10 万名消费者
在一个日历年内控制或处理至少 10 万名弗吉尼亚州消费者的个人数据。使用广告 Cookie 的网站的访客也计算在内。
指南 · 美国州法律
弗吉尼亚州是美国第二个通过全面隐私法的州,并成为许多其他州的范本。在这里您可以了解它何时适用于您的网站、法律所说的定向广告是什么,以及访客可以拒绝什么。
是什么
Virginia Consumer Data Protection Act,即 VCDPA,位于《弗吉尼亚州法典》第 59.1-575 至 59.1-584 条。它于 2021 年通过,2023 年 1 月 1 日生效,与加利福尼亚州 CPRA 的变更生效是同一天。
与加利福尼亚州的法律不同,VCDPA 一开始就采用了更精简的结构,类似于欧洲的 GDPR:控制者、处理者、数据保护评估,以及敏感数据的同意。科罗拉多州、康涅狄格州、犹他州、德克萨斯州和俄勒冈州等州照搬了其中大部分设计。
对有广告的网站来说,实际影响是:如果该法律适用于您,弗吉尼亚州的访客可以拒绝定向广告,而您的隐私政策必须说明他是如何拒绝的。
该法律对广告采用选择退出模式。也就是说,向成年人展示个性化广告之前,不要求先征求许可。只有敏感数据才需要事先许可。
清单
适用于超过弗吉尼亚州法律某一门槛的企业。
如果网站做定向广告或出售数据,必须清楚、显眼地说明这一点,并说明退出的方法。该法没有规定链接的文字。
页脚:Your Privacy Choices,通向拒绝定向广告的页面
通知列出数据的类别、目的、如何行使权利和申诉、提供给第三方的数据以及第三方的类型。
数据类别:cookie 标识符和浏览数据。目的:展示和衡量广告。第三方:广告网络。
行使权利的渠道必须安全可靠,且不得要求访客创建账户。
敏感数据只有取得同意才能处理。对于已知的儿童,适用 COPPA 法规定形式的父母同意,并且该法禁止出售精确位置。
答复须在 45 天内作出,可延长一次,再延长 45 天,每年最多两次免费。申诉须在 60 天内答复,并说明向总检察长投诉的途径。
定向广告、出售数据、风险画像和敏感数据,对于 2023 年 1 月 1 日之后创建的活动,需要一份有记录的评估。
网站不得因访客行使了法律规定的权利,就拒绝提供服务或收取不同的价格。
在 GPP 字符串的弗吉尼亚部分或 US National 部分,如果选择了拒绝出售或拒绝定向广告,就会开启 RDP。Google 的美国各州消息也涵盖弗吉尼亚。
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});实际案例
官方工具
Google 对弗吉尼亚没有要求使用认证 CMP。请使用 Google 的美国各州消息、能生成 GPP 的 CMP,或标签中的 RDP。以下是官方链接。
适用对象
VCDPA 适用于在弗吉尼亚州开展业务、或向该州居民提供产品和服务,并且在一年内达到以下任一门槛的人。没有营业额门槛:流量很大的小公司也可能被纳入。
在一个日历年内控制或处理至少 10 万名弗吉尼亚州消费者的个人数据。使用广告 Cookie 的网站的访客也计算在内。
处理至少 2.5 万名消费者的数据,且超过 50% 的总收入来自出售个人数据。
政府机构、非营利实体、大学、受联邦法律 GLBA 约束的金融机构,以及受 HIPAA 约束的医疗机构。
该法律保护在个人或家庭情境中行事的居民。员工和商业联系人的数据不包括在内。
定义
VCDPA 对每个概念的定义都比加利福尼亚州更窄,这会明显改变结果。
任何与已识别或可识别的个人相关联、或可合理关联的信息。匿名化数据和公开数据不在其内。
种族或民族出身、宗教、健康诊断、性取向、移民身份、基因和生物识别数据、已知儿童的数据,以及半径 1,750 英尺(约 530 米)内的精确位置。
以个人数据与第三方换取金钱。弗吉尼亚州只计算金钱支付,不像有些州还包括其他形式的价值。
根据个人一段时间内在其他公司的网站和应用中的活动数据来选择的广告。上下文广告,或仅基于自己网站的广告,不在此列。
权利
企业须在 45 天内答复,可再延长一次 45 天。每年最多两次请求免费,请求被拒绝的人可以申诉。
确认企业是否在处理其数据、查看这些数据,并获取一份可转移到其他服务的格式的副本。
更正错误的数据,并要求删除其提供的或有关他的数据。
拒绝定向广告、数据出售,以及用于产生法律效果或同等重要影响的决定的画像。
对拒绝提出申诉。企业有 60 天的时间答复申诉,如果再次拒绝,必须告知如何向总检察长投诉。
网站的义务
企业需要一份清晰、可访问的隐私通知。其中必须列出所处理数据的类别、目的、如何行使权利和申诉、提供给第三方的数据类别,以及这些第三方的类别。
如果网站进行定向广告或出售数据,必须清楚、显眼地写明,并附上拒绝的途径。法律没有规定链接的确切文字,但这条途径必须安全、可靠,且不能要求创建新账号。
敏感数据只有在取得同意时才能处理。对于已知儿童,即 13 岁以下者,适用联邦法律 COPPA 格式的家长同意。法律还禁止出售精确位置,并且在没有家长同意的情况下,不得将已知儿童的数据用于定向广告或出售。
VCDPA 不要求网站尊重浏览器的自动信号,例如 Global Privacy Control。许多网站仍然会尊重 GPC,因为其他州有此要求,也因为统一的全国性规则更容易维护。
时间线
VCDPA 自生效以来变化不大。修改主要涉及儿童和青少年。
弗吉尼亚州成为第二个拥有全面消费者隐私法的州。
权利、定向广告的选择退出和数据保护评估开始生效。
修订扩大了对已知儿童数据的保护,例如对定向广告和精确位置的限制。
一项修订为拥有 16 岁以下用户的社交媒体平台制定了规则,例如每日使用时长限制。它不针对博客和门户网站。
评估、执法和罚款
受该法律涵盖的企业需要对定向广告、数据出售、高风险画像、敏感数据和其他高风险处理进行数据保护评估并留存。评估比较对消费者的益处和风险,适用于 2023 年 1 月 1 日之后创建的活动。总检察长可以在调查中要求提供,评估不会被公开披露。
只有弗吉尼亚州总检察长负责执行该法律。公民不能依据 VCDPA 起诉企业。
在提起诉讼之前,总检察长必须发出书面通知。企业有 30 天的时间整改,并提交一份声明,说明已整改且不会再犯。与其他州不同,这一整改期没有截止日期。
如果企业不整改,或再次违规,民事罚款最高为每次违规 7,500 美元,另加费用和律师费。由于每位受影响的访客可以分别计算,即使是一个简单的疏漏,金额也可能很高。
AdSense 和 Ad Manager
AdSense 和 Ad Manager 会读取 GPP 字符串,这是 IAB Tech Lab 用于隐私信号的格式。对于弗吉尼亚州,Google 接受该州专属的部分和 US National 部分。当访客拒绝出售或定向广告时,Google 会启用受限数据处理,即 RDP,并只展示非个性化广告。
在弗吉尼亚州部分中,Google 还会读取有关已知儿童敏感数据的同意字段,并在必要时采用儿童处理。
AdSense 和 Ad Manager 中的美国各州隐私消息包含弗吉尼亚州。它会显示拒绝链接,并将选择记录在 GPP 中。另一种方式是,对在网站自己的链接上拒绝的人,直接在广告标签中启用 RDP。
请记住,Header bidding、视频、像素和其他公司的小组件也会收到数据。拒绝必须传达给它们所有,而不仅仅是 Google。
实际案例
有广告、有弗吉尼亚州访客的网站的日常示例。
常见错误
这部法律比加利福尼亚州的更简单,但会出现同样的问题。
网站只对加利福尼亚州显示选择退出消息,却忘了弗吉尼亚州以及其他法律类似的州。
政策谈到 Cookie,但没有说明数据用于定向广告,也没有说明如何拒绝。
访客点击了拒绝,但没有生成任何 GPP 字符串,广告请求仍然在没有 RDP 的情况下继续。
企业超过门槛,进行定向广告,却没有任何书面的数据保护评估。
对成年人的个性化广告,不需要。该法律要求选择退出,而不是事先许可。只有健康和精确位置等敏感数据才需要同意。
弗吉尼亚州只把换取金钱的交换视为出售。即使没有出售,基于在其他网站浏览行为的个性化广告也属于定向广告,访客可以拒绝。
VCDPA 的文本没有要求。但加利福尼亚州、科罗拉多州、康涅狄格州和俄勒冈州有要求,所以在全国范围内尊重 GPC 通常更简单。
您有 30 天的时间整改并提交书面声明。如果整改,就不会有诉讼。如果不整改或再次犯同样的错误,罚款最高可达每次违规 7,500 美元。
不会。ConsentMode 从外部审核网站,并显示哪些合作伙伴收到数据以及发送了哪些信号,这有助于撰写评估。该文件由企业自己负责。
资料库
本指南根据以下官方页面编写。请直接阅读原文:
审核会以弗吉尼亚州访客的身份打开网站,并显示需要修复什么,不会更改任何内容。