本文目录导读：
你提到的“弗吉尼亚CDPA”通常指的是 《弗吉尼亚消费者数据保护法》（Virginia Consumer Data Protection Act，简称 CDPA） ，这是美国弗吉尼亚州的一部综合性数据隐私保护法律，被誉为继加州《消费者隐私法案》（CCPA/CPRA）之后,美国第二部全面且严格的州级数据隐私法。
以下是关于该法案的核心要点和关键信息：
生效时间与地位
- 生效日期：2023年1月1日正式生效。
- 地位：它是美国东部地区第一部同类法律，为许多其他州（如科罗拉多州、康涅狄格州、犹他州等）的隐私立法提供了模板。
适用对象（哪些企业受管辖）
CDPA不适用于所有企业，它专门针对在弗吉尼亚州开展业务或面向弗州居民的企业，并且必须满足以下任一条件：
- 数据规模：控制或处理至少 10万 名弗州居民的个人数据。
- 数据收入：控制或处理至少 5万 名弗州居民的个人数据，且从销售个人数据中获得的总收入占比超过50%。
例外：政府实体、非营利组织、高等教育机构和某些金融机构（受GLBA管辖）通常被豁免。
赋予消费者的核心权利
CDPA赋予了弗吉尼亚州居民（“消费者”）一系列重要的数据权利,包括：
- 知情权：知道企业是否正在处理其个人数据。
- 访问权：查阅企业持有的具体个人数据。
- 更正权：要求企业纠正不准确的个人数据。
- 删除权：要求企业删除其个人数据（有例外情况）。
- 可携带权：以可移植的、可直接使用的格式获取其个人数据副本。
- 选择退出权：这是最标志性的权利之一，包括：
- 退出定向广告（Targeted Advertising）。
- 退出销售个人数据（Sale of Personal Data）。
- 退出画像行为（Profiling）,即为了产生法律或重大影响而进行的自动化决策分析。
企业的核心义务
受管辖的企业必须履行以下主要责任：
- 数据控制者责任：必须对数据收集和处理负责。
- 隐私通知：必须发布清晰、易于理解的隐私政策，说明收集的数据类型、用途、数据分享对象以及消费者的权利。
- 数据保护评估：在进行可能给消费者带来重大风险的处理活动（如画像、敏感数据、定向广告）前，必须进行并保存数据保护影响评估（DPIA）。
- 数据安全：实施合理的管理、技术和物理安全措施来保护数据。
- 供应商管理：与数据处理者（如云服务商、分析工具提供商）签订具有约束力的合同。
- 响应消费者请求：必须在45天内响应消费者的权利请求（可延长一次，最多60天），且通常不得收费（除非请求过多或重复）。
对“敏感数据”的特殊处理
CDPA对敏感数据（如种族、民族、宗教、健康状况、性取向、基因/生物识别数据、儿童数据等）有严格规定：处理这些数据需要获得消费者的明确同意（Opt-in）。
执行与处罚
- 执法主体：由弗吉尼亚州总检察长（Attorney General）独家执行。没有私人诉讼权（个人不能因企业违规而直接起诉）。
- 处罚措施：
- 补救期：在执法前，总检察长必须给企业一个 30天 的补救期,让他们纠正违规行为。
- 罚款：如果企业在补救期后仍违规，每次违规可处以最高 7,500美元 的民事罚款。
- 禁令：总检察长也可申请法院禁令要求停止违规行为。
与美国其他州隐私法的对比（简要）
- 与CCPA/CPRA（加州）相比：CDPA门槛更高（10万人 vs CCPA的2500万美元收入或5万人），且没有私人诉讼权，执行相对温和，但它更明确地定义了“定向广告”和“画像”的退出权。
- 与COPPA（联邦儿童隐私法）相比：CDPA主要针对一般消费者,而COPPA专门针对13岁以下儿童。
如果你在经营与弗吉尼亚州相关的业务
- 评估适用性：确定你的业务是否达到数据规模或营收门槛。
- 更新隐私政策：确保包含CDPA要求的各项权利说明及联系方式。
- 建立响应机制：部署用于接收和处理消费者数据请求（如“请勿出售”、“退出定向广告”）的系统（通常通过网站Cookie横幅或专用邮箱）。
- 进行数据保护评估：对高风险处理活动（如使用第三方Cookie、客户画像分析）进行评估。
- 审查供应商合同：确保与数据处理者（如CRM系统、营销自动化工具）的协议符合CDPA要求。
如果你需要具体的合规操作指南或模板,可以进一步说明你的业务场景。
