Virginia Consumer Data Protection Act : les règles cookies pour les visiteurs de Virginie

Qu’est-ce que le VCDPA ?

Le Virginia Consumer Data Protection Act (Code de Virginie, titre 59.1, chapitre 53) a été adopté en mars 2021 et est devenu la deuxième loi générale sur la protection des données des consommateurs aux États-Unis après celle de la Californie. Il est entré en vigueur le 1er janvier 2023. Sa structure, avec des responsables de traitement et des sous-traitants, des droits des consommateurs, des analyses d’impact et une application confiée au seul procureur général, est devenue le modèle que la plupart des lois d’États suivantes ont repris, du Colorado et du Connecticut au Texas et à l’Oregon. La synthèse des lois des États américains les compare.

La Virginie a modifié la loi plusieurs fois. Des modifications de 2024 ont renforcé les règles sur les données des enfants, une modification de 2025 a ajouté la section 59.1-577.1 sur l’usage des réseaux sociaux par les mineurs, et une modification de 2026 (2026, chapitre 820) interdit aux responsables de traitement de vendre ou de proposer à la vente les données de géolocalisation précise d’un consommateur.

À qui s’applique le VCDPA ?

La section 59.1-576 applique la loi aux personnes qui exercent une activité en Virginie ou proposent des produits ou des services destinés aux résidents de Virginie et qui, au cours d’une année civile :

• contrôlent ou traitent les données personnelles d’au moins 100 000 consommateurs, ou
• contrôlent ou traitent les données personnelles d’au moins 25 000 consommateurs et tirent plus de 50 % de leur chiffre d’affaires brut de la vente de données personnelles.

Il n’existe aucun seuil fondé sur le seul chiffre d’affaires : une grande entreprise avec peu de clients en Virginie peut échapper à la loi, tandis qu’un site de taille moyenne qui reçoit 100 000 visiteurs de Virginie par an peut y être soumis. Un consommateur est un résident de Virginie agissant dans un cadre individuel ou familial, si bien que les données des salariés et les données entre entreprises sont exclues. La loi exempte aussi les organismes publics de l’État, les organisations à but non lucratif, les établissements d’enseignement supérieur, les institutions financières soumises au Gramm-Leach-Bliley Act et les entités couvertes par HIPAA.

Qu’exige le VCDPA pour les cookies et les traceurs ?

La loi régit l’usage qui est fait des données personnelles, pas le cookie lui-même. Les identifiants de cookies et les adresses IP sont des données personnelles lorsqu’ils sont liés ou raisonnablement associables à une personne. Trois usages comptent pour les sites web :

• Publicité ciblée : afficher des publicités choisies sur la base de données personnelles obtenues à partir des activités d’un consommateur dans le temps et sur des sites ou applications non affiliés. Les pixels de remarketing et les cookies des réseaux publicitaires en relèvent. Les consommateurs peuvent s’y opposer (section 59.1-577 A 5).
• Vente de données personnelles : en Virginie, uniquement l’échange de données personnelles contre une contrepartie monétaire avec un tiers. Cette définition est plus étroite qu’au Colorado, au Connecticut, au Texas ou en Oregon, où une autre contrepartie de valeur compte aussi. Des données transmises à des partenaires ad tech sans paiement peuvent ne pas constituer une vente en Virginie, mais il s’agit en général de toute façon de publicité ciblée, qui ouvre le même droit d’opposition.
• Profilage en vue de décisions produisant des effets juridiques ou d’importance similaire, comme des décisions en matière de crédit, de logement ou d’emploi. Les consommateurs peuvent s’y opposer.

La mesure d’audience interne qui sert à mesurer l’audience du site lui-même ne relève d’aucune de ces catégories et n’exige ni opposition ni consentement, seulement une description dans l’avis de confidentialité.

Les données sensibles exigent un consentement. La section 59.1-578 A 5 interdit de traiter des données sensibles sans le consentement du consommateur : données révélant l’origine raciale ou ethnique, les croyances religieuses, un diagnostic de santé mentale ou physique, l’orientation sexuelle, la nationalité ou le statut migratoire, données génétiques ou biométriques servant à identifier une personne, données personnelles collectées auprès d’un enfant connu, et données de géolocalisation précise. Le consentement désigne un acte positif clair qui exprime un accord libre, spécifique, éclairé et univoque. Les données d’un enfant connu de moins de 13 ans doivent être traitées conformément à la loi fédérale Children’s Online Privacy Protection Act, avec un consentement parental avant toute publicité ciblée, vente ou profilage. Depuis le 1er juillet 2026, les données de géolocalisation précise ne peuvent plus être vendues du tout.

L’avis. La section 59.1-578 impose un avis de confidentialité raisonnablement accessible, clair et pertinent, qui liste les catégories de données traitées, les finalités, la manière d’exercer ses droits et de faire appel, les catégories de données partagées avec des tiers et les catégories de ces tiers. Un responsable de traitement qui vend des données personnelles ou les utilise pour de la publicité ciblée doit l’indiquer de façon claire et visible, ainsi que la manière de s’y opposer.

Demandes et recours. Les responsables de traitement répondent aux demandes d’exercice des droits sous 45 jours, délai prolongeable une fois de 45 jours, et doivent proposer une procédure d’appel ; un appel rejeté doit indiquer au consommateur comment saisir le procureur général. Des analyses d’impact sont exigées pour la publicité ciblée, les ventes, le profilage et le traitement de données sensibles.

Dois-je respecter Global Privacy Control en Virginie ?

La loi ne l’exige pas. Contrairement au Colorado, au Connecticut, au Texas et à l’Oregon, le VCDPA ne contient aucune disposition sur les mécanismes universels d’opposition ni sur les signaux de préférence du navigateur. En pratique, la plupart des entreprises qui respectent Global Privacy Control dans d’autres États l’appliquent aussi aux visiteurs de Virginie, parce qu’un signal de navigateur ne révèle pas l’État de façon fiable et qu’une règle uniforme est plus simple à gérer. C’est permis. Voir Global Privacy Control pour le fonctionnement du signal.

Que doit faire un avis conforme pour les visiteurs de Virginie ?

• Publier un avis de confidentialité contenant les informations listées ci-dessus.
• Si le site utilise des cookies ou des pixels publicitaires, l’indiquer et proposer un moyen clair de s’opposer à la publicité ciblée et à la vente, par exemple un lien « Your privacy choices » (vos choix de confidentialité) ou « Do not sell or share my personal information » (ne pas vendre ni partager mes informations personnelles).
• Arrêter les balises publicitaires dès qu’un visiteur s’oppose, et garder une trace de la demande.
• Demander un consentement préalable avant de collecter des données sensibles, par exemple un questionnaire de santé ou une localisation précise.

Un bandeau de consentement à l’européenne n’est pas exigé, et il ne remplace ni le lien d’opposition ni l’avis.

Contrôles et sanctions

Le procureur général a une compétence exclusive au titre de la section 59.1-584. Avant d’engager une action, ses services doivent adresser au responsable de traitement ou au sous-traitant une notification écrite de 30 jours qui identifie les infractions ; si l’entreprise y remédie dans ce délai et déclare expressément par écrit l’avoir fait et qu’aucune nouvelle infraction ne se produira, aucune action ne suit. Ce délai de régularisation n’a pas de date d’expiration, ce qui fait de la Virginie l’un des États les plus cléments. Si l’entreprise persiste ou manque à sa déclaration, le procureur général peut demander une injonction et des sanctions civiles jusqu’à 7 500 $ par infraction, plus les frais raisonnables, honoraires d’avocat compris. Il n’y a pas de droit d’action privé.

Nous n’avons trouvé aucune amende ni aucun accord transactionnel annoncé au titre des dispositions générales de la loi sur les données des consommateurs en octobre 2026. La disposition plus récente sur les réseaux sociaux, qui limite les utilisateurs de moins de 16 ans à une heure par jour et par plateforme sauf accord contraire d’un parent, a été contestée devant un tribunal fédéral par l’association du secteur technologique NetChoice, et un juge fédéral en a suspendu l’application aux membres de NetChoice en février 2026.

Comment Cookiequiet gère la Virginie

Avec le ciblage géographique, inclus dans chaque offre y compris l’offre gratuite, Cookiequiet peut montrer aux visiteurs de Virginie un avis d’opposition avec un lien « Do not sell or share my personal information » au lieu d’un bandeau de consentement à l’européenne, tandis que les visiteurs de l’EEE ou du Royaume-Uni voient toujours le bandeau de consentement préalable. Global Privacy Control est respecté comme une opposition, et les balises marketing retenues par le système de catégories s’arrêtent quand un visiteur s’oppose. L’installation tient en une balise script et environ cinq minutes ; voir les tarifs pour les offres. Les modèles de politique de confidentialité sont rédigés pour le CCPA/CPRA plutôt que pour la Virginie en particulier : vérifiez les mentions propres à la Virginie avec votre conseiller.