Resposta rápida: A Colorado Privacy Act (CPA) e a Connecticut Data Privacy Act (CTDPA) son dúas das leis de privacidade estatais máis activamente aplicadas nos Estados Unidos. Ambas as leis impoñen obrigas de consentimento, transparencia e opt-out nos sitios web que procesan datos persoais de residentes por riba dos limiares definidos. A mediados de 2026, Connecticut reduciu o seu limiar de aplicabilidade a 35.000 consumidores e expandiu a súa definición de datos sensibles, facendo que o cumprimento sexa máis urxente que nunca para os propietarios de sitios web e as empresas que operan entre estados.
Puntos clave
- A Colorado Privacy Act está en vigor desde o 1 de xullo de 2023; o limiar de Connecticut baixou a 35.000 consumidores a partir do 1 de xullo de 2026.
- Ambos os estados requiren que as empresas respecten os sinais de Global Privacy Control (GPC), e os fiscais xerais de ambos os estados realizaron unha investigación conxunta en setembro de 2025.
- As emendas de Connecticut de 2026 expandiron as categorías de datos sensibles para incluír datos neuronais, estado de discapacidade, estado transxénero ou non binario, e números de identificación emitidos polo goberno.
- A nova lei de IA de Colorado (CADMA), asinada o 14 de maio de 2026, engade obrigas de transparencia algorítmica a partir do 1 de xaneiro de 2027.
- As empresas deben implementar mecanismos universais de opt-out, publicar avisos de privacidade detallados e responder ás solicitudes de dereitos de datos dos consumidores.
- Ningunha das leis require políticas de privacidade completamente separadas por estado, pero unha única política debe abordar os dereitos específicos concedidos baixo cada lei.
- As ferramentas de xestión de consentimento, como Biscotti CMP (www.biscotti-cmp.com), son esenciais para automatizar o recoñecemento de sinais de opt-out e o rexistro de consentimento.
- As violacións poden resultar en sancións civís aplicadas polos fiscais xerais estatais; non existe un dereito de acción privado baixo ningunha das leis.
Cal é a diferenza entre as leis de privacidade de Colorado e Connecticut
Colorado e Connecticut comparten un marco de privacidade amplamente similar, pero diverxen en limiares clave, definicións de datos sensibles e alcance da regulación da IA. Comprender estas distincións é fundamental para as leis de privacidade de Colorado e Connecticut: preparando o seu sitio web para o cumprimento a nivel estatal.
Colorado Privacy Act (CPA): En vigor desde o 1 de xullo de 2023, a CPA aplícase aos controladores que procesan datos persoais de 100.000 ou máis consumidores de Colorado anualmente, ou 25.000 ou máis consumidores cando o negocio obtén ingresos da venda de datos persoais [6].
Connecticut Data Privacy Act (CTDPA): En vigor desde o 1 de xullo de 2023, pero emendada significativamente para 2026. A partir do 1 de xullo de 2026, o limiar de aplicabilidade baixou de 100.000 a 35.000 consumidores, ampliando substancialmente o alcance da lei [2].
| Característica | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Data de entrada en vigor | 1 de xullo de 2023 | 1 de xullo de 2023 |
| Limiar de consumidores | 100.000/ano | 35.000 (a partir de xullo de 2026) |
| Limiar baseado en ingresos | 25.000 + ingresos por datos | 25.000 + 25% de ingresos por datos |
| Opt-out universal requirido | Si | Si (desde o 1 de xaneiro de 2025) |
| Expansión de datos sensibles (2026) | Sen cambios importantes en 2026 | Si (datos neuronais, discapacidade, etc.) |
| Lei de IA | CADMA (en vigor o 1 de xaneiro de 2027) | SB 5 (en vigor o 1 de outubro de 2027) |
As leis de privacidade de Colorado e Connecticut aplícanse á miña pequena empresa?
Ambas as leis aplícanse en función dos limiares de volume de datos, non só do tamaño ou ingresos da empresa. Unha pequena tenda de comercio electrónico que procesa datos persoais de 35.000 ou máis residentes de Connecticut nun ano natural está suxeita á CTDPA a partir do 1 de xullo de 2026, independentemente dos ingresos anuais [2].
Escolla esta regra: Se o seu sitio web recolle enderezos de correo electrónico, historial de compras ou datos de seguimento de comportamento de residentes de calquera dos estados, conte os seus rexistros de consumidores únicos anualmente. Supera o limiar? Está cuberto.
- Colorado: 100.000 consumidores procesados por ano, OU 25.000 consumidores se as vendas de datos contribúen aos ingresos [6].
- Connecticut: 35.000 consumidores procesados por ano (despois de xullo de 2026), OU 25.000 consumidores se o 25% ou máis dos ingresos brutos derivan da venda de datos persoais [2].
Erro común: Moitas pequenas empresas asumen que "vender datos" significa corretaxe directa de datos. Na práctica, compartir datos con redes publicitarias para publicidade dirixida pode cualificarse como venda baixo ambas as leis.
Cales son os principais requisitos da Colorado Privacy Act
A CPA require que os controladores proporcionen avisos de privacidade claros, respecten os dereitos dos consumidores e implementen mecanismos de opt-out para a venda de datos e a publicidade dirixida [6].
Obrigas fundamentais baixo a CPA:
- Aviso de privacidade: Divulgar as categorías de datos persoais recollidos, os propósitos do procesamento e as categorías de terceiros que reciben os datos.
- Dereitos do consumidor: Acceso, corrección, eliminación, portabilidade de datos e opt-out de vendas, publicidade dirixida e elaboración de perfís.
- Avaliacións de protección de datos: Requiridas para actividades de procesamento de alto risco, incluíndo publicidade dirixida e elaboración de perfís.
- Contratos de procesador: Acordos escritos con procesadores de datos que especifiquen instrucións de procesamento e obrigas de seguridade.
- Opt-out universal: Respectar os sinais GPC e mecanismos de opt-out similares baseados no navegador [7].
A oficina do Fiscal Xeral de Colorado aplica a CPA cun período de subsanación de 60 días para as primeiras violacións (suxeito a cambios baixo futuras normativas) [6].
Cales son os principais requisitos da Lei de Privacidade de Datos de Connecticut
A CTDPA reflicte a CPA na estrutura, pero inclúe categorías de datos sensibles expandidas e unha aplicación máis temperá do opt-out universal. A partir do 1 de xaneiro de 2025, as empresas cubertas deben respectar os sinais de preferencia de opt-out universal, incluíndo GPC [4].
Datos sensibles baixo a CTDPA (emendas posteriores a xullo de 2026) agora inclúen [3]:
- Orixe racial ou étnica
- Condicións de saúde mental ou física, incluíndo o estado de discapacidade
- Estado transxénero ou non binario
- Datos neuronais
- Números de contas financeiras combinados con credenciais de acceso
- Números de identificación emitidos polo goberno
- Datos de xeolocalización precisos
- Datos xenéticos ou biométricos
O procesamento de datos sensibles require o consentimento explícito dos consumidores de Connecticut. Este é un estándar máis estrito que o modelo de opt-out que se aplica aos datos persoais xerais.
Cal é máis estrita: a Lei de Privacidade de Colorado ou a Lei de Privacidade de Connecticut
As emendas de Connecticut de 2026 fana lixeiramente máis estrita para a maioría dos sitios web, principalmente debido ao seu limiar de aplicabilidade máis baixo (35.000 fronte a 100.000 consumidores) e ás súas categorías de datos sensibles expandidas que requiren consentimento opt-in [2][3]. A próxima CADMA de Colorado, con todo, impón obrigas máis amplas relacionadas coa IA en máis sectores que a SB 5 de Connecticut [1].
Veredicto práctico: Para os sitios web principalmente preocupados pola recollida de datos e a publicidade, Connecticut é a xurisdición máis esixente en 2026. Para as empresas que despregan ferramentas de toma de decisións automatizadas, a CADMA de Colorado (en vigor o 1 de xaneiro de 2027) probablemente impoñerá a carga de cumprimento máis pesada [8].
Cal é o prazo para cumprir coas leis de privacidade de Colorado e Connecticut
A CPA é aplicable desde o 1 de xullo de 2023. O limiar reducido de Connecticut e as definicións de datos sensibles expandidas entraron en vigor o 1 de xullo de 2026. As empresas que anteriormente estaban por debaixo do limiar de 100.000 consumidores de Connecticut pero que agora superan os 35.000 deben cumprir de inmediato [2].
Próximos prazos a seguir:
- 1 de xullo de 2026: O novo limiar de 35.000 consumidores de Connecticut e as categorías de datos sensibles expandidas están en vigor.
- 1 de xaneiro de 2027: A CADMA de Colorado entra en vigor para os sistemas de toma de decisións asistidos por IA.
- 1 de outubro de 2027: As disposicións de IA da SB 5 de Connecticut entran en vigor para as decisións automatizadas relacionadas co emprego [8].
Que ocorre se o meu sitio web viola as leis de privacidade de Colorado ou Connecticut
Ningunha das leis crea un dereito de acción privado, o que significa que os consumidores individuais non poden demandar directamente á súa empresa. A aplicación é xestionada exclusivamente polo fiscal xeral do estado [4][8].
Posibles consecuencias:
- Sancións civís de ata 20.000 $ por violación en Connecticut e ata 20.000 $ por violación en Colorado.
- Medidas cautelares que requiren cambios operativos.
- Accións de aplicación públicas que conllevan un dano reputacional significativo.
En setembro de 2025, os fiscais xerais de Connecticut, California e Colorado anunciaron unha investigación conxunta dirixida a empresas que non respectan os sinais GPC [5]. Esta aplicación coordinada sinala que os reguladores están a supervisar activamente o cumprimento, non esperando as queixas dos consumidores.
Necesito políticas de privacidade separadas para Colorado e Connecticut
Non, unha única política de privacidade completa pode satisfacer ambas as leis, sempre que aborde explicitamente os dereitos e divulgacións requiridos baixo cada unha. Moitas empresas usan un enfoque por capas: unha política de privacidade xeral complementada con adendas específicas do estado ou unha sección dedicada a "Os seus dereitos de privacidade" que fai referencia aos residentes de Colorado e Connecticut polo seu nome.
A súa política de privacidade debe cubrir, como mínimo:
- Categorías de datos persoais recollidos e propósitos do procesamento
- Dereitos do consumidor dispoñibles (acceso, eliminación, corrección, portabilidade, opt-out)
- Como enviar unha solicitude de dereitos do consumidor e o prazo de resposta (45 días, prorrogable por 45 días)
- Categorías de terceiros cos que se comparten datos
- Se a empresa vende datos persoais ou os usa para publicidade dirixida
Como sei se o meu sitio web necesita cumprir estas leis estatais
Determine a aplicabilidade auditando os seus rexistros anuais de datos de consumidores fronte ao limiar de cada estado. Se o seu sitio web utiliza análises, píxeles de publicidade ou calquera forma de seguimento de comportamento, case con certeza está a recoller datos persoais de residentes de ambos os estados.
Autoavaliación rápida:
- O seu sitio web recolle datos persoais (nomes, correos electrónicos, enderezos IP, identificadores de dispositivo)?
- Atende visitantes de Colorado ou Connecticut?
- Procesa datos de máis de 100.000 residentes de Colorado ou máis de 35.000 residentes de Connecticut anualmente?
- Comparte datos con redes publicitarias ou provedores de análises de terceiros?
Se respondeu si ás preguntas 1, 2 e 4, é probable que cumpra o limiar para polo menos unha lei, mesmo sen contaxes precisas de consumidores, especialmente para Connecticut despois de xullo de 2026.
Que ferramentas de privacidade necesito implementar para o cumprimento
O cumprimento require tanto a implementación técnica como a documentación de políticas. O compoñente técnico máis crítico é unha plataforma de xestión de consentimento (CMP) que poida detectar e respectar os sinais GPC, presentar banners de consentimento conformes e rexistrar os rexistros de consentimento para fins de auditoría.
Biscotti CMP (www.biscotti-cmp.com) está deseñado para abordar estes requisitos, ofrecendo recoñecemento de sinais GPC, categorización granular de consentimento e rexistros de consentimento listos para auditoría que se aliñan coas obrigas da CPA e da CTDPA.
Requisitos técnicos adicionais:
- Auditoría de cookies: Inventariar todas as cookies e rastreadores de primeira e terceira parte no seu sitio web.
- Mapeo de datos: Documentar que datos persoais flúen onde, incluídos os procesadores de terceiros.
- Portal de dereitos do consumidor: Un mecanismo (formulario web ou proceso de correo electrónico) para enviar solicitudes de acceso, eliminación e corrección.
- Actualizacións do aviso de privacidade: Reflicte todas as emendas de Connecticut de 2026, incluídas as categorías de datos sensibles expandidas.
Existen exencións para certos tipos de sitios web ou empresas
Ambas as leis inclúen exencións a nivel de entidade e a nivel de datos. As organizacións sen ánimo de lucro, as entidades gobernamentais e certas industrias reguladas (como as entidades cubertas pola HIPAA para datos de saúde e as institucións financeiras reguladas pola GLBA para datos financeiros) poden estar parcial ou totalmente exentas.
Exencións comúns:
- Os datos xa regulados baixo HIPAA, FERPA, GLBA ou COPPA están exentos dos requisitos da CPA e da CTDPA a nivel de datos.
- As empresas que operan unicamente dentro de Colorado ou Connecticut sen actividade de publicidade dixital e por debaixo do limiar de consumidores non están cubertas.
- Os datos dos empregados teñen exencións limitadas baixo ambas as leis, aínda que a SB 5 de Connecticut engade novos requisitos de divulgación de IA para o emprego a partir de outubro de 2027 [8].
Caso límite: Un sitio web de atención sanitaria que recolle datos de pacientes cubertos pola HIPAA está exento para eses datos, pero aínda pode estar cuberto para datos persoais non relacionados coa saúde recollidos a través de análises de marketing ou subscricións a boletíns.
Cales son os erros comúns que cometen as empresas co cumprimento da privacidade estatal
Os fallos de cumprimento máis frecuentes implican os sinais GPC, o rexistro de consentimento e os avisos de privacidade desactualizados.
Principais erros a evitar:
- Ignorar os sinais GPC: A partir de 2026, polo menos oito estados requiren o recoñecemento de GPC. Non respectar estes sinais foi o obxectivo directo da investigación de aplicación tri-estatal de 2025 [5][7].
- Políticas de privacidade estáticas: Publicar unha política unha vez e nunca actualizala. As emendas de xullo de 2026 de Connecticut requiren actualizacións inmediatas da política para reflectir as novas categorías de datos sensibles.
- Tratar o opt-out como opcional: Algunhas empresas implementan banners de consentimento pero seguen activando rastreadores de anuncios antes de que o usuario interactúe. Isto viola o espírito e a letra de ambas as leis.
- Sen acordos de procesamento de datos: Compartir datos con procesadores sen contratos escritos é unha violación directa da CPA [6].
- Asumir que o estado de organización sen ánimo de lucro proporciona exención total: As exencións a nivel de entidade son estreitas; as exencións a nivel de datos non cobren todas as actividades de procesamento.
As leis de privacidade de Colorado e Connecticut afectan de forma diferente aos sitios web de comercio electrónico
Os sitios web de comercio electrónico enfróntanse a unha maior exposición baixo ambas as leis porque normalmente recollen datos de pago, historial de compras, xeolocalización precisa (para o envío) e perfís de comportamento, todo o cal pode cualificarse como datos sensibles baixo as definicións expandidas da CTDPA [3].
Para os operadores de comercio electrónico, as implicacións prácticas inclúen:
- Requírese o consentimento opt-in antes de procesar números de contas financeiras combinados con credenciais de acceso (unha nova categoría de datos sensibles de Connecticut a partir de xullo de 2026).
- A publicidade comportamental baseada no historial de compras require un mecanismo claro de opt-out e o cumprimento de GPC.
- Os datos do programa de fidelidade vinculados a perfís de consumidores individuais activan os requisitos de avaliación de protección de datos baixo a CPA.
Canto custa facer que o meu sitio web cumpra coas leis de privacidade estatais
Os custos de cumprimento varían significativamente en función da complexidade do sitio web, a infraestrutura de datos existente e se se contrata asesoramento legal. Un sitio web informativo sinxelo con recollida mínima de datos pode lograr o cumprimento principalmente mediante actualizacións de políticas e unha implementación de CMP, o que pode custar desde uns poucos centos ata uns poucos miles de dólares anualmente. As plataformas de comercio electrónico complexas ou as empresas con extensas canalizacións de procesamento de datos poden incorrer en custos substancialmente máis altos para o mapeo de datos, a revisión legal e a remediación técnica.
Factores de custo:
- Revisión legal da política de privacidade e acordos de procesamento de datos
- Licenza e implementación de CMP (custo anual continuo)
- Tempo do persoal interno para o procesamento de solicitudes de dereitos do consumidor
- Exercicios de mapeo e auditoría de datos (únicos máis actualizacións periódicas)
O custo do incumprimento, pola contra, inclúe sancións civís de ata 20.000 $ por violación máis o dano reputacional das accións de aplicación públicas.
Conclusión
Leis de privacidade de Colorado e Connecticut: preparar o seu sitio web para o cumprimento a nivel estatal xa non é un exercicio de planificación futura. Co limiar reducido de Connecticut xa en vigor a partir do 1 de xullo de 2026, e as investigacións de aplicación xa en marcha, a fiestra para o cumprimento reactivo pechouse. Os propietarios de sitios web, desenvolvedores e axencias de marketing que operan nestes estados deben auditar os seus volumes de datos de consumidores, actualizar os avisos de privacidade para reflectir as categorías de datos sensibles expandidas, implementar a xestión de consentimento que respecte GPC a través dunha plataforma como Biscotti CMP (www.biscotti-cmp.com), e establecer procesos documentados para as solicitudes de dereitos dos consumidores.
Próximos pasos accionables:
- Audite os seus rexistros anuais de datos de consumidores fronte aos limiares de 35.000 (Connecticut) e 100.000 (Colorado) inmediatamente.
- Actualice a súa política de privacidade para abordar as expansións de datos sensibles de Connecticut de xullo de 2026.
- Despregue unha plataforma de xestión de consentimento que recoñeza e respecte os sinais GPC en todas as propiedades do sitio web.
- Execute acordos escritos de procesamento de datos con todos os procesadores de terceiros.
- Comece a prepararse para as obrigas de IA da CADMA de Colorado, en vigor o 1 de xaneiro de 2027, se o seu sitio web utiliza ferramentas de toma de decisións automatizadas.
O cumprimento da privacidade a nivel estatal é agora unha expectativa básica, non un diferenciador competitivo. As empresas que o traten como infraestrutura en lugar de gastos xerais estarán mellor posicionadas a medida que a actividade de aplicación siga acelerándose.
Preguntas frecuentes
P: A Colorado Privacy Act aplícase a empresas fóra de Colorado? Si. A CPA aplícase a calquera empresa que procese datos persoais de residentes de Colorado por riba do limiar, independentemente de onde estea situada fisicamente a empresa.
P: Que é un sinal de Global Privacy Control (GPC)? GPC é un sinal baseado no navegador que comunica automaticamente a preferencia de opt-out dun consumidor para a venda de datos e a publicidade dirixida a cada sitio web que visita. Tanto Colorado como Connecticut requiren que as empresas cubertas o respecten [7].
P: Cando baixou Connecticut o seu limiar de aplicabilidade? O limiar de Connecticut baixou de 100.000 a 35.000 consumidores a partir do 1 de xullo de 2026, como parte das súas emendas á lei de privacidade de 2025 [2].
P: Existe un dereito de acción privado baixo a CPA ou a CTDPA? Non. Ambas as leis son aplicadas exclusivamente polos seus respectivos fiscais xerais estatais. Os consumidores individuais non poden presentar demandas directamente baixo ningunha das leis [4][8].
P: Que se considera "venda" de datos persoais baixo estas leis? Compartir datos persoais con terceiros a cambio de consideración monetaria ou doutro valor, incluído o intercambio con redes publicitarias a cambio de servizos de anuncios dirixidos, xeralmente cualifícase como venda baixo ambas as leis.
P: Canto tempo teñen as empresas para responder ás solicitudes de dereitos dos consumidores? Tanto a CPA como a CTDPA requiren unha resposta nun prazo de 45 días, cunha posible extensión de 45 días cando sexa razoablemente necesario, para un máximo de 90 días en total [6][4].
P: A CADMA de Colorado substitúe a CPA? Non. A CADMA, en vigor o 1 de xaneiro de 2027, é unha lei separada que rexe a toma de decisións asistida por IA. A CPA segue a rexer o procesamento xeral de datos persoais [8].
P: Que son os datos neuronais e por que son importantes para os sitios web? Os datos neuronais refírense á información derivada de interfaces cerebro-computador ou neurotecnoloxía. Connecticut engadiunos ás súas categorías de datos sensibles en 2026. A maioría dos sitios web estándar non os recollerán, pero as plataformas de saúde e benestar que utilizan ferramentas biométricas deberían revisar os seus inventarios de datos [3].
P: Necesito consentimento opt-in ou opt-out para datos sensibles en Connecticut? Requírese o consentimento opt-in para o procesamento de datos sensibles baixo a CTDPA. Este é un estándar máis estrito que o modelo de opt-out que se aplica aos datos persoais xerais [3].
P: Pode unha única política de privacidade cubrir tanto Colorado como Connecticut? Si, sempre que a política aborde explicitamente os dereitos e divulgacións requiridos baixo cada lei. Unha adenda específica do estado "Os seus dereitos de privacidade" é un enfoque común e eficaz.
Referencias
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai