Um residente da Virgínia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de usar os dados para anúncios.

O que acontece a partir daí?

A Virginia Consumer Data Protection Act (VCDPA, Va. Code § 59.1-575 et seq.), em vigor desde 1º de janeiro de 2023, define com precisão o que precisa acontecer: o canal para receber a solicitação, o prazo para responder, o processo de apelação em caso de recusa, e o que acontece quando a empresa não cumpre.

Este artigo cobre tudo isso.

DSAR é a sigla em inglês para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal feito por um consumidor para exercer os direitos que a lei garante sobre os próprios dados.

Isso inclui pedir para ver o que você coletou, corrigir uma informação incorreta, solicitar a exclusão dos dados, pedir uma cópia portátil, recusar o uso dos dados para publicidade segmentada, ou contestar uma decisão sua sobre um pedido anterior.

Se você já conhece a LGPD, o conceito do Portal do Titular é familiar. A VCDPA segue a mesma lógica: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

Conforme Va. Code § 59.1-577 A, os residentes da Virgínia têm cinco direitos principais:

O consumidor pode pedir confirmação de que a empresa processa os dados dele e obter uma cópia dos dados pessoais que ela mantém, conforme Va. Code § 59.1-577 A, 1.

A resposta precisa ser fornecida em formato acessível e compreensível.

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme Va. Code § 59.1-577 A, 2.

Isso cobre qualquer dado desatualizado, incompleto ou incorreto. A empresa não pode ignorar esse pedido.

O consumidor pode solicitar a exclusão dos dados que forneceu ou que foram obtidos sobre ele, conforme Va. Code § 59.1-577 A, 3.

Há uma alternativa válida na VCDPA que não existe em outras leis: se a empresa obteve o dado de uma fonte que não o próprio consumidor, pode cumprir o pedido de exclusão de duas formas. Pode excluir o dado de fato, ou pode reter o mínimo necessário para garantir que o dado permanece excluído das bases ativas e não é usado para nenhuma outra finalidade (Va. Code § 59.1-577 B, 5).

O consumidor pode obter uma cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, quando o processamento é feito por meios automatizados, conforme Va. Code § 59.1-577 A, 4.

Isso facilita a transferência dos dados para outro controlador.

O consumidor pode recusar o processamento dos dados para três finalidades específicas (Va. Code § 59.1-577 A, 5):

Publicidade segmentada (anúncios baseados em atividades em sites não afiliados ao longo do tempo).

Venda de dados pessoais a terceiros.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos sobre o consumidor (como acesso a crédito, habitação, seguro, emprego ou serviços de saúde).

Conforme Va. Code § 59.1-577 C, se a empresa recusar uma solicitação, o consumidor tem o direito de apelar da decisão.

O processo de apelação precisa:

Ser conspicuamente disponível, fácil de encontrar.

Ser comparável ao processo de submissão das solicitações originais.

Resultar em resposta por escrito dentro de 60 dias, com a decisão e a justificativa.

Se a apelação for negada, a empresa precisa informar ao consumidor como ele pode contatar o Attorney General da Virgínia para registrar uma reclamação. O Va. Code § 59.1-577 C especifica que, se disponível, o mecanismo para contatar o Attorney General deve ser online.

A VCDPA é direta nos prazos.

45 dias a partir do recebimento da solicitação autenticada (Va. Code § 59.1-577 B, 1).

O prazo pode ser estendido por mais 45 dias quando razoavelmente necessário, considerando complexidade e volume de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

60 dias para responder a apelações (Va. Code § 59.1-577 C).

Esses prazos começam a contar quando a solicitação é recebida e autenticada. Se for necessário solicitar informações adicionais para verificar a identidade do consumidor, o prazo fica suspenso até que a verificação seja concluída.

O Va. Code § 59.1-577 B usa o termo "receipt of the request". Para fins de contagem do prazo, a solicitação é recebida quando a empresa tem as informações mínimas para processar o pedido.

O processo de verificação de identidade pode influenciar esse marco. Se a empresa solicita informações adicionais para autenticar o consumidor, o prazo fica interrompido até que a autenticação seja concluída, conforme Va. Code § 59.1-577 B, 4.

Por isso, o processo de verificação precisa ser ágil, proporcional ao tipo de dado envolvido, e descrito claramente no canal de submissão.

Conforme Va. Code § 59.1-578 E, o controlador precisa estabelecer e descrever na Política de Privacidade pelo menos um meio seguro e confiável para os consumidores submeterem solicitações.

Esse meio precisa:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir que o controlador autentique a identidade do consumidor.

Não exigir que o consumidor crie uma nova conta. A empresa pode exigir o uso de uma conta existente, mas não pode forçar o cadastro de uma nova conta apenas para exercer um direito garantido por lei.

Um Portal do Titular bem estruturado oferece:

Formulário de submissão com categorias claras (acesso, correção, exclusão, portabilidade, opt-out).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com número de protocolo.

Registro de cada solicitação, ação tomada e resposta enviada.

Canal de apelação para casos de recusa.

O consentimento no site e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas nos sistemas operacionais da empresa.

A VCDPA exige que o controlador autentique a identidade do consumidor usando esforços comercialmente razoáveis, conforme Va. Code § 59.1-577 B, 4.

Se não for possível autenticar com esforços razoáveis, a empresa não é obrigada a cumprir a solicitação, mas pode pedir informações adicionais razoavelmente necessárias.

Na prática, isso significa:

Para dados de baixo risco: uma confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou situações com maior risco: um segundo fator de verificação pode ser justificado.

O que nunca é aceitável: exigir documentos físicos para acesso a dados simples de comportamento de navegação, criar processos deliberadamente trabalhosos para desencorajar solicitações, ou negar pedidos com base em autenticação impossível quando métodos mais simples são disponíveis.

Conforme Va. Code § 59.1-577 B, 3, o atendimento de solicitações é gratuito até 2 vezes por ano por consumidor.

Esse é um ponto de diferença importante em relação a outras leis estaduais. A NHDPA, por exemplo, garante gratuidade apenas uma vez por ano. A VCDPA garante duas.

A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar, caso a solicitação seja manifestamente infundada, excessiva ou repetitiva. O ônus de demonstrar o caráter excessivo é da empresa.

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare uma cópia em formato legível e acessível.

Inclua na resposta: categorias de dados, finalidades do processamento, terceiros com quem os dados foram compartilhados.

Envie dentro do prazo de 45 dias.

Um inventário de dados atualizado é o que torna esse processo viável em larga escala.

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique os terceiros que receberam o dado para que façam a correção do lado deles.

Confirme ao consumidor que a correção foi realizada.

Receba e autentique.

Verifique se existe exceção legal que permita reter o dado (obrigação legal, defesa judicial, finalidade protegida).

Se não houver exceção: exclua dos sistemas ativos. Para dados obtidos de terceiros, há a alternativa de reter o mínimo necessário para garantir a não utilização futura (Va. Code § 59.1-577 B, 5).

Notifique terceiros que receberam os dados para exclusão quando aplicável.

Confirme ao consumidor o que foi excluído e, se houver retenção parcial justificada, explique.

Receba e autentique.

Gere um arquivo com os dados do consumidor em formato portátil e tecnicamente utilizável, como JSON ou CSV.

Entregue ao consumidor de forma segura dentro do prazo.

O opt-out de publicidade segmentada, venda de dados ou perfilamento com efeitos significativos precisa resultar na cessação efetiva do processamento para essas finalidades.

A VCDPA não especifica um prazo de cessação separado do prazo geral de 45 dias, mas o critério legal é "without undue delay" (sem demora indevida). Na prática, sistemas bem configurados processam opt-outs em tempo real ou em poucas horas.

Uma plataforma de gestão de consentimentos integrada aos sistemas da empresa automatiza esse fluxo.

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços comercialmente razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica a retenção ou o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias, com:

A justificativa da recusa.

Instruções claras sobre como apelar da decisão (Va. Code § 59.1-577 B, 2).

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias. Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General da Virgínia.

O Va. Code § 59.1-578 A, 4 proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas voluntários de fidelidade, recompensas, funcionalidades premium ou descontos que oferecem benefícios em troca do uso de dados, desde que o consumidor participe voluntariamente.

O Va. Code § 59.1-578 F proíbe processar dados de crianças conhecidas menores de 13 anos para publicidade segmentada, venda de dados ou perfilamento com efeitos significativos.

Para plataformas de redes sociais, a partir de janeiro de 2026, a proteção se estende a menores de 16 anos, com limite de 1 hora de uso diário (Va. Code § 59.1-577.1).

Se o seu portal recebe solicitações de usuários nessas faixas etárias, o processo precisa ter tratamento diferenciado.

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Attorney General. Sem registro, não há como demonstrar que os processos foram cumpridos dentro dos prazos.

Antes de iniciar qualquer ação, o Attorney General precisa enviar notificação com 30 dias de prazo para a empresa corrigir a violação (Va. Code § 59.1-584 B). Se a empresa corrigir e fornecer declaração escrita de que as violações foram sanadas, nenhuma ação é iniciada.

Empresas sem processo estruturado para DSARs têm grande dificuldade de corrigir em 30 dias o que deveria ter sido implementado desde o início. O cure period é uma garantia, não uma estratégia de conformidade.

Se a violação continuar, as penalidades podem chegar a US$ 7.500 por violação, com cada consumidor cujo direito foi violado podendo ser contado como violação individual.

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada via Portal do Titular, o sistema atualiza automaticamente os disparadores de cookies e rastreadores.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela VCDPA. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.

Canal de submissão de solicitações sem exigência de criação de nova conta (Va. Code § 59.1-578 E).

Cobertura dos 5 direitos garantidos pela VCDPA: acesso, correção, exclusão, portabilidade e opt-out.

Processo de apelação conspicuamente disponível e comparável ao canal de submissão original (Va. Code § 59.1-577 C).

Prazo de 45 dias para resposta, com extensão de mais 45 com notificação quando necessário (Va. Code § 59.1-577 B, 1).

Prazo de 60 dias para resposta a apelações (Va. Code § 59.1-577 C).

Processo de autenticação de identidade com esforços comercialmente razoáveis (Va. Code § 59.1-577 B, 4).

Atendimento gratuito duas vezes por ano por consumidor (Va. Code § 59.1-577 B, 3).

Registro documentado de cada solicitação, ação tomada e resposta enviada.

Informação sobre como contatar o Attorney General em caso de apelação negada (Va. Code § 59.1-577 C).

Proteção contra discriminação de consumidores que exercem seus direitos (Va. Code § 59.1-578 A, 4).

Tratamento diferenciado para dados de crianças menores de 13 anos (Va. Code § 59.1-578 F).

Notificação a terceiros quando aplicável para exclusão ou correção dos dados compartilhados.

Tipo de solicitação	Prazo de resposta	Extensão possível
Acesso, correção, exclusão, portabilidade	45 dias	+45 dias com notificação
Opt-out (publicidade, venda, perfilamento)	45 dias	+45 dias com notificação
Apelação de decisão	60 dias	Não especificado
Cure period para violações	30 dias garantidos	Não há extensão

1. A VCDPA exige obrigatoriamente um Portal do Titular dedicado?
Não pelo nome. O Va. Code § 59.1-578 E exige que o controlador estabeleça e descreva na Política de Privacidade pelo menos um meio seguro e confiável para submissão de solicitações. Um Portal do Titular dedicado é a forma mais organizada de atender a esse requisito, mas um formulário de contato estruturado ou um e-mail monitorado também podem cumprir a exigência, desde que atendam aos critérios de segurança e confiabilidade.

2. A VCDPA tem um prazo específico para cessar o processamento após opt-out?
Não da mesma forma que a NHDPA, que especifica 15 dias. A VCDPA usa o critério "without undue delay" (sem demora indevida) para a resposta geral, com prazo máximo de 45 dias (Va. Code § 59.1-577 B, 1). Na prática, para opt-outs de publicidade segmentada, o esperado é que a cessação seja processada com a maior agilidade tecnicamente razoável, dentro do prazo de resposta formal.

3. Quantas vezes por ano a empresa precisa atender gratuitamente?
Duas vezes por ano por consumidor, conforme Va. Code § 59.1-577 B, 3. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva ou repetitiva. O ônus de provar o caráter excessivo é da empresa.

4. O que acontece se a empresa não tiver processo para atender DSARs quando receber uma notificação do Attorney General?
O Attorney General envia notificação com 30 dias de prazo para correção (Va. Code § 59.1-584 B). Se a empresa não implementar o processo dentro do prazo ou descumprir a declaração escrita de correção fornecida, o AG pode buscar penalidades de até US$ 7.500 por violação. Cada consumidor cujo direito foi violado pode ser uma violação separada, o que eleva o impacto financeiro rapidamente.

5. Como a VCDPA trata dados de consumidores obtidos de terceiros no contexto de exclusão?
O Va. Code § 59.1-577 B, 5 oferece uma alternativa específica para esse caso. A empresa que obteve dados de uma fonte que não o próprio consumidor pode cumprir o pedido de exclusão de duas formas: excluindo o dado de fato, ou retendo o mínimo necessário para garantir que o dado permaneça excluído das bases ativas e não seja usado para nenhuma finalidade além de garantir essa exclusão. Essa alternativa não existe na NHDPA nem em algumas outras leis estaduais americanas.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a VCDPA? Fale com a nossa equipe.