Resumen: cumplimiento web de la VCDPA
- La VCDPA no exige consentimiento explícito para todos los tipos de datos. Lo exige para datos sensibles, y la mayoría de los sitios recopilan datos sensibles sin querer a través de scripts de analítica y marketing que nunca auditaron.
- Las sanciones de la VCDPA llegan a $7,500 por infracción y solo el Fiscal General de Virginia puede aplicarlas, pero se empuja a los consumidores hacia la exclusión de ventas, anuncios dirigidos y elaboración de perfiles. cside Privacy Watch verifica si los píxeles realmente dejan de transmitir tras esas exclusiones.
- Si eres controlador con un volumen inferior a 100,000 consumidores y sin venta de datos, la VCDPA sigue exigiendo consentimiento explícito para datos sensibles. Si tus scripts infieren geolocalización o señales de salud sin querer, esa inferencia es un evento de cumplimiento.
TL;DR
- ¿Qué es la VCDPA? La Ley de Protección de Datos del Consumidor de Virginia es una ley de privacidad que otorga a los residentes de Virginia ciertos derechos sobre su información personal. Se convirtió en la segunda ley de privacidad a nivel estatal en EE. UU. después de California y entró en vigor el 1 de enero de 2023.
- ¿A quién se aplica la VCDPA? La VCDPA se aplica a organizaciones que hacen negocios en Virginia o que se dirigen a residentes de Virginia y que (a) controlan o procesan datos personales de al menos 100,000 consumidores al año, o (b) controlan o procesan datos de al menos 25,000 consumidores mientras obtienen más del 50% de sus ingresos brutos de la venta de datos personales.
- ¿Cuáles son las causas más comunes de incumplimiento de la VCDPA? La mayoría de los incumplimientos se originan por procesar datos sensibles sin consentimiento explícito, no responder a las solicitudes de derechos de los consumidores dentro de los plazos establecidos o por divulgaciones de privacidad deficientes. La falta de visibilidad sobre el comportamiento de los scripts de terceros en los sitios web también puede generar infracciones.
- ¿Cómo hago que mi sitio web cumpla con la VCDPA? Mantén una política de privacidad precisa, obtén consentimiento antes de procesar datos personales, atiende las solicitudes de datos y monitorea los procesadores de terceros en tu sitio web con una herramienta como cside.
Las empresas necesitan datos para crecer. Lamentablemente, esto hace que se procesen datos sensibles de los consumidores sin su consentimiento. Esto ocurre con mayor frecuencia por errores de configuración técnica que por intenciones poco éticas de las empresas.
Los gobiernos de todo el mundo están tomando nota e introduciendo leyes para que la recopilación de datos sea clara y transparente. Al igual que varios estados de EE. UU., Virginia también ha creado una ley de privacidad pensada para ser favorable a las empresas y, a la vez, proteger a los consumidores.
Con el objetivo sencillo de poner a las personas al mando de sus datos, la Ley de Protección de Datos del Consumidor de Virginia es importante para cualquier organización que haga negocios en este estado. Este artículo explica qué es la Ley de Protección de Datos del Consumidor de Virginia, sus requisitos y por qué no puedes ignorar la seguridad del lado del cliente para cumplir de verdad con la normativa.
¿Qué es la Ley de Protección de Datos del Consumidor de Virginia?
La Ley de Protección de Datos del Consumidor de Virginia (VCDPA) es una ley de privacidad estatal de EE. UU. que otorga a los residentes de Virginia una serie de derechos sobre su información personal. El gobernador Ralph Northam la promulgó el 2 de marzo de 2021 y entró en vigor el 1 de enero de 2023.
Se basa en la premisa de que si no tienes una razón específica y declarada para conservar unos datos, no deberías tenerlos en absoluto.
Los residentes de Virginia ahora poseen derechos específicos y exigibles sobre su huella digital:
- El derecho de control: los consumidores pueden acceder, corregir o eliminar sus datos personales cuando lo deseen
- El derecho de salida: las empresas deben ofrecer un mecanismo sencillo para que los usuarios puedan optar por no participar. Esa exclusión incluye la publicidad dirigida, la venta de datos y la elaboración automática de perfiles
Bajo la VCDPA, las organizaciones deben obtener consentimiento explícito y afirmativo antes de recopilar datos de salud, religión, biometría o geolocalización precisa.
