Бърз отговор: Colorado Privacy Act (CPA) и Connecticut Data Privacy Act (CTDPA) са два от най-активно прилаганите щатски закона за поверителност в Съединените щати. И двата закона налагат задължения за съгласие, прозрачност и отказ на уебсайтове, които обработват лични данни на жители над определени прагове. Към средата на 2026 г. Кънектикът е намалил прага си за приложимост до 35 000 потребители и е разширил дефиницията си за чувствителни данни, което прави съответствието по-спешно от всякога за собствениците на уебсайтове и предприятията, опериращи между щатите.
Основни изводи
- Colorado Privacy Act е в сила от 1 юли 2023 г.; прагът на Кънектикът спадна до 35 000 потребители, считано от 1 юли 2026 г.
- И двата щата изискват от бизнеса да спазва сигналите на Global Privacy Control (GPC), а главните прокурори от двата щата проведоха съвместна проверка за прилагане през септември 2025 г.
- Измененията на Кънектикът от 2026 г. разшириха категориите чувствителни данни, за да включват невронни данни, статус на увреждане, трансджендър или небинарен статус и идентификационни номера, издадени от правителството.
- Новият закон за изкуствения интелект на Колорадо (CADMA), подписан на 14 май 2026 г., добавя задължения за алгоритмична прозрачност, в сила от 1 януари 2027 г.
- Бизнесът трябва да внедри универсални механизми за отказ, да публикува подробни известия за поверителност и да отговаря на искания за права на потребителите върху данните.
- Нито един от законите не изисква изцяло отделни политики за поверителност за всеки щат, но една политика трябва да обхваща специфичните права, предоставени съгласно всеки закон.
- Инструменти за управление на съгласието, като Biscotti CMP (www.biscotti-cmp.com), са от съществено значение за автоматизиране на разпознаването на сигнали за отказ и регистрирането на съгласие.
- Нарушенията могат да доведат до граждански санкции, налагани от главните прокурори на щатите; няма частно право на иск съгласно нито един от законите.
Каква е разликата между законите за поверителност на Колорадо и Кънектикът
Колорадо и Кънектикът споделят до голяма степен сходна рамка за поверителност, но се различават по ключови прагове, дефиниции за чувствителни данни и обхват на регулиране на изкуствения интелект. Разбирането на тези различия е от основно значение за законите за поверителност на Колорадо и Кънектикът: подготовка на уебсайта ви за съответствие на щатско ниво.
Colorado Privacy Act (CPA): В сила от 1 юли 2023 г., CPA се прилага за контролери, които обработват лични данни на 100 000 или повече потребители от Колорадо годишно, или 25 000 или повече потребители, когато бизнесът генерира приходи от продажба на лични данни [6].
Connecticut Data Privacy Act (CTDPA): В сила от 1 юли 2023 г., но значително изменен за 2026 г. От 1 юли 2026 г. прагът за приложимост спадна от 100 000 на 35 000 потребители, което значително разшири обхвата на закона [2].
| Характеристика | Колорадо (CPA) | Кънектикът (CTDPA) |
|---|---|---|
| Дата на влизане в сила | 1 юли 2023 г. | 1 юли 2023 г. |
| Праг на потребителите | 100 000/година | 35 000 (към юли 2026 г.) |
| Праг, базиран на приходи | 25 000 + приходи от данни | 25 000 + 25% приходи от данни |
| Изисква се универсален отказ | Да | Да (от 1 януари 2025 г.) |
| Разширяване на чувствителни данни (2026 г.) | Няма голяма промяна през 2026 г. | Да (невронни данни, увреждания и др.) |
| Закон за изкуствения интелект | CADMA (в сила от 1 януари 2027 г.) | SB 5 (в сила от 1 октомври 2027 г.) |
Прилагат ли се законите за поверителност на Колорадо и Кънектикът към моя малък бизнес
И двата закона се прилагат въз основа на прагове за обем на данните, а не само на размера на бизнеса или приходите. Малък електронен магазин, който обработва лични данни на 35 000 или повече жители на Кънектикът за една календарна година, попада под CTDPA от 1 юли 2026 г., независимо от годишния приход [2].
Изберете това правило: Ако вашият уебсайт събира имейл адреси, история на покупки или данни за проследяване на поведението от жители на някой от щатите, пребройте вашите уникални записи на потребители годишно. Превишавате ли прага? Вие сте обхванати.
- Колорадо: 100 000 обработени потребители годишно ИЛИ 25 000 потребители, ако продажбите на данни допринасят за приходите [6].
- Кънектикът: 35 000 обработени потребители годишно (след юли 2026 г.) ИЛИ 25 000 потребители, ако 25% или повече от брутния приход произтича от продажба на лични данни [2].
Често срещана грешка: Много малки предприятия приемат, че "продажба на данни" означава директно брокерство на данни. На практика споделянето на данни с рекламни мрежи за целенасочена реклама може да се квалифицира като продажба съгласно двата закона.
Какви са основните изисквания на Colorado Privacy Act
CPA изисква от контролерите да предоставят ясни известия за поверителност, да спазват правата на потребителите и да прилагат механизми за отказ от продажба на данни и целенасочена реклама [6].
Основни задължения съгласно CPA:
- Известие за поверителност: Разкриване на категориите събрани лични данни, целите на обработката и категориите трети страни, получаващи данни.
- Права на потребителите: Достъп, коригиране, изтриване, преносимост на данни и отказ от продажби, целенасочена реклама и профилиране.
- Оценки на защитата на данните: Изискват се за дейности по обработка с висок риск, включително целенасочена реклама и профилиране.
- Договори с обработващи: Писмени споразумения с обработващи данни, уточняващи инструкциите за обработка и задълженията за сигурност.
- Универсален отказ: Спазване на GPC сигнали и подобни механизми за отказ, базирани на браузъра [7].
Офисът на главния прокурор на Колорадо прилага CPA с 60-дневен срок за отстраняване на първи нарушения (подлежи на промяна съгласно бъдещи правила) [6].
Какви са основните изисквания на Закона за поверителност на данните в Кънектикът
CTDPA отразява CPA по структура, но включва разширени категории чувствителни данни и по-ранно прилагане на универсален отказ. От 1 януари 2025 г. обхванатите предприятия трябва да спазват универсални сигнали за предпочитание за отказ, включително GPC [4].
Чувствителни данни съгласно CTDPA (изменения след юли 2026 г.) вече включват [3]:
- Расов или етнически произход
- Психични или физически здравословни състояния, включително статус на увреждане
- Трансджендър или небинарен статус
- Невронни данни
- Номера на финансови сметки, комбинирани с данни за достъп
- Идентификационни номера, издадени от правителството
- Точни данни за геолокация
- Генетични или биометрични данни
Обработката на чувствителни данни изисква изрично съгласие от потребителите в Кънектикът. Това е по-строг стандарт от модела за отказ, който се прилага за общи лични данни.
Кой е по-строг: Законът за поверителност на Колорадо или Законът за поверителност на Кънектикът
Измененията на Кънектикът от 2026 г. го правят малко по-строг за повечето уебсайтове, главно поради по-ниския му праг за приложимост (35 000 срещу 100 000 потребители) и разширените му категории чувствителни данни, изискващи изрично съгласие [2][3]. Предстоящият CADMA на Колорадо обаче налага по-широки задължения, свързани с изкуствения интелект, в повече сектори от SB 5 на Кънектикът [1].
Практическа присъда: За уебсайтове, които се занимават предимно със събиране на данни и реклама, Кънектикът е по-взискателната юрисдикция през 2026 г. За предприятия, които внедряват инструменти за автоматизирано вземане на решения, CADMA на Колорадо (в сила от 1 януари 2027 г.) вероятно ще наложи по-голямо бреме за съответствие [8].
Какъв е крайният срок за спазване на законите за поверителност на Колорадо и Кънектикът
CPA е приложим от 1 юли 2023 г. Пониженият праг на Кънектикът и разширените дефиниции за чувствителни данни влязоха в сила на 1 юли 2026 г. Предприятията, които преди това са били под прага от 100 000 потребители на Кънектикът, но сега надвишават 35 000, трябва незабавно да постигнат съответствие [2].
Предстоящи срокове за проследяване:
- 1 юли 2026 г.: Новият праг от 35 000 потребители на Кънектикът и разширените категории чувствителни данни са в сила.
- 1 януари 2027 г.: CADMA на Колорадо влиза в сила за системи за вземане на решения, подпомагани от изкуствен интелект.
- 1 октомври 2027 г.: Разпоредбите на SB 5 AI на Кънектикът влизат в сила за автоматизирани решения, свързани с трудова заетост [8].
Какво се случва, ако моят уебсайт наруши законите за поверителност на Колорадо или Кънектикът
Нито един от законите не създава частно право на иск, което означава, че отделните потребители не могат да съдят вашия бизнес директно. Прилагането се извършва изключително от главния прокурор на щата [4][8].
Потенциални последици:
- Граждански санкции до 20 000 долара за нарушение в Кънектикът и до 20 000 долара за нарушение в Колорадо.
- Заповедно облекчение, изискващо оперативни промени.
- Публични действия за прилагане, които носят значителни репутационни щети.
През септември 2025 г. главните прокурори на Кънектикът, Калифорния и Колорадо обявиха съвместна разследваща проверка, насочена към предприятия, които не спазват GPC сигналите [5]. Това координирано прилагане сигнализира, че регулаторите активно наблюдават съответствието, а не чакат оплаквания от потребители.
Нуждая ли се от отделни политики за поверителност за Колорадо и Кънектикът
Не, една цялостна политика за поверителност може да удовлетвори и двата закона, при условие че изрично обхваща правата и разкритията, изисквани съгласно всеки от тях. Много предприятия използват многослоен подход: обща политика за поверителност, допълнена от специфични за щата добавки или специален раздел „Вашите права за поверителност“, който се отнася до жителите на Колорадо и Кънектикът по име.
Вашата политика за поверителност трябва да обхваща, най-малкото:
- Категории събрани лични данни и цели на обработката
- Налични права на потребителите (достъп, изтриване, коригиране, преносимост, отказ)
- Как да подадете искане за права на потребителите и срок за отговор (45 дни, с възможност за удължаване с 45 дни)
- Категории трети страни, с които се споделят данни
- Дали бизнесът продава лични данни или ги използва за целенасочена реклама
Как да разбера дали моят уебсайт трябва да спазва тези щатски закони
Определете приложимостта, като проверите годишните си записи на потребителски данни спрямо прага на всеки щат. Ако вашият уебсайт използва анализи, рекламни пиксели или каквато и да е форма на проследяване на поведението, почти сигурно събирате лични данни от жители на двата щата.
Бърза самооценка:
- Събира ли вашият уебсайт лични данни (имена, имейли, IP адреси, идентификатори на устройства)?
- Обслужвате ли посетители от Колорадо или Кънектикът?
- Обработвате ли данни на 100 000+ жители на Колорадо или 35 000+ жители на Кънектикът годишно?
- Споделяте ли данни с рекламни мрежи или доставчици на анализи от трети страни?
Ако сте отговорили с „да“ на въпроси 1, 2 и 4, вероятно отговаряте на прага за поне един закон, дори без точни бройки на потребители, особено за Кънектикът след юли 2026 г.
Какви инструменти за поверителност трябва да внедря за съответствие
Съответствието изисква както техническо изпълнение, така и документация на политиката. Най-критичният технически компонент е платформа за управление на съгласието (CMP), която може да открива и спазва GPC сигнали, да представя съвместими банери за съгласие и да регистрира записи на съгласие за целите на одита.
Biscotti CMP (www.biscotti-cmp.com) е проектиран да отговори на тези изисквания, предлагайки разпознаване на GPC сигнали, гранулирана категоризация на съгласието и готови за одит записи на съгласие, които са в съответствие както с CPA, така и с CTDPA задълженията.
Допълнителни технически изисквания:
- Одит на бисквитки: Инвентаризирайте всички бисквитки от първи и трети страни и тракери на вашия уебсайт.
- Картографиране на данни: Документирайте какви лични данни къде текат, включително обработващи от трети страни.
- Портал за права на потребителите: Механизъм (уеб формуляр или имейл процес) за подаване на заявки за достъп, изтриване и коригиране.
- Актуализации на известието за поверителност: Отразяване на всички изменения на Кънектикът от 2026 г., включително разширени категории чувствителни данни.
Има ли изключения за определени видове уебсайтове или бизнеси
И двата закона включват изключения на ниво субект и на ниво данни. Нестопански организации, държавни органи и определени регулирани индустрии (като субекти, обхванати от HIPAA за здравни данни и финансови институции, регулирани от GLBA за финансови данни) могат да бъдат частично или изцяло освободени.
Чести изключения:
- Данни, вече регулирани съгласно HIPAA, FERPA, GLBA или COPPA, са освободени от изискванията на CPA и CTDPA на ниво данни.
- Бизнеси, опериращи изключително в Колорадо или Кънектикът без дейност по дигитална реклама и под прага на потребителите, не са обхванати.
- Данните на служителите имат ограничени изключения съгласно двата закона, въпреки че SB 5 на Кънектикът добавя нови изисквания за разкриване на AI за заетост, в сила от октомври 2027 г. [8].
Специален случай: Уебсайт за здравеопазване, който събира данни за пациенти, обхванати от HIPAA, е освободен за тези данни, но все още може да бъде обхванат за нездравни лични данни, събрани чрез маркетингови анализи или абонаменти за бюлетини.
Какви са често срещаните грешки, които правят предприятията при спазването на щатските закони за поверителност
Най-честите провали в съответствието включват GPC сигнали, регистриране на съгласие и остарели известия за поверителност.
Основни грешки, които трябва да се избягват:
- Игнориране на GPC сигнали: Към 2026 г. поне осем щата изискват разпознаване на GPC. Неспазването на тези сигнали беше пряка цел на проверката за прилагане на трите щата през 2025 г. [5][7].
- Статични политики за поверителност: Публикуване на политика веднъж и никога нейното актуализиране. Измененията на Кънектикът от юли 2026 г. изискват незабавни актуализации на политиката, за да отразят новите категории чувствителни данни.
- Третиране на отказа като незадължителен: Някои предприятия прилагат банери за съгласие, но продължават да изпращат рекламни тракери, преди потребителят да взаимодейства. Това нарушава духа и буквата на двата закона.
- Липса на споразумения за обработка на данни: Споделянето на данни с обработващи без писмени договори е пряко нарушение на CPA [6].
- Приемане, че статутът на нестопанска организация осигурява пълно освобождаване: Изключенията на ниво субект са тесни; изключенията на ниво данни не обхващат всички дейности по обработка.
Засягат ли законите за поверителност на Колорадо и Кънектикът уебсайтовете за електронна търговия по различен начин
Уебсайтовете за електронна търговия са изложени на повишен риск съгласно двата закона, тъй като обикновено събират данни за плащания, история на покупки, точна геолокация (за доставка) и поведенчески профили, всички от които могат да се квалифицират като чувствителни данни съгласно разширените дефиниции на CTDPA [3].
За операторите на електронна търговия практическите последици включват:
- Изисква се изрично съгласие преди обработка на номера на финансови сметки, комбинирани с данни за достъп (нова категория чувствителни данни в Кънектикът от юли 2026 г.).
- Поведенческата реклама, базирана на историята на покупките, изисква ясен механизъм за отказ и съответствие с GPC.
- Данните от програми за лоялност, свързани с индивидуални потребителски профили, задействат изисквания за оценка на защитата на данните съгласно CPA.
Колко струва да направя уебсайта си съвместим с щатските закони за поверителност
Разходите за съответствие варират значително в зависимост от сложността на уебсайта, съществуващата инфраструктура за данни и дали е ангажиран правен съветник. Един прост информационен уебсайт с минимално събиране на данни може да постигне съответствие предимно чрез актуализации на политиката и внедряване на CMP, което може да струва от няколкостотин до няколко хиляди долара годишно. Сложните платформи за електронна търговия или предприятия с обширни тръбопроводи за обработка на данни могат да понесат значително по-високи разходи за картографиране на данни, правен преглед и техническо отстраняване.
Фактори, влияещи върху разходите:
- Правен преглед на политиката за поверителност и споразуменията за обработка на данни
- Лицензиране и внедряване на CMP (текущи годишни разходи)
- Време на вътрешен персонал за обработка на заявки за права на потребителите
- Упражнения за картографиране и одит на данни (еднократни плюс периодични актуализации)
Разходите за неспазване, напротив, включват граждански санкции до 20 000 долара за нарушение плюс репутационни щети от публични действия за прилагане.
Заключение
Законите за поверителност на Колорадо и Кънектикът: подготовката на уебсайта ви за съответствие на щатско ниво вече не е упражнение за бъдещо планиране. С понижения праг на Кънектикът, който вече е в сила от 1 юли 2026 г., и вече започналите проверки за прилагане, прозорецът за реактивно съответствие е затворен. Собствениците на уебсайтове, разработчиците и маркетинговите агенции, опериращи в тези щати, трябва да одитират обемите си от потребителски данни, да актуализират известията за поверителност, за да отразят разширените категории чувствителни данни, да внедрят управление на съгласието, спазващо GPC, чрез платформа като Biscotti CMP (www.biscotti-cmp.com), и да установят документирани процеси за заявки за права на потребителите.
Действия за следващи стъпки:
- Незабавно одитирайте годишните си записи на потребителски данни спрямо праговете от 35 000 (Кънектикът) и 100 000 (Колорадо).
- Актуализирайте политиката си за поверителност, за да отговорите на разширенията на чувствителните данни в Кънектикът от юли 2026 г.
- Разгърнете платформа за управление на съгласието, която разпознава и спазва GPC сигналите във всички свойства на уебсайта.
- Изпълнете писмени споразумения за обработка на данни с всички обработващи от трети страни.
- Започнете да се подготвяте за задълженията на CADMA AI на Колорадо, в сила от 1 януари 2027 г., ако вашият уебсайт използва инструменти за автоматизирано вземане на решения.
Съответствието с поверителността на щатско ниво вече е основно очакване, а не конкурентно предимство. Бизнесите, които го третират като инфраструктура, а не като допълнителни разходи, ще бъдат най-добре позиционирани, тъй като дейността по прилагане продължава да се ускорява.
ЧЗВ
В: Прилага ли се Colorado Privacy Act за бизнеси извън Колорадо? Да. CPA се прилага за всеки бизнес, който обработва лични данни на жители на Колорадо над прага, независимо от физическото местоположение на бизнеса.
В: Какво е Global Privacy Control (GPC) сигнал? GPC е сигнал, базиран на браузъра, който автоматично съобщава предпочитанието на потребителя за отказ от продажба на данни и целенасочена реклама на всеки уебсайт, който посещава. И Колорадо, и Кънектикът изискват от обхванатите бизнеси да го спазват [7].
В: Кога Кънектикът понижи прага си за приложимост? Прагът на Кънектикът спадна от 100 000 на 35 000 потребители, считано от 1 юли 2026 г., като част от измененията на закона за поверителност от 2025 г. [2].
В: Има ли частно право на иск съгласно CPA или CTDPA? Не. И двата закона се прилагат изключително от съответните им главни прокурори на щатите. Отделните потребители не могат да подават искове директно съгласно нито един от законите [4][8].
В: Какво се счита за „продажба“ на лични данни съгласно тези закони? Споделянето на лични данни с трети страни срещу парично или друго ценно възнаграждение, включително споделянето с рекламни мрежи в замяна на услуги за целенасочена реклама, обикновено се квалифицира като продажба съгласно двата закона.
В: Колко време имат предприятията, за да отговорят на заявки за права на потребителите? И CPA, и CTDPA изискват отговор в рамките на 45 дни, с възможно удължаване с 45 дни, когато е разумно необходимо, за максимум 90 дни общо [6][4].
В: Заменя ли CADMA на Колорадо CPA? Не. CADMA, в сила от 1 януари 2027 г., е отделен закон, регулиращ вземането на решения, подпомагани от изкуствен интелект. CPA продължава да регулира общата обработка на лични данни [8].
В: Какво представляват невронните данни и защо са важни за уебсайтовете? Невронните данни се отнасят до информация, получена от интерфейси мозък-компютър или невротехнологии. Кънектикът ги добави към категориите си чувствителни данни през 2026 г. Повечето стандартни уебсайтове няма да ги събират, но платформите за здраве и уелнес, използващи биометрични инструменти, трябва да прегледат своите инвентаризации на данни [3].
В: Нуждая ли се от изрично съгласие или отказ за чувствителни данни в Кънектикът? Изисква се изрично съгласие за обработка на чувствителни данни съгласно CTDPA. Това е по-строг стандарт от модела за отказ, който се прилага за общи лични данни [3].
В: Може ли една политика за поверителност да обхваща както Колорадо, така и Кънектикът? Да, при условие че политиката изрично обхваща правата и разкритията, изисквани съгласно всеки закон. Добавката „Вашите права за поверителност“, специфична за щата, е често срещан и ефективен подход.
Източници
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai