Voldoen aan de Virginia Consumer Data Protection Act (VCDPA)

Wat is de VCDPA?

De Virginia Consumer Data Protection Act (VCDPA) is een privacywet die regelt hoe bedrijven omgaan met persoonsgegevens van inwoners van Virginia. De wet werd op 2 maart 2021 ondertekend en wordt van kracht op 1 januari 2023. De VCDPA geeft inwoners van Virginia bepaalde rechten over hun persoonsgegevens, zoals het recht om te weten welke persoonsgegevens worden verzameld, het recht op inzage en om verwijdering van persoonsgegevens te vragen, en het recht om zich af te melden voor de verkoop van persoonsgegevens. De wet verplicht bedrijven ook om te melden dat ze gegevens verzamelen, beveiligingsmaatregelen te nemen en een functionaris voor gegevensbescherming aan te stellen. Daarnaast geeft de VCDPA een individueel vorderingsrecht aan mensen van wie de gegevens zijn getroffen door onbevoegde toegang, exfiltratie, diefstal of vernietiging. De wet geldt voor bedrijven die zaken doen in Virginia en bepaalde drempels halen wat betreft omzet en gegevensverwerking. De VCDPA geldt als een van de strengste wetten inzake gegevensbescherming in de VS en lijkt op de California Consumer Privacy Act (CCPA).

Wat gebeurt er als ik me niet aan de VCDPA houd?

Als je niet voldoet aan de Virginia Consumer Data Protection Act (VCDPA), kun je flinke boetes en sancties krijgen. De VCDPA geeft de Attorney General van Virginia de bevoegdheid om bestuurlijke boetes op te leggen bij niet-naleving. De boetes kunnen oplopen tot $7.500 per overtreding of $750 per dag voor elke dag dat een overtreding voortduurt, maar niet meer dan $2,5 miljoen.

Boetes kunnen om allerlei redenen worden opgelegd, zoals het niet melden dat gegevens worden verzameld, consumenten geen manier bieden om zich af te melden voor de verkoop van hun persoonsgegevens, persoonsgegevens niet verwijderen na een verzoek, consumenten geen manier bieden om hun persoonsgegevens in te zien, datalekken niet melden en geen functionaris voor gegevensbescherming aanstellen.

Naast boetes kunnen toezichthouders ook andere sancties opleggen, zoals bedrijven opdragen te stoppen met het verwerken van persoonsgegevens, eisen dat bedrijven de niet-naleving herstellen en berispingen uitdelen.

In sommige gevallen kan niet-naleving van de VCDPA ook leiden tot een rechtszaak tegen een bedrijf door mensen van wie de persoonsgegevens zijn getroffen.

Let wel: bij naleving van de VCDPA gaat het niet alleen om het vermijden van boetes en sancties, maar ook om het beschermen van de persoonsgegevens van mensen en het respecteren van hun rechten.

Aan de VCDPA voldoen

De VCDPA is een van de uitgebreide privacywetten, en ook andere staten, zoals Indiana, Iowa, Tennessee en Montana, voeren hun eigen privacywetten in. Omdat bedrijven in meerdere staten actief zijn, wordt het steeds lastiger om het complexe netwerk van privacywetten per staat te overzien en na te leven.

Compliant blijven begint ermee dat je op de hoogte blijft van nieuwe wetgeving die je bedrijf kan raken. Het is belangrijk om deze wetten te volgen terwijl ze door de wetgevende organen van de staten gaan. Relevante nieuwsbrieven en bronnen kunnen daarbij helpen.

Is een nieuwe wet aangenomen maar nog niet in werking, bekijk de tekst dan samen met een jurist. Die kan beoordelen hoe je ervoor staat en je adviseren over wat je moet doen.

Om je compliance eenvoudiger te maken, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Een CMP ontlast je team met aanpasbaar toestemmingsbeheer, automatische afhandeling van inzageverzoeken van betrokkenen en tools om cookies en leveranciers te beheren. Pandectes GDPR Compliance is speciaal gemaakt voor Shopify-winkels en helpt je om in het steeds veranderende privacylandschap aan de regels te voldoen en te blijven voldoen.