Derechos del Consumidor Bajo la VCDPA: Ejerza sus Derechos de Privacidad en Virginia

Los residentes de Virginia tienen cinco derechos exigibles sobre sus datos personales bajo la Ley de Protección de Datos del Consumidor de Virginia (VCDPA): el derecho a acceder, corregir, eliminar, portar y excluirse. Las empresas deben responder dentro de 45 días, y si se niegan, usted tiene un derecho legal a apelar y luego escalar al Fiscal General de Virginia.

La VCDPA entró en vigor el 1 de enero de 2023 y cubre a cualquier empresa que procese los datos personales de al menos 100,000 consumidores de Virginia anualmente, o al menos 25,000 consumidores cuando más del 50 por ciento de los ingresos brutos provienen de la venta de datos personales. Si una empresa cubierta posee datos sobre usted, los derechos descritos a continuación se aplican. Para una descripción más amplia de como funciona la ley, consulte Leyes de Privacidad de Datos de Virginia.

Qué Cubre la VCDPA y a Quien Protege

Bajo Va. Code Ann. § 59.1-575, un "consumidor" es una persona natural que es residente de Virginia y actúa a título individual o del hogar. La definición excluye expresamente a las personas que actúan en un contexto comercial o laboral, lo que significa que los datos que su empleador posee sobre usted como empleado no están cubiertos por estos derechos.

La VCDPA se aplica a los responsables del tratamiento, las empresas que determinan como y por que se procesan los datos personales. Los responsables cubiertos deben proporcionar al menos un medio seguro y confiable para que usted envíe solicitudes de derechos bajo el § 59.1-578(E). Cuando los contacte, es posible que le pidan verificar su identidad mediante métodos comercialmente razonables. Si el responsable no puede autenticar su solicitud a pesar de esfuerzos razonables, no está obligado a cumplir bajo el § 59.1-577(B.4), pero puede pedirle información adicional para verificarlo en lugar de simplemente negarse por completo.

Sus derechos bajo el § 59.1-577 no se extienden a datos que han sido desidentificados ni a datos procesados únicamente para ciertos fines exentos, como investigación, periodismo, prevención de fraude o cumplimiento de una obligación legal. Dicho esto, la mayoría de los datos cotidianos de consumidores que poseen aplicaciones, minoristas, corredores de datos y servicios en línea caen directamente dentro del alcance.

Su Derecho a Acceder y Confirmar el Procesamiento

Bajo Va. Code Ann. § 59.1-577(A)(1), puede pedirle a cualquier empresa cubierta que confirme si esta procesando datos personales sobre usted y, de ser así, que le de una copia de esos datos. Este derecho tiene dos componentes: el derecho de confirmación (¿la empresa posee mis datos?) y el derecho de acceso (muéstreme lo que tiene).

Como ejercerlo: Busque un enlace de "Derechos de Privacidad", "Solicitud del Consumidor" o "Solicitud de Acceso a Datos" en el pie de página del sitio web de la empresa. Envíe su solicitud a través del canal designado de la empresa. Las empresas deben mantener al menos un método de envío seguro y confiable bajo el § 59.1-578(E). Es posible que deba proporcionar información de identificación, como una dirección de correo electrónico, un número de cuenta o respuestas a preguntas de seguridad.

La empresa debe responder dentro de 45 días de recibir su solicitud, o dentro de 90 días si le notifica una extensión antes de que expire el primer plazo. Las respuestas son gratuitas hasta dos veces por año calendario. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa razonable o negarse a actuar bajo el § 59.1-577(B.3).

Su Derecho a Corregir Datos Inexactos

El Código de Virginia § 59.1-577(A)(2) le permite exigir la corrección de imprecisiones en los datos personales que una empresa posee sobre usted, tomando en cuenta la naturaleza de los datos y el propósito del procesamiento. Este derecho importa más para los datos que afectan directamente decisiones sobre usted, como perfiles financieros, datos relacionados con crédito, registros relacionados con la salud o información de contacto usada para comunicaciones con clientes.

Como ejercerlo: Envíe una solicitud de corrección a través del canal de derechos de privacidad de la empresa. Identifique claramente la información especifica que considera inexacta y, si es posible, proporcione evidencia que respalde la información correcta. La empresa tiene 45 días para responder y debe decirle que acción tomó o por que se negó a actuar.

La empresa no está obligada a adoptar cada corrección que usted proponga. El estándar, "tomando en cuenta la naturaleza de los datos personales", le da al responsable discreción sobre la implementación. Si una empresa cuestiona su corrección, su negativa activa el derecho de apelación descrito a continuación.

Su Derecho a Eliminar Datos Personales

Bajo Va. Code Ann. § 59.1-577(A)(3), puede solicitar la eliminación de datos personales que la empresa recopiló de usted u obtuvo sobre usted de otras fuentes. Este es el derecho de eliminación más amplio que ofrece la VCDPA, y cubre tanto los datos que usted proporcionó directamente (información de cuenta, historial de compras) como los datos que la empresa adquirió sobre usted (perfiles de comportamiento, atributos inferidos).

Como ejercerlo: Envíe una solicitud de eliminación a través del portal de privacidad de la empresa o la dirección de correo electrónico designada. Sea lo más específico posible sobre las categorías de datos que desea que se eliminen. El plazo de respuesta de 45 días comienza cuando la empresa recibe su solicitud autenticada.

La eliminación no es absoluta. La VCDPA conserva varias exenciones: un responsable puede retener datos para completar una transacción, detectar incidentes de seguridad, ejercer la libertad de expresión, cumplir con una obligación legal o llevar a cabo ciertas funciones de investigación. La empresa debe informarle si esta rechazando su solicitud de eliminación y debe explicar cual exención aplica.

Su Derecho a la Portabilidad de Datos

La sección 59.1-577(A)(4) le da el derecho a obtener una copia de los datos personales que usted proporcionó previamente al responsable, en un formato portátil y, en la medida en que sea técnicamente factible, fácilmente utilizable. La portabilidad le permite llevar sus datos a un servicio de la competencia, archivarlos localmente o compartirlos con un asesor.

Como ejercerlo: Solicite una exportación de datos a través del canal de derechos de privacidad de la empresa. Los formatos comunes incluyen CSV, JSON u hojas de cálculo estructuradas. El calificativo "técnicamente factible" significa que la empresa puede proporcionar los datos en un formato razonable en lugar de una API personalizada; no puede usar la complejidad técnica como excusa para no proporcionar nada.

Como con las solicitudes de acceso, las respuestas de portabilidad son gratuitas hasta dos veces al año y deben llegar dentro de 45 días. Tenga en cuenta el límite que establece el propio texto: el § 59.1-577(A)(4) alcanza únicamente «una copia de los datos personales del consumidor que el consumidor proporcionó previamente al responsable». Los datos que la empresa observó sobre usted, o que infirió o derivó internamente sobre usted, quedan fuera del derecho de portabilidad, aunque podrían seguir siendo accesibles mediante el derecho de acceso bajo el § 59.1-577(A)(1).

Su Derecho a Excluirse: Publicidad Dirigida, Venta de Datos y Elaboración de Perfiles

El Código de Virginia § 59.1-577(A)(5) es el derecho más amplio de la VCDPA. Puede excluirse de tres usos distintos de sus datos:

1. Publicidad dirigida. Anuncios seleccionados para usted según su comportamiento en diferentes sitios web, aplicaciones o servicios que no pertenecen al mismo propietario.
2. Venta de datos personales. Transferir sus datos a un tercero a cambio de dinero. Bajo la VCDPA, "venta" significa un intercambio monetario, lo cual es más limitado que la definición de la CPRA de California.
3. Elaboración de perfiles en apoyo de decisiones significativas. Procesamiento automatizado que produce efectos legales o igualmente significativos, como decisiones que afectan su crédito, seguro, empleo, vivienda o acceso a servicios esenciales.

Como ejercerlo: Busque un enlace de "No Vender Mis Datos Personales", "Excluirme de Publicidad Dirigida" o "Opciones de Privacidad". Las empresas están obligadas a divulgar estas vías de exclusión voluntaria en su aviso de privacidad. Debe enviar una solicitud separada a cada empresa cuyas prácticas de datos desea limitar. La empresa tiene 45 días para confirmar que ha procesado su exclusión.

Una distinción crítica: a diferencia de Colorado y Connecticut, Virginia no exige que las empresas honren la señal del navegador de Control Global de Privacidad (GPC) ni ningún mecanismo universal de exclusión voluntaria. Esto se aborda en detalle en la siguiente sección.

Virginia No Exige que las Empresas Honren el Control Global de Privacidad (GPC)

El Control Global de Privacidad es una señal a nivel de navegador que los usuarios pueden habilitar para transmitir automáticamente una preferencia de exclusión voluntaria a cada sitio web que visitan. Colorado y Connecticut han promulgado leyes que exigen a los responsables reconocer esta señal. Virginia no lo ha hecho.

La VCDPA (Va. Code Ann. §§ 59.1-575 a 59.1-585) no contiene ningún mandato para que los responsables reconozcan el GPC ni ninguna otra señal universal de exclusión voluntaria. Esta es una característica verificada del estatuto, no un descuido que se corregira automáticamente. A través de la sesión legislativa de Virginia de 2026, ninguna enmienda ha agregado un requisito de GPC. La enmienda más reciente al § 59.1-578 (2026, c. 820) agregó restricciones sobre el procesamiento de datos personales de menores; no agregó una obligación de exclusión voluntaria universal ni de señal del navegador.

Lo que esto significa para usted como residente de Virginia: incluso si tiene el GPC habilitado en su navegador, un responsable que opera únicamente en Virginia no esta legalmente obligado a tratar esa señal como una exclusión voluntaria. Para ejercer sus derechos de exclusión voluntaria bajo la VCDPA, debe enviar una solicitud directamente a través del portal de derechos de privacidad de cada empresa.

Para una comparación, consulte Leyes de Privacidad de Datos de Colorado, que detalla el enfoque de Colorado que exige el reconocimiento del GPC.

Datos Sensibles: Cuando Debe Dar Consentimiento Previo (Opt-In)

Para ciertas categorías de datos personales, la VCDPA invierte el estándar predeterminado: las empresas no pueden procesar estos datos en absoluto sin su consentimiento previo y expreso bajo Va. Code Ann. § 59.1-578(A)(5). Usted no necesita excluirse; el consentimiento previo debe ocurrir primero.

Bajo el § 59.1-575, los datos sensibles incluyen:

• Datos que revelan su origen racial o étnico, creencias religiosas, diagnóstico de salud mental o física, orientación sexual, o ciudadanía o estatus migratorio
• Datos genéticos o datos biométricos procesados para identificarlo de manera única
• Datos personales recopilados de un menor conocido
• Datos de geolocalización precisa (generalmente dentro de un radio de 1,750 pies)

Para los datos relativos a menores conocidos, el responsable del tratamiento debe cumplir con los requisitos de consentimiento parental de COPPA en lugar de simplemente obtener el consentimiento del propio menor.

Si una empresa esta procesando sus datos sensibles sin haber obtenido su consentimiento afirmativo, eso constituye una infracción del § 59.1-578(A)(5) y una base para presentar una queja ante el Fiscal General de Virginia.

Cómo Enviar una Solicitud de Derechos Bajo la VCDPA

Bajo Va. Code Ann. § 59.1-578(E), todo responsable cubierto debe establecer al menos un método de envío seguro y confiable para las solicitudes de privacidad. En la práctica, la mayoría de las empresas ofrecen uno o más de los siguientes:

• Un portal de privacidad en línea o formulario web (el más común, a menudo enlazado como "Derechos de Privacidad" o "Sus Opciones de Privacidad" en el pie de página del sitio)
• Una dirección de correo electrónico dedicada, como privacy@empresa.com o dpo@empresa.com
• Un número telefónico gratuito

Proceso paso a paso:

1. Localice la política de privacidad de la empresa o el pie de página y busque el enlace para solicitudes de derechos del consumidor.
2. Seleccione el derecho que desea ejercer (acceso, corrección, eliminación, portabilidad o exclusión voluntaria).
3. Proporcione información de identificación para que la empresa pueda autenticarlo bajo el § 59.1-577(B.4). Esto típicamente significa su nombre, la dirección de correo electrónico registrada y posiblemente detalles de la cuenta.
4. Envíe y guarde la confirmación de su envio (captura de pantalla o correo de confirmación).
5. El plazo de respuesta de 45 días comienza desde la fecha de recepción autenticada.

Si la empresa no puede autenticar su solicitud usando esfuerzos comercialmente razonables, puede pedir verificación adicional en lugar de denegar la solicitud de plano. No está obligado a proporcionar información más allá de lo razonablemente necesario para la autenticación.

Qué Hacer si una Empresa Deniega su Solicitud: El Derecho de Apelación de la VCDPA

El proceso de apelación de Virginia es una de las vías de escalamiento para consumidores más estructuradas entre las leyes estatales de privacidad. Opera en dos pasos bajo Va. Code Ann. § 59.1-577(C).

Paso 1: Apelación interna ante el responsable. Después de recibir una denegación (o ninguna respuesta dentro de 45 días), puede apelar directamente ante la empresa. La empresa debe haber establecido un proceso de apelación visible. Presente su apelación por escrito a través del canal que designe la empresa, típicamente el mismo portal de privacidad usado para las solicitudes iniciales o un correo electrónico de apelación separado. No hay un formulario fijo requerido; indique claramente que esta apelando la denegación, identifique la solicitud original y explique por que cree que la denegación fue improcedente.

La empresa debe responder a su apelación por escrito dentro de 60 días de recibirla, junto con una explicación escrita de las razones de su decisión. Note los diferentes plazos: 45 días para las solicitudes iniciales, 60 días para las apelaciones.

Paso 2: Escalamiento al Fiscal General de Virginia. Si la empresa deniega su apelación, el § 59.1-577(C) le exige que le proporcione un mecanismo en línea (u otro método si no existe un mecanismo en línea) mediante el cual pueda contactar al Fiscal General de Virginia para presentar una queja. No se salte este paso; la información de contacto del Fiscal General debe provenir de la empresa junto con la denegación de su apelación.

Usted no puede demandar a la empresa directamente. La VCDPA establece expresamente en el § 59.1-584 que no existe un derecho de acción privada. Solo el Fiscal General de Virginia puede presentar acciones de aplicación.

Como Presentar una Queja Ante el Fiscal General de Virginia

Después de que una empresa haya denegado su apelación, puede presentar una queja ante la Sección de Protección al Consumidor del Fiscal General de Virginia.

Opciones de contacto:

• Formulario de queja en línea: https://www.oag.state.va.us/consumercomplaintform/start
• Dirección postal: Office of the Attorney General, Consumer Protection Section, 202 North Ninth Street, Richmond, Virginia 23219
• Línea directa para consumidores: 1-800-552-9963 (gratuita en Virginia) o 804-786-2042

Al presentar la queja, incluya el nombre de la empresa, la fecha en que envio su solicitud original, la fecha en que recibió la denegación, la fecha en que envio su apelación, la fecha en que recibió la denegación de la apelación y copias de cualquier correspondencia escrita. Cuanta más documentación proporcione, más sólido será su expediente de queja.

El Fiscal General tiene autoridad de aplicación exclusiva bajo el § 59.1-584 y puede buscar sanciones civiles de hasta $7,500 por infracción, tras darle primero a la empresa una oportunidad de subsanación de 30 días. Aunque el Fiscal General no puede garantizar la aplicación en cada caso individual, los patrones documentados de infracciones son un factor clave que desencadena investigaciones del Fiscal General.

Si la empresa ignoro por completo su solicitud inicial sin responder dentro de 45 días, puede saltarse el paso de apelación y presentar una queja directamente, ya que no hay respuesta que apelar.

Sin Represalias: Su Derecho Contra la Discriminación

El Código de Virginia § 59.1-578(A)(4) prohíbe a los responsables del tratamiento penalizarlo por ejercer sus derechos bajo la VCDPA. Una empresa no puede:

• Negarle bienes o servicios porque usted envio una solicitud de privacidad
• Cobrarle un precio más alto o una tarifa diferente porque se excluyo
• Brindarle un servicio de menor calidad porque solicito sus datos o pidió su eliminación

El § 59.1-578(A)(4) contempla dos excepciones, y ambas son más limitadas de lo que suele describirse. Primero, ninguna disposición de la sección obliga al responsable a ofrecer un producto o servicio que requiera datos personales que el responsable no recopila ni mantiene. Segundo, el responsable puede ofrecer un precio, tarifa, nivel, calidad o selección diferente de bienes o servicios, incluso de forma gratuita, si usted ejerció su derecho de exclusión voluntaria bajo el § 59.1-577 o si la oferta se relaciona con su participación voluntaria en un programa genuino de lealtad, recompensas, funciones premium, descuentos o tarjeta de club. Es decir, un programa de lealtad puede restringir sus descuentos a quienes se inscriban en él. El estatuto no condiciona ninguna de las dos excepciones al valor que la empresa obtiene de sus datos, a que la diferencia sea proporcional, ni a una divulgación previa. Esas condiciones provienen de las leyes de otros estados, no de la de Virginia.

Si cree que una empresa lo ha penalizado por ejercer sus derechos bajo la VCDPA, documente el trato e incluyalo en una queja ante el Fiscal General.

Más Leyes de Virginia

• Leyes de Grabación con IA en Reuniones de Virginia
• Leyes de Pensión Alimenticia de Virginia
• Leyes de Empleo a Voluntad de Virginia
• Leyes de Accidentes de Auto de Virginia
• Leyes de Asientos para Auto de Virginia
• Leyes de Custodia de Menores de Virginia
• Leyes de Manutención Infantil de Virginia
• Leyes de Matrimonio de Hecho de Virginia
• Leyes de Deepfake de Virginia
• Leyes de Divorcio de Virginia
• Leyes de Choque y Fuga de Virginia
• Leyes de Emancipación de Virginia
• Leyes de Eliminación de Antecedentes de Virginia
• Leyes de Choque y Fuga de Virginia
• Leyes de Propietarios e Inquilinos de Virginia
• Leyes del Limón de Virginia

Guías relacionadas

• ¿Qué es la VCDPA? La Ley de Protección de Datos de Virginia Explicada
• Lista de Verificación de Cumplimiento de la VCDPA para Empresas (2026)
• Leyes de Privacidad de Datos de Virginia: Guía de Derechos del Consumidor de la VCDPA (2026)
• Leyes de Privacidad Biométrica de Virginia: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad en EE. UU. (2026)

Preguntas frecuentes

¿Cómo encuentro el formulario de solicitud de derechos de privacidad de una empresa especifica?

Revise el pie de página del sitio web de la empresa en busca de enlaces con nombres como Derechos de Privacidad, No Vender Mi Información Personal, Solicitud de Privacidad del Consumidor o Sus Opciones de Privacidad. Bajo Va. Code Ann. § 59.1-578(E), todo responsable cubierto debe mantener al menos un canal seguro y visible para enviar solicitudes. Si no encuentra un enlace, contacte al departamento de servicio al cliente de la empresa y pida el método de envío de derechos de privacidad bajo la VCDPA.

¿Puedo enviar una solicitud bajo la VCDPA en nombre de otra persona, como un menor o un padre de edad avanzada?

Para un menor, sí. Para otro adulto, la VCDPA no le otorga ese derecho. Va. Code Ann. § 59.1-577(A) dispone que un padre o tutor legal puede invocar estos derechos en nombre de un menor conocido, y la empresa debe aplicar los estándares de consentimiento parental de COPPA bajo el § 59.1-578(A)(5). Virginia no tiene ninguna disposición sobre agentes autorizados; esa frase no aparece en absoluto en el estatuto, a diferencia de las leyes de California y Colorado. Para un padre de edad avanzada u otro adulto, una empresa puede aceptar una solicitud de un agente conforme a su propia política, y vale la pena presentar una orden de tutela o un poder notarial, pero la VCDPA no exige que la empresa lo respete. La vía más confiable es que el propio consumidor envíe la solicitud a su nombre.

¿Qué sucede si una empresa ignora por completo mi solicitud bajo la VCDPA?

No responder dentro de 45 días (o 90 días con una extensión notificada a tiempo) es una infracción de Va. Code Ann. § 59.1-577(B). Como no hay respuesta que apelar, puede proceder directamente a presentar una queja ante la Sección de Protección al Consumidor del Fiscal General de Virginia en oag.state.va.us/consumercomplaintform/start o llamando al 1-800-552-9963.

¿La VCDPA cubre los datos de empleados o los datos relacionados con mi trabajo?

No. La definición de consumidor de la VCDPA en el § 59.1-575 excluye expresamente a las personas naturales que actúan en un contexto comercial o laboral. Los datos que su empleador posee sobre usted en su capacidad de empleado, como los registros de nómina, los archivos de RR.HH. y el correo electrónico laboral, no están sujetos a los derechos del consumidor de la VCDPA descritos en este artículo.

¿La exclusión voluntaria de venta de la VCDPA es lo mismo que el derecho de No Vender de la CCPA?

Son similares pero no idénticos. Bajo la VCDPA, venta significa un intercambio de datos personales por una contraprestación monetaria. No se extiende a compartir datos con fines publicitarios de la manera en que lo hace la CPRA de California. La exclusión voluntaria separada de Virginia para publicidad dirigida cubre la publicidad de comportamiento entre contextos, que California maneja bajo su exclusión voluntaria de compartir datos. Los dos derechos son estructuralmente paralelos pero tienen definiciones legales diferentes.

¿Cuánto tiempo tiene una empresa para responder a mi apelación?

La empresa debe responder a su apelación por escrito dentro de 60 días de recibirla, bajo Va. Code Ann. § 59.1-577(C). La respuesta debe incluir una explicación escrita de las razones de la decisión. Si la apelación es denegada, la empresa también debe proporcionar un método para contactar al Fiscal General de Virginia. Esta ventana de 60 días es más larga que la ventana de 45 días para las solicitudes iniciales.

¿Virginia exige que las empresas honren la señal del navegador de Control Global de Privacidad?

No. La VCDPA no contiene ningún mandato que exija a los responsables reconocer el Control Global de Privacidad (GPC) ni ninguna otra señal universal de exclusión voluntaria. Esto distingue a Virginia de Colorado y Connecticut, que si exigen el reconocimiento del GPC. En Virginia, debe enviar su solicitud de exclusión voluntaria directamente a cada empresa a través de su canal designado de derechos de privacidad.

¿Cuál es la diferencia entre el consentimiento de exclusión voluntaria y el consentimiento previo bajo la VCDPA?

Para el procesamiento ordinario de datos personales, incluyendo anuncios dirigidos y venta de datos, el estándar predeterminado es la exclusión voluntaria: la empresa puede hacerlo a menos que usted se oponga. Para categorías de datos sensibles como salud, biometría, ubicación precisa, raza, religión, orientación sexual, estatus migratorio y datos de menores, el estándar predeterminado se invierte a consentimiento previo bajo el § 59.1-578(A)(5). La empresa no puede procesar esos datos en absoluto sin su consentimiento afirmativo primero.