Resumo: conformidade do site com a VCDPA
- O que é a VCDPA? A Lei de Proteção de Dados do Consumidor da Virgínia é uma lei de privacidade que concede aos residentes da Virgínia determinados direitos sobre as suas informações pessoais. Tornou-se a segunda lei de privacidade estadual nos EUA, depois da Califórnia, e entrou em vigor a 1 de janeiro de 2023.
- A quem se aplica a VCDPA? A VCDPA aplica-se a organizações que fazem negócios na Virgínia ou que visam residentes da Virgínia e que (a) controlam ou processam dados pessoais de pelo menos 100,000 consumidores por ano ou (b) controlam ou processam dados de pelo menos 25,000 consumidores, obtendo mais de 50% da receita bruta com a venda de dados pessoais.
- Quais são as causas mais comuns de falhas de conformidade com a VCDPA? A maioria das falhas resulta do processamento de dados sensíveis sem consentimento explícito, da falta de resposta a pedidos de direitos dos consumidores dentro dos prazos estabelecidos ou de divulgações de privacidade insuficientes. A falta de visibilidade sobre o comportamento de scripts de terceiros nos sites também pode originar violações.
- Como torno o meu site compatível com a VCDPA? Mantenha uma política de privacidade precisa, obtenha consentimento antes de processar dados pessoais, respeite os pedidos de dados e monitorize os processadores terceiros no seu site com uma ferramenta como o cside.
Sem tempo? Veja o cside Privacy Watch. Cobre tudo o que se segue numa única implementação.
As empresas precisam de dados para crescer. Infelizmente, isto resulta no processamento de dados sensíveis dos consumidores sem o seu consentimento. Isto acontece com mais frequência devido a erros técnicos de configuração do que a intenções antiéticas por parte das empresas.
Governos em todo o mundo estão a reparar nisto e a introduzir leis para tornar a recolha de dados clara e transparente. Tal como vários estados dos EUA, a Virgínia também criou uma lei de privacidade concebida para ser favorável às empresas, protegendo simultaneamente os consumidores.
Com o objetivo simples de colocar as pessoas no controlo dos seus dados, a Lei de Proteção de Dados do Consumidor da Virgínia é importante para qualquer organização que faça negócios neste estado. Este artigo explica o que é a Lei de Proteção de Dados do Consumidor da Virgínia, quais são os seus requisitos e por que razão não pode ignorar a segurança do lado do cliente para estar verdadeiramente em conformidade.
O que é a Lei de Proteção de Dados do Consumidor da Virgínia?
A Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA) é uma lei de privacidade estadual dos EUA que concede aos residentes da Virgínia uma série de direitos sobre as suas informações pessoais. O governador Ralph Northam assinou-a a 2 de março de 2021 e entrou em vigor a 1 de janeiro de 2023.
Assenta na premissa de que se não tem um motivo específico e divulgado para reter dados, simplesmente não deveria tê-los.
Os residentes da Virgínia possuem agora direitos específicos e aplicáveis sobre a sua pegada digital:
- O Direito de Controlo: Os consumidores podem aceder, corrigir ou eliminar os seus dados pessoais à vontade
- O Direito de Saída: As empresas devem disponibilizar um mecanismo simples para que os utilizadores possam optar por não participar. Essa opção inclui a publicidade direcionada, a venda de dados e a criação automática de perfis
Ao abrigo da VCDPA, as organizações devem obter consentimento explícito e afirmativo antes de recolher dados de saúde, religião, dados biométricos ou de geolocalização precisa.
Os cidadãos individuais não têm direito de ação ao abrigo da VCDPA. O Procurador-Geral da Virgínia detém a autoridade para aplicar sanções. As sanções podem chegar a $7,500 por infração.
A VCDPA Aplica-se à Minha Empresa? (Autoavaliação)
A VCDPA aplica-se à sua organização se cumprir os seguintes critérios:
- Realiza negócios na Virgínia ou produz produtos ou serviços dirigidos a residentes da Virgínia.
- Cumpre um de dois limiares de processamento de dados: (a) controla ou processa dados pessoais de pelo menos 100,000 consumidores durante um ano civil, ou (b) controla ou processa dados pessoais de pelo menos 25,000 consumidores e obtém mais de 50% da receita bruta com a venda de dados pessoais.
Ao contrário da CCPA da Califórnia, a VCDPA não inclui um limiar baseado apenas na receita. A receita bruta anual de uma empresa, por si só, não determina a aplicabilidade. Os limiares centram-se inteiramente no volume de processamento de dados e na receita derivada especificamente da venda de dados.
- consumidor refere-se a uma pessoa que é residente da Virgínia e que atua num contexto individual ou doméstico.
- dados pessoais refere-se a qualquer informação associada, ou razoavelmente associável, a uma pessoa singular identificada ou identificável. Isto exclui dados anonimizados e informações disponíveis publicamente
Isenções da VCDPA
Algumas entidades estão totalmente isentas dos requisitos da VCDPA.
- Agências estatais, subdivisões políticas e organismos do governo da Virgínia
- Instituições financeiras sujeitas à Lei Gramm-Leach-Bliley
- Entidades abrangidas e associados de negócio regidos pela HIPAA
- Organizações sem fins lucrativos (incluindo organizações políticas, de acordo com alterações recentes)
- Instituições de ensino superior
Quais São os Principais Requisitos da VCDPA?
Fornecer avisos de privacidade claros
Os controladores (organizações) devem disponibilizar um aviso de privacidade razoavelmente acessível. O aviso deve divulgar as categorias de dados pessoais processados, as finalidades do processamento, a forma como os consumidores podem exercer os seus direitos, as categorias de dados partilhados com terceiros e as categorias desses terceiros.
Se um controlador vender dados pessoais ou os processar para publicidade direcionada, isso deve ser claramente divulgado, juntamente com instruções sobre como os consumidores podem optar por não participar.
Obter consentimento antes de processar dados sensíveis
A VCDPA proíbe o processamento de dados sensíveis sem a obtenção do consentimento explícito do consumidor. O "consentimento implícito" não cumpre o padrão exigido.
Para dados recolhidos de crianças conhecidas com menos de 13 anos, os controladores devem cumprir os requisitos federais da Lei de Proteção da Privacidade Online das Crianças (COPPA). As alterações à VCDPA, em vigor desde 1 de janeiro de 2025, acrescentaram mais restrições ao processamento de dados de crianças para publicidade direcionada, criação de perfis e outras finalidades sem o consentimento parental.
Responder aos pedidos de direitos dos consumidores no prazo de 45 dias
Depois de um consumidor submeter um pedido para exercer os seus direitos, os controladores devem responder no prazo de 45 dias. É permitida uma prorrogação de 45 dias quando razoavelmente necessária devido à complexidade técnica ou a um elevado número de pedidos, mas o consumidor deve ser notificado dentro do prazo original.
As respostas devem ser gratuitas até duas vezes por ano, por consumidor. Se um controlador recusar um pedido, deve explicar o motivo e fornecer instruções para recorrer. Os recursos devem ser decididos no prazo de 60 dias. Se um recurso for negado, o controlador deve fornecer um meio para o consumidor contactar o Procurador-Geral.
Permitir a exclusão de vendas, publicidade direcionada e criação de perfis
Os consumidores têm o direito de optar por não participar no processamento para publicidade direcionada, na venda de dados pessoais e na criação de perfis que produza efeitos legais ou de importância semelhante.
Os controladores devem fornecer um mecanismo funcional para atender a estes pedidos. A organização permanece em violação se os scripts de rastreio ou pixels continuarem a transmitir dados depois de um consumidor optar por não participar.
Estabelecer contratos com processadores de dados
Os controladores devem ter contratos escritos com quaisquer processadores que tratem dados em seu nome. Isto inclui processadores de dados do site, como chatbots, ferramentas de análise ou de marketing. Os acordos devem especificar a natureza e a finalidade do processamento, o tipo de dados envolvidos, a duração do processamento e os direitos e obrigações de ambas as partes.
