打开空间

指南 · 美国州法律

VCDPA:为有广告的人讲解弗吉尼亚州法律

弗吉尼亚州是美国第二个通过全面隐私法的州,并成为许多其他州的范本。在这里您可以了解它何时适用于您的网站、法律所说的定向广告是什么,以及访客可以拒绝什么。

  • ✓基于《弗吉尼亚州法典》的官方文本
  • ✓为使用 AdSense 和 Ad Manager 的网站设计的示例
  • ✓只读审核,不修改网站
10 万每年的弗吉尼亚州消费者数量:该法律适用的主要门槛
30 天总检察长发出通知后,在提起任何诉讼之前,整改缺陷的期限
7,500 美元每次违规的最高民事罚款
45 天答复消费者请求的期限,可按同样的期限延长一次

是什么

成为美国半数州范本的法律

Virginia Consumer Data Protection Act,即 VCDPA,位于《弗吉尼亚州法典》第 59.1-575 至 59.1-584 条。它于 2021 年通过,2023 年 1 月 1 日生效,与加利福尼亚州 CPRA 的变更生效是同一天。

与加利福尼亚州的法律不同,VCDPA 一开始就采用了更精简的结构,类似于欧洲的 GDPR:控制者、处理者、数据保护评估,以及敏感数据的同意。科罗拉多州、康涅狄格州、犹他州、德克萨斯州和俄勒冈州等州照搬了其中大部分设计。

对有广告的网站来说,实际影响是:如果该法律适用于您,弗吉尼亚州的访客可以拒绝定向广告,而您的隐私政策必须说明他是如何拒绝的。

该法律对广告采用选择退出模式。也就是说,向成年人展示个性化广告之前,不要求先征求许可。只有敏感数据才需要事先许可。

清单

你需要做到的事项

适用于超过弗吉尼亚州法律某一门槛的企业。

  1. 清楚地展示如何退出

    如果网站做定向广告或出售数据,必须清楚、显眼地说明这一点,并说明退出的方法。该法没有规定链接的文字。

    示例

    页脚:Your Privacy Choices,通向拒绝定向广告的页面

  2. 发布完整的隐私通知

    通知列出数据的类别、目的、如何行使权利和申诉、提供给第三方的数据以及第三方的类型。

    示例

    数据类别:cookie 标识符和浏览数据。目的:展示和衡量广告。第三方:广告网络。

  3. 不要求新建账户

    行使权利的渠道必须安全可靠,且不得要求访客创建账户。

  4. 对敏感数据要求同意

    敏感数据只有取得同意才能处理。对于已知的儿童,适用 COPPA 法规定形式的父母同意,并且该法禁止出售精确位置。

  5. 答复并接受申诉

    答复须在 45 天内作出,可延长一次,再延长 45 天,每年最多两次免费。申诉须在 60 天内答复,并说明向总检察长投诉的途径。

  6. 进行数据保护评估

    定向广告、出售数据、风险画像和敏感数据,对于 2023 年 1 月 1 日之后创建的活动,需要一份有记录的评估。

  7. 不要对行使权利的人区别对待

    网站不得因访客行使了法律规定的权利,就拒绝提供服务或收取不同的价格。

  8. 把退出请求传给 Google

    在 GPP 字符串的弗吉尼亚部分或 US National 部分,如果选择了拒绝出售或拒绝定向广告,就会开启 RDP。Google 的美国各州消息也涵盖弗吉尼亚。

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对弗吉尼亚没有要求使用认证 CMP。请使用 Google 的美国各州消息、能生成 GPP 的 CMP,或标签中的 RDP。以下是官方链接。

适用对象

看访客数量,而不是营业额

VCDPA 适用于在弗吉尼亚州开展业务、或向该州居民提供产品和服务,并且在一年内达到以下任一门槛的人。没有营业额门槛:流量很大的小公司也可能被纳入。

10 万名消费者

在一个日历年内控制或处理至少 10 万名弗吉尼亚州消费者的个人数据。使用广告 Cookie 的网站的访客也计算在内。

2.5 万名,且超过一半的收入

处理至少 2.5 万名消费者的数据,且超过 50% 的总收入来自出售个人数据。

哪些不适用

政府机构、非营利实体、大学、受联邦法律 GLBA 约束的金融机构,以及受 HIPAA 约束的医疗机构。

仅限自然人消费者

该法律保护在个人或家庭情境中行事的居民。员工和商业联系人的数据不包括在内。

定义

对卖广告的人重要的术语

VCDPA 对每个概念的定义都比加利福尼亚州更窄,这会明显改变结果。

个人数据

任何与已识别或可识别的个人相关联、或可合理关联的信息。匿名化数据和公开数据不在其内。

敏感数据

种族或民族出身、宗教、健康诊断、性取向、移民身份、基因和生物识别数据、已知儿童的数据,以及半径 1,750 英尺(约 530 米)内的精确位置。

出售

以个人数据与第三方换取金钱。弗吉尼亚州只计算金钱支付,不像有些州还包括其他形式的价值。

定向广告

根据个人一段时间内在其他公司的网站和应用中的活动数据来选择的广告。上下文广告,或仅基于自己网站的广告,不在此列。

权利

弗吉尼亚州访客可以提出什么要求

企业须在 45 天内答复,可再延长一次 45 天。每年最多两次请求免费,请求被拒绝的人可以申诉。

访问与可携带

确认企业是否在处理其数据、查看这些数据,并获取一份可转移到其他服务的格式的副本。

更正和删除

更正错误的数据,并要求删除其提供的或有关他的数据。

退出

拒绝定向广告、数据出售,以及用于产生法律效果或同等重要影响的决定的画像。

申诉

对拒绝提出申诉。企业有 60 天的时间答复申诉,如果再次拒绝,必须告知如何向总检察长投诉。

网站的义务

隐私通知、选择退出与敏感数据

企业需要一份清晰、可访问的隐私通知。其中必须列出所处理数据的类别、目的、如何行使权利和申诉、提供给第三方的数据类别,以及这些第三方的类别。

如果网站进行定向广告或出售数据,必须清楚、显眼地写明,并附上拒绝的途径。法律没有规定链接的确切文字,但这条途径必须安全、可靠,且不能要求创建新账号。

敏感数据只有在取得同意时才能处理。对于已知儿童,即 13 岁以下者,适用联邦法律 COPPA 格式的家长同意。法律还禁止出售精确位置,并且在没有家长同意的情况下,不得将已知儿童的数据用于定向广告或出售。

VCDPA 不要求网站尊重浏览器的自动信号,例如 Global Privacy Control。许多网站仍然会尊重 GPC,因为其他州有此要求,也因为统一的全国性规则更容易维护。

时间线

弗吉尼亚州法律的重要日期

VCDPA 自生效以来变化不大。修改主要涉及儿童和青少年。

  1. 2021

    法律通过

    弗吉尼亚州成为第二个拥有全面消费者隐私法的州。

  2. 2023 年 1 月 1 日

    生效

    权利、定向广告的选择退出和数据保护评估开始生效。

  3. 2024

    针对儿童的规则

    修订扩大了对已知儿童数据的保护,例如对定向广告和精确位置的限制。

  4. 2025

    社交媒体与 16 岁以下人群

    一项修订为拥有 16 岁以下用户的社交媒体平台制定了规则,例如每日使用时长限制。它不针对博客和门户网站。

评估、执法和罚款

书面评估、事先通知和最高 7,500 美元的罚款

受该法律涵盖的企业需要对定向广告、数据出售、高风险画像、敏感数据和其他高风险处理进行数据保护评估并留存。评估比较对消费者的益处和风险,适用于 2023 年 1 月 1 日之后创建的活动。总检察长可以在调查中要求提供,评估不会被公开披露。

只有弗吉尼亚州总检察长负责执行该法律。公民不能依据 VCDPA 起诉企业。

在提起诉讼之前,总检察长必须发出书面通知。企业有 30 天的时间整改,并提交一份声明,说明已整改且不会再犯。与其他州不同,这一整改期没有截止日期。

如果企业不整改,或再次违规,民事罚款最高为每次违规 7,500 美元,另加费用和律师费。由于每位受影响的访客可以分别计算,即使是一个简单的疏漏,金额也可能很高。

AdSense 和 Ad Manager

Google 如何处理弗吉尼亚州的访客

AdSense 和 Ad Manager 会读取 GPP 字符串,这是 IAB Tech Lab 用于隐私信号的格式。对于弗吉尼亚州,Google 接受该州专属的部分和 US National 部分。当访客拒绝出售或定向广告时,Google 会启用受限数据处理,即 RDP,并只展示非个性化广告。

在弗吉尼亚州部分中,Google 还会读取有关已知儿童敏感数据的同意字段,并在必要时采用儿童处理。

AdSense 和 Ad Manager 中的美国各州隐私消息包含弗吉尼亚州。它会显示拒绝链接,并将选择记录在 GPP 中。另一种方式是,对在网站自己的链接上拒绝的人,直接在广告标签中启用 RDP。

请记住,Header bidding、视频、像素和其他公司的小组件也会收到数据。拒绝必须传达给它们所有,而不仅仅是 Google。

实际案例

在弗吉尼亚州的允许与不允许

有广告、有弗吉尼亚州访客的网站的日常示例。

可以

  • 向成年人展示个性化广告而不事先征求许可,同时提供选择退出
  • 使用页脚中的拒绝链接,通向一个简单的选择页面
  • 将拒绝记录在 GPP 字符串的弗吉尼亚州部分或 US National 部分
  • 要求已有账号的人登录后才能提交访问请求
  • 在 90 天内答复复杂的请求,并在前 45 天内通知访客

不可以

  • 要求访客仅为拒绝定向广告就创建账号
  • 未经同意处理健康数据或精确位置
  • 出售访客的精确位置,即使已经告知
  • 在政策中隐瞒网站进行定向广告
  • 对同一访客每年的前两次请求收费

常见错误

有广告的网站通常在哪里出错

这部法律比加利福尼亚州的更简单,但会出现同样的问题。

以为只有加利福尼亚州重要

网站只对加利福尼亚州显示选择退出消息,却忘了弗吉尼亚州以及其他法律类似的州。

政策中没有“广告”一词

政策谈到 Cookie,但没有说明数据用于定向广告,也没有说明如何拒绝。

拒绝没有送达 Google

访客点击了拒绝,但没有生成任何 GPP 字符串,广告请求仍然在没有 RDP 的情况下继续。

从未做过的评估

企业超过门槛,进行定向广告,却没有任何书面的数据保护评估。

在 ConsentMode 中

审核会针对 VCDPA 检查什么

  • 以弗吉尼亚州访客的身份打开网站,查找拒绝定向广告的链接或按钮。
  • 通过页面代码识别 CMP,并检查它在加利福尼亚州之外是否也显示该消息。
  • 在广告请求中读取 GPP 字符串,并显示点击之后弗吉尼亚州部分或 US National 部分是否表示拒绝。
  • 开启 GPC 并记录网站是否改变信号。这在弗吉尼亚州不是强制的,但在其他州是必须的。
  • 阅读隐私政策,指出是否缺少目的、第三方类别、权利和申诉途径。

关于 VCDPA 的常见问题

弗吉尼亚州需要同意横幅吗?

对成年人的个性化广告,不需要。该法律要求选择退出,而不是事先许可。只有健康和精确位置等敏感数据才需要同意。

在弗吉尼亚州,AdSense 算作数据出售吗?

弗吉尼亚州只把换取金钱的交换视为出售。即使没有出售,基于在其他网站浏览行为的个性化广告也属于定向广告,访客可以拒绝。

在弗吉尼亚州我必须尊重 GPC 吗?

VCDPA 的文本没有要求。但加利福尼亚州、科罗拉多州、康涅狄格州和俄勒冈州有要求,所以在全国范围内尊重 GPC 通常更简单。

如果总检察长通知我,会怎样?

您有 30 天的时间整改并提交书面声明。如果整改,就不会有诉讼。如果不整改或再次犯同样的错误,罚款最高可达每次违规 7,500 美元。

ConsentMode 会做数据保护评估吗?

不会。ConsentMode 从外部审核网站,并显示哪些合作伙伴收到数据以及发送了哪些信号,这有助于撰写评估。该文件由企业自己负责。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文:

检查弗吉尼亚州的拒绝是否传达到广告

审核会以弗吉尼亚州访客的身份打开网站,并显示需要修复什么,不会更改任何内容。

开始审核