Jawaban Singkat: Colorado Privacy Act (CPA) dan Connecticut Data Privacy Act (CTDPA) adalah dua undang-undang privasi negara bagian yang paling aktif ditegakkan di Amerika Serikat. Kedua undang-undang ini memberlakukan kewajiban persetujuan, transparansi, dan opt-out pada situs web yang memproses data pribadi penduduk di atas ambang batas yang ditentukan. Pada pertengahan 2026, Connecticut telah menurunkan ambang batas penerapannya menjadi 35.000 konsumen dan memperluas definisi data sensitifnya, menjadikan kepatuhan lebih mendesak dari sebelumnya bagi pemilik situs web dan perusahaan yang beroperasi lintas negara bagian.
Poin Penting
- Colorado Privacy Act telah berlaku sejak 1 Juli 2023; ambang batas Connecticut turun menjadi 35.000 konsumen efektif 1 Juli 2026.
- Kedua negara bagian mengharuskan bisnis untuk menghormati sinyal Global Privacy Control (GPC), dan jaksa agung dari kedua negara bagian melakukan penegakan bersama pada September 2025.
- Amandemen Connecticut 2026 memperluas kategori data sensitif untuk mencakup data neural, status disabilitas, status transgender atau non-biner, dan nomor ID yang dikeluarkan pemerintah.
- Undang-undang AI baru Colorado (CADMA), yang ditandatangani pada 14 Mei 2026, menambahkan kewajiban transparansi algoritmik yang berlaku efektif 1 Januari 2027.
- Bisnis harus menerapkan mekanisme opt-out universal, menerbitkan pemberitahuan privasi yang rinci, dan menanggapi permintaan hak data konsumen.
- Tidak ada undang-undang yang mengharuskan kebijakan privasi yang sepenuhnya terpisah per negara bagian, tetapi satu kebijakan harus mencakup hak-hak spesifik yang diberikan di bawah masing-masing undang-undang.
- Alat manajemen persetujuan, seperti Biscotti CMP (www.biscotti-cmp.com), sangat penting untuk mengotomatiskan pengenalan sinyal opt-out dan pencatatan persetujuan.
- Pelanggaran dapat mengakibatkan sanksi sipil yang ditegakkan oleh jaksa agung negara bagian; tidak ada hak tindakan pribadi di bawah salah satu undang-undang tersebut.
Apa Perbedaan Antara Undang-Undang Privasi Colorado dan Connecticut
Colorado dan Connecticut memiliki kerangka privasi yang secara umum mirip tetapi berbeda dalam ambang batas kunci, definisi data sensitif, dan ruang lingkup regulasi AI. Memahami perbedaan ini adalah dasar untuk undang-undang privasi Colorado dan Connecticut: mempersiapkan situs web Anda untuk kepatuhan tingkat negara bagian.
Colorado Privacy Act (CPA): Berlaku sejak 1 Juli 2023, CPA berlaku untuk pengendali yang memproses data pribadi dari 100.000 atau lebih konsumen Colorado setiap tahun, atau 25.000 atau lebih konsumen ketika bisnis memperoleh pendapatan dari penjualan data pribadi [6].
Connecticut Data Privacy Act (CTDPA): Berlaku sejak 1 Juli 2023, tetapi diamandemen secara signifikan untuk 2026. Mulai 1 Juli 2026, ambang batas penerapan turun dari 100.000 menjadi 35.000 konsumen, secara substansial memperluas jangkauan undang-undang ini [2].
| Fitur | Colorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Tanggal efektif | 1 Juli 2023 | 1 Juli 2023 |
| Ambang konsumen | 100.000/tahun | 35.000 (per 1 Juli 2026) |
| Ambang berbasis pendapatan | 25.000 + pendapatan data | 25.000 + 25% pendapatan dari data |
| Opt-out universal diperlukan | Ya | Ya (sejak 1 Jan 2025) |
| Perluasan data sensitif (2026) | Tidak ada perubahan besar 2026 | Ya (data neural, disabilitas, dll.) |
| Undang-undang AI | CADMA (berlaku 1 Jan 2027) | SB 5 (berlaku 1 Okt 2027) |
Apakah Undang-Undang Privasi Colorado dan Connecticut Berlaku untuk Bisnis Kecil Saya
Kedua undang-undang berlaku berdasarkan ambang batas volume data, bukan ukuran atau pendapatan bisnis semata. Sebuah toko e-commerce kecil yang memproses data pribadi dari 35.000 atau lebih penduduk Connecticut dalam satu tahun kalender termasuk dalam CTDPA mulai 1 Juli 2026, terlepas dari pendapatan tahunan [2].
Pilih aturan ini: Jika situs web Anda mengumpulkan alamat email, riwayat pembelian, atau data pelacakan perilaku dari penduduk salah satu negara bagian, hitung catatan konsumen unik Anda setiap tahun. Melebihi ambang batas? Anda tercover.
- Colorado: 100.000 konsumen diproses per tahun, ATAU 25.000 konsumen jika penjualan data berkontribusi pada pendapatan [6].
- Connecticut: 35.000 konsumen diproses per tahun (setelah Juli 2026), ATAU 25.000 konsumen jika 25% atau lebih dari pendapatan bruto berasal dari penjualan data pribadi [2].
Kesalahan umum: Banyak bisnis kecil menganggap "menjual data" berarti perantara data langsung. Dalam praktiknya, berbagi data dengan jaringan iklan untuk iklan yang ditargetkan mungkin memenuhi syarat sebagai penjualan di bawah kedua undang-undang tersebut.
Apa Persyaratan Utama dari Colorado Privacy Act
CPA mengharuskan pengendali untuk memberikan pemberitahuan privasi yang jelas, menghormati hak konsumen, dan menerapkan mekanisme opt-out untuk penjualan data dan iklan yang ditargetkan [6].
Kewajiban inti di bawah CPA:
- Pemberitahuan privasi: Mengungkapkan kategori data pribadi yang dikumpulkan, tujuan pemrosesan, dan kategori pihak ketiga yang menerima data.
- Hak konsumen: Akses, koreksi, penghapusan, portabilitas data, dan opt-out dari penjualan, iklan yang ditargetkan, dan pemprofilan.
- Penilaian perlindungan data: Diperlukan untuk kegiatan pemrosesan berisiko tinggi, termasuk iklan yang ditargetkan dan pemprofilan.
- Kontrak pemroses: Perjanjian tertulis dengan pemroses data yang menetapkan instruksi pemrosesan dan kewajiban keamanan.
- Opt-out universal: Menghormati sinyal GPC dan mekanisme opt-out berbasis browser serupa [7].
Kantor Jaksa Agung Colorado menegakkan CPA dengan periode perbaikan 60 hari untuk pelanggaran pertama kali (dapat berubah di bawah peraturan mendatang) [6].
Apa Persyaratan Utama dari Undang-Undang Privasi Data Connecticut
CTDPA mencerminkan struktur CPA tetapi mencakup kategori data sensitif yang diperluas dan penegakan opt-out universal yang lebih awal. Mulai 1 Januari 2025, bisnis yang tercakup harus menghormati sinyal preferensi opt-out universal, termasuk GPC [4].
Data sensitif di bawah CTDPA (setelah amandemen Juli 2026) kini mencakup [3]:
- Asal ras atau etnis
- Kondisi kesehatan mental atau fisik, termasuk status disabilitas
- Status transgender atau non-biner
- Data neural
- Nomor akun keuangan yang digabungkan dengan kredensial akses
- Nomor identifikasi yang dikeluarkan pemerintah
- Data geolokasi yang tepat
- Data genetik atau biometrik
Memproses data sensitif memerlukan persetujuan eksplisit dari konsumen Connecticut. Ini adalah standar yang lebih ketat daripada model opt-out yang berlaku untuk data pribadi umum.
Mana yang Lebih Ketat: Undang-Undang Privasi Colorado atau Connecticut
Amandemen Connecticut 2026 menjadikannya sedikit lebih ketat untuk sebagian besar situs web, terutama karena ambang batas penerapannya yang lebih rendah (35.000 vs. 100.000 konsumen) dan kategori data sensitif yang diperluas yang memerlukan persetujuan opt-in [2][3]. Namun, CADMA Colorado yang akan datang memberlakukan kewajiban terkait AI yang lebih luas di lebih banyak sektor dibandingkan dengan SB 5 Connecticut [1].
Putusan praktis: Untuk situs web yang terutama berkaitan dengan pengumpulan data dan periklanan, Connecticut adalah yurisdiksi yang lebih menuntut pada 2026. Untuk bisnis yang menggunakan alat pengambilan keputusan otomatis, CADMA Colorado (berlaku 1 Januari 2027) kemungkinan akan memberlakukan beban kepatuhan yang lebih berat [8].
Apa Tenggat Waktu untuk Mematuhi Undang-Undang Privasi Colorado dan Connecticut
CPA telah dapat ditegakkan sejak 1 Juli 2023. Penurunan ambang batas Connecticut dan definisi data sensitif yang diperluas mulai berlaku pada 1 Juli 2026. Bisnis yang sebelumnya berada di bawah ambang batas 100.000 konsumen Connecticut tetapi sekarang melebihi 35.000 harus segera mencapai kepatuhan [2].
Tenggat waktu mendatang untuk dilacak:
- 1 Juli 2026: Ambang batas baru 35.000 konsumen Connecticut dan kategori data sensitif yang diperluas mulai berlaku.
- 1 Januari 2027: CADMA Colorado mulai berlaku untuk sistem pengambilan keputusan yang dibantu AI.
- 1 Oktober 2027: Ketentuan AI SB 5 Connecticut mulai berlaku untuk keputusan otomatis terkait pekerjaan [8].
Apa yang Terjadi Jika Situs Web Saya Melanggar Undang-Undang Privasi Colorado atau Connecticut
Tidak ada undang-undang yang menciptakan hak tindakan pribadi, yang berarti konsumen individu tidak dapat menggugat bisnis Anda secara langsung. Penegakan ditangani secara eksklusif oleh jaksa agung negara bagian [4][8].
Konsekuensi potensial:
- Sanksi sipil hingga $20.000 per pelanggaran di Connecticut dan hingga $20.000 per pelanggaran di Colorado.
- Pemulihan injunctive yang memerlukan perubahan operasional.
- Tindakan penegakan publik yang membawa kerusakan reputasi yang signifikan.
Pada September 2025, jaksa agung Connecticut, California, dan Colorado mengumumkan penyelidikan bersama yang menargetkan bisnis yang gagal menghormati sinyal GPC [5]. Penegakan terkoordinasi ini menunjukkan bahwa regulator secara aktif memantau kepatuhan, tidak menunggu keluhan konsumen.
Apakah Saya Perlu Kebijakan Privasi Terpisah untuk Colorado dan Connecticut
Tidak, satu kebijakan privasi komprehensif dapat memenuhi kedua undang-undang, asalkan secara eksplisit mencakup hak dan pengungkapan yang diperlukan di bawah masing-masing. Banyak bisnis menggunakan pendekatan berlapis: kebijakan privasi umum yang dilengkapi dengan addenda spesifik negara bagian atau bagian "Hak Privasi Anda" yang merujuk penduduk Colorado dan Connecticut secara khusus.
Kebijakan privasi Anda harus mencakup, setidaknya:
- Kategori data pribadi yang dikumpulkan dan tujuan pemrosesan
- Hak konsumen yang tersedia (akses, penghapusan, koreksi, portabilitas, opt-out)
- Cara mengajukan permintaan hak konsumen dan waktu respons (45 hari, dapat diperpanjang 45 hari)
- Kategori pihak ketiga dengan siapa data dibagikan
- Apakah bisnis menjual data pribadi atau menggunakannya untuk iklan yang ditargetkan
Bagaimana Saya Tahu Jika Situs Web Saya Perlu Mematuhi Undang-Undang Negara Ini
Tentukan penerapan dengan mengaudit catatan data konsumen tahunan Anda terhadap ambang batas masing-masing negara bagian. Jika situs web Anda menggunakan analitik, pixel iklan, atau bentuk pelacakan perilaku lainnya, Anda hampir pasti mengumpulkan data pribadi dari penduduk kedua negara bagian.
Penilaian diri cepat:
- Apakah situs web Anda mengumpulkan data pribadi (nama, email, alamat IP, pengidentifikasi perangkat)?
- Apakah Anda melayani pengunjung dari Colorado atau Connecticut?
- Apakah Anda memproses data dari 100.000+ penduduk Colorado atau 35.000+ penduduk Connecticut setiap tahun?
- Apakah Anda berbagi data dengan jaringan iklan atau penyedia analitik pihak ketiga?
Jika Anda menjawab ya untuk pertanyaan 1, 2, dan 4, Anda kemungkinan memenuhi ambang batas untuk setidaknya satu undang-undang bahkan tanpa menghitung konsumen secara tepat, terutama untuk Connecticut setelah Juli 2026.
Alat Privasi Apa yang Perlu Saya Terapkan untuk Kepatuhan
Kepatuhan memerlukan baik implementasi teknis maupun dokumentasi kebijakan. Komponen teknis yang paling kritis adalah platform manajemen persetujuan (CMP) yang dapat mendeteksi dan menghormati sinyal GPC, menyajikan banner persetujuan yang sesuai, dan mencatat catatan persetujuan untuk tujuan audit.
Biscotti CMP (www.biscotti-cmp.com) dirancang untuk memenuhi persyaratan ini, menawarkan pengenalan sinyal GPC, kategorisasi persetujuan yang terperinci, dan catatan persetujuan yang siap diaudit yang sesuai dengan kewajiban CPA dan CTDPA.
Persyaratan teknis tambahan:
- Audit cookie: Inventaris semua cookie dan pelacak pihak pertama dan ketiga di situs web Anda.
- Pemetaan data: Dokumentasikan aliran data pribadi, termasuk pemroses pihak ketiga.
- Portal hak konsumen: Mekanisme (formulir web atau proses email) untuk mengajukan permintaan akses, penghapusan, dan koreksi.
- Pembaruan pemberitahuan privasi: Mencerminkan semua amandemen Connecticut 2026, termasuk kategori data sensitif yang diperluas.
Apakah Ada Pengecualian untuk Jenis Situs Web atau Bisnis Tertentu
Kedua undang-undang mencakup pengecualian tingkat entitas dan tingkat data. Organisasi nirlaba, entitas pemerintah, dan industri tertentu yang diatur (seperti entitas yang dilindungi HIPAA untuk data kesehatan dan lembaga keuangan yang diatur GLBA untuk data keuangan) mungkin sebagian atau sepenuhnya dikecualikan.
Pengecualian umum:
- Data yang sudah diatur di bawah HIPAA, FERPA, GLBA, atau COPPA dikecualikan dari persyaratan CPA dan CTDPA di tingkat data.
- Bisnis yang beroperasi hanya di dalam Colorado atau Connecticut tanpa aktivitas iklan digital dan di bawah ambang konsumen tidak tercakup.
- Data karyawan memiliki pengecualian terbatas di bawah kedua undang-undang, meskipun SB 5 Connecticut menambahkan persyaratan pengungkapan AI baru terkait pekerjaan yang berlaku efektif Oktober 2027 [8].
Kasus tepi: Situs web kesehatan yang mengumpulkan data pasien yang dilindungi HIPAA dikecualikan untuk data tersebut tetapi mungkin tetap tercakup untuk data pribadi non-kesehatan yang dikumpulkan melalui analitik pemasaran atau langganan buletin.
Apa Kesalahan Umum yang Dilakukan Bisnis dengan Kepatuhan Privasi Negara
Kegagalan kepatuhan yang paling sering melibatkan sinyal GPC, pencatatan persetujuan, dan pemberitahuan privasi yang ketinggalan zaman.
Kesalahan utama yang harus dihindari:
- Mengabaikan sinyal GPC: Mulai 2026, setidaknya delapan negara bagian mengharuskan pengenalan GPC. Gagal menghormati sinyal ini adalah target langsung dari penyelidikan penegakan tri-negara bagian 2025 [5][7].
- Kebijakan privasi statis: Menerbitkan kebijakan sekali dan tidak pernah memperbaruinya. Amandemen Connecticut Juli 2026 mengharuskan pembaruan kebijakan segera untuk mencerminkan kategori data sensitif baru.
- Menganggap opt-out sebagai opsional: Beberapa bisnis menerapkan banner persetujuan tetapi terus menjalankan pelacak iklan sebelum pengguna berinteraksi. Ini melanggar semangat dan ketentuan kedua undang-undang tersebut.
- Tidak ada perjanjian pemrosesan data: Berbagi data dengan pemroses tanpa kontrak tertulis adalah pelanggaran langsung CPA [6].
- Menganggap status nirlaba memberikan pengecualian penuh: Pengecualian tingkat entitas bersifat sempit; pengecualian tingkat data tidak mencakup semua kegiatan pemrosesan.
Apakah Undang-Undang Privasi Colorado dan Connecticut Mempengaruhi Situs Web E-Commerce Secara Berbeda
Situs web e-commerce menghadapi paparan yang lebih tinggi di bawah kedua undang-undang karena mereka biasanya mengumpulkan data pembayaran, riwayat pembelian, geolokasi yang tepat (untuk pengiriman), dan profil perilaku, semua yang mungkin memenuhi syarat sebagai data sensitif di bawah definisi CTDPA yang diperluas [3].
Untuk operator e-commerce, implikasi praktisnya meliputi:
- Persetujuan opt-in diperlukan sebelum memproses nomor akun keuangan yang digabungkan dengan kredensial akses (kategori data sensitif baru Connecticut per Juli 2026).
- Periklanan perilaku berdasarkan riwayat pembelian memerlukan mekanisme opt-out yang jelas dan kepatuhan GPC.
- Data program loyalitas yang terkait dengan profil konsumen individu memicu persyaratan penilaian perlindungan data di bawah CPA.
Berapa Biaya untuk Membuat Situs Web Saya Mematuhi Undang-Undang Privasi Negara
Biaya kepatuhan bervariasi secara signifikan berdasarkan kompleksitas situs web, infrastruktur data yang ada, dan apakah penasihat hukum terlibat. Situs web informasional yang sederhana dengan pengumpulan data minimal dapat mencapai kepatuhan terutama melalui pembaruan kebijakan dan implementasi CMP, yang mungkin memerlukan biaya beberapa ratus hingga beberapa ribu dolar per tahun. Platform e-commerce yang kompleks atau perusahaan dengan jalur pemrosesan data yang luas mungkin mengalami biaya yang jauh lebih tinggi untuk pemetaan data, tinjauan hukum, dan perbaikan teknis.
Penggerak biaya:
- Tinjauan hukum terhadap kebijakan privasi dan perjanjian pemrosesan data
- Lisensi dan implementasi CMP (biaya tahunan yang berkelanjutan)
- Waktu staf internal untuk memproses permintaan hak konsumen
- Pemetaan data dan latihan audit (sekali plus pembaruan berkala)
Biaya ketidakpatuhan, sebaliknya, mencakup sanksi sipil hingga $20.000 per pelanggaran ditambah kerusakan reputasi dari tindakan penegakan publik.
Kesimpulan
Undang-undang privasi Colorado dan Connecticut: mempersiapkan situs web Anda untuk kepatuhan tingkat negara bagian tidak lagi merupakan latihan perencanaan masa depan. Dengan ambang batas Connecticut yang diturunkan kini berlaku sejak 1 Juli 2026, dan penyelidikan penegakan yang sudah berlangsung, jendela untuk kepatuhan reaktif telah tertutup. Pemilik situs web, pengembang, dan agensi pemasaran yang beroperasi di negara-negara ini harus mengaudit volume data konsumen mereka, memperbarui pemberitahuan privasi untuk mencerminkan kategori data sensitif yang diperluas, menerapkan manajemen persetujuan yang menghormati GPC melalui platform seperti Biscotti CMP (www.biscotti-cmp.com), dan menetapkan proses terdokumentasi untuk permintaan hak konsumen.
Langkah-langkah yang dapat diambil selanjutnya:
- Audit catatan data konsumen tahunan Anda terhadap ambang batas 35.000 (Connecticut) dan 100.000 (Colorado) segera.
- Perbarui kebijakan privasi Anda untuk mencakup perluasan data sensitif Connecticut Juli 2026.
- Terapkan platform manajemen persetujuan yang mengenali dan menghormati sinyal GPC di semua properti situs web.
- Laksanakan perjanjian pemrosesan data tertulis dengan semua pemroses pihak ketiga.
- Mulai mempersiapkan kewajiban AI CADMA Colorado, yang berlaku 1 Januari 2027, jika situs web Anda menggunakan alat pengambilan keputusan otomatis.
Kepatuhan privasi tingkat negara kini menjadi harapan dasar, bukan pembeda kompetitif. Bisnis yang menganggapnya sebagai infrastruktur daripada overhead akan berada dalam posisi terbaik saat aktivitas penegakan terus meningkat.
FAQ
Q: Apakah Colorado Privacy Act berlaku untuk bisnis di luar Colorado? Ya. CPA berlaku untuk bisnis mana pun yang memproses data pribadi penduduk Colorado di atas ambang batas, terlepas dari lokasi fisik bisnis tersebut.
Q: Apa itu sinyal Global Privacy Control (GPC)? GPC adalah sinyal berbasis browser yang secara otomatis mengkomunikasikan preferensi opt-out konsumen untuk penjualan data dan iklan yang ditargetkan ke setiap situs web yang mereka kunjungi. Baik Colorado maupun Connecticut mengharuskan bisnis yang tercakup untuk menghormatinya [7].
Q: Kapan Connecticut menurunkan ambang batas penerapannya? Ambang batas Connecticut turun dari 100.000 menjadi 35.000 konsumen efektif 1 Juli 2026, sebagai bagian dari amandemen undang-undang privasinya 2025 [2].
Q: Apakah ada hak tindakan pribadi di bawah CPA atau CTDPA? Tidak. Kedua undang-undang ditegakkan secara eksklusif oleh jaksa agung negara bagian masing-masing. Konsumen individu tidak dapat mengajukan gugatan langsung di bawah salah satu undang-undang tersebut [4][8].
Q: Apa yang dihitung sebagai "menjual" data pribadi di bawah undang-undang ini? Berbagi data pribadi dengan pihak ketiga untuk imbalan moneter atau nilai lainnya, termasuk berbagi dengan jaringan iklan sebagai imbalan untuk layanan iklan yang ditargetkan, umumnya memenuhi syarat sebagai penjualan di bawah kedua undang-undang tersebut.
Q: Berapa lama bisnis memiliki waktu untuk menanggapi permintaan hak konsumen? Baik CPA maupun CTDPA mengharuskan tanggapan dalam waktu 45 hari, dengan kemungkinan perpanjangan 45 hari ketika diperlukan secara wajar, untuk maksimum 90 hari total [6][4].
Q: Apakah CADMA Colorado menggantikan CPA? Tidak. CADMA, yang berlaku 1 Januari 2027, adalah undang-undang terpisah yang mengatur pengambilan keputusan yang dibantu AI. CPA terus mengatur pemrosesan data pribadi umum [8].
Q: Apa itu data neural, dan mengapa itu penting untuk situs web? Data neural mengacu pada informasi yang diperoleh dari antarmuka otak-komputer atau neuroteknologi. Connecticut menambahkannya ke kategori data sensitifnya pada 2026. Sebagian besar situs web standar tidak akan mengumpulkannya, tetapi platform kesehatan dan kebugaran yang menggunakan alat biometrik harus meninjau inventaris data mereka [3].
Q: Apakah saya memerlukan persetujuan opt-in atau opt-out untuk data sensitif di Connecticut? Persetujuan opt-in diperlukan untuk memproses data sensitif di bawah CTDPA. Ini adalah standar yang lebih ketat daripada model opt-out yang berlaku untuk data pribadi umum [3].
Q: Dapatkah satu kebijakan privasi mencakup Colorado dan Connecticut? Ya, asalkan kebijakan tersebut secara eksplisit mencakup hak dan pengungkapan yang diperlukan di bawah masing-masing undang-undang. Addendum "Hak Privasi Anda" yang spesifik negara bagian adalah pendekatan umum dan efektif.
Referensi
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai