Brzi odgovor: Colorado Privacy Act (CPA) i Connecticut Data Privacy Act (CTDPA) dva su najaktivnije provedena državna zakona o privatnosti u Sjedinjenim Državama. Oba zakona nameću obveze pristanka, transparentnosti i odustajanja web stranicama koje obrađuju osobne podatke stanovnika iznad definiranih pragova. Od sredine 2026. Connecticut je snizio svoj prag primjenjivosti na 35.000 potrošača i proširio svoju definiciju osjetljivih podataka, čineći usklađenost hitnijom nego ikad za vlasnike web stranica i poduzeća koja posluju preko državnih granica.
Ključne spoznaje
- Colorado Privacy Act na snazi je od 1. srpnja 2023.; prag Connecticuta pao je na 35.000 potrošača od 1. srpnja 2026.
- Obje države zahtijevaju od poduzeća da poštuju signale Global Privacy Control (GPC), a državni odvjetnici iz obje države proveli su zajedničku akciju provedbe u rujnu 2025.
- Izmjene Connecticuta iz 2026. proširile su kategorije osjetljivih podataka tako da uključuju neuralne podatke, status invaliditeta, transrodni ili nebinarni status te identifikacijske brojeve koje izdaje vlada.
- Novi zakon o umjetnoj inteligenciji Colorada (CADMA), potpisan 14. svibnja 2026., dodaje obveze algoritamske transparentnosti koje stupaju na snagu 1. siječnja 2027.
- Poduzeća moraju implementirati univerzalne mehanizme za odustajanje, objaviti detaljne obavijesti o privatnosti i odgovoriti na zahtjeve potrošača za prava na podatke.
- Nijedan zakon ne zahtijeva potpuno odvojene politike privatnosti po državi, ali jedna politika mora se baviti specifičnim pravima dodijeljenim prema svakom zakonu.
- Alati za upravljanje pristankom, kao što je Biscotti CMP (www.biscotti-cmp.com), ključni su za automatizaciju prepoznavanja signala za odustajanje i bilježenje pristanka.
- Kršenja mogu rezultirati građanskim kaznama koje provode državni odvjetnici; prema nijednom zakonu ne postoji privatno pravo na tužbu.
Koja je razlika između zakona o privatnosti u Coloradu i Connecticutu
Colorado i Connecticut dijele široko sličan okvir privatnosti, ali se razlikuju u ključnim pragovima, definicijama osjetljivih podataka i opsegu regulacije umjetne inteligencije. Razumijevanje ovih razlika temelj je za zakone o privatnosti u Coloradu i Connecticutu: priprema vaše web stranice za usklađenost na državnoj razini.
Colorado Privacy Act (CPA): Na snazi od 1. srpnja 2023., CPA se primjenjuje na kontrolore koji godišnje obrađuju osobne podatke 100.000 ili više potrošača iz Colorada, ili 25.000 ili više potrošača kada poduzeće ostvaruje prihod od prodaje osobnih podataka [6].
Connecticut Data Privacy Act (CTDPA): Na snazi od 1. srpnja 2023., ali značajno izmijenjen za 2026. Od 1. srpnja 2026., prag primjenjivosti pao je sa 100.000 na 35.000 potrošača, značajno proširujući doseg zakona [2].
| Značajka | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Datum stupanja na snagu | 1. srpnja 2023. | 1. srpnja 2023. |
| Prag potrošača | 100.000/godina | 35.000 (od srpnja 2026.) |
| Prag temeljen na prihodu | 25.000 + prihod od podataka | 25.000 + 25% prihoda od podataka |
| Potreban univerzalni opt-out | Da | Da (od 1. siječnja 2025.) |
| Proširenje osjetljivih podataka (2026.) | Nema veće promjene 2026. | Da (neuralni podaci, invaliditet, itd.) |
| Zakon o umjetnoj inteligenciji | CADMA (na snazi od 1. siječnja 2027.) | SB 5 (na snazi od 1. listopada 2027.) |
Primjenjuju li se zakoni o privatnosti u Coloradu i Connecticutu na moje malo poduzeće
Oba zakona primjenjuju se na temelju pragova količine podataka, a ne samo na temelju veličine poduzeća ili prihoda. Mala e-trgovina koja obrađuje osobne podatke 35.000 ili više stanovnika Connecticuta u kalendarskoj godini potpada pod CTDPA od 1. srpnja 2026., bez obzira na godišnji prihod [2].
Odaberite ovo pravilo: Ako vaša web stranica prikuplja adrese e-pošte, povijest kupnji ili podatke o praćenju ponašanja od stanovnika bilo koje države, godišnje prebrojite svoje jedinstvene zapise potrošača. Prekoračujete prag? Pokriveni ste.
- Colorado: 100.000 obrađenih potrošača godišnje, ILI 25.000 potrošača ako prodaja podataka doprinosi prihodu [6].
- Connecticut: 35.000 obrađenih potrošača godišnje (nakon srpnja 2026.), ILI 25.000 potrošača ako 25% ili više bruto prihoda proizlazi iz prodaje osobnih podataka [2].
Česta pogreška: Mnoga mala poduzeća pretpostavljaju da "prodaja podataka" znači izravno posredovanje podacima. U praksi, dijeljenje podataka s oglasnim mrežama za ciljano oglašavanje može se kvalificirati kao prodaja prema oba zakona.
Koji su glavni zahtjevi Colorado Privacy Act-a
CPA zahtijeva od kontrolora da pruže jasne obavijesti o privatnosti, poštuju prava potrošača i implementiraju mehanizme za odustajanje od prodaje podataka i ciljanog oglašavanja [6].
Osnovne obveze prema CPA-u:
- Obavijest o privatnosti: Objavite kategorije prikupljenih osobnih podataka, svrhe obrade i kategorije trećih strana koje primaju podatke.
- Prava potrošača: Pristup, ispravak, brisanje, prenosivost podataka i odustajanje od prodaje, ciljanog oglašavanja i profiliranja.
- Procjene zaštite podataka: Potrebne za aktivnosti obrade visokog rizika, uključujući ciljano oglašavanje i profiliranje.
- Ugovori s obrađivačima: Pisani ugovori s obrađivačima podataka koji specificiraju upute za obradu i sigurnosne obveze.
- Univerzalni opt-out: Poštujte GPC signale i slične mehanizme za odustajanje temeljene na pregledniku [7].
Ured državnog odvjetnika Colorada provodi CPA s 60-dnevnim razdobljem za ispravak za prva kršenja (podložno promjenama prema budućim pravilima) [6].
Koji su glavni zahtjevi zakona o privatnosti podataka u Connecticutu
CTDPA odražava CPA u strukturi, ali uključuje proširene kategorije osjetljivih podataka i raniju provedbu univerzalnog odustajanja. Od 1. siječnja 2025., obuhvaćena poduzeća moraju poštovati univerzalne signale preferencije za odustajanje, uključujući GPC [4].
Osjetljivi podaci prema CTDPA-u (nakon izmjena iz srpnja 2026.) sada uključuju [3]:
- Rasno ili etničko podrijetlo
- Mentalna ili fizička zdravstvena stanja, uključujući status invaliditeta
- Transrodni ili nebinarni status
- Neuralni podaci
- Brojevi financijskih računa u kombinaciji s vjerodajnicama za pristup
- Identifikacijski brojevi koje izdaje vlada
- Precizni podaci o geolokaciji
- Genetski ili biometrijski podaci
Obrada osjetljivih podataka zahtijeva izričit pristanak potrošača iz Connecticuta. Ovo je stroži standard od modela odustajanja koji se primjenjuje na opće osobne podatke.
Koji je stroži: zakon o privatnosti u Coloradu ili zakon o privatnosti u Connecticutu
Izmjene Connecticuta iz 2026. čine ga marginalno strožim za većinu web stranica, prvenstveno zbog nižeg praga primjenjivosti (35.000 naspram 100.000 potrošača) i proširenih kategorija osjetljivih podataka koje zahtijevaju pristanak [2][3]. Međutim, nadolazeći CADMA Colorada nameće šire obveze vezane uz umjetnu inteligenciju u više sektora nego SB 5 Connecticuta [1].
Praktična presuda: Za web stranice koje se prvenstveno bave prikupljanjem podataka i oglašavanjem, Connecticut je zahtjevnija jurisdikcija 2026. Za poduzeća koja primjenjuju alate za automatizirano donošenje odluka, CADMA Colorada (na snazi od 1. siječnja 2027.) vjerojatno će nametnuti veći teret usklađenosti [8].
Koji je rok za usklađivanje s zakonima o privatnosti u Coloradu i Connecticutu
CPA je na snazi od 1. srpnja 2023. Sniženi prag Connecticuta i proširene definicije osjetljivih podataka stupili su na snagu 1. srpnja 2026. Poduzeća koja su prethodno bila ispod praga Connecticuta od 100.000 potrošača, ali sada prelaze 35.000, moraju odmah postići usklađenost [2].
Nadolazeći rokovi za praćenje:
- 1. srpnja 2026.: Novi prag Connecticuta od 35.000 potrošača i proširene kategorije osjetljivih podataka su aktivni.
- 1. siječnja 2027.: CADMA Colorada stupa na snagu za sustave donošenja odluka potpomognute umjetnom inteligencijom.
- 1. listopada 2027.: Odredbe SB 5 AI Connecticuta stupaju na snagu za automatizirane odluke vezane uz zapošljavanje [8].
Što se događa ako moja web stranica krši zakone o privatnosti u Coloradu ili Connecticutu
Nijedan zakon ne stvara privatno pravo na tužbu, što znači da pojedini potrošači ne mogu izravno tužiti vaše poduzeće. Provedbu isključivo provodi državni odvjetnik [4][8].
Potencijalne posljedice:
- Građanske kazne do 20.000 USD po kršenju u Connecticutu i do 20.000 USD po kršenju u Coloradu.
- Sudska zabrana koja zahtijeva operativne promjene.
- Javne provedbene radnje koje nose značajnu reputacijsku štetu.
U rujnu 2025., državni odvjetnici Connecticuta, Kalifornije i Colorada najavili su zajedničku istražnu akciju usmjerenu na poduzeća koja ne poštuju GPC signale [5]. Ova koordinirana provedba signalizira da regulatori aktivno prate usklađenost, a ne čekaju pritužbe potrošača.
Trebam li zasebne politike privatnosti za Colorado i Connecticut
Ne, jedna sveobuhvatna politika privatnosti može zadovoljiti oba zakona, pod uvjetom da izričito obrađuje prava i objave zahtijevane prema svakom. Mnoga poduzeća koriste slojeviti pristup: opću politiku privatnosti dopunjenu dodacima specifičnim za državu ili namjenski odjeljak "Vaša prava na privatnost" koji se odnosi na stanovnike Colorada i Connecticuta po imenu.
Vaša politika privatnosti mora pokrivati, najmanje:
- Kategorije prikupljenih osobnih podataka i svrhe obrade
- Dostupna prava potrošača (pristup, brisanje, ispravak, prenosivost, odustajanje)
- Kako podnijeti zahtjev za prava potrošača i vremenski okvir odgovora (45 dana, proširivo za 45 dana)
- Kategorije trećih strana s kojima se podaci dijele
- Prodaje li poduzeće osobne podatke ili ih koristi za ciljano oglašavanje
Kako znati treba li moja web stranica biti usklađena s ovim državnim zakonima
Odredite primjenjivost revizijom svojih godišnjih zapisa podataka o potrošačima u odnosu na prag svake države. Ako vaša web stranica koristi analitiku, piksele za oglašavanje ili bilo koji oblik praćenja ponašanja, gotovo sigurno prikupljate osobne podatke od stanovnika obje države.
Brza samoprocjena:
- Prikuplja li vaša web stranica osobne podatke (imena, e-poštu, IP adrese, identifikatore uređaja)?
- Poslužujete li posjetitelje iz Colorada ili Connecticuta?
- Obrađujete li podatke 100.000+ stanovnika Colorada ili 35.000+ stanovnika Connecticuta godišnje?
- Dijelite li podatke s oglasnim mrežama ili pružateljima analitike trećih strana?
Ako ste odgovorili potvrdno na pitanja 1, 2 i 4, vjerojatno ispunjavate prag za barem jedan zakon čak i bez preciznog broja potrošača, posebno za Connecticut nakon srpnja 2026.
Koje alate za privatnost trebam implementirati za usklađenost
Usklađenost zahtijeva i tehničku implementaciju i dokumentaciju politike. Najkritičnija tehnička komponenta je platforma za upravljanje pristankom (CMP) koja može otkriti i poštovati GPC signale, prikazati usklađene bannere za pristanak i bilježiti zapise o pristanku za potrebe revizije.
Biscotti CMP (www.biscotti-cmp.com) dizajniran je za rješavanje ovih zahtjeva, nudeći prepoznavanje GPC signala, granularnu kategorizaciju pristanka i zapise o pristanku spremne za reviziju koji su usklađeni s obvezama CPA-a i CTDPA-a.
Dodatni tehnički zahtjevi:
- Revizija kolačića: Popišite sve kolačiće prve i treće strane te trackere na vašoj web stranici.
- Mapiranje podataka: Dokumentirajte gdje se koji osobni podaci kreću, uključujući obrađivače trećih strana.
- Portal za prava potrošača: Mehanizam (web obrazac ili postupak e-pošte) za podnošenje zahtjeva za pristup, brisanje i ispravak.
- Ažuriranja obavijesti o privatnosti: Odrazite sve izmjene Connecticuta iz 2026., uključujući proširene kategorije osjetljivih podataka.
Postoje li izuzeća za određene vrste web stranica ili poduzeća
Oba zakona uključuju izuzeća na razini entiteta i na razini podataka. Neprofitne organizacije, vladini subjekti i određene regulirane industrije (kao što su subjekti obuhvaćeni HIPAA-om za zdravstvene podatke i financijske institucije regulirane GLBA-om za financijske podatke) mogu biti djelomično ili potpuno izuzete.
Uobičajena izuzeća:
- Podaci koji su već regulirani prema HIPAA-i, FERPA-i, GLBA-i ili COPPA-i izuzeti su od zahtjeva CPA-a i CTDPA-a na razini podataka.
- Poduzeća koja posluju isključivo unutar Colorada ili Connecticuta bez digitalnih oglašivačkih aktivnosti i ispod praga potrošača nisu obuhvaćena.
- Podaci o zaposlenicima imaju ograničena izuzeća prema oba zakona, iako SB 5 Connecticuta dodaje nove zahtjeve za objavljivanje AI-a za zapošljavanje koji stupaju na snagu u listopadu 2027. [8].
Granični slučaj: Web stranica zdravstvene skrbi koja prikuplja podatke o pacijentima obuhvaćene HIPAA-om izuzeta je za te podatke, ali može i dalje biti obuhvaćena za nezdravstvene osobne podatke prikupljene putem marketinške analitike ili pretplata na biltene.
Koje su uobičajene pogreške koje poduzeća čine pri usklađivanju s državnom privatnošću
Najčešći propusti u usklađenosti uključuju GPC signale, bilježenje pristanka i zastarjele obavijesti o privatnosti.
Glavne pogreške koje treba izbjegavati:
- Ignoriranje GPC signala: Od 2026. najmanje osam država zahtijeva prepoznavanje GPC-a. Nepoštivanje ovih signala bio je izravan cilj trodržavne akcije provedbe 2025. [5][7].
- Statične politike privatnosti: Objavljivanje politike jednom i nikad je ne ažuriranje. Izmjene Connecticuta iz srpnja 2026. zahtijevaju hitna ažuriranja politike kako bi se odrazile nove kategorije osjetljivih podataka.
- Tretiranje odustajanja kao opcionalnog: Neka poduzeća implementiraju bannere za pristanak, ali nastavljaju pokretati trackere oglasa prije nego što korisnik stupi u interakciju. To krši duh i slovo oba zakona.
- Nema ugovora o obradi podataka: Dijeljenje podataka s obrađivačima bez pisanih ugovora izravno je kršenje CPA-a [6].
- Pretpostavka da neprofitni status pruža potpuno izuzeće: Izuzeća na razini entiteta su uska; izuzeća na razini podataka ne pokrivaju sve aktivnosti obrade.
Utječu li zakoni o privatnosti u Coloradu i Connecticutu različito na web stranice e-trgovine
Web stranice e-trgovine suočavaju se s povećanom izloženošću prema oba zakona jer obično prikupljaju podatke o plaćanju, povijesti kupnji, preciznoj geolokaciji (za dostavu) i profilima ponašanja, a sve to može se kvalificirati kao osjetljivi podaci prema proširenim definicijama CTDPA-a [3].
Za operatere e-trgovine, praktične implikacije uključuju:
- Potreban je pristanak prije obrade brojeva financijskih računa u kombinaciji s vjerodajnicama za pristup (nova kategorija osjetljivih podataka u Connecticutu od srpnja 2026.).
- Bihevioralno oglašavanje temeljeno na povijesti kupnji zahtijeva jasan mehanizam za odustajanje i usklađenost s GPC-om.
- Podaci o programu vjernosti povezani s individualnim profilima potrošača pokreću zahtjeve za procjenu zaštite podataka prema CPA-u.
Koliko košta usklađivanje moje web stranice s državnim zakonima o privatnosti
Troškovi usklađenosti značajno se razlikuju ovisno o složenosti web stranice, postojećoj podatkovnoj infrastrukturi i angažiranju pravnog savjetnika. Jednostavna informativna web stranica s minimalnim prikupljanjem podataka može postići usklađenost prvenstveno putem ažuriranja politike i implementacije CMP-a, što može koštati nekoliko stotina do nekoliko tisuća dolara godišnje. Složene platforme za e-trgovinu ili poduzeća s opsežnim cjevovodima za obradu podataka mogu imati znatno veće troškove za mapiranje podataka, pravni pregled i tehničku sanaciju.
Pokretači troškova:
- Pravni pregled politike privatnosti i ugovora o obradi podataka
- Licenciranje i implementacija CMP-a (tekući godišnji trošak)
- Vrijeme internog osoblja za obradu zahtjeva za prava potrošača
- Vježbe mapiranja i revizije podataka (jednokratno plus periodična ažuriranja)
Trošak neusklađenosti, nasuprot tome, uključuje građanske kazne do 20.000 USD po kršenju plus reputacijsku štetu od javnih provedbenih radnji.
Zaključak
Zakoni o privatnosti u Coloradu i Connecticutu: priprema vaše web stranice za usklađenost na državnoj razini više nije vježba budućeg planiranja. S obzirom na to da je sniženi prag Connecticuta sada aktivan od 1. srpnja 2026., i da su akcije provedbe već u tijeku, prozor za reaktivnu usklađenost je zatvoren. Vlasnici web stranica, programeri i marketinške agencije koje posluju u ovim državama moraju revidirati svoje količine podataka o potrošačima, ažurirati obavijesti o privatnosti kako bi odrazile proširene kategorije osjetljivih podataka, implementirati upravljanje pristankom koje poštuje GPC putem platforme kao što je Biscotti CMP (www.biscotti-cmp.com) i uspostaviti dokumentirane procese za zahtjeve za prava potrošača.
Akcijski sljedeći koraci:
- Odmah revidirajte svoje godišnje zapise podataka o potrošačima u odnosu na pragove od 35.000 (Connecticut) i 100.000 (Colorado).
- Ažurirajte svoju politiku privatnosti kako biste riješili proširenja osjetljivih podataka u Connecticutu iz srpnja 2026.
- Implementirajte platformu za upravljanje pristankom koja prepoznaje i poštuje GPC signale na svim svojstvima web stranice.
- Izvršite pisane ugovore o obradi podataka sa svim obrađivačima trećih strana.
- Počnite se pripremati za obveze CADMA AI Colorada, koje stupaju na snagu 1. siječnja 2027., ako vaša web stranica koristi alate za automatizirano donošenje odluka.
Usklađenost s privatnošću na državnoj razini sada je osnovno očekivanje, a ne konkurentska prednost. Poduzeća koja je tretiraju kao infrastrukturu, a ne kao trošak, bit će najbolje pozicionirana kako se aktivnosti provedbe nastavljaju ubrzavati.
Česta pitanja
P: Primjenjuje li se Colorado Privacy Act na poduzeća izvan Colorada? Da. CPA se primjenjuje na svako poduzeće koje obrađuje osobne podatke stanovnika Colorada iznad praga, bez obzira na to gdje se poduzeće fizički nalazi.
P: Što je Global Privacy Control (GPC) signal? GPC je signal temeljen na pregledniku koji automatski komunicira preferenciju potrošača za odustajanje od prodaje podataka i ciljanog oglašavanja svakoj web stranici koju posjete. I Colorado i Connecticut zahtijevaju od obuhvaćenih poduzeća da ga poštuju [7].
P: Kada je Connecticut snizio svoj prag primjenjivosti? Prag Connecticuta pao je sa 100.000 na 35.000 potrošača od 1. srpnja 2026., kao dio njegovih izmjena zakona o privatnosti iz 2025. [2].
P: Postoji li privatno pravo na tužbu prema CPA-u ili CTDPA-u? Ne. Oba zakona provode isključivo njihovi državni odvjetnici. Pojedini potrošači ne mogu podnijeti tužbe izravno prema nijednom zakonu [4][8].
P: Što se smatra "prodajom" osobnih podataka prema ovim zakonima? Dijeljenje osobnih podataka s trećim stranama za novčanu ili drugu vrijednu naknadu, uključujući dijeljenje s oglasnim mrežama u zamjenu za usluge ciljanog oglašavanja, općenito se kvalificira kao prodaja prema oba zakona.
P: Koliko dugo poduzeća imaju za odgovor na zahtjeve za prava potrošača? I CPA i CTDPA zahtijevaju odgovor u roku od 45 dana, s mogućim produljenjem od 45 dana kada je to razumno potrebno, za ukupno najviše 90 dana [6][4].
P: Zamjenjuje li CADMA Colorada CPA? Ne. CADMA, na snazi od 1. siječnja 2027., zaseban je zakon koji regulira donošenje odluka potpomognute umjetnom inteligencijom. CPA nastavlja regulirati opću obradu osobnih podataka [8].
P: Što su neuralni podaci i zašto su važni za web stranice? Neuralni podaci odnose se na informacije dobivene iz sučelja mozak-računalo ili neurotehnologije. Connecticut ih je dodao u svoje kategorije osjetljivih podataka 2026. Većina standardnih web stranica ih neće prikupljati, ali platforme za zdravlje i dobrobit koje koriste biometrijske alate trebale bi pregledati svoje inventare podataka [3].
P: Trebam li pristanak ili odustajanje za osjetljive podatke u Connecticutu? Potreban je pristanak za obradu osjetljivih podataka prema CTDPA-u. Ovo je stroži standard od modela odustajanja koji se primjenjuje na opće osobne podatke [3].
P: Može li jedna politika privatnosti pokrivati i Colorado i Connecticut? Da, pod uvjetom da politika izričito obrađuje prava i objave zahtijevane prema svakom zakonu. Dodatak "Vaša prava na privatnost" specifičan za državu uobičajen je i učinkovit pristup.
Reference
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai