Resposta ràpida: La Colorado Privacy Act (CPA) i la Connecticut Data Privacy Act (CTDPA) són dues de les lleis de privadesa estatals més activament aplicades als Estats Units. Ambdues lleis imposen obligacions de consentiment, transparència i d'exclusió voluntària als llocs web que processen dades personals de residents per sobre dels llindars definits. A mitjans de 2026, Connecticut ha reduït el seu llindar d'aplicabilitat a 35.000 consumidors i ha ampliat la seva definició de dades sensibles, fent que el compliment sigui més urgent que mai per als propietaris de llocs web i les empreses que operen a través de les fronteres estatals.
Punts clau
- La Colorado Privacy Act està en vigor des de l'1 de juliol de 2023; el llindar de Connecticut va baixar a 35.000 consumidors a partir de l'1 de juliol de 2026.
- Ambdós estats exigeixen a les empreses que respectin els senyals de Global Privacy Control (GPC), i els fiscals generals d'ambdós estats van realitzar una investigació conjunta al setembre de 2025.
- Les esmenes de Connecticut de 2026 van ampliar les categories de dades sensibles per incloure dades neuronals, estat de discapacitat, estat transgènere o no binari i números d'identificació emesos pel govern.
- La nova llei d'IA de Colorado (CADMA), signada el 14 de maig de 2026, afegeix obligacions de transparència algorítmica a partir de l'1 de gener de 2027.
- Les empreses han d'implementar mecanismes d'exclusió universal, publicar avisos de privadesa detallats i respondre a les sol·licituds de drets de dades dels consumidors.
- Cap de les dues lleis requereix polítiques de privadesa totalment separades per estat, però una única política ha d'abordar els drets específics concedits per cada llei.
- Les eines de gestió del consentiment, com Biscotti CMP (www.biscotti-cmp.com), són essencials per automatitzar el reconeixement de senyals d'exclusió i el registre del consentiment.
- Les violacions poden comportar sancions civils aplicades pels fiscals generals de l'estat; no hi ha dret d'acció privat sota cap de les dues lleis.
Quina diferència hi ha entre les lleis de privadesa de Colorado i Connecticut?
Colorado i Connecticut comparteixen un marc de privadesa àmpliament similar, però divergeixen en llindars clau, definicions de dades sensibles i abast de la regulació de la IA. Comprendre aquestes distincions és fonamental per a les lleis de privadesa de Colorado i Connecticut: preparar el vostre lloc web per al compliment a nivell estatal.
Colorado Privacy Act (CPA): En vigor des de l'1 de juliol de 2023, la CPA s'aplica als controladors que processen dades personals de 100.000 o més consumidors de Colorado anualment, o 25.000 o més consumidors quan el negoci obté ingressos de la venda de dades personals [6].
Connecticut Data Privacy Act (CTDPA): En vigor des de l'1 de juliol de 2023, però modificada significativament per al 2026. A partir de l'1 de juliol de 2026, el llindar d'aplicabilitat va baixar de 100.000 a 35.000 consumidors, ampliant substancialment l'abast de la llei [2].
| Característica | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Data d'entrada en vigor | 1 de juliol de 2023 | 1 de juliol de 2023 |
| Llindar de consumidors | 100.000/any | 35.000 (a partir de juliol de 2026) |
| Llindar basat en ingressos | 25.000 + ingressos per dades | 25.000 + 25% d'ingressos per dades |
| Exclusió universal requerida | Sí | Sí (des de l'1 de gener de 2025) |
| Expansió de dades sensibles (2026) | Sense canvis importants el 2026 | Sí (dades neuronals, discapacitat, etc.) |
| Llei d'IA | CADMA (efectiu l'1 de gener de 2027) | SB 5 (efectiu l'1 d'octubre de 2027) |
Les lleis de privadesa de Colorado i Connecticut s'apliquen a la meva petita empresa?
Ambdues lleis s'apliquen en funció dels llindars de volum de dades, no només de la mida o els ingressos de l'empresa. Una petita botiga de comerç electrònic que processa dades personals de 35.000 o més residents de Connecticut en un any natural entra dins de la CTDPA a partir de l'1 de juliol de 2026, independentment dels ingressos anuals [2].
Trieu aquesta regla: Si el vostre lloc web recopila adreces de correu electrònic, historials de compra o dades de seguiment de comportament de residents de qualsevol dels dos estats, compteu els vostres registres de consumidors únics anualment. Supera el llindar? Està cobert.
- Colorado: 100.000 consumidors processats per any, O 25.000 consumidors si les vendes de dades contribueixen als ingressos [6].
- Connecticut: 35.000 consumidors processats per any (després de juliol de 2026), O 25.000 consumidors si el 25% o més dels ingressos bruts provenen de la venda de dades personals [2].
Error comú: Moltes petites empreses assumeixen que "vendre dades" significa corretatge directe de dades. A la pràctica, compartir dades amb xarxes publicitàries per a publicitat dirigida pot qualificar-se com a venda segons ambdues lleis.
Quins són els principals requisits de la Colorado Privacy Act?
La CPA exigeix als controladors que proporcionin avisos de privadesa clars, respectin els drets dels consumidors i implementin mecanismes d'exclusió voluntària per a la venda de dades i la publicitat dirigida [6].
Obligacions bàsiques segons la CPA:
- Avís de privadesa: Revelar les categories de dades personals recopilades, els propòsits del processament i les categories de tercers que reben les dades.
- Drets del consumidor: Accés, correcció, supressió, portabilitat de dades i exclusió voluntària de vendes, publicitat dirigida i elaboració de perfils.
- Avaluacions de protecció de dades: Requerides per a activitats de processament d'alt risc, inclosa la publicitat dirigida i l'elaboració de perfils.
- Contractes de processador: Acords escrits amb processadors de dades que especifiquen les instruccions de processament i les obligacions de seguretat.
- Exclusió universal: Respectar els senyals GPC i mecanismes d'exclusió basats en el navegador similars [7].
L'oficina del Fiscal General de Colorado aplica la CPA amb un període de subsanació de 60 dies per a les primeres infraccions (subjecte a canvis sota futures normatives) [6].
Quins són els principals requisits de la Llei de privadesa de dades de Connecticut?
La CTDPA reflecteix la CPA en estructura, però inclou categories de dades sensibles ampliades i una aplicació anterior de l'exclusió universal. A partir de l'1 de gener de 2025, les empreses cobertes han de respectar els senyals de preferència d'exclusió universal, inclòs el GPC [4].
Les dades sensibles segons la CTDPA (esmenes posteriors a juliol de 2026) ara inclouen [3]:
- Origen racial o ètnic
- Condicions de salut mental o física, inclòs l'estat de discapacitat
- Estat transgènere o no binari
- Dades neuronals
- Números de compte financer combinats amb credencials d'accés
- Números d'identificació emesos pel govern
- Dades de geolocalització precisa
- Dades genètiques o biomètriques
El processament de dades sensibles requereix el consentiment explícit dels consumidors de Connecticut. Aquest és un estàndard més estricte que el model d'exclusió voluntària que s'aplica a les dades personals generals.
Quina és més estricta: la Llei de privadesa de Colorado o la Llei de privadesa de Connecticut?
Les esmenes de Connecticut de 2026 la fan marginalment més estricta per a la majoria de llocs web, principalment a causa del seu llindar d'aplicabilitat més baix (35.000 vs. 100.000 consumidors) i les seves categories de dades sensibles ampliades que requereixen el consentiment explícit [2][3]. La propera CADMA de Colorado, però, imposa obligacions més àmplies relacionades amb la IA en més sectors que la SB 5 de Connecticut [1].
Veredicte pràctic: Per als llocs web principalment preocupats per la recopilació de dades i la publicitat, Connecticut és la jurisdicció més exigent el 2026. Per a les empreses que implementen eines de presa de decisions automatitzades, la CADMA de Colorado (en vigor l'1 de gener de 2027) probablement imposarà una càrrega de compliment més pesada [8].
Quin és el termini per complir amb les lleis de privadesa de Colorado i Connecticut?
La CPA ha estat aplicable des de l'1 de juliol de 2023. El llindar reduït de Connecticut i les definicions de dades sensibles ampliades van entrar en vigor l'1 de juliol de 2026. Les empreses que anteriorment estaven per sota del llindar de 100.000 consumidors de Connecticut, però que ara superen els 35.000, han d'aconseguir el compliment immediatament [2].
Pròxims terminis a seguir:
- 1 de juliol de 2026: El nou llindar de 35.000 consumidors de Connecticut i les categories de dades sensibles ampliades estan en vigor.
- 1 de gener de 2027: La CADMA de Colorado entra en vigor per als sistemes de presa de decisions assistides per IA.
- 1 d'octubre de 2027: Les disposicions d'IA de la SB 5 de Connecticut entren en vigor per a les decisions automatitzades relacionades amb l'ocupació [8].
Què passa si el meu lloc web infringeix les lleis de privadesa de Colorado o Connecticut?
Cap de les dues lleis crea un dret d'acció privat, el que significa que els consumidors individuals no poden demandar directament la vostra empresa. L'aplicació la gestiona exclusivament el fiscal general de l'estat [4][8].
Conseqüències potencials:
- Sancions civils de fins a 20.000 dòlars per infracció a Connecticut i fins a 20.000 dòlars per infracció a Colorado.
- Mesures cautelars que requereixen canvis operatius.
- Accions d'aplicació públiques que comporten un dany reputacional significatiu.
Al setembre de 2025, els fiscals generals de Connecticut, Califòrnia i Colorado van anunciar una investigació conjunta dirigida a empreses que no respecten els senyals GPC [5]. Aquesta aplicació coordinada indica que els reguladors estan supervisant activament el compliment, no esperant les queixes dels consumidors.
Necessito polítiques de privadesa separades per a Colorado i Connecticut?
No, una única política de privadesa completa pot satisfer ambdues lleis, sempre que abordi explícitament els drets i les divulgacions requerides per cadascuna. Moltes empreses utilitzen un enfocament per capes: una política de privadesa general complementada amb addenda específica de l'estat o una secció dedicada a "Els vostres drets de privadesa" que fa referència als residents de Colorado i Connecticut pel seu nom.
La vostra política de privadesa ha de cobrir, com a mínim:
- Categories de dades personals recopilades i propòsits del processament
- Drets del consumidor disponibles (accés, supressió, correcció, portabilitat, exclusió voluntària)
- Com presentar una sol·licitud de drets del consumidor i el termini de resposta (45 dies, ampliable 45 dies)
- Categories de tercers amb qui es comparteixen les dades
- Si l'empresa ven dades personals o les utilitza per a publicitat dirigida
Com sé si el meu lloc web ha de complir amb aquestes lleis estatals?
Determineu l'aplicabilitat auditant els vostres registres anuals de dades de consumidors enfront del llindar de cada estat. Si el vostre lloc web utilitza analítiques, píxels publicitaris o qualsevol forma de seguiment de comportament, és gairebé segur que recopileu dades personals de residents d'ambdós estats.
Autoavaluació ràpida:
- El vostre lloc web recopila dades personals (noms, correus electrònics, adreces IP, identificadors de dispositiu)?
- Atendeu visitants de Colorado o Connecticut?
- Processa dades de més de 100.000 residents de Colorado o més de 35.000 residents de Connecticut anualment?
- Compartiu dades amb xarxes publicitàries o proveïdors d'anàlisi de tercers?
Si heu respost afirmativament a les preguntes 1, 2 i 4, és probable que compliu el llindar d'almenys una llei, fins i tot sense un recompte precís de consumidors, especialment per a Connecticut després de juliol de 2026.
Quines eines de privadesa necessito implementar per al compliment?
El compliment requereix tant la implementació tècnica com la documentació de polítiques. El component tècnic més crític és una plataforma de gestió del consentiment (CMP) que pugui detectar i respectar els senyals GPC, presentar bàners de consentiment conformes i registrar els registres de consentiment per a fins d'auditoria.
Biscotti CMP (www.biscotti-cmp.com) està dissenyat per abordar aquests requisits, oferint reconeixement de senyals GPC, categorització granular del consentiment i registres de consentiment preparats per a auditories que s'alineen amb les obligacions de la CPA i la CTDPA.
Requisits tècnics addicionals:
- Auditoria de cookies: Inventariar totes les cookies i rastrejadors de primera i tercera part del vostre lloc web.
- Mapeig de dades: Documentar on flueixen les dades personals, inclosos els processadors de tercers.
- Portal de drets del consumidor: Un mecanisme (formulari web o procés de correu electrònic) per enviar sol·licituds d'accés, supressió i correcció.
- Actualitzacions de l'avís de privadesa: Reflectir totes les esmenes de Connecticut de 2026, incloses les categories de dades sensibles ampliades.
Hi ha exempcions per a certs tipus de llocs web o empreses?
Ambdues lleis inclouen exempcions a nivell d'entitat i a nivell de dades. Les organitzacions sense ànim de lucre, les entitats governamentals i certes indústries regulades (com les entitats cobertes per la HIPAA per a dades de salut i les institucions financeres regulades per la GLBA per a dades financeres) poden estar parcialment o totalment exemptes.
Exempcions comunes:
- Les dades ja regulades per HIPAA, FERPA, GLBA o COPPA estan exemptes dels requisits de la CPA i la CTDPA a nivell de dades.
- Les empreses que operen exclusivament a Colorado o Connecticut sense activitat de publicitat digital i per sota del llindar de consumidors no estan cobertes.
- Les dades dels empleats tenen exempcions limitades segons ambdues lleis, tot i que la SB 5 de Connecticut afegeix nous requisits de divulgació d'IA per a l'ocupació a partir d'octubre de 2027 [8].
Cas límit: Un lloc web de salut que recopila dades de pacients cobertes per la HIPAA està exempt per a aquestes dades, però encara pot estar cobert per dades personals no relacionades amb la salut recopilades mitjançant analítiques de màrqueting o subscripcions a butlletins.
Quins són els errors comuns que cometen les empreses amb el compliment de la privadesa estatal?
Les falles de compliment més freqüents impliquen els senyals GPC, el registre del consentiment i els avisos de privadesa obsolets.
Errors principals a evitar:
- Ignorar els senyals GPC: A partir de 2026, almenys vuit estats requereixen el reconeixement de GPC. No respectar aquests senyals va ser l'objectiu directe de la investigació de tres estats de 2025 [5][7].
- Polítiques de privadesa estàtiques: Publicar una política una vegada i no actualitzar-la mai. Les esmenes de Connecticut de juliol de 2026 requereixen actualitzacions immediates de la política per reflectir les noves categories de dades sensibles.
- Considerar l'exclusió voluntària com a opcional: Algunes empreses implementen bàners de consentiment, però continuen activant rastrejadors d'anuncis abans que l'usuari interactuï. Això viola l'esperit i la lletra d'ambdues lleis.
- Sense acords de processament de dades: Compartir dades amb processadors sense contractes escrits és una violació directa de la CPA [6].
- Assumir que l'estat d'organització sense ànim de lucre proporciona una exempció total: Les exempcions a nivell d'entitat són estretes; les exempcions a nivell de dades no cobreixen totes les activitats de processament.
Les lleis de privadesa de Colorado i Connecticut afecten els llocs web de comerç electrònic de manera diferent?
Els llocs web de comerç electrònic s'enfronten a una major exposició segons ambdues lleis perquè solen recopilar dades de pagament, historials de compra, geolocalització precisa (per a l'enviament) i perfils de comportament, tot el qual pot qualificar-se com a dades sensibles segons les definicions ampliades de la CTDPA [3].
Per als operadors de comerç electrònic, les implicacions pràctiques inclouen:
- Es requereix el consentiment explícit abans de processar números de compte financer combinats amb credencials d'accés (una nova categoria de dades sensibles de Connecticut a partir de juliol de 2026).
- La publicitat conductual basada en l'historial de compra requereix un mecanisme d'exclusió voluntària clar i el compliment de GPC.
- Les dades del programa de fidelització vinculades a perfils de consumidors individuals desencadenen els requisits d'avaluació de protecció de dades segons la CPA.
Quant costa fer que el meu lloc web compleixi amb les lleis de privadesa estatals?
Els costos de compliment varien significativament segons la complexitat del lloc web, la infraestructura de dades existent i si s'ha contractat assessorament legal. Un lloc web informatiu senzill amb una recopilació de dades mínima pot aconseguir el compliment principalment mitjançant actualitzacions de polítiques i una implementació de CMP, que pot costar des de uns pocs centenars fins a uns pocs milers de dòlars anuals. Les plataformes de comerç electrònic complexes o les empreses amb extensos conductes de processament de dades poden incórrer en costos substancialment més alts per al mapeig de dades, la revisió legal i la reparació tècnica.
Factors de cost:
- Revisió legal de la política de privadesa i els acords de processament de dades
- Llicència i implementació de CMP (cost anual continu)
- Temps del personal intern per al processament de sol·licituds de drets del consumidor
- Exercicis de mapeig i auditoria de dades (una sola vegada més actualitzacions periòdiques)
El cost de l'incompliment, per contra, inclou sancions civils de fins a 20.000 dòlars per infracció, a més del dany reputacional derivat de les accions d'aplicació públiques.
Conclusió
Les lleis de privadesa de Colorado i Connecticut: preparar el vostre lloc web per al compliment a nivell estatal ja no és un exercici de planificació futura. Amb el llindar reduït de Connecticut ja en vigor a partir de l'1 de juliol de 2026, i les investigacions ja en marxa, la finestra per al compliment reactiu s'ha tancat. Els propietaris de llocs web, desenvolupadors i agències de màrqueting que operen en aquests estats han d'auditar els seus volums de dades de consumidors, actualitzar els avisos de privadesa per reflectir les categories de dades sensibles ampliades, implementar la gestió del consentiment que respecti el GPC mitjançant una plataforma com Biscotti CMP (www.biscotti-cmp.com) i establir processos documentats per a les sol·licituds de drets del consumidor.
Pròxims passos accionables:
- Auditeu els vostres registres anuals de dades de consumidors enfront dels llindars de 35.000 (Connecticut) i 100.000 (Colorado) immediatament.
- Actualitzeu la vostra política de privadesa per abordar les expansions de dades sensibles de Connecticut de juliol de 2026.
- Implementeu una plataforma de gestió del consentiment que reconegui i respecti els senyals GPC a totes les propietats del lloc web.
- Executeu acords de processament de dades escrits amb tots els processadors de tercers.
- Comenceu a preparar-vos per a les obligacions d'IA de la CADMA de Colorado, en vigor l'1 de gener de 2027, si el vostre lloc web utilitza eines de presa de decisions automatitzades.
El compliment de la privadesa a nivell estatal és ara una expectativa bàsica, no un diferenciador competitiu. Les empreses que el tracten com a infraestructura en lloc de despesa general estaran millor posicionades a mesura que l'activitat d'aplicació continuï accelerant-se.
Preguntes freqüents
P: La Colorado Privacy Act s'aplica a empreses fora de Colorado? Sí. La CPA s'aplica a qualsevol empresa que processi dades personals de residents de Colorado per sobre del llindar, independentment d'on es trobi físicament l'empresa.
P: Què és un senyal de Global Privacy Control (GPC)? GPC és un senyal basat en el navegador que comunica automàticament la preferència d'exclusió voluntària d'un consumidor per a la venda de dades i la publicitat dirigida a tots els llocs web que visita. Tant Colorado com Connecticut exigeixen a les empreses cobertes que el respectin [7].
P: Quan va reduir Connecticut el seu llindar d'aplicabilitat? El llindar de Connecticut va baixar de 100.000 a 35.000 consumidors a partir de l'1 de juliol de 2026, com a part de les seves esmenes a la llei de privadesa de 2025 [2].
P: Hi ha un dret d'acció privat segons la CPA o la CTDPA? No. Ambdues lleis són aplicades exclusivament pels seus respectius fiscals generals de l'estat. Els consumidors individuals no poden presentar demandes directament segons cap de les dues lleis [4][8].
P: Què es considera "vendre" dades personals segons aquestes lleis? Compartir dades personals amb tercers a canvi de consideració monetària o d'un altre valor, inclòs compartir amb xarxes publicitàries a canvi de serveis de publicitat dirigida, generalment es qualifica com a venda segons ambdues lleis.
P: Quant de temps tenen les empreses per respondre a les sol·licituds de drets del consumidor? Tant la CPA com la CTDPA requereixen una resposta en un termini de 45 dies, amb una possible extensió de 45 dies quan sigui raonablement necessari, per un màxim de 90 dies en total [6][4].
P: La CADMA de Colorado substitueix la CPA? No. La CADMA, en vigor l'1 de gener de 2027, és una llei separada que regeix la presa de decisions assistides per IA. La CPA continua regint el processament general de dades personals [8].
P: Què són les dades neuronals i per què són importants per als llocs web? Les dades neuronals es refereixen a la informació derivada d'interfícies cervell-ordinador o neurotecnologia. Connecticut les va afegir a les seves categories de dades sensibles el 2026. La majoria dels llocs web estàndard no les recopilaran, però les plataformes de salut i benestar que utilitzen eines biomètriques haurien de revisar els seus inventaris de dades [3].
P: Necessito el consentiment explícit o l'exclusió voluntària per a dades sensibles a Connecticut? Es requereix el consentiment explícit per al processament de dades sensibles segons la CTDPA. Aquest és un estàndard més estricte que el model d'exclusió voluntària que s'aplica a les dades personals generals [3].
P: Una única política de privadesa pot cobrir tant Colorado com Connecticut? Sí, sempre que la política abordi explícitament els drets i les divulgacions requerides per cada llei. Un addendum "Els vostres drets de privadesa" específic de l'estat és un enfocament comú i eficaç.
Referències
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai