Gyors válasz: A Hozzájárulás-kezelő Platform (CMP) az a technikai és jogi mechanizmus, amelyen keresztül a weboldalak gyűjtik, tárolják és jelzik a felhasználói hozzájárulást az adatok nyomon követéséhez. A megfelelő CMP kiválasztása, amely a jogilag megfelelő nyomon követés alapja, megköveteli, hogy a szabályozási kötelezettségeit, a technológiai stackjét és a közönség földrajzi elhelyezkedését egy olyan platformhoz igazítsa, amely ellenőrizhető hozzájárulási nyilvántartásokat készít, nem csupán egy látható cookie bannert. 2026-ban az EU, az USA és más régiók szabályozó hatóságai végrehajtási bizonyítékokat követelnek, nem pedig kozmetikai megfelelőséget.
Főbb tanulságok
- Egy CMP többet tesz, mint egy cookie banner megjelenítése; rögzítenie, tárolnia és jeleznie kell a hozzájárulást olyan formában, amelyet az auditorok és a szabályozó hatóságok ellenőrizhetnek.
- A GDPR és a CCPA/CPRA különböző hozzájárulási modelleket igényel (opt-in vs. opt-out), és a CMP-nek mindkettőt kezelnie kell, ha nemzetközi közönséget szolgál ki.
- A Google Consent Mode v2 megköveteli egy tanúsított CMP-től, hogy helyesen továbbítsa a hozzájárulási jeleket a Google Analytics és a Google Ads felé [6].
- Tizenkét amerikai állam mostantól megköveteli a Global Privacy Control (GPC) jel felismerését, felgyorsítva a CMP piaci követelményeit [8].
- A CMP hiánya szabályozási bírságoknak, hirdetési bevétel-kiesésnek és megszakadt analitikai folyamatoknak teszi ki a weboldalakat.
- A CMP költségei az ingyenes szintektől a kis webhelyek számára az évi 10 000 dollárt meghaladó vállalati szerződésekig terjednek nagy kiadók vagy több joghatóságot érintő telepítések esetén [4].
- A legnagyobb megvalósítási hiba az, ha a hozzájárulást UI problémaként kezelik, nem pedig adat-infrastruktúra problémaként.
- A CMP auditálása azt jelenti, hogy ellenőrizni kell a hozzájárulási naplókat, a jelzés leadásának sorrendjét és a GPC válaszát, nem csupán a banner megjelenését.
Mi az a CMP és hogyan működik?
A Hozzájárulás-kezelő Platform egy olyan szoftver, amely elfogja az adatgyűjtési szkripteket egy weboldalon, hozzájárulási lehetőségeket kínál a felhasználóknak, rögzíti ezeket a választásokat, majd a felhasználó döntése alapján elindítja vagy letiltja a nyomon követési címkéket. Az egész láncnak, a banner megjelenítésétől a címke végrehajtásáig, naplózottnak és reprodukálhatónak kell lennie a megfelelőség érdekében [5].
Amikor egy felhasználó egy oldalra érkezik, a CMP betöltődik az analitikai vagy hirdetési szkriptek előtt. Ellenőrzi a tárolt hozzájárulási jelet (cookie vagy localStorage bejegyzés). Ha nincs ilyen, megjeleníti a hozzájárulási UI-t. Amint a felhasználó válaszol, a CMP hozzájárulási rekordot ír, és ezt a rekordot továbbítja a downstream eszközöknek egy adatréteg eseményen vagy egy szabványosított keretrendszeren, például az IAB Transparency and Consent Framework (TCF) segítségével [7].
Egy működő CMP kulcsfontosságú összetevői:
- Hozzájárulási UI (banner, modális ablak vagy preferenciaközpont)
- Hozzájárulási jel tárolása (első féltől származó cookie vagy szerveroldali napló)
- Címke blokkolási/indítási logika (gyakran címkekezelő integrációval)
- Hozzájárulási rekord adatbázis (auditálási nyomvonalhoz)
- GPC jel figyelő (12+ amerikai államban kötelező) [8]
A CMP és a DMP közötti különbség az adatok nyomon követésében
A CMP szabályozza, hogy gyűjthetők-e adatok; a Data Management Platform (DMP) tárolja és szegmentálja az adatokat azok gyűjtése után. Ezek kiegészítő eszközök, nem felcserélhetők.
A DMP aggregálja a közönségadatokat a hirdetési célzáshoz. A CMP upstream helyezkedik el, kapuőrként működve, amely meghatározza, hogy mely adatok áramolhatnak be a DMP-be. Egy DMP futtatása megfelelően konfigurált CMP nélkül azt jelenti, hogy a benne lévő adatok érvényes jogalap nélkül gyűjthetők, ami jelentős felelősséget jelent a GDPR 6. cikke értelmében.
CMP megfelelőségi követelmények: GDPR, CCPA és azon túl
A GDPR értelmében a hozzájárulásnak szabadon adottnak, konkrétnak, tájékozottnak és egyértelműnek kell lennie, ami azt jelenti, hogy az előre bejelölt dobozok és a szolgáltatási feltételekkel együtt adott hozzájárulás érvénytelen. A CCPA/CPRA értelmében a kötelezettség az opt-out kérések, beleértve a GPC jeleket is, tiszteletben tartására tevődik át, nem pedig az előzetes opt-in megszerzésére [10].
Szabályozási követelmények joghatóságonként:
| Szabályozás | Modell | GPC kötelező | Hozzájárulási rekord szükséges |
|---|---|---|---|
| GDPR (EU) | Opt-in | Nem | Igen |
| CCPA/CPRA (CA) | Opt-out | Igen | Igen |
| Connecticut CTDPA | Opt-out | Igen (2026. júliustól) [10] | Igen |
| IAB TCF v2.2 | Opt-in (szolgáltatók számára) | Nem | Igen |
A szabályozó hatóságok mostantól "végrehajtási bizonyítékokat", tényleges hozzájárulási naplókat, időbélyeggel ellátott feljegyzéseket és bizonyítékot várnak el arra vonatkozóan, hogy a címkék nem indultak el a hozzájárulás megadása előtt [5]. Egy olyan banner, amely megfelelően néz ki, de a felhasználói interakció előtt pixeleket indít el, nem felel meg ennek a szabványnak.
Valóban szüksége van CMP-re a weboldalához?
Igen, ha webhelye bármilyen harmadik féltől származó nyomon követést, analitikát, hirdetési pixeleket vagy viselkedési profilalkotó eszközöket használ, és felhasználókat szolgál ki az EU-ban, Kaliforniában vagy az USA 12+ államában, ahol aktív adatvédelmi törvények vannak érvényben. A küszöb alacsony: még egyetlen Google Analytics címke vagy Meta Pixel is kiváltja a GDPR szerinti követelményt, ha EU-s felhasználók vannak a közönségében.
A kis webhelyek néha azt feltételezik, hogy a szabályozási radar alatt maradnak. Ez a feltételezés egyre kockázatosabb. Connecticut kibővített adatvédelmi követelményei, amelyek 2026. július 1-jén lépnek hatályba, kiterjesztik a kötelezettségeket a kisebb üzemeltetőkre is [10], és Európában minden méretű webhelyet érintettek a végrehajtási intézkedések.
Lehet, hogy nincs szüksége teljes CMP-re, ha: webhelye nulla harmadik féltől származó adatot gyűjt, csak szigorúan szükséges első féltől származó cookie-kat használ, és nem szolgál ki EU-s vagy érintett államokból származó felhasználókat. Mindenki más számára a CMP nem opcionális.
Mennyibe kerül egy CMP?
A CMP árazása 2026-ban széles skálán mozog. Az ingyenes vagy alacsony költségű szintek általában kis webhelyeket fednek le alapvető banner konfigurációkkal és korlátozott hozzájárulási napló tárolással. A több domain támogatással, szerveroldali hozzájárulással és jogi csapat műszerfalakkal rendelkező vállalati telepítések jelentősen többe kerülhetnek [4].
- Ingyenes szintek: Alkalmasak személyes blogokhoz vagy egy domainnel rendelkező webhelyekhez, alacsony forgalommal és alapvető GDPR/CCPA igényekkel.
- Közepes piac (20-200 dollár/hó): Több domain támogatás, A/B tesztelés a hozzájárulási arányokhoz, címkekezelő integrációk, alapvető jelentések.
- Vállalati (500-2000+ dollár/hó): Egyedi jogi keretek, dedikált támogatás, szerveroldali hozzájárulás, auditálásra kész jelentések, API hozzáférés [4].
A költség nem lehet az elsődleges kiválasztási kritérium. Egy olcsó CMP, amely nem megfelelő hozzájárulási nyilvántartásokat készít, sokkal többe kerül a szabályozási kitettség szempontjából, mint egy megfelelően konfigurált vállalati megoldás.
A megfelelő CMP kiválasztása nemzetközi weboldalakhoz
A nemzetközi weboldalak a legnehezebb konfigurációs kihívással néznek szembe: különböző joghatóságok különböző hozzájárulási viselkedéseket igényelnek ugyanattól a CMP példánytól. A nemzetközi használatra alkalmas CMP-nek támogatnia kell a földrajzi helyzet alapú szabályrendszereket, ami azt jelenti, hogy ugyanabból a telepítésből opt-in bannert szolgálhat fel az EU-s látogatóknak és opt-out értesítést a kaliforniai látogatóknak.
Kiválasztási kritériumok nemzetközi webhelyekhez:
- Földrajzi helyzet felismerése joghatóság-specifikus hozzájárulási folyamatokkal
- IAB TCF v2.2 tanúsítás az EU-s hirdetési technológiai megfelelőséghez [7]
- GPC jel felismerése az amerikai állami megfelelőséghez [8]
- Többnyelvű banner támogatás
- Hozzájárulási rekord tárolása, amely megfelel a GDPR adatrezidencia követelményeinek
A Biscotti CMP a több joghatóságot érintő hozzájárulási követelmények kezelésére készült, támogatva mind a GDPR opt-in folyamatokat, mind az amerikai opt-out keretrendszereket egyetlen platform konfiguráción belül.
CMP integráció a Google Analytics és a címkekezelőkkel
A Google Consent Mode v2, amely minden Google hirdetési és mérési termékhez szükséges, egy tanúsított CMP-től függ, hogy továbbítsa az ad_storage, analytics_storage és a kapcsolódó hozzájárulási paramétereket, mielőtt bármely Google címke elindulna [6]. Ezen integráció nélkül a Google címkéi vagy teljesen blokkolódnak, vagy egy degradált modellezési módban működnek, ami csökkenti a mérési pontosságot.
Integrációs ellenőrzőlista:
- Győződjön meg arról, hogy a CMP szerepel a Google tanúsított CMP partnerlistáján [7].
- Konfigurálja a Consent Mode v2 paramétereket a CMP beállításaiban.
- Implementálja a CMP-t a címkekezelőjén keresztül (Google Tag Manager vagy azzal egyenértékű), hogy az összes többi címke előtt betöltődjön.
- Tesztelje a Tag Assistant vagy egy hozzájárulás-hibakereső segítségével a jelzés leadási sorrendjének ellenőrzéséhez.
- Ellenőrizze, hogy a
gtag('consent', 'default', {...})elindul-e bármely mérési címke előtt.
Gyakori hiba: a CMP betöltése egy olyan címkekezelő triggeren keresztül, amely az oldalmegtekintési címke után indul el. Ez megfordítja a hozzájárulási jelzés sorrendjét, és az egész beállítást nem megfelelővé teszi [5].
Gyakori CMP megvalósítási hibák, amelyeket el kell kerülni
A legdrágább CMP hibák nem a banner tervezésével kapcsolatosak, hanem a jelzés időzítésével, tárolásával és az auditálási nyomvonal hiányosságaival.
- Címkék indítása hozzájárulás előtt: A leggyakoribb és leginkább büntetett hiba. A címkéket alapértelmezés szerint blokkolni kell, amíg a hozzájárulás meg nem történik [5].
- Nincs hozzájárulási napló megőrzés: Időbélyeggel ellátott, visszakereshető hozzájárulási rekord nélkül nem tudja bizonyítani a megfelelőséget egy audit során.
- GPC jelek figyelmen kívül hagyása: 12+ amerikai államban a GPC jel tiszteletben tartásának elmulasztása jogsértésnek minősül, függetlenül a banner konfigurációjától [8].
- Egyetlen hozzájárulási folyamat minden földrajzi területre: Az EU-s és az amerikai felhasználók jogilag eltérő hozzájárulási élményeket igényelnek.
- A hozzájárulás egyszeri beállításként való kezelése: A hozzájárulási keretrendszerek frissülnek. Az IAB TCF verziók változnak. A CMP konfigurációja folyamatos karbantartást igényel [7].
