Respuesta rápida: La Ley de Privacidad de Colorado (CPA) y la Ley de Privacidad de Datos de Connecticut (CTDPA) son dos de las leyes de privacidad estatales más activamente aplicadas en los Estados Unidos. Ambas leyes imponen obligaciones de consentimiento, transparencia y exclusión voluntaria a los sitios web que procesan datos personales de residentes por encima de los umbrales definidos. A mediados de 2026, Connecticut ha reducido su umbral de aplicabilidad a 35,000 consumidores y ha ampliado su definición de datos sensibles, haciendo que el cumplimiento sea más urgente que nunca para los propietarios de sitios web y las empresas que operan a través de las fronteras estatales.
Puntos clave
- La Ley de Privacidad de Colorado está en vigor desde el 1 de julio de 2023; el umbral de Connecticut se redujo a 35,000 consumidores a partir del 1 de julio de 2026.
- Ambos estados exigen que las empresas respeten las señales de Global Privacy Control (GPC), y los fiscales generales de ambos estados llevaron a cabo una investigación conjunta en septiembre de 2025.
- Las enmiendas de Connecticut de 2026 ampliaron las categorías de datos sensibles para incluir datos neuronales, estado de discapacidad, estado transgénero o no binario, y números de identificación emitidos por el gobierno.
- La nueva ley de IA de Colorado (CADMA), firmada el 14 de mayo de 2026, añade obligaciones de transparencia algorítmica a partir del 1 de enero de 2027.
- Las empresas deben implementar mecanismos universales de exclusión voluntaria, publicar avisos de privacidad detallados y responder a las solicitudes de derechos de los consumidores sobre sus datos.
- Ninguna de las leyes requiere políticas de privacidad completamente separadas por estado, pero una sola política debe abordar los derechos específicos otorgados bajo cada ley.
- Las herramientas de gestión de consentimiento, como Biscotti CMP (www.biscotti-cmp.com), son esenciales para automatizar el reconocimiento de señales de exclusión voluntaria y el registro de consentimiento.
- Las violaciones pueden resultar en sanciones civiles impuestas por los fiscales generales del estado; no existe un derecho privado de acción bajo ninguna de las leyes.
¿Cuál es la diferencia entre las leyes de privacidad de Colorado y Connecticut?
Colorado y Connecticut comparten un marco de privacidad ampliamente similar, pero difieren en umbrales clave, definiciones de datos sensibles y el alcance de la regulación de la IA. Comprender estas distinciones es fundamental para las leyes de privacidad de Colorado y Connecticut: preparando su sitio web para el cumplimiento a nivel estatal.
Ley de Privacidad de Colorado (CPA): En vigor desde el 1 de julio de 2023, la CPA se aplica a los controladores que procesan datos personales de 100,000 o más consumidores de Colorado anualmente, o 25,000 o más consumidores cuando el negocio obtiene ingresos de la venta de datos personales [6].
Ley de Privacidad de Datos de Connecticut (CTDPA): En vigor desde el 1 de julio de 2023, pero modificada significativamente para 2026. A partir del 1 de julio de 2026, el umbral de aplicabilidad se redujo de 100,000 a 35,000 consumidores, ampliando sustancialmente el alcance de la ley [2].
| Característica | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Fecha de entrada en vigor | 1 de julio de 2023 | 1 de julio de 2023 |
| Umbral de consumidores | 100,000/año | 35,000 (a partir de julio de 2026) |
| Umbral basado en ingresos | 25,000 + ingresos por datos | 25,000 + 25% de ingresos por datos |
| Exclusión voluntaria universal requerida | Sí | Sí (desde el 1 de enero de 2025) |
| Expansión de datos sensibles (2026) | Sin cambios importantes en 2026 | Sí (datos neuronales, discapacidad, etc.) |
| Ley de IA | CADMA (en vigor el 1 de enero de 2027) | SB 5 (en vigor el 1 de octubre de 2027) |
¿Las leyes de privacidad de Colorado y Connecticut se aplican a mi pequeña empresa?
Ambas leyes se aplican en función de los umbrales de volumen de datos, no solo del tamaño o los ingresos de la empresa. Una pequeña tienda de comercio electrónico que procesa datos personales de 35,000 o más residentes de Connecticut en un año calendario está sujeta a la CTDPA a partir del 1 de julio de 2026, independientemente de sus ingresos anuales [2].
Elija esta regla: Si su sitio web recopila direcciones de correo electrónico, historiales de compras o datos de seguimiento de comportamiento de residentes de cualquiera de los estados, cuente sus registros de consumidores únicos anualmente. ¿Supera el umbral? Está cubierto.
- Colorado: 100,000 consumidores procesados por año, O 25,000 consumidores si la venta de datos contribuye a los ingresos [6].
- Connecticut: 35,000 consumidores procesados por año (después de julio de 2026), O 25,000 consumidores si el 25% o más de los ingresos brutos provienen de la venta de datos personales [2].
Error común: Muchas pequeñas empresas asumen que "vender datos" significa corretaje directo de datos. En la práctica, compartir datos con redes publicitarias para publicidad dirigida puede calificar como una venta bajo ambas leyes.
¿Cuáles son los principales requisitos de la Ley de Privacidad de Colorado?
La CPA exige que los controladores proporcionen avisos de privacidad claros, respeten los derechos del consumidor e implementen mecanismos de exclusión voluntaria para la venta de datos y la publicidad dirigida [6].
Obligaciones principales bajo la CPA:
- Aviso de privacidad: Divulgar las categorías de datos personales recopilados, los propósitos del procesamiento y las categorías de terceros que reciben los datos.
- Derechos del consumidor: Acceso, corrección, eliminación, portabilidad de datos y exclusión voluntaria de ventas, publicidad dirigida y elaboración de perfiles.
- Evaluaciones de protección de datos: Requeridas para actividades de procesamiento de alto riesgo, incluida la publicidad dirigida y la elaboración de perfiles.
- Contratos de procesador: Acuerdos escritos con procesadores de datos que especifican las instrucciones de procesamiento y las obligaciones de seguridad.
- Exclusión voluntaria universal: Respetar las señales GPC y mecanismos de exclusión voluntaria similares basados en el navegador [7].
La oficina del Fiscal General de Colorado hace cumplir la CPA con un período de subsanación de 60 días para las infracciones por primera vez (sujeto a cambios bajo futuras regulaciones) [6].
¿Cuáles son los principales requisitos de la Ley de Privacidad de Datos de Connecticut?
La CTDPA refleja la CPA en estructura, pero incluye categorías de datos sensibles ampliadas y una aplicación más temprana de la exclusión voluntaria universal. A partir del 1 de enero de 2025, las empresas cubiertas deben respetar las señales de preferencia de exclusión voluntaria universal, incluida GPC [4].
Datos sensibles bajo la CTDPA (enmiendas posteriores a julio de 2026) ahora incluyen [3]:
- Origen racial o étnico
- Condiciones de salud mental o física, incluido el estado de discapacidad
- Estado transgénero o no binario
- Datos neuronales
- Números de cuenta financiera combinados con credenciales de acceso
- Números de identificación emitidos por el gobierno
- Datos de geolocalización precisos
- Datos genéticos o biométricos
El procesamiento de datos sensibles requiere el consentimiento explícito de los consumidores de Connecticut. Este es un estándar más estricto que el modelo de exclusión voluntaria que se aplica a los datos personales generales.
¿Cuál es más estricta: la Ley de Privacidad de Colorado o la Ley de Privacidad de Connecticut?
Las enmiendas de Connecticut de 2026 la hacen marginalmente más estricta para la mayoría de los sitios web, principalmente debido a su umbral de aplicabilidad más bajo (35,000 frente a 100,000 consumidores) y sus categorías de datos sensibles ampliadas que requieren consentimiento de aceptación [2][3]. Sin embargo, la próxima CADMA de Colorado impone obligaciones más amplias relacionadas con la IA en más sectores que la SB 5 de Connecticut [1].
Veredicto práctico: Para los sitios web principalmente preocupados por la recopilación de datos y la publicidad, Connecticut es la jurisdicción más exigente en 2026. Para las empresas que implementan herramientas de toma de decisiones automatizadas, la CADMA de Colorado (en vigor el 1 de enero de 2027) probablemente impondrá la carga de cumplimiento más pesada [8].
¿Cuál es el plazo para cumplir con las leyes de privacidad de Colorado y Connecticut?
La CPA ha sido aplicable desde el 1 de julio de 2023. El umbral reducido de Connecticut y las definiciones ampliadas de datos sensibles entraron en vigor el 1 de julio de 2026. Las empresas que anteriormente estaban por debajo del umbral de 100,000 consumidores de Connecticut pero que ahora superan los 35,000 deben cumplir de inmediato [2].
Próximos plazos a seguir:
- 1 de julio de 2026: El nuevo umbral de 35,000 consumidores de Connecticut y las categorías de datos sensibles ampliadas están en vivo.
- 1 de enero de 2027: La CADMA de Colorado entra en vigor para los sistemas de toma de decisiones asistidos por IA.
- 1 de octubre de 2027: Las disposiciones de IA de la SB 5 de Connecticut entran en vigor para las decisiones automatizadas relacionadas con el empleo [8].
¿Qué sucede si mi sitio web viola las leyes de privacidad de Colorado o Connecticut?
Ninguna de las leyes crea un derecho privado de acción, lo que significa que los consumidores individuales no pueden demandar directamente a su empresa. La aplicación es manejada exclusivamente por el fiscal general del estado [4][8].
Posibles consecuencias:
- Sanciones civiles de hasta $20,000 por infracción en Connecticut y hasta $20,000 por infracción en Colorado.
- Medidas cautelares que requieren cambios operativos.
- Acciones de aplicación pública que conllevan un daño significativo a la reputación.
En septiembre de 2025, los fiscales generales de Connecticut, California y Colorado anunciaron una investigación conjunta dirigida a empresas que no respetan las señales GPC [5]. Esta aplicación coordinada indica que los reguladores están monitoreando activamente el cumplimiento, sin esperar las quejas de los consumidores.
¿Necesito políticas de privacidad separadas para Colorado y Connecticut?
No, una única política de privacidad integral puede satisfacer ambas leyes, siempre que aborde explícitamente los derechos y las divulgaciones requeridas en cada una. Muchas empresas utilizan un enfoque por capas: una política de privacidad general complementada con adendas específicas del estado o una sección dedicada a "Sus derechos de privacidad" que hace referencia a los residentes de Colorado y Connecticut por su nombre.
Su política de privacidad debe cubrir, como mínimo:
- Categorías de datos personales recopilados y propósitos del procesamiento
- Derechos del consumidor disponibles (acceso, eliminación, corrección, portabilidad, exclusión voluntaria)
- Cómo enviar una solicitud de derechos del consumidor y el plazo de respuesta (45 días, prorrogable por 45 días)
- Categorías de terceros con quienes se comparten datos
- Si el negocio vende datos personales o los utiliza para publicidad dirigida
¿Cómo sé si mi sitio web necesita cumplir con estas leyes estatales?
Determine la aplicabilidad auditando sus registros anuales de datos de consumidores con respecto al umbral de cada estado. Si su sitio web utiliza análisis, píxeles publicitarios o cualquier forma de seguimiento de comportamiento, es casi seguro que está recopilando datos personales de residentes de ambos estados.
Autoevaluación rápida:
- ¿Su sitio web recopila datos personales (nombres, correos electrónicos, direcciones IP, identificadores de dispositivos)?
- ¿Atiende a visitantes de Colorado o Connecticut?
- ¿Procesa datos de más de 100,000 residentes de Colorado o más de 35,000 residentes de Connecticut anualmente?
- ¿Comparte datos con redes publicitarias o proveedores de análisis de terceros?
Si respondió afirmativamente a las preguntas 1, 2 y 4, es probable que cumpla con el umbral de al menos una ley, incluso sin recuentos precisos de consumidores, particularmente para Connecticut después de julio de 2026.
¿Qué herramientas de privacidad necesito implementar para el cumplimiento?
El cumplimiento requiere tanto la implementación técnica como la documentación de políticas. El componente técnico más crítico es una plataforma de gestión de consentimiento (CMP) que pueda detectar y respetar las señales GPC, presentar banners de consentimiento conformes y registrar los registros de consentimiento para fines de auditoría.
Biscotti CMP (www.biscotti-cmp.com) está diseñado para abordar estos requisitos, ofreciendo reconocimiento de señales GPC, categorización granular de consentimiento y registros de consentimiento listos para auditoría que se alinean con las obligaciones de CPA y CTDPA.
Requisitos técnicos adicionales:
- Auditoría de cookies: Inventario de todas las cookies y rastreadores de primera y tercera parte en su sitio web.
- Mapeo de datos: Documentar qué datos personales fluyen a dónde, incluidos los procesadores de terceros.
- Portal de derechos del consumidor: Un mecanismo (formulario web o proceso de correo electrónico) para enviar solicitudes de acceso, eliminación y corrección.
- Actualizaciones del aviso de privacidad: Reflejar todas las enmiendas de Connecticut de 2026, incluidas las categorías de datos sensibles ampliadas.
¿Existen exenciones para ciertos tipos de sitios web o empresas?
Ambas leyes incluyen exenciones a nivel de entidad y a nivel de datos. Las organizaciones sin fines de lucro, las entidades gubernamentales y ciertas industrias reguladas (como las entidades cubiertas por HIPAA para datos de salud y las instituciones financieras reguladas por GLBA para datos financieros) pueden estar parcial o totalmente exentas.
Exenciones comunes:
- Los datos ya regulados bajo HIPAA, FERPA, GLBA o COPPA están exentos de los requisitos de CPA y CTDPA a nivel de datos.
- Las empresas que operan únicamente dentro de Colorado o Connecticut sin actividad de publicidad digital y por debajo del umbral de consumidores no están cubiertas.
- Los datos de los empleados tienen exenciones limitadas bajo ambas leyes, aunque la SB 5 de Connecticut agrega nuevos requisitos de divulgación de IA para el empleo a partir de octubre de 2027 [8].
Caso límite: Un sitio web de atención médica que recopila datos de pacientes cubiertos por HIPAA está exento para esos datos, pero aún puede estar cubierto para datos personales no relacionados con la salud recopilados a través de análisis de marketing o suscripciones a boletines.
¿Cuáles son los errores comunes que cometen las empresas con el cumplimiento de la privacidad estatal?
Los fallos de cumplimiento más frecuentes implican las señales GPC, el registro de consentimiento y los avisos de privacidad desactualizados.
Principales errores a evitar:
- Ignorar las señales GPC: A partir de 2026, al menos ocho estados requieren el reconocimiento de GPC. No respetar estas señales fue el objetivo directo de la investigación conjunta de tres estados de 2025 [5][7].
- Políticas de privacidad estáticas: Publicar una política una vez y nunca actualizarla. Las enmiendas de Connecticut de julio de 2026 requieren actualizaciones inmediatas de la política para reflejar las nuevas categorías de datos sensibles.
- Tratar la exclusión voluntaria como opcional: Algunas empresas implementan banners de consentimiento pero continúan activando rastreadores de anuncios antes de que el usuario interactúe. Esto viola el espíritu y la letra de ambas leyes.
- No hay acuerdos de procesamiento de datos: Compartir datos con procesadores sin contratos escritos es una violación directa de la CPA [6].
- Asumir que el estado de organización sin fines de lucro proporciona una exención total: Las exenciones a nivel de entidad son limitadas; las exenciones a nivel de datos no cubren todas las actividades de procesamiento.
¿Las leyes de privacidad de Colorado y Connecticut afectan de manera diferente a los sitios web de comercio electrónico?
Los sitios web de comercio electrónico se enfrentan a una mayor exposición bajo ambas leyes porque suelen recopilar datos de pago, historiales de compras, geolocalización precisa (para envíos) y perfiles de comportamiento, todo lo cual puede calificar como datos sensibles bajo las definiciones ampliadas de la CTDPA [3].
Para los operadores de comercio electrónico, las implicaciones prácticas incluyen:
- Se requiere el consentimiento de aceptación antes de procesar números de cuenta financiera combinados con credenciales de acceso (una nueva categoría de datos sensibles de Connecticut a partir de julio de 2026).
- La publicidad conductual basada en el historial de compras requiere un mecanismo claro de exclusión voluntaria y cumplimiento de GPC.
- Los datos del programa de lealtad vinculados a perfiles de consumidores individuales activan los requisitos de evaluación de protección de datos bajo la CPA.
¿Cuánto cuesta hacer que mi sitio web cumpla con las leyes de privacidad estatales?
Los costos de cumplimiento varían significativamente según la complejidad del sitio web, la infraestructura de datos existente y si se contrata asesoramiento legal. Un sitio web informativo sencillo con una recopilación mínima de datos puede lograr el cumplimiento principalmente a través de actualizaciones de políticas y una implementación de CMP, lo que puede costar desde unos pocos cientos hasta unos pocos miles de dólares anualmente. Las plataformas de comercio electrónico complejas o las empresas con extensas tuberías de procesamiento de datos pueden incurrir en costos sustancialmente más altos para el mapeo de datos, la revisión legal y la remediación técnica.
Factores de costo:
- Revisión legal de la política de privacidad y los acuerdos de procesamiento de datos
- Licencias e implementación de CMP (costo anual continuo)
- Tiempo del personal interno para el procesamiento de solicitudes de derechos del consumidor
- Ejercicios de mapeo y auditoría de datos (una sola vez más actualizaciones periódicas)
El costo del incumplimiento, por el contrario, incluye sanciones civiles de hasta $20,000 por infracción, además del daño a la reputación por acciones de aplicación pública.
Conclusión
Leyes de privacidad de Colorado y Connecticut: preparar su sitio web para el cumplimiento a nivel estatal ya no es un ejercicio de planificación futura. Con el umbral reducido de Connecticut ahora en vivo a partir del 1 de julio de 2026, y las investigaciones de aplicación ya en marcha, la ventana para el cumplimiento reactivo se ha cerrado. Los propietarios de sitios web, desarrolladores y agencias de marketing que operan en estos estados deben auditar sus volúmenes de datos de consumidores, actualizar los avisos de privacidad para reflejar las categorías de datos sensibles ampliadas, implementar la gestión de consentimiento que respete GPC a través de una plataforma como Biscotti CMP (www.biscotti-cmp.com), y establecer procesos documentados para las solicitudes de derechos del consumidor.
Próximos pasos accionables:
- Audite sus registros anuales de datos de consumidores con respecto a los umbrales de 35,000 (Connecticut) y 100,000 (Colorado) de inmediato.
- Actualice su política de privacidad para abordar las expansiones de datos sensibles de Connecticut de julio de 2026.
- Implemente una plataforma de gestión de consentimiento que reconozca y respete las señales GPC en todas las propiedades del sitio web.
- Ejecute acuerdos de procesamiento de datos por escrito con todos los procesadores de terceros.
- Comience a prepararse para las obligaciones de IA de CADMA de Colorado, en vigor el 1 de enero de 2027, si su sitio web utiliza herramientas de toma de decisiones automatizadas.
El cumplimiento de la privacidad a nivel estatal es ahora una expectativa básica, no un diferenciador competitivo. Las empresas que lo traten como infraestructura en lugar de un gasto general estarán mejor posicionadas a medida que la actividad de aplicación continúe acelerándose.
Preguntas frecuentes
P: ¿La Ley de Privacidad de Colorado se aplica a empresas fuera de Colorado? Sí. La CPA se aplica a cualquier empresa que procese datos personales de residentes de Colorado por encima del umbral, independientemente de dónde se encuentre físicamente la empresa.
P: ¿Qué es una señal de Global Privacy Control (GPC)? GPC es una señal basada en el navegador que comunica automáticamente la preferencia de exclusión voluntaria de un consumidor para la venta de datos y la publicidad dirigida a cada sitio web que visita. Tanto Colorado como Connecticut exigen que las empresas cubiertas la respeten [7].
P: ¿Cuándo redujo Connecticut su umbral de aplicabilidad? El umbral de Connecticut se redujo de 100,000 a 35,000 consumidores a partir del 1 de julio de 2026, como parte de sus enmiendas a la ley de privacidad de 2025 [2].
P: ¿Existe un derecho privado de acción bajo la CPA o la CTDPA? No. Ambas leyes son aplicadas exclusivamente por sus respectivos fiscales generales estatales. Los consumidores individuales no pueden presentar demandas directamente bajo ninguna de las leyes [4][8].
P: ¿Qué se considera "venta" de datos personales bajo estas leyes? Compartir datos personales con terceros a cambio de una consideración monetaria o de otro valor, incluido el intercambio con redes publicitarias a cambio de servicios de publicidad dirigida, generalmente califica como una venta bajo ambas leyes.
P: ¿Cuánto tiempo tienen las empresas para responder a las solicitudes de derechos del consumidor? Tanto la CPA como la CTDPA requieren una respuesta dentro de los 45 días, con una posible extensión de 45 días cuando sea razonablemente necesario, para un máximo de 90 días en total [6][4].
P: ¿La CADMA de Colorado reemplaza la CPA? No. CADMA, en vigor el 1 de enero de 2027, es una ley separada que rige la toma de decisiones asistida por IA. La CPA continúa rigiendo el procesamiento general de datos personales [8].
P: ¿Qué son los datos neuronales y por qué son importantes para los sitios web? Los datos neuronales se refieren a la información derivada de interfaces cerebro-computadora o neurotecnología. Connecticut los agregó a sus categorías de datos sensibles en 2026. La mayoría de los sitios web estándar no los recopilarán, pero las plataformas de salud y bienestar que utilizan herramientas biométricas deben revisar sus inventarios de datos [3].
P: ¿Necesito consentimiento de aceptación o exclusión voluntaria para datos sensibles en Connecticut? Se requiere el consentimiento de aceptación para el procesamiento de datos sensibles bajo la CTDPA. Este es un estándar más estricto que el modelo de exclusión voluntaria que se aplica a los datos personales generales [3].
P: ¿Puede una única política de privacidad cubrir tanto Colorado como Connecticut? Sí, siempre que la política aborde explícitamente los derechos y las divulgaciones requeridas en cada ley. Una adenda específica del estado "Sus derechos de privacidad" es un enfoque común y efectivo.
Referencias
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai