Virginia

Derechos del Consumidor Bajo la VCDPA: Ejerza sus Derechos de Privacidad en Virginia

Por Equipo Editorial de Recording LawPublicado 11 de julio de 202614 min de lectura

Los residentes de Virginia tienen cinco derechos exigibles sobre sus datos personales bajo la Ley de Proteccion de Datos del Consumidor de Virginia (VCDPA): el derecho a acceder, corregir, eliminar, portar y excluirse. Las empresas deben responder dentro de 45 dias, y si se niegan, usted tiene un derecho legal a apelar y luego escalar al Fiscal General de Virginia.

La VCDPA entro en vigor el 1 de enero de 2023 y cubre a cualquier empresa que procese los datos personales de al menos 100,000 consumidores de Virginia anualmente, o al menos 25,000 consumidores cuando mas del 50 por ciento de los ingresos brutos provienen de la venta de datos personales. Si una empresa cubierta posee datos sobre usted, los derechos descritos a continuacion se aplican. Para una descripcion mas amplia de como funciona la ley, consulte Leyes de Privacidad de Datos de Virginia.

Que Cubre la VCDPA y a Quien Protege

Bajo Va. Code Ann. § 59.1-575, un "consumidor" es una persona natural que es residente de Virginia y actua a titulo individual o del hogar. La definicion excluye expresamente a las personas que actuan en un contexto comercial o laboral, lo que significa que los datos que su empleador posee sobre usted como empleado no estan cubiertos por estos derechos.

La VCDPA se aplica a los responsables del tratamiento, las empresas que determinan como y por que se procesan los datos personales. Los responsables cubiertos deben proporcionar al menos un medio seguro y confiable para que usted envie solicitudes de derechos bajo el § 59.1-578(E). Cuando los contacte, es posible que le pidan verificar su identidad mediante metodos comercialmente razonables. Si el responsable no puede autenticar su solicitud a pesar de esfuerzos razonables, no esta obligado a cumplir bajo el § 59.1-577(B.4), pero puede pedirle informacion adicional para verificarlo en lugar de simplemente negarse por completo.

Sus derechos bajo el § 59.1-577 no se extienden a datos que han sido desidentificados ni a datos procesados unicamente para ciertos fines exentos, como investigacion, periodismo, prevencion de fraude o cumplimiento de una obligacion legal. Dicho esto, la mayoria de los datos cotidianos de consumidores que poseen aplicaciones, minoristas, corredores de datos y servicios en linea caen directamente dentro del alcance.

Su Derecho a Acceder y Confirmar el Procesamiento

Bajo Va. Code Ann. § 59.1-577(A)(1), puede pedirle a cualquier empresa cubierta que confirme si esta procesando datos personales sobre usted y, de ser asi, que le de una copia de esos datos. Este derecho tiene dos componentes: el derecho de confirmacion (¿la empresa posee mis datos?) y el derecho de acceso (muestreme lo que tiene).

Como ejercerlo: Busque un enlace de "Derechos de Privacidad", "Solicitud del Consumidor" o "Solicitud de Acceso a Datos" en el pie de pagina del sitio web de la empresa. Envie su solicitud a traves del canal designado de la empresa. Las empresas deben mantener al menos un metodo de envio seguro y confiable bajo el § 59.1-578(E). Es posible que deba proporcionar informacion de identificacion, como una direccion de correo electronico, un numero de cuenta o respuestas a preguntas de seguridad.

La empresa debe responder dentro de 45 dias de recibir su solicitud, o dentro de 90 dias si le notifica una extension antes de que expire el primer plazo. Las respuestas son gratuitas hasta dos veces por ano calendario. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa razonable o negarse a actuar bajo el § 59.1-577(B.3).

Su Derecho a Corregir Datos Inexactos

El Codigo de Virginia § 59.1-577(A)(2) le permite exigir la correccion de imprecisiones en los datos personales que una empresa posee sobre usted, tomando en cuenta la naturaleza de los datos y el proposito del procesamiento. Este derecho importa mas para los datos que afectan directamente decisiones sobre usted, como perfiles financieros, datos relacionados con credito, registros relacionados con la salud o informacion de contacto usada para comunicaciones con clientes.

Como ejercerlo: Envie una solicitud de correccion a traves del canal de derechos de privacidad de la empresa. Identifique claramente la informacion especifica que considera inexacta y, si es posible, proporcione evidencia que respalde la informacion correcta. La empresa tiene 45 dias para responder y debe decirle que accion tomo o por que se nego a actuar.

La empresa no esta obligada a adoptar cada correccion que usted proponga. El estandar, "tomando en cuenta la naturaleza de los datos personales", le da al responsable discrecion sobre la implementacion. Si una empresa cuestiona su correccion, su negativa activa el derecho de apelacion descrito a continuacion.

Su Derecho a Eliminar Datos Personales

Bajo Va. Code Ann. § 59.1-577(A)(3), puede solicitar la eliminacion de datos personales que la empresa recopilo de usted u obtuvo sobre usted de otras fuentes. Este es el derecho de eliminacion mas amplio que ofrece la VCDPA, y cubre tanto los datos que usted proporciono directamente (informacion de cuenta, historial de compras) como los datos que la empresa adquirio sobre usted (perfiles de comportamiento, atributos inferidos).

Como ejercerlo: Envie una solicitud de eliminacion a traves del portal de privacidad de la empresa o la direccion de correo electronico designada. Sea lo mas especifico posible sobre las categorias de datos que desea que se eliminen. El plazo de respuesta de 45 dias comienza cuando la empresa recibe su solicitud autenticada.

La eliminacion no es absoluta. La VCDPA conserva varias exenciones: un responsable puede retener datos para completar una transaccion, detectar incidentes de seguridad, ejercer la libertad de expresion, cumplir con una obligacion legal o llevar a cabo ciertas funciones de investigacion. La empresa debe informarle si esta rechazando su solicitud de eliminacion y debe explicar cual exencion aplica.

Controles de exclusion voluntaria de la VCDPA

Su Derecho a la Portabilidad de Datos

La seccion 59.1-577(A)(4) le da el derecho a obtener una copia de sus datos personales en un formato portatil y legible por maquina cuando sea tecnicamente factible. La portabilidad le permite llevar sus datos a un servicio de la competencia, archivarlos localmente o compartirlos con un asesor.

Como ejercerlo: Solicite una exportacion de datos a traves del canal de derechos de privacidad de la empresa. Los formatos comunes incluyen CSV, JSON u hojas de calculo estructuradas. El calificativo "tecnicamente factible" significa que la empresa puede proporcionar los datos en un formato razonable en lugar de una API personalizada; no puede usar la complejidad tecnica como excusa para no proporcionar nada.

Como con las solicitudes de acceso, las respuestas de portabilidad son gratuitas hasta dos veces al ano y deben llegar dentro de 45 dias. El derecho de portabilidad se aplica a los datos que usted proporciono al responsable y a los datos observados sobre usted; no necesariamente requiere que la empresa exporte datos inferidos o derivados que genero internamente.

Su Derecho a Excluirse: Publicidad Dirigida, Venta de Datos y Elaboracion de Perfiles

El Codigo de Virginia § 59.1-577(A)(5) es el derecho mas amplio de la VCDPA. Puede excluirse de tres usos distintos de sus datos:

Publicidad dirigida. Anuncios seleccionados para usted segun su comportamiento en diferentes sitios web, aplicaciones o servicios que no pertenecen al mismo propietario.
Venta de datos personales. Transferir sus datos a un tercero a cambio de dinero. Bajo la VCDPA, "venta" significa un intercambio monetario, lo cual es mas limitado que la definicion de la CPRA de California.
Elaboracion de perfiles en apoyo de decisiones significativas. Procesamiento automatizado que produce efectos legales o igualmente significativos, como decisiones que afectan su credito, seguro, empleo, vivienda o acceso a servicios esenciales.

Como ejercerlo: Busque un enlace de "No Vender Mis Datos Personales", "Excluirme de Publicidad Dirigida" o "Opciones de Privacidad". Las empresas estan obligadas a divulgar estas vias de exclusion voluntaria en su aviso de privacidad. Debe enviar una solicitud separada a cada empresa cuyas practicas de datos desea limitar. La empresa tiene 45 dias para confirmar que ha procesado su exclusion.

Una distincion critica: a diferencia de Colorado y Connecticut, Virginia no exige que las empresas honren la senal del navegador de Control Global de Privacidad (GPC) ni ningun mecanismo universal de exclusion voluntaria. Esto se aborda en detalle en la siguiente seccion.

Virginia No Exige que las Empresas Honren el Control Global de Privacidad (GPC)

El Control Global de Privacidad es una senal a nivel de navegador que los usuarios pueden habilitar para transmitir automaticamente una preferencia de exclusion voluntaria a cada sitio web que visitan. Colorado y Connecticut han promulgado leyes que exigen a los responsables reconocer esta senal. Virginia no lo ha hecho.

La VCDPA (Va. Code Ann. §§ 59.1-575 a 59.1-585) no contiene ningun mandato para que los responsables reconozcan el GPC ni ninguna otra senal universal de exclusion voluntaria. Esta es una caracteristica verificada del estatuto, no un descuido que se corregira automaticamente. Hasta la sesion legislativa de Virginia de 2024, ninguna enmienda ha agregado un requisito de GPC.

Lo que esto significa para usted como residente de Virginia: incluso si tiene el GPC habilitado en su navegador, un responsable que opera unicamente en Virginia no esta legalmente obligado a tratar esa senal como una exclusion voluntaria. Para ejercer sus derechos de exclusion voluntaria bajo la VCDPA, debe enviar una solicitud directamente a traves del portal de derechos de privacidad de cada empresa.

Para una comparacion, consulte Leyes de Privacidad de Datos de Colorado, que detalla el enfoque de Colorado que exige el reconocimiento del GPC.

Datos Sensibles: Cuando Debe Dar Consentimiento Previo (Opt-In)

Para ciertas categorias de datos personales, la VCDPA invierte el estandar predeterminado: las empresas no pueden procesar estos datos en absoluto sin su consentimiento previo y expreso bajo Va. Code Ann. § 59.1-578(A)(5). Usted no necesita excluirse; el consentimiento previo debe ocurrir primero.

Bajo el § 59.1-575, los datos sensibles incluyen:

Datos que revelan su origen racial o etnico, creencias religiosas, diagnostico de salud mental o fisica, orientacion sexual, o ciudadania o estatus migratorio
Datos geneticos o datos biometricos procesados para identificarlo de manera unica
Datos personales recopilados de un menor conocido
Datos de geolocalizacion precisa (generalmente dentro de un radio de 1,750 pies)

Para los datos relativos a menores conocidos, el responsable del tratamiento debe cumplir con los requisitos de consentimiento parental de COPPA en lugar de simplemente obtener el consentimiento del propio menor.

Si una empresa esta procesando sus datos sensibles sin haber obtenido su consentimiento afirmativo, eso constituye una infraccion del § 59.1-578(A)(5) y una base para presentar una queja ante el Fiscal General de Virginia.

Enviando una solicitud de derechos del consumidor bajo la VCDPA

Como Enviar una Solicitud de Derechos Bajo la VCDPA

Bajo Va. Code Ann. § 59.1-578(E), todo responsable cubierto debe establecer al menos un metodo de envio seguro y confiable para las solicitudes de privacidad. En la practica, la mayoria de las empresas ofrecen uno o mas de los siguientes:

Un portal de privacidad en linea o formulario web (el mas comun, a menudo enlazado como "Derechos de Privacidad" o "Sus Opciones de Privacidad" en el pie de pagina del sitio)
Una direccion de correo electronico dedicada, como privacy@empresa.com o dpo@empresa.com
Un numero telefonico gratuito

Proceso paso a paso:

Localice la politica de privacidad de la empresa o el pie de pagina y busque el enlace para solicitudes de derechos del consumidor.
Seleccione el derecho que desea ejercer (acceso, correccion, eliminacion, portabilidad o exclusion voluntaria).
Proporcione informacion de identificacion para que la empresa pueda autenticarlo bajo el § 59.1-577(B.4). Esto tipicamente significa su nombre, la direccion de correo electronico registrada y posiblemente detalles de la cuenta.
Envie y guarde la confirmacion de su envio (captura de pantalla o correo de confirmacion).
El plazo de respuesta de 45 dias comienza desde la fecha de recepcion autenticada.

Si la empresa no puede autenticar su solicitud usando esfuerzos comercialmente razonables, puede pedir verificacion adicional en lugar de denegar la solicitud de plano. No esta obligado a proporcionar informacion mas alla de lo razonablemente necesario para la autenticacion.

Que Hacer si una Empresa Deniega su Solicitud: El Derecho de Apelacion de la VCDPA

El proceso de apelacion de Virginia es una de las vias de escalamiento para consumidores mas estructuradas entre las leyes estatales de privacidad. Opera en dos pasos bajo Va. Code Ann. § 59.1-577(C).

Paso 1: Apelacion interna ante el responsable. Despues de recibir una denegacion (o ninguna respuesta dentro de 45 dias), puede apelar directamente ante la empresa. La empresa debe haber establecido un proceso de apelacion visible. Presente su apelacion por escrito a traves del canal que designe la empresa, tipicamente el mismo portal de privacidad usado para las solicitudes iniciales o un correo electronico de apelacion separado. No hay un formulario fijo requerido; indique claramente que esta apelando la denegacion, identifique la solicitud original y explique por que cree que la denegacion fue improcedente.

La empresa debe responder a su apelacion por escrito dentro de 60 dias de recibirla, junto con una explicacion escrita de las razones de su decision. Note los diferentes plazos: 45 dias para las solicitudes iniciales, 60 dias para las apelaciones.

Paso 2: Escalamiento al Fiscal General de Virginia. Si la empresa deniega su apelacion, el § 59.1-577(C) le exige que le proporcione un mecanismo en linea (u otro metodo si no existe un mecanismo en linea) mediante el cual pueda contactar al Fiscal General de Virginia para presentar una queja. No se salte este paso; la informacion de contacto del Fiscal General debe provenir de la empresa junto con la denegacion de su apelacion.

Usted no puede demandar a la empresa directamente. La VCDPA establece expresamente en el § 59.1-584 que no existe un derecho de accion privada. Solo el Fiscal General de Virginia puede presentar acciones de aplicacion.

Como Presentar una Queja Ante el Fiscal General de Virginia

Despues de que una empresa haya denegado su apelacion, puede presentar una queja ante la Seccion de Proteccion al Consumidor del Fiscal General de Virginia.

Opciones de contacto:

Formulario de queja en linea: https://www.oag.state.va.us/consumercomplaintform/start
Direccion postal: Office of the Attorney General, Consumer Protection Section, 202 North Ninth Street, Richmond, Virginia 23219
Linea directa para consumidores: 1-800-552-9963 (gratuita en Virginia) o 804-786-2042

Al presentar la queja, incluya el nombre de la empresa, la fecha en que envio su solicitud original, la fecha en que recibio la denegacion, la fecha en que envio su apelacion, la fecha en que recibio la denegacion de la apelacion y copias de cualquier correspondencia escrita. Cuanta mas documentacion proporcione, mas solido sera su expediente de queja.

El Fiscal General tiene autoridad de aplicacion exclusiva bajo el § 59.1-584 y puede buscar sanciones civiles de hasta $7,500 por infraccion, tras darle primero a la empresa una oportunidad de subsanacion de 30 dias. Aunque el Fiscal General no puede garantizar la aplicacion en cada caso individual, los patrones documentados de infracciones son un factor clave que desencadena investigaciones del Fiscal General.

Si la empresa ignoro por completo su solicitud inicial sin responder dentro de 45 dias, puede saltarse el paso de apelacion y presentar una queja directamente, ya que no hay respuesta que apelar.

Sin Represalias: Su Derecho Contra la Discriminacion

El Codigo de Virginia § 59.1-578(A)(4) prohibe a los responsables del tratamiento penalizarlo por ejercer sus derechos bajo la VCDPA. Una empresa no puede:

Negarle bienes o servicios porque usted envio una solicitud de privacidad
Cobrarle un precio mas alto o una tarifa diferente porque se excluyo
Brindarle un servicio de menor calidad porque solicito sus datos o pidio su eliminacion

La unica excepcion limitada es si la diferencia de trato esta directa y razonablemente relacionada con el valor que la empresa obtiene de sus datos. Por ejemplo, un programa de lealtad que ofrece descuentos a cambio de compartir datos puede restringir esos descuentos a los miembros participantes, pero la diferencia de trato debe ser proporcional y divulgarse de antemano.

Si cree que una empresa lo ha penalizado por ejercer sus derechos bajo la VCDPA, documente el trato e incluyalo en una queja ante el Fiscal General.

Mas Leyes de Virginia

Guias relacionadas

Preguntas frecuentes

¿Como encuentro el formulario de solicitud de derechos de privacidad de una empresa especifica?

Revise el pie de pagina del sitio web de la empresa en busca de enlaces con nombres como Derechos de Privacidad, No Vender Mi Informacion Personal, Solicitud de Privacidad del Consumidor o Sus Opciones de Privacidad. Bajo Va. Code Ann. § 59.1-578(E), todo responsable cubierto debe mantener al menos un canal seguro y visible para enviar solicitudes. Si no encuentra un enlace, contacte al departamento de servicio al cliente de la empresa y pida el metodo de envio de derechos de privacidad bajo la VCDPA.

¿Puedo enviar una solicitud bajo la VCDPA en nombre de otra persona, como un menor o un padre de edad avanzada?

Si. Los agentes autorizados pueden enviar solicitudes de derechos en nombre de otro consumidor. El responsable puede exigir una verificacion razonable de que usted esta autorizado para actuar en nombre de esa persona. Para los datos personales de menores, un padre o tutor puede enviar solicitudes, y la empresa debe aplicar los estandares de consentimiento parental de COPPA en lugar de tratar al menor como un consumidor individual bajo el § 59.1-578(A)(5).

¿Que sucede si una empresa ignora por completo mi solicitud bajo la VCDPA?

No responder dentro de 45 dias (o 90 dias con una extension notificada a tiempo) es una infraccion de Va. Code Ann. § 59.1-577(B). Como no hay respuesta que apelar, puede proceder directamente a presentar una queja ante la Seccion de Proteccion al Consumidor del Fiscal General de Virginia en oag.state.va.us/consumercomplaintform/start o llamando al 1-800-552-9963.

¿La VCDPA cubre los datos de empleados o los datos relacionados con mi trabajo?

No. La definicion de consumidor de la VCDPA en el § 59.1-575 excluye expresamente a las personas naturales que actuan en un contexto comercial o laboral. Los datos que su empleador posee sobre usted en su capacidad de empleado, como los registros de nomina, los archivos de RR.HH. y el correo electronico laboral, no estan sujetos a los derechos del consumidor de la VCDPA descritos en este articulo.

¿La exclusion voluntaria de venta de la VCDPA es lo mismo que el derecho de No Vender de la CCPA?

Son similares pero no identicos. Bajo la VCDPA, venta significa un intercambio de datos personales por una contraprestacion monetaria. No se extiende a compartir datos con fines publicitarios de la manera en que lo hace la CPRA de California. La exclusion voluntaria separada de Virginia para publicidad dirigida cubre la publicidad de comportamiento entre contextos, que California maneja bajo su exclusion voluntaria de compartir datos. Los dos derechos son estructuralmente paralelos pero tienen definiciones legales diferentes.

¿Cuanto tiempo tiene una empresa para responder a mi apelacion?

La empresa debe responder a su apelacion por escrito dentro de 60 dias de recibirla, bajo Va. Code Ann. § 59.1-577(C). La respuesta debe incluir una explicacion escrita de las razones de la decision. Si la apelacion es denegada, la empresa tambien debe proporcionar un metodo para contactar al Fiscal General de Virginia. Esta ventana de 60 dias es mas larga que la ventana de 45 dias para las solicitudes iniciales.

¿Virginia exige que las empresas honren la senal del navegador de Control Global de Privacidad?

No. La VCDPA no contiene ningun mandato que exija a los responsables reconocer el Control Global de Privacidad (GPC) ni ninguna otra senal universal de exclusion voluntaria. Esto distingue a Virginia de Colorado y Connecticut, que si exigen el reconocimiento del GPC. En Virginia, debe enviar su solicitud de exclusion voluntaria directamente a cada empresa a traves de su canal designado de derechos de privacidad.

¿Cual es la diferencia entre el consentimiento de exclusion voluntaria y el consentimiento previo bajo la VCDPA?

Para el procesamiento ordinario de datos personales, incluyendo anuncios dirigidos y venta de datos, el estandar predeterminado es la exclusion voluntaria: la empresa puede hacerlo a menos que usted se oponga. Para categorias de datos sensibles como salud, biometria, ubicacion precisa, raza, religion, orientacion sexual, estatus migratorio y datos de menores, el estandar predeterminado se invierte a consentimiento previo bajo el § 59.1-578(A)(5). La empresa no puede procesar esos datos en absoluto sin su consentimiento afirmativo primero.

Fuentes y referencias

Va. Code Ann. § 59.1-577(A)(1). Derecho a confirmar el procesamiento y acceder a los datos personales(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(A)(2). Derecho a corregir imprecisiones en los datos personales(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(A)(3). Derecho a eliminar datos personales(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(A)(4). Derecho a la portabilidad de datos(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(A)(5). Derecho a excluirse de publicidad dirigida, venta y elaboracion de perfiles(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(B). Requisito de respuesta en 45 dias; gratuito dos veces al ano(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(B.3). Respuesta gratuita hasta dos veces al ano; tarifa por solicitudes excesivas(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(B.4). Requisito de autenticacion; el responsable no esta obligado a cumplir si no puede autenticar(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-577(C). Derecho de apelacion del consumidor; respuesta en 60 dias; via de escalamiento al Fiscal General(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-578(A)(4). No discriminacion por ejercer derechos de privacidad(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-578(A)(5). Consentimiento previo requerido para datos sensibles(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-578(E). El responsable debe proporcionar un medio seguro y confiable para enviar solicitudes(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-575. Definiciones de la VCDPA, incluyendo consumidor y datos sensibles(law.lis.virginia.gov).gov
Va. Code Ann. § 59.1-584. Aplicacion exclusiva del Fiscal General; sin derecho de accion privada; $7,500 por infraccion; subsanacion de 30 dias(law.lis.virginia.gov).gov
Fiscal General de Virginia. Seccion de Proteccion al Consumidor, Presentar una Queja(oag.state.va.us).gov
Formulario de Queja en Linea del Fiscal General de Virginia(oag.state.va.us).gov

EnglishEspañol

Data Privacy Laws

Virginia Laws