A maioria dos grandes fornecedores (como a Meta, o Google Ads e a Cloudflare) tem DPAs padronizados que pode encontrar no respetivo site.
Riscos Ocultos de Violação da Privacidade em Sites para a VCDPA
A superfície de risco mais negligenciada para a conformidade com a VCDPA é o seu site. Os sites modernos carregam uma combinação de código escrito internamente com código de fornecedores terceiros (scripts de terceiros). Esses scripts de terceiros carregam ainda mais scripts (subprocessadores). Cada um destes scripts acrescenta risco de segurança e de privacidade ao seu site. Através de erros de configuração ou de injeções de código malicioso, comprometem dados pessoais.
Os scripts de terceiros são um risco de conformidade com a VCDPA
Pixels de marketing, ferramentas de análise e widgets de redes sociais são elementos padrão na maioria dos sites comerciais. Cada script pode recolher endereços IP, identificadores de dispositivos, comportamento de navegação e dados introduzidos em formulários.
Ao abrigo da VCDPA, a organização que implementa estes scripts é o controlador.
Viola a conformidade se estes scripts recolherem mais dados do que os divulgados no seu aviso de privacidade. Se continuarem a recolher dados depois de um consumidor optar por não participar, também está em incumprimento. A maioria das organizações não tem forma de saber se os seus scripts se comportam conforme esperado.
As injeções de JavaScript são um risco de violação de dados ao abrigo da VCDPA
Para além da conformidade, o código do lado do cliente apresenta riscos de segurança. Por exemplo,
- Scripts maliciosos ou comprometidos podem recolher furtivamente dados pessoais diretamente do navegador
- Uma atualização de biblioteca corrompida ou uma tag injetada pode expor informações dos consumidores sem ser detetada pelos controlos de segurança do lado do servidor.
A VCDPA exige que os controladores mantenham práticas de segurança razoáveis. Uma organização que implementa código de terceiros sem monitorização e sofre uma violação do lado do cliente terá dificuldade em demonstrar que tomou as precauções adequadas.
Os banners de cookies, por si só, não garantem a conformidade com a VCDPA
As plataformas de gestão de consentimento são importantes para a conformidade de privacidade dos sites, mas são apenas uma peça do puzzle. Um banner de cookies pode recolher preferências de consentimento, mas tem uma capacidade de aplicação limitada.
As CMP podem falhar se não estiverem devidamente integradas com o Google Tag Manager ou outras ferramentas de análise. As CMP também não foram concebidas para proteger contra ataques do lado do cliente, em que scripts de terceiros "de confiança" são sequestrados e contornam completamente as definições de consentimento.
Falhas Comuns de Conformidade com a VCDPA
Processamento de dados sensíveis sem consentimento
A violação mais direta ocorre quando as organizações processam dados sensíveis sem consentimento explícito de adesão. Isto inclui dados de geolocalização, informações relacionadas com a saúde, identificadores biométricos e dados de crianças conhecidas. Muitos sites recolhem estas informações através de scripts sem perceberem as implicações ao nível do consentimento.
Por exemplo, um site de saúde que utiliza um pixel da Meta pode transmitir inadvertidamente informações sobre quais páginas de condições médicas um utilizador visita. Esses dados comportamentais qualificam-se como informação de saúde sensível, que exige consentimento explícito antes de poder ser "partilhada".
Avisos de privacidade que não correspondem às práticas reais
Os controladores devem garantir que as suas divulgações de privacidade descrevem com precisão que dados são recolhidos, porquê e com quem são partilhados. Estas práticas podem afastar-se do que o aviso de privacidade declara quando os scripts de terceiros mudam ou quando são adicionadas novas tags pelas equipas de marketing.
A violação é inequivocamente sua se um script no seu site partilhar dados com uma parte não divulgada.
Mecanismos de exclusão que não funcionam
Os avisos de privacidade podem prometer aos consumidores o direito de optar por não participar na partilha de dados, mas falham quando chega um pedido real de um consumidor.
A ação de fiscalização do Procurador-Geral da Califórnia contra a Sephora ilustrou este risco. A empresa afirmava que os utilizadores podiam optar por não participar na venda de dados, mas continuava a enviar dados para parceiros de publicidade. Os reguladores trataram isto como uma negação dos direitos dos consumidores. A mesma lógica de fiscalização aplica-se ao abrigo da VCDPA.
Avaliações de proteção de dados ausentes ou inadequadas
As organizações que processam dados pessoais para publicidade direcionada, vendem dados ou tratam informações sensíveis devem documentar avaliações de proteção de dados. Muitas organizações ignoram este requisito ou produzem avaliações que não analisam os riscos de forma significativa.
O Procurador-Geral pode solicitar estes documentos durante uma investigação. Uma organização que não consiga apresentar avaliações adequadas enfrenta uma batalha difícil para demonstrar conformidade.
Incumprimento dos prazos de resposta
Os pedidos de direitos dos consumidores devem ter resposta no prazo de 45 dias e os recursos devem ser resolvidos no prazo de 60 dias. As organizações sem sistemas eficientes de receção e resposta podem não cumprir estes prazos. Um padrão de pedidos atrasados ou ignorados sinaliza um incumprimento sistémico.
Recursos Oficiais da VCDPA e Ligações Governamentais
- Procurador-Geral da Virgínia, Resumo da VCDPA: O resumo oficial do Gabinete do Procurador-Geral, que explica os direitos dos consumidores, as obrigações das empresas e os procedimentos de fiscalização
- Código da Virgínia, Capítulo 53: O texto integral da lei, incluindo todas as definições, direitos dos consumidores, deveres dos controladores e regras de fiscalização
- Linha de Apoio à Proteção do Consumidor da Virgínia: 1-800-552-9963 (dentro da Virgínia) ou (804) 786-2042 (área de Richmond e fora da Virgínia). Horário de funcionamento: das 8:30 às 17:00, de segunda a sexta-feira
Cronologia da VCDPA
- 2 de março de 2021: O governador Ralph Northam assinou a Lei de Proteção de Dados do Consumidor da Virgínia
- 1 de janeiro de 2023: A VCDPA entrou em vigor. Teve início a fiscalização pelo Procurador-Geral da Virgínia. Os requisitos de avaliação de proteção de dados passaram a ser aplicáveis a novas atividades de processamento
- 1 de janeiro de 2025: As alterações relativas aos dados de crianças entraram em vigor e passaram a exigir o consentimento parental antes do processamento de dados pessoais de crianças conhecidas para publicidade direcionada, criação de perfis e outras finalidades especificadas
1 de janeiro de 2026: Entram em vigor alterações adicionais relacionadas com limites de tempo em redes sociais para menores de 16 anos
Como o cside Ajuda as Organizações a Alcançar a Conformidade com a VCDPA
O cside Privacy Watch deteta violações ocultas da privacidade em sites ao monitorizar sinais ao nível do navegador, que as ferramentas de conformidade tradicionais ignoram. O cside fornece uma visão clara de quais os scripts que operam no seu site, a que dados acedem e para onde esses dados vão. Isto permite-lhe verificar se as práticas reais de recolha de dados correspondem às suas divulgações de privacidade
- O código de terceiros no seu site muda frequentemente. O cside revela as alterações nas ferramentas de terceiros à medida que acontecem e permite-lhe identificar recolhas de dados desnecessárias antes de estas criarem risco de conformidade.
- O cside monitoriza comportamentos suspeitos de scripts que indicam que um ataque do lado do cliente está a visar os dados dos visitantes do seu site
- Os requisitos do lado do cliente relativos a transparência, limitação da finalidade e salvaguardas de segurança são automatizados através de painéis e provas automatizadas.
Pode começar com o plano gratuito do cside ou marcar uma demonstração para saber mais sobre como cumprir os requisitos do lado do cliente das leis de privacidade estaduais, como a VCDPA.
