компании есть 30 дней, чтобы исправить и направить заявление о том, что исправила и не повторит. В отличие от других штатов, у этого срока на исправление нет даты окончания.
Если компания не исправляет или снова нарушает, гражданский штраф достигает 7 500 долларов США за нарушение, помимо расходов и гонораров. Поскольку каждого затронутого посетителя можно считать отдельно, сумма может стать большой даже за простую ошибку.
AdSense и Ad Manager
AdSense и Ad Manager читают строку GPP, формат IAB Tech Lab для сигналов конфиденциальности. Для Вирджинии Google принимает собственный раздел штата и раздел US National. Когда посетитель отказывается от продажи или таргетированной рекламы, Google включает ограниченную обработку данных, RDP, и начинает показывать только неперсонализированную рекламу.
В разделе Вирджинии Google также читает поле согласия для конфиденциальных данных известного ребёнка и при необходимости применяет детский режим.
Сообщение о конфиденциальности для штатов США в AdSense и Ad Manager включает Вирджинию. Оно показывает ссылку для отказа и записывает выбор в GPP. Другой вариант: включить RDP прямо в рекламном теге для тех, кто отказался по собственной ссылке сайта.
Помните, что header bidding, видео, пиксели и виджеты других компаний тоже получают данные. Отказ должен дойти до всех, а не только до Google.
На практике
Повседневные примеры сайта с рекламой и посетителями из Вирджинии.
Частые ошибки
Закон проще калифорнийского, но возникают те же проблемы.
Сайт показывает сообщение opt-out только для Калифорнии и забывает Вирджинию и другие штаты с похожими законами.
Политика говорит о cookie, но не говорит, что данные служат для таргетированной рекламы, и не говорит, как отказаться.
Посетитель нажимает «отказаться», но строка GPP не создаётся, и рекламный запрос идёт без RDP.
Компания выше порога, занимается таргетированной рекламой и не имеет никакой письменной оценки защиты данных.
В ConsentMode
Для персонализированной рекламы взрослым нет. Закон требует opt-out, а не предварительного разрешения. Согласие требуется только для конфиденциальных данных, таких как здоровье и точная геолокация.
Вирджиния считает продажей только обмен на деньги. Даже если продажи нет, персонализированная реклама на основе просмотра других сайтов это таргетированная реклама, и посетитель может отказаться.
Текст VCDPA этого не требует. Но Калифорния, Колорадо, Коннектикут и Орегон требуют, поэтому обычно проще уважать GPC по всей стране.
У вас есть 30 дней, чтобы исправить и направить письменное заявление. Если исправите, иска не будет. Если не исправите или повторите нарушение, штраф может достигать 7 500 долларов США за нарушение.
Нет. ConsentMode проверяет сайт снаружи и показывает, какие партнёры получают данные и какие сигналы отправляются, что помогает написать оценку. Документ остаётся ответственностью компании.
Библиотека
Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:
Аудит открывает сайт как посетитель из Вирджинии и показывает, что исправить, ничего не меняя.