Los ciudadanos individuales no tienen derecho de acción bajo la VCDPA. El Fiscal General de Virginia tiene la autoridad para aplicar sanciones. Las multas pueden llegar hasta $7,500 por infracción.
¿Se Aplica la VCDPA a Mi Empresa? (Autoevaluación)
La VCDPA se aplica a tu organización si cumples los siguientes criterios:
- Haces negocios en Virginia o produces productos o servicios dirigidos a residentes de Virginia.
- Cumples uno de dos umbrales de procesamiento de datos: (a) controlas o procesas datos personales de al menos 100,000 consumidores durante un año calendario, o (b) controlas o procesas datos personales de al menos 25,000 consumidores y obtienes más del 50% de tus ingresos brutos de la venta de datos personales.
A diferencia de la CCPA de California, la VCDPA no incluye un umbral basado únicamente en los ingresos. Los ingresos brutos anuales de una empresa por sí solos no determinan la aplicabilidad. Los umbrales se centran por completo en el volumen de procesamiento de datos y en los ingresos derivados específicamente de la venta de datos.
- consumidor hace referencia a una persona que es residente de Virginia y actúa en un contexto individual o doméstico.
- datos personales hace referencia a cualquier información vinculada o razonablemente vinculable a una persona física identificada o identificable. Esto excluye los datos anonimizados y la información de acceso público
Exenciones de la VCDPA
Algunas entidades están completamente exentas de los requisitos de la VCDPA.
- Agencias estatales, subdivisiones políticas y organismos del gobierno de Virginia
- Instituciones financieras sujetas a la Ley Gramm-Leach-Bliley
- Entidades cubiertas y socios comerciales regulados por HIPAA
- Organizaciones sin fines de lucro (incluidas las organizaciones políticas según enmiendas recientes)
- Instituciones de educación superior
¿Cuáles Son los Principales Requisitos de la VCDPA?
Proporcionar avisos de privacidad claros
Los controladores (organizaciones) deben mostrar un aviso de privacidad razonablemente accesible. El aviso debe divulgar las categorías de datos personales procesados, los fines del procesamiento, cómo pueden los consumidores ejercer sus derechos, las categorías de datos compartidos con terceros y las categorías de esos terceros.
Si un controlador vende datos personales o los procesa para publicidad dirigida, esto debe divulgarse claramente junto con instrucciones sobre cómo los consumidores pueden optar por no participar.
Obtener consentimiento antes de procesar datos sensibles
La VCDPA prohíbe procesar datos sensibles sin obtener el consentimiento explícito del consumidor. El "consentimiento implícito" no cumple con el estándar exigido.
Para los datos recopilados de menores conocidos de menos de 13 años, los controladores deben cumplir con los requisitos federales de la Ley de Protección de la Privacidad Infantil en Línea (COPPA). Las enmiendas a la VCDPA vigentes desde el 1 de enero de 2025 añadieron restricciones adicionales sobre el procesamiento de datos de menores para publicidad dirigida, elaboración de perfiles y otros fines sin el consentimiento parental.
Responder a las solicitudes de derechos de los consumidores en un plazo de 45 días
Tras recibir una solicitud de un consumidor para ejercer sus derechos, los controladores deben responder en un plazo de 45 días. Se permite una prórroga de 45 días cuando sea razonablemente necesario debido a la complejidad técnica o a un elevado número de solicitudes, pero el consumidor debe ser notificado dentro del plazo original.
Las respuestas deben ser gratuitas hasta dos veces al año por consumidor. Si un controlador rechaza una solicitud, debe explicar el motivo y proporcionar instrucciones para apelar. Las apelaciones deben resolverse en un plazo de 60 días. Si se deniega una apelación, el controlador debe proporcionar al consumidor un medio para contactar al Fiscal General.
Habilitar la exclusión de ventas, publicidad dirigida y elaboración de perfiles
Los consumidores tienen derecho a optar por no participar en el procesamiento para publicidad dirigida, la venta de datos personales y la elaboración de perfiles que produzca efectos legales o de importancia similar.
Los controladores deben proporcionar un mecanismo funcional para atender estas solicitudes. La organización sigue incumpliendo la normativa si los scripts de seguimiento o los píxeles continúan transmitiendo datos después de que un consumidor haya optado por no participar.
Establecer contratos con los procesadores de datos
Los controladores deben tener contratos escritos con cualquier procesador que maneje datos en su nombre. Esto incluye procesadores de datos del sitio web, como chatbots, herramientas de análisis o de marketing. Los acuerdos deben especificar la naturaleza y el propósito del procesamiento, el tipo de datos involucrados, la duración del procesamiento y los derechos y obligaciones de ambas partes.
La mayoría de los proveedores principales (como Meta, Google Ads, Cloudflare) tienen DPAs estandarizados que puedes encontrar en sus sitios web.
Riesgos Ocultos de Violación de Privacidad en Sitios Web para la VCDPA
La superficie de riesgo más pasada por alto para el cumplimiento de la VCDPA es tu sitio web. Los sitios modernos cargan una combinación de código escrito internamente junto con código de proveedores externos (scripts de terceros). Esos scripts de terceros a su vez cargan más scripts (subprocesadores). Cada uno de estos scripts añade riesgo de seguridad y privacidad a tu sitio web. A través de errores de configuración o inyecciones de código malicioso, comprometen los datos personales.
Los scripts de terceros son un riesgo de cumplimiento para la VCDPA
Los píxeles de marketing, las herramientas de análisis y los widgets de redes sociales son estándar en la mayoría de los sitios web comerciales. Cada script puede recopilar direcciones IP, identificadores de dispositivo, comportamiento de navegación y datos de formularios.
Bajo la VCDPA, la organización que despliega estos scripts es el controlador.
Incumples la normativa si estos scripts recopilan más datos de los divulgados en tu aviso de privacidad. Si continúan recopilando datos después de que un consumidor haya optado por no participar, también estás en incumplimiento. La mayoría de las organizaciones no tienen forma de saber si sus scripts se comportan como se espera.
Las inyecciones de JavaScript son un riesgo de brecha de datos para la VCDPA
Más allá del cumplimiento, el código del lado del cliente presenta riesgos de seguridad. Por ejemplo:
- Los scripts maliciosos o comprometidos pueden extraer datos personales directamente desde el navegador
- Una actualización envenenada de una librería o una etiqueta inyectada puede exponer información de los consumidores sin que los controles de seguridad del lado del servidor la detecten.
La VCDPA exige que los controladores mantengan prácticas de seguridad razonables. Una organización que despliega código de terceros sin monitorear y sufre una brecha en el lado del cliente tendrá dificultades para demostrar que tomó las precauciones adecuadas.
Los banners de cookies por sí solos no garantizan el cumplimiento de la VCDPA
Las plataformas de gestión de consentimiento son importantes para el cumplimiento de privacidad en sitios web, pero son solo una pieza del rompecabezas. Un banner de cookies puede recopilar preferencias de consentimiento, pero tiene una capacidad de aplicación limitada.
Las CMP pueden fallar si no están correctamente integradas con Google Tag Manager u otras herramientas de análisis. Las CMP tampoco están diseñadas para proteger contra ataques del lado del cliente, en los que scripts de terceros "de confianza" son secuestrados y eluden por completo la configuración de consentimiento.
Incumplimientos Comunes de la VCDPA
Procesar datos sensibles sin consentimiento
La infracción más directa ocurre cuando las organizaciones procesan datos sensibles sin consentimiento explícito de aceptación. Esto incluye datos de geolocalización, información relacionada con la salud, identificadores biométricos y datos de menores conocidos. Muchos sitios web recopilan esta información a través de scripts sin percatarse de las implicaciones en materia de consentimiento.
Por ejemplo, un sitio web de salud que use un píxel de Meta puede transmitir sin querer información sobre qué páginas de patologías visita un usuario. Esos datos de comportamiento califican como información de salud sensible que requiere consentimiento explícito antes de poder "compartirse".
Avisos de privacidad que no reflejan las prácticas reales
Los controladores deben asegurarse de que sus divulgaciones de privacidad describan con precisión qué datos se recopilan, por qué y con quién se comparten. Estas prácticas pueden desviarse de lo que indica el aviso de privacidad cuando los scripts de terceros cambian o cuando los equipos de marketing añaden nuevas etiquetas.
La infracción es indiscutiblemente tuya si un script en tu sitio comparte datos con una parte no divulgada.
Mecanismos de exclusión que no funcionan
Los avisos de privacidad pueden prometer a los consumidores el derecho a optar por no participar en el intercambio de datos, pero fallar cuando llega una solicitud real de un consumidor.
La medida de aplicación del Fiscal General de California contra Sephora ilustró este riesgo. La empresa afirmaba que los usuarios podían optar por no participar en la venta de datos, pero continuó enviando datos a socios publicitarios. Los reguladores lo trataron como una denegación de los derechos del consumidor. La misma lógica de aplicación rige bajo la VCDPA.
Evaluaciones de protección de datos ausentes o insuficientes
Las organizaciones que procesan datos personales para publicidad dirigida, venden datos o manejan información sensible deben documentar evaluaciones de protección de datos. Muchas organizaciones se saltan este requisito o elaboran evaluaciones que no analizan los riesgos de forma significativa.
El Fiscal General puede solicitar estos documentos durante una investigación. Una organización que no pueda presentar evaluaciones adecuadas se enfrentará a una batalla cuesta arriba para demostrar su cumplimiento.
Incumplimiento de los plazos de respuesta
Las solicitudes de derechos de los consumidores deben responderse en un plazo de 45 días, y las apelaciones deben resolverse en un plazo de 60 días. Las organizaciones sin sistemas eficientes de recepción y respuesta pueden incumplir estos plazos. Un patrón de solicitudes tardías o ignoradas es señal de un incumplimiento sistémico.
Recursos Oficiales de la VCDPA y Enlaces Gubernamentales
- Fiscal General de Virginia, Resumen de la VCDPA: el resumen oficial de la Oficina del Fiscal General que explica los derechos de los consumidores, las obligaciones de las empresas y los procedimientos de aplicación
- Código de Virginia, Capítulo 53: el texto completo de la ley, incluidas todas las definiciones, los derechos de los consumidores, los deberes de los controladores y las normas de aplicación
- Línea directa de protección al consumidor de Virginia: 1-800-552-9963 (dentro de Virginia) o (804) 786-2042 (área de Richmond y fuera de Virginia). Horario de atención: de 8:30 a. m. a 5:00 p. m., de lunes a viernes
Cronología de la VCDPA
- 2 de marzo de 2021: el gobernador Ralph Northam promulgó la Ley de Protección de Datos del Consumidor de Virginia
- 1 de enero de 2023: la VCDPA entró en vigor. Comenzó la aplicación por parte del Fiscal General de Virginia. Los requisitos de evaluación de protección de datos empezaron a aplicarse a las nuevas actividades de procesamiento
- 1 de enero de 2025: entraron en vigor las enmiendas relativas a los datos de menores, que exigen el consentimiento parental antes de procesar datos personales de menores conocidos para publicidad dirigida, elaboración de perfiles y otros fines específicos
1 de enero de 2026: entran en vigor enmiendas adicionales relacionadas con los límites de tiempo en redes sociales para menores de 16 años
Cómo Ayuda cside a las Organizaciones a Lograr el Cumplimiento de la VCDPA
cside Privacy Watch detecta violaciones de privacidad ocultas en sitios web monitoreando señales de la capa del navegador, que las herramientas de cumplimiento tradicionales ignoran. cside proporciona una visión clara de qué scripts operan en tu sitio web, a qué datos acceden y hacia dónde van esos datos. Esto te permite verificar que las prácticas reales de recopilación de datos coincidan con tus divulgaciones de privacidad.
- El código de terceros en tu sitio web cambia con frecuencia. cside detecta los cambios en las herramientas de terceros a medida que ocurren y te permite identificar recopilaciones de datos innecesarias antes de que generen un riesgo de cumplimiento.
- cside monitorea comportamientos sospechosos de scripts que indican que un ataque del lado del cliente está apuntando a los datos de los visitantes de tu sitio web
- Los requisitos del lado del cliente en materia de transparencia, limitación de finalidad y salvaguardas de seguridad se automatizan con paneles de control y evidencia automatizada.
Puedes empezar con el plan gratuito de cside o reservar una demo para saber más sobre cómo cumplir con los requisitos del lado del cliente de leyes de privacidad estatales como la VCDPA.