Hogyan ellenőrizze, hogy a CMP valóban megfelel-e
A CMP auditálása a teljes hozzájárulás-érvényesítési lánc ellenőrzését jelenti, nem csupán annak ellenőrzését, hogy megjelenik-e egy banner. A szabályozó hatóságok azt vizsgálják, hogy a hozzájárulási jeleket a gyakorlatban, nem pedig elméletben tartják-e tiszteletben [5].
Auditálási lépések:
- Használja a böngésző fejlesztői eszközeit annak ellenőrzésére, hogy a felhasználói interakció előtt nem állítanak-e be harmadik féltől származó cookie-kat.
- Ellenőrizze a hálózati lapot a pixel vagy analitikai kérések tekintetében, amelyek az oldal betöltésekor, hozzájárulás előtt indulnak el.
- Tekintse át a hozzájárulási napló exportokat a teljesség szempontjából: időbélyeg, felhasználói választás, banner verzió, joghatóság.
- Tesztelje a GPC jel válaszát a GPC engedélyezésével egy adatvédelmi fókuszú böngészőben, és ellenőrizze, hogy az opt-out automatikusan tiszteletben van-e tartva.
- Ellenőrizze, hogy az IAB TCF szolgáltatói lista aktuális-e, és megfelel-e az aktív hirdetési technológiai stackjének [7].
- Győződjön meg arról, hogy a hozzájárulási rekordokat a vonatkozó jogszabályok által előírt ideig tárolják (általában 3 év a GDPR irányelvei szerint).
CMP e-kereskedelemhez vs. SaaS vs. kiadók
Minden webhelytípusnak különálló hozzájárulási felületei és kockázati profiljai vannak.
Az e-kereskedelmi webhelyek általában a legtöbb nyomon követési szkriptet futtatják: hirdetési pixeleket, remarketing címkéket, kosárelhagyási eszközöket és affiliate nyomkövetőket. Mindegyikhez hozzájárulási alap szükséges. A CMP-nek szorosan integrálódnia kell a címkekezelővel, és csak a hozzájárulás megerősítése után indíthatja el a vásárlási konverziós eseményeket.
A SaaS platformok gyakran gyűjtenek viselkedési analitikát a termékfejlesztéshez. A GDPR értelmében ez jogos érdeknek minősülhet, vagy explicit hozzájárulást igényelhet az adatok típusától függően. A CMP-nek támogatnia kell a részletes, célalapú hozzájárulást, nem csupán egy mindent vagy semmit kapcsolót.
A kiadók és média webhelyek az IAB TCF követelményei szerint működnek, ha programozott hirdetéseket futtatnak. A TCF v2.2 specifikus szolgáltatói közzétételeket és hozzájárulási jel formátumokat ír elő, amelyeket egy nem tanúsított CMP nem tud előállítani [7].
Mi történik, ha nem használ CMP-t?
A CMP nélküli működés, amikor az jogilag kötelező, szabályozási bírságoknak, hirdetési bevétel-kiesésnek és megszakadt analitikai adatoknak teszi ki a webhelyet. A GDPR értelmében a bírságok elérhetik a globális éves forgalom 4%-át. Az amerikai állami szabályozó hatóságok egyre gyakrabban szabnak ki polgári jogi szankciókat a GPC meg nem feleléséért [8].
A bírságokon túl a Google korlátozhatja a hirdetések megjelenítését, vagy csökkentheti a mérési pontosságot azon webhelyek esetében, amelyek nem felelnek meg a Consent Mode v2 követelményeinek [6]. Az érvényes hozzájárulás nélkül gyűjtött analitikai adatok jogi eljárásokban elfogadhatatlannak minősülhetnek, és kérésre törölni kell azokat.
CMP cookie banner legjobb gyakorlatok
A megfelelő cookie banner nem azonos a magas konverziós arányúval, de mindkét cél elérhető a megfelelő konfigurációval.
- Egyenlő hangsúly: Az elfogadási és elutasítási lehetőségeknek egyformán hozzáférhetőnek kell lenniük. Egy kiemelkedő "Összes elfogadása" opció, elrejtett "Elutasítás" vagy "Kezelés" opcióval nem felel meg a GDPR szabadon adott hozzájárulás szabványának.
- Nincsenek sötét minták: Az előre bejelölt dobozok, a zavaró kapcsoló logika és a hozzájárulási falak kifejezetten tilosak a GDPR végrehajtási útmutatója szerint.
- Rétegzett információ: Egy rövid első réteg (célösszefoglaló) részletes második réteggel (teljes szolgáltatói lista) kielégíti mind a használhatósági, mind az átláthatósági követelményeket.
- Mobil optimalizálás: A hozzájárulási UI-nak megfelelően kell működnie mobil nézetben. Egy olyan banner, amely eltakarja a tartalmat, vagy megnehezíti az elutasítást mobilon, megfelelőségi kockázatot jelent.
- Verziókövetés: Minden alkalommal, amikor a banner vagy a szolgáltatói lista megváltozik, a CMP-nek újra hozzájárulást kell kérnie, és naplóznia kell az új verziószámot minden felhasználói rekordhoz [5].
A megfelelő CMP kiválasztása: Útmutató a jogilag megfelelő nyomon követéshez, döntési keretrendszer
A megfelelő platform kiválasztása öt kritérium alapján történik, ebben a sorrendben:
- Szabályozási hatókör: Mely joghatóságokra terjed ki a közönsége? Az EU TCF tanúsítványt igényel. Az amerikai államok GPC támogatást igényelnek.
- Technológiai stack kompatibilitás: A CMP natívan integrálódik a címkekezelőjével, analitikai platformjával és hirdetési technológiájával?
- Auditálási képesség: A platform képes-e exportálni a hozzájárulási naplókat olyan formátumban, amelyet a jogi csapata felhasználhat egy szabályozási vizsgálat során?
- Skálázhatóság: A CMP képes lesz-e kezelni a domainek számát, a forgalom volumenét és a jövőbeli földrajzi terjeszkedést?
- Folyamatos megfelelőségi frissítések: A szolgáltató frissíti-e a platformot a szabályozások változásával, vagy ez a teher a csapatára hárul?
A Biscotti CMP mindezen kritériumoknak megfelel egy olyan platformmal, amelyet több joghatóságra kiterjedő telepítésekhez, natív címkekezelő integrációkhoz és auditálásra kész hozzájárulási rekordkezeléshez terveztek.
GYIK
Mi a különbség a CMP és a cookie banner között? A cookie banner a látható UI elem. A CMP a teljes rendszer, amely működteti, beleértve a hozzájárulás tárolását, a címke blokkolási logikát, a jelátvitelt és az auditálási naplózást. Egy banner megfelelő CMP háttér nélkül egy kozmetikai réteg, jogi súly nélkül.
Elegendő-e egy ingyenes CMP a GDPR megfelelőséghez? Az ingyenes szintek kielégíthetik az alapvető GDPR követelményeket kis, egy domainnel rendelkező webhelyek esetében. Általában hiányoznak belőlük az olyan fejlett funkciók, mint a hozzájárulási napló exportok, a több joghatóságra kiterjedő folyamatok és a GPC jel kezelése, amelyekre egyre inkább szükség van minden olyan webhely esetében, amely jelentős forgalommal vagy hirdetési bevétellel rendelkezik.
Mi az IAB TCF és miért fontos? Az IAB Transparency and Consent Framework (TCF) egy szabványosított protokoll a hozzájárulási jelek továbbítására a kiadók és a hirdetési technológiai szolgáltatók között. Ha webhelye programozott hirdetéseket futtat, a CMP-jének TCF v2.2 tanúsítvánnyal kell rendelkeznie ahhoz, hogy jogosan szolgálhasson fel hirdetéseket az EU-s felhasználóknak [7].
A CMP-mnek támogatnia kell a GPC jeleket? Igen, ha felhasználókat szolgál ki Kaliforniában, Coloradóban, Connecticutban vagy az USA 12+ államában, amelyek kötelezővé teszik a GPC jel felismerését. A GPC jel tiszteletben tartásának elmulasztása adatvédelmi jogsértésnek minősül ezekben az államokban [8].
Mennyi ideig kell tárolni a hozzájárulási rekordokat? A GDPR útmutatása általában azt javasolja, hogy a hozzájárulási rekordokat mindaddig meg kell őrizni, amíg a feldolgozás tart, plusz egy ésszerű időtartam a jogi védelemhez, amelyet általában három évnek tekintenek. A konkrét megőrzési időszakok joghatóságonként és a jogi tanácsadó véleményétől függően változhatnak.
Használhatok CMP-t szerveroldali címkekezeléssel? Igen. A szerveroldali címkekezelés egyre inkább előnyben részesített, mert csökkenti a kliensoldali szkript terhelést és javítja a hozzájárulási jel megbízhatóságát. A CMP-nek képesnek kell lennie a hozzájárulási állapotok továbbítására a szerveroldali tárolóba egy első féltől származó mechanizmuson keresztül.
Mi történik a Google Analytics adataimmal, ha nem konfigurálom a Consent Mode v2-t? A Consent Mode v2 nélkül a Google mérési címkéi vagy nem indulnak el a hozzájárulást nem adó felhasználók számára, vagy viselkedési modellezés nélkül működnek, ami jelentős adatréseket eredményez. A Google a Consent Mode v2-t a teljes mérési funkcionalitás előfeltételévé tette [6].
Milyen gyakran kell újra ellenőriznem a CMP konfigurációmat? Legalább akkor ellenőrizze a CMP konfigurációját, amikor nyomon követési szolgáltatókat ad hozzá vagy távolít el, amikor a cél joghatóságokban változik egy szabályozás, és amikor a CMP szolgáltatója jelentős platformfrissítést ad ki. Az éves auditok alapvetőek; a negyedéves felülvizsgálatok jobb gyakorlatot jelentenek a nagy forgalmú vagy erősen szabályozott webhelyek esetében [5].
Összefoglalás
A megfelelő CMP kiválasztása a jogilag megfelelő nyomon követés alapja, pontosan azért, mert a döntés egy weboldal adat-infrastruktúrájának minden rétegét érinti, az első pixeltől, amely elindul, egészen az auditálási naplóig, amelyet egy szabályozó évekkel később áttekint. A tét 2026-ban konkrét: a végrehajtási intézkedések aktívak, a Google mérési ökoszisztémája tanúsított hozzájárulási jeleket igényel, és tizenkét amerikai állam mostantól kötelezővé teszi a GPC megfelelőséget [8].
Cselekvési lépések:
- Auditálja jelenlegi beállításait a böngésző fejlesztői eszközeivel, hogy megbizonyosodjon arról, hogy a hozzájárulás előtt nem indulnak el címkék.
- Térképezze fel közönsége földrajzi elhelyezkedését, és azonosítsa, mely szabályozási keretrendszerek vonatkoznak rá.
- Értékelje, hogy jelenlegi CMP-je exportálható, időbélyeggel ellátott hozzájárulási naplókat készít-e.
- Erősítse meg a GPC jel támogatását, ha közönségének bármely része az érintett amerikai államokban található.
- Tekintse át a Biscotti CMP platformot, amelyet több joghatóságra kiterjedő megfelelőségre és auditálásra kész infrastruktúrára terveztek.
- Ütemezzen be negyedéves megfelelőségi felülvizsgálati ütemtervet jogi és fejlesztési csapatával.
A megfelelőség nem egy egyszer beállított konfiguráció. Ez egy folyamatos működési fegyelem, és a megfelelő CMP kezelhetővé, nem pedig terhessé teszi ezt a fegyelmet.
Hivatkozások
[1] Compliance - https://simplecmp.eu/en/compliance.html [4] Enterprise Consent Management Platform - https://joindatacops.com/resources/enterprise-consent-management-platform/ [5] Consent Enforcement Verification Master Compliance In 2026 En - https://www.trackingplan.com/blog/consent-enforcement-verification-master-compliance-in-2026-en [6] Consent Mode V2 Implementation 2026 Seo Tracking Guide - https://www.digitalapplied.com/blog/consent-mode-v2-implementation-2026-seo-tracking-guide [7] Latest Iab Tcf Google Cmp Requirements - https://trustarc.com/resource/latest-iab-tcf-google-cmp-requirements/ [8] 12 State Gpc Mandate Cmp Market Consolidation - https://www.clym.io/blog/12-state-gpc-mandate-cmp-market-consolidation [10] Connecticut Broadens Data Privacy Act Requirements Effective July 1 2026 - https://www.beneschlaw.com/insight/connecticut-broadens-data-privacy-act-requirements-effective-july-1-2026/