Rychlá odpověď: Colorado Privacy Act (CPA) a Connecticut Data Privacy Act (CTDPA) jsou dva z nejaktivněji vymáhaných státních zákonů o ochraně soukromí ve Spojených státech. Oba zákony ukládají webovým stránkám, které zpracovávají osobní údaje obyvatel nad definované prahové hodnoty, povinnosti týkající se souhlasu, transparentnosti a možnosti odhlášení. Od poloviny roku 2026 Connecticut snížil svůj práh použitelnosti na 35 000 spotřebitelů a rozšířil definici citlivých údajů, čímž se dodržování stalo naléhavějším než kdy jindy pro majitele webových stránek a podniky působící napříč státy.
Klíčové poznatky
- Colorado Privacy Act je v platnosti od 1. července 2023; práh v Connecticutu klesl na 35 000 spotřebitelů s účinností od 1. července 2026.
- Oba státy vyžadují, aby podniky respektovaly signály Global Privacy Control (GPC), a generální prokurátoři obou států provedli v září 2025 společnou kontrolu dodržování.
- Změny v Connecticutu z roku 2026 rozšířily kategorie citlivých údajů o neurální data, status postižení, transgender nebo nebinární status a identifikační čísla vydaná vládou.
- Nový zákon o AI v Coloradu (CADMA), podepsaný 14. května 2026, přidává povinnosti týkající se algoritmické transparentnosti s účinností od 1. ledna 2027.
- Podniky musí implementovat univerzální mechanismy pro odhlášení, zveřejňovat podrobné oznámení o ochraně soukromí a reagovat na žádosti spotřebitelů o práva k datům.
- Žádný zákon nevyžaduje zcela samostatné zásady ochrany soukromí pro každý stát, ale jedna zásada musí řešit konkrétní práva udělená podle každého zákona.
- Nástroje pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), jsou nezbytné pro automatizaci rozpoznávání signálů pro odhlášení a zaznamenávání souhlasu.
- Porušení může vést k občanskoprávním sankcím vymáhaným generálními prokurátory států; podle žádného zákona neexistuje soukromé právo na žalobu.
Jaký je rozdíl mezi zákony o ochraně soukromí v Coloradu a Connecticutu
Colorado a Connecticut sdílejí obecně podobný rámec ochrany soukromí, ale liší se v klíčových prahových hodnotách, definicích citlivých údajů a rozsahu regulace AI. Pochopení těchto rozdílů je základem pro zákony o ochraně soukromí v Coloradu a Connecticutu: příprava vašeho webu na dodržování státních předpisů.
Colorado Privacy Act (CPA): S účinností od 1. července 2023 se CPA vztahuje na správce, kteří ročně zpracovávají osobní údaje 100 000 nebo více spotřebitelů v Coloradu, nebo 25 000 nebo více spotřebitelů, pokud podnik získává příjmy z prodeje osobních údajů [6].
Connecticut Data Privacy Act (CTDPA): S účinností od 1. července 2023, ale významně upraven pro rok 2026. Od 1. července 2026 klesl práh použitelnosti ze 100 000 na 35 000 spotřebitelů, což podstatně rozšířilo dosah zákona [2].
| Funkce | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Datum účinnosti | 1. července 2023 | 1. července 2023 |
| Prahová hodnota spotřebitelů | 100 000/rok | 35 000 (od července 2026) |
| Prahová hodnota založená na příjmech | 25 000 + příjmy z dat | 25 000 + 25 % příjmů z dat |
| Vyžadováno univerzální odhlášení | Ano | Ano (od 1. ledna 2025) |
| Rozšíření citlivých dat (2026) | Žádná velká změna v roce 2026 | Ano (neurální data, postižení atd.) |
| Zákon o AI | CADMA (účinnost 1. ledna 2027) | SB 5 (účinnost 1. října 2027) |
Vztahují se zákony o ochraně soukromí v Coloradu a Connecticutu na mou malou firmu?
Oba zákony se vztahují na základě prahových hodnot objemu dat, nikoli pouze na základě velikosti podniku nebo příjmů. Malý e-commerce obchod, který zpracovává osobní údaje 35 000 nebo více obyvatel Connecticutu v kalendářním roce, spadá pod CTDPA od 1. července 2026, bez ohledu na roční příjmy [2].
Zvolte toto pravidlo: Pokud váš web shromažďuje e-mailové adresy, historii nákupů nebo údaje o chování od obyvatel kteréhokoli státu, počítejte své jedinečné záznamy spotřebitelů ročně. Překročíte práh? Jste pokryti.
- Colorado: 100 000 spotřebitelů zpracovaných ročně, NEBO 25 000 spotřebitelů, pokud prodej dat přispívá k příjmům [6].
- Connecticut: 35 000 spotřebitelů zpracovaných ročně (po červenci 2026), NEBO 25 000 spotřebitelů, pokud 25 % nebo více hrubých příjmů pochází z prodeje osobních údajů [2].
Častá chyba: Mnoho malých podniků předpokládá, že "prodej dat" znamená přímé zprostředkování dat. V praxi může sdílení dat s reklamními sítěmi pro cílenou reklamu kvalifikovat jako prodej podle obou zákonů.
Jaké jsou hlavní požadavky zákona Colorado Privacy Act
CPA vyžaduje, aby správci poskytovali jasná oznámení o ochraně soukromí, respektovali práva spotřebitelů a implementovali mechanismy pro odhlášení z prodeje dat a cílené reklamy [6].
Základní povinnosti podle CPA:
- Oznámení o ochraně soukromí: Zveřejněte kategorie shromažďovaných osobních údajů, účely zpracování a kategorie třetích stran, které data přijímají.
- Práva spotřebitelů: Přístup, oprava, vymazání, přenositelnost dat a odhlášení z prodeje, cílené reklamy a profilování.
- Posouzení ochrany dat: Vyžadováno pro vysoce rizikové zpracovatelské činnosti, včetně cílené reklamy a profilování.
- Smlouvy se zpracovateli: Písemné dohody se zpracovateli dat specifikující pokyny pro zpracování a bezpečnostní povinnosti.
- Univerzální odhlášení: Respektujte signály GPC a podobné mechanismy pro odhlášení založené na prohlížeči [7].
Úřad generálního prokurátora Colorada vymáhá CPA s 60denní lhůtou pro nápravu prvních porušení (může se změnit podle budoucích předpisů) [6].
Jaké jsou hlavní požadavky zákona o ochraně osobních údajů v Connecticutu
CTDPA zrcadlí CPA ve struktuře, ale zahrnuje rozšířené kategorie citlivých údajů a dřívější vymáhání univerzálního odhlášení. Od 1. ledna 2025 musí dotčené podniky respektovat signály preferencí pro univerzální odhlášení, včetně GPC [4].
Citlivé údaje podle CTDPA (změny po červenci 2026) nyní zahrnují [3]:
- Rasový nebo etnický původ
- Duševní nebo fyzické zdravotní stavy, včetně statusu postižení
- Transgender nebo nebinární status
- Neurální data
- Čísla finančních účtů v kombinaci s přístupovými údaji
- Identifikační čísla vydaná vládou
- Přesná geolokační data
- Genetická nebo biometrická data
Zpracování citlivých údajů vyžaduje výslovný souhlas spotřebitelů v Connecticutu. Jedná se o přísnější standard než model odhlášení, který se vztahuje na obecné osobní údaje.
Který je přísnější: zákon o ochraně soukromí v Coloradu nebo v Connecticutu
Změny v Connecticutu z roku 2026 jej činí pro většinu webových stránek okrajově přísnějším, především kvůli nižšímu prahu použitelnosti (35 000 vs. 100 000 spotřebitelů) a rozšířeným kategoriím citlivých údajů vyžadujícím souhlas [2][3]. Nadcházející CADMA v Coloradu však ukládá širší povinnosti související s AI napříč více sektory než SB 5 v Connecticutu [1].
Praktický verdikt: Pro webové stránky, které se primárně zabývají sběrem dat a reklamou, je Connecticut v roce 2026 náročnější jurisdikcí. Pro podniky nasazující nástroje pro automatizované rozhodování bude CADMA v Coloradu (účinná od 1. ledna 2027) pravděpodobně představovat větší zátěž pro dodržování [8].
Jaký je termín pro dodržení zákonů o ochraně soukromí v Coloradu a Connecticutu
CPA je vymahatelný od 1. července 2023. Snížený práh v Connecticutu a rozšířené definice citlivých údajů vstoupily v platnost 1. července 2026. Podniky, které dříve byly pod prahem 100 000 spotřebitelů v Connecticutu, ale nyní překračují 35 000, musí okamžitě dosáhnout souladu [2].
Nadcházející termíny ke sledování:
- 1. července 2026: Nový práh 35 000 spotřebitelů v Connecticutu a rozšířené kategorie citlivých údajů jsou v platnosti.
- 1. ledna 2027: CADMA v Coloradu vstupuje v platnost pro systémy rozhodování s podporou AI.
- 1. října 2027: Ustanovení SB 5 o AI v Connecticutu vstupují v platnost pro automatizovaná rozhodnutí související se zaměstnáním [8].
Co se stane, pokud můj web poruší zákony o ochraně soukromí v Coloradu nebo Connecticutu
Žádný zákon nevytváří soukromé právo na žalobu, což znamená, že jednotliví spotřebitelé nemohou žalovat vaši firmu přímo. Vymáhání je výhradně v rukou generálního prokurátora státu [4][8].
Možné důsledky:
- Občanskoprávní sankce až do výše 20 000 USD za porušení v Connecticutu a až do výše 20 000 USD za porušení v Coloradu.
- Soudní příkaz vyžadující provozní změny.
- Veřejné vymáhací akce, které s sebou nesou značné poškození pověsti.
V září 2025 generální prokurátoři Connecticutu, Kalifornie a Colorada oznámili společnou vyšetřovací akci zaměřenou na podniky, které nerespektují signály GPC [5]. Toto koordinované vymáhání signalizuje, že regulátoři aktivně monitorují dodržování, a nečekají na stížnosti spotřebitelů.
Potřebuji samostatné zásady ochrany soukromí pro Colorado a Connecticut
Ne, jediná komplexní zásada ochrany soukromí může splňovat oba zákony, pokud výslovně řeší práva a zveřejnění požadovaná podle každého z nich. Mnoho podniků používá vrstvený přístup: obecné zásady ochrany soukromí doplněné dodatky specifickými pro stát nebo vyhrazenou sekci „Vaše práva na ochranu soukromí“, která odkazuje na obyvatele Colorada a Connecticutu jménem.
Vaše zásady ochrany soukromí musí minimálně pokrývat:
- Kategorie shromažďovaných osobních údajů a účely zpracování
- Dostupná práva spotřebitelů (přístup, vymazání, oprava, přenositelnost, odhlášení)
- Jak podat žádost o práva spotřebitelů a časový rámec pro odpověď (45 dní, prodloužitelné o 45 dní)
- Kategorie třetích stran, se kterými jsou data sdílena
- Zda podnik prodává osobní údaje nebo je používá pro cílenou reklamu
Jak zjistím, zda můj web musí dodržovat tyto státní zákony
Určete použitelnost auditováním vašich ročních záznamů o spotřebitelských datech proti prahové hodnotě každého státu. Pokud váš web používá analytiku, reklamní pixely nebo jakoukoli formu sledování chování, téměř jistě shromažďujete osobní údaje od obyvatel obou států.
Rychlé sebehodnocení:
- Shromažďuje váš web osobní údaje (jména, e-maily, IP adresy, identifikátory zařízení)?
- Obsluhujete návštěvníky z Colorada nebo Connecticutu?
- Zpracováváte ročně data 100 000+ obyvatel Colorada nebo 35 000+ obyvatel Connecticutu?
- Sdílíte data s reklamními sítěmi nebo poskytovateli analytiky třetích stran?
Pokud jste odpověděli ano na otázky 1, 2 a 4, pravděpodobně splňujete práh pro alespoň jeden zákon i bez přesných počtů spotřebitelů, zejména pro Connecticut po červenci 2026.
Jaké nástroje pro ochranu soukromí musím implementovat pro dodržování předpisů
Dodržování předpisů vyžaduje jak technickou implementaci, tak dokumentaci zásad. Nejdůležitější technickou součástí je platforma pro správu souhlasu (CMP), která dokáže detekovat a respektovat signály GPC, zobrazovat bannery souhlasu v souladu s předpisy a zaznamenávat záznamy o souhlasu pro účely auditu.
Biscotti CMP (www.biscotti-cmp.com) je navržena tak, aby řešila tyto požadavky, nabízí rozpoznávání signálů GPC, granulární kategorizaci souhlasu a záznamy o souhlasu připravené pro audit, které jsou v souladu s povinnostmi CPA i CTDPA.
Další technické požadavky:
- Audit souborů cookie: Inventarizujte všechny soubory cookie první a třetí strany a sledovací nástroje na vašem webu.
- Mapování dat: Dokumentujte, jaké osobní údaje kam proudí, včetně zpracovatelů třetích stran.
- Portál práv spotřebitelů: Mechanismus (webový formulář nebo e-mailový proces) pro podávání žádostí o přístup, vymazání a opravu.
- Aktualizace oznámení o ochraně soukromí: Zohledněte všechny změny v Connecticutu z roku 2026, včetně rozšířených kategorií citlivých údajů.
Existují výjimky pro určité typy webových stránek nebo podniků
Oba zákony zahrnují výjimky na úrovni subjektu a na úrovni dat. Neziskové organizace, vládní subjekty a určité regulované odvětví (jako jsou subjekty podléhající HIPAA pro zdravotní data a finanční instituce regulované GLBA pro finanční data) mohou být částečně nebo plně osvobozeny.
Běžné výjimky:
- Data již regulovaná podle HIPAA, FERPA, GLBA nebo COPPA jsou osvobozena od požadavků CPA a CTDPA na úrovni dat.
- Podniky působící výhradně v Coloradu nebo Connecticutu bez digitální reklamní činnosti a pod prahovou hodnotou spotřebitelů nejsou pokryty.
- Data zaměstnanců mají omezené výjimky podle obou zákonů, ačkoli SB 5 v Connecticutu přidává nové požadavky na zveřejňování informací o AI v zaměstnání s účinností od října 2027 [8].
Okrajový případ: Zdravotnický web, který shromažďuje data pacientů podléhající HIPAA, je pro tato data osvobozen, ale může být stále pokryt pro nezdravotní osobní data shromažďovaná prostřednictvím marketingové analytiky nebo odběru newsletterů.
Jaké jsou běžné chyby, kterých se podniky dopouštějí při dodržování státních předpisů o ochraně soukromí
Nejčastější selhání v dodržování předpisů se týkají signálů GPC, zaznamenávání souhlasu a zastaralých oznámení o ochraně soukromí.
Nejčastější chyby, kterým se vyhnout:
- Ignorování signálů GPC: Od roku 2026 vyžaduje rozpoznávání GPC nejméně osm států. Nerespektování těchto signálů bylo přímým cílem trojstranné kontrolní akce v roce 2025 [5][7].
- Statické zásady ochrany soukromí: Zveřejnění zásad jednou a jejich nikdy neaktualizování. Změny v Connecticutu z července 2026 vyžadují okamžité aktualizace zásad, aby odrážely nové kategorie citlivých údajů.
- Považování odhlášení za volitelné: Některé podniky implementují bannery souhlasu, ale nadále spouštějí reklamní sledovače, než uživatel interaguje. To porušuje ducha i literu obou zákonů.
- Žádné dohody o zpracování dat: Sdílení dat se zpracovateli bez písemných smluv je přímým porušením CPA [6].
- Předpoklad, že neziskový status poskytuje plnou výjimku: Výjimky na úrovni subjektu jsou úzké; výjimky na úrovni dat nepokrývají všechny zpracovatelské činnosti.
Ovlivňují zákony o ochraně soukromí v Coloradu a Connecticutu webové stránky e-commerce odlišně?
Webové stránky e-commerce čelí zvýšené expozici podle obou zákonů, protože obvykle shromažďují platební údaje, historii nákupů, přesné geolokační údaje (pro přepravu) a behaviorální profily, z nichž všechny mohou být kvalifikovány jako citlivé údaje podle rozšířených definic CTDPA [3].
Pro provozovatele e-commerce to má praktické důsledky:
- Před zpracováním čísel finančních účtů v kombinaci s přístupovými údaji (nová kategorie citlivých údajů v Connecticutu od července 2026) je vyžadován souhlas.
- Behaviorální reklama založená na historii nákupů vyžaduje jasný mechanismus pro odhlášení a dodržování GPC.
- Údaje o věrnostních programech spojené s individuálními profily spotřebitelů spouštějí požadavky na posouzení ochrany údajů podle CPA.
Kolik stojí, aby můj web splňoval státní zákony o ochraně soukromí
Náklady na dodržování předpisů se výrazně liší v závislosti na složitosti webu, stávající datové infrastruktuře a na tom, zda je zapojen právní poradce. Jednoduchý informační web s minimálním sběrem dat může dosáhnout souladu především prostřednictvím aktualizací zásad a implementace CMP, což může stát několik stovek až několik tisíc dolarů ročně. Složité e-commerce platformy nebo podniky s rozsáhlými datovými zpracovatelskými kanály mohou nést podstatně vyšší náklady na mapování dat, právní přezkum a technickou nápravu.
Faktory ovlivňující náklady:
- Právní přezkum zásad ochrany soukromí a dohod o zpracování dat
- Licencování a implementace CMP (průběžné roční náklady)
- Interní čas zaměstnanců na zpracování žádostí o práva spotřebitelů
- Mapování dat a auditní cvičení (jednorázové plus pravidelné aktualizace)
Náklady na nedodržení předpisů naopak zahrnují občanskoprávní sankce až do výše 20 000 USD za porušení plus poškození pověsti z veřejných vymáhacích akcí.
Závěr
Zákony o ochraně soukromí v Coloradu a Connecticutu: příprava vašeho webu na dodržování státních předpisů již není cvičením pro budoucí plánování. S platností sníženého prahu v Connecticutu od 1. července 2026 a již probíhajícími kontrolními akcemi se okno pro reaktivní dodržování uzavřelo. Majitelé webových stránek, vývojáři a marketingové agentury působící v těchto státech musí auditovat své objemy spotřebitelských dat, aktualizovat oznámení o ochraně soukromí tak, aby odrážela rozšířené kategorie citlivých dat, implementovat správu souhlasu respektující GPC prostřednictvím platformy, jako je Biscotti CMP (www.biscotti-cmp.com), a zavést dokumentované procesy pro žádosti o práva spotřebitelů.
Akční další kroky:
- Okamžitě auditujte své roční záznamy o spotřebitelských datech proti prahovým hodnotám 35 000 (Connecticut) a 100 000 (Colorado).
- Aktualizujte své zásady ochrany soukromí tak, aby řešily rozšíření citlivých dat v Connecticutu z července 2026.
- Nasaďte platformu pro správu souhlasu, která rozpoznává a respektuje signály GPC napříč všemi webovými vlastnostmi.
- Uzavřete písemné dohody o zpracování dat se všemi zpracovateli třetích stran.
- Začněte se připravovat na povinnosti CADMA AI v Coloradu, platné od 1. ledna 2027, pokud váš web používá nástroje pro automatizované rozhodování.
Dodržování státních předpisů o ochraně soukromí je nyní základním očekáváním, nikoli konkurenční výhodou. Podniky, které to považují za infrastrukturu spíše než za režii, budou nejlépe připraveny, protože se vymáhací činnost nadále zrychluje.
Často kladené otázky
Otázka: Vztahuje se Colorado Privacy Act na podniky mimo Colorado? Ano. CPA se vztahuje na jakýkoli podnik, který zpracovává osobní údaje obyvatel Colorada nad prahovou hodnotu, bez ohledu na to, kde se podnik fyzicky nachází.
Otázka: Co je signál Global Privacy Control (GPC)? GPC je signál založený na prohlížeči, který automaticky sděluje preferenci spotřebitele pro odhlášení z prodeje dat a cílené reklamy každé webové stránce, kterou navštíví. Colorado i Connecticut vyžadují, aby dotčené podniky tento signál respektovaly [7].
Otázka: Kdy Connecticut snížil svůj práh použitelnosti? Práh v Connecticutu klesl ze 100 000 na 35 000 spotřebitelů s účinností od 1. července 2026, jako součást jeho změn zákona o ochraně soukromí z roku 2025 [2].
Otázka: Existuje soukromé právo na žalobu podle CPA nebo CTDPA? Ne. Oba zákony jsou vymáhány výhradně příslušnými generálními prokurátory států. Jednotliví spotřebitelé nemohou podávat žaloby přímo podle žádného zákona [4][8].
Otázka: Co se podle těchto zákonů považuje za „prodej“ osobních údajů? Sdílení osobních údajů s třetími stranami za peněžní nebo jinou hodnotnou protihodnotu, včetně sdílení s reklamními sítěmi výměnou za služby cílené reklamy, se obecně kvalifikuje jako prodej podle obou zákonů.
Otázka: Jak dlouho mají podniky na odpověď na žádosti o práva spotřebitelů? CPA i CTDPA vyžadují odpověď do 45 dnů, s možným prodloužením o 45 dnů, je-li to přiměřeně nutné, celkem maximálně 90 dnů [6][4].
Otázka: Nahrazuje CADMA v Coloradu CPA? Ne. CADMA, účinná od 1. ledna 2027, je samostatný zákon upravující rozhodování s podporou AI. CPA nadále upravuje obecné zpracování osobních údajů [8].
Otázka: Co jsou neurální data a proč jsou důležitá pro webové stránky? Neurální data se týkají informací získaných z rozhraní mozek-počítač nebo neurotechnologie. Connecticut je v roce 2026 přidal do svých kategorií citlivých dat. Většina standardních webových stránek je nebude shromažďovat, ale platformy pro zdraví a wellness používající biometrické nástroje by měly zkontrolovat své datové inventáře [3].
Otázka: Potřebuji souhlas (opt-in) nebo možnost odhlášení (opt-out) pro citlivá data v Connecticutu? Pro zpracování citlivých dat podle CTDPA je vyžadován souhlas (opt-in). Jedná se o přísnější standard než model odhlášení (opt-out), který se vztahuje na obecné osobní údaje [3].
Otázka: Může jedna zásada ochrany soukromí pokrývat Colorado i Connecticut? Ano, za předpokladu, že zásada výslovně řeší práva a zveřejnění požadovaná podle každého zákona. Dodatek „Vaše práva na ochranu soukromí“ specifický pro stát je běžným a účinným přístupem.
Odkazy
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai