Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › États américains › Vermont
VDPOSA
Loi du Vermont sur la confidentialité des données et la surveillance en ligne
QuandEntre en vigueur le 1er janvier 2028
Qui en assure l’applicationProcureur général de l’État (aucun droit d’action privé)
À qui elle s’appliqueEntreprises qui traitent des données personnelles des résidents de l’État au-delà des seuils fixés par la loi. Les seuils, les exemptions et les règles relatives aux données sensibles varient d’un État à l’autre.
SeuilsS’applique aux entreprises effectuant un traitement des données de 35,000+ consommateurs du Vermont, ou de données sensibles de 3,000…
Opposition universelleLes responsables du traitement doivent respecter les signaux de préférence de refus répondant aux critères légaux pour la publicité ciblée…
Période de régularisationDu 1er janvier 2028 au 30 juin 2029, le AG doit notifier les violations susceptibles de régularisation et accorder…
Délai de réponse aux demandesLes responsables du traitement doivent répondre dans un délai de 45 jours, prolongeable une fois de 45 jours
Sanction maximaleSanctions civiles jusqu’à $10,000 par violation en vertu du Consumer Protection Act
Action privéeAucun droit d’action privé
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Champ d'application
Seuils
2
Applies to businesses processing data of 35,000+ Vermont consumers, or sensitive data of 3,000+, or selling data of 3,000+. Consumer health data rules apply regardless of size.9 V.S.A. § 2415b · secondary source · source ↗
Enacted as S.71 (2026), Act 145, signed by Gov. Scott June 16, 2026. The as-enacted text was not retrievable; the 'as passed both chambers' PDF mixes an earlier version. Cells rely on law-firm summaries. Section numbers 9 V.S.A. §§ 2415a-2415k come from DRM and are unverified.
Exemptions
2
GLBA data is exempt at the data level, with entity-level exemptions for banks, credit unions and HIPAA-regulated health care providers. Sources disagree on whether nonprofits are exempt.9 V.S.A. § 2415c · secondary source · source ↗
Hunton reports entity-level exemptions for nonprofits and higher education; DRM says only insurance-fraud nonprofits are exempt and higher education is covered. Verify against Act 145.
Données sensibles et mineurs
Données sensibles
2
Sensitive data, broadly including consumer health and neural data, may be processed only with consent and when reasonably necessary; sale requires consent.9 V.S.A. §§ 2415a, 2415e · secondary source · source ↗
An earlier bill version had a strictly-necessary standard and a sale ban; the enacted version per DRM and Hunton uses consent.
Enfants et adolescents
3
Sale and targeted ads using data of known 13- to 17-year-olds are prohibited; under-13 data follows COPPA and the Vermont Age-Appropriate Design Code.9 V.S.A. § 2415e · secondary source · source ↗
Minimisation des données
2
Collection must be reasonably necessary and proportionate to disclosed purposes; materially new incompatible purposes need consent.9 V.S.A. § 2415e · secondary source · source ↗
Droits des consommateurs
Droits
3
Access (with portability and inferences), correct, delete, opt out of targeted ads, sale and profiling, list of third parties sold to, and profiling explanation and reevaluation.9 V.S.A. § 2415d · secondary source · source ↗
Délai de réponse aux demandes
2
Controllers must respond within 45 days, extendable once by 45 days.9 V.S.A. § 2415d · secondary source · source ↗
Recours
2
Controllers must offer an appeal, decide within 60 days, and give a way to contact the Attorney General.9 V.S.A. § 2415d · secondary source · source ↗
Opposition universelle
2
Controllers must honor opt-out preference signals meeting statutory criteria for targeted ads and sale, without authenticating them.9 V.S.A. § 2415e · secondary source · source ↗
Confirmed by DRM and Hinshaw; no named technical standard.
Obligations des entreprises
Évaluations
3
Data protection assessments for high-risk processing plus separate impact assessments for significant profiling, available to the AG on request.9 V.S.A. § 2415g · secondary source · source ↗
Applies to processing beginning after January 1, 2028.
Contrats de sous-traitance
3
Contract with instructions, data types, duration, confidentiality, return or deletion, audit cooperation, and subcontracting only after the controller can object.9 V.S.A. § 2415f · secondary source · source ↗
Politique de confidentialité
3
Notice must disclose categories, purposes, sales, targeted ads and whether data trains large language models; material changes require notice and a chance to withdraw consent.9 V.S.A. § 2415e · secondary source · source ↗
Programmes de fidélité
1
Different prices or service levels allowed for voluntary bona fide loyalty, rewards or club programs.9 V.S.A. § 2415e · secondary source · source ↗
Données désidentifiées
3
Deidentified data needs safeguards, a public commitment and contract flow-down; pseudonymous data is exempt from most rights if kept separate.9 V.S.A. § 2415h · secondary source · source ↗
Application
Autorité de contrôle
1
Attorney General has exclusive enforcement authority; violations are Vermont Consumer Protection Act violations.9 V.S.A. § 2415j · secondary source · source ↗
Période de régularisation
2
From January 1, 2028 to June 30, 2029, the AG must give notice of curable violations and allow 60 days to cure; it then expires.9 V.S.A. § 2415j · secondary source · source ↗
Sanction maximale
2
Civil penalties up to $10,000 per violation under the Consumer Protection Act.9 V.S.A. § 2415j; 9 V.S.A. § 2458 · secondary source · source ↗
Penalty figure from Hinshaw and Didomi; § 2458 cite not verified.
Action privée
0
No private right of action; it was removed from the final bill.9 V.S.A. § 2415j · secondary source · source ↗
Pouvoir réglementaire
–
Not addressedNot confirmed · secondary source · source ↗
Sources reviewed are silent. An earlier bill version gave the AG Consumer Protection Act rulemaking power; check Act 145.
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles