簡単な回答： コロラド州プライバシー法（CPA）とコネチカット州データプライバシー法（CTDPA）は、アメリカ合衆国で最も積極的に施行されている州のプライバシー法の2つです。両法は、定義された閾値を超える居住者の個人データを処理するウェブサイトに対して、同意、透明性、オプトアウトの義務を課しています。2026年中頃の時点で、コネチカット州は適用閾値を35,000人の消費者に引き下げ、センシティブデータの定義を拡大したため、州を越えて事業を行うウェブサイトの所有者や企業にとってコンプライアンスがこれまで以上に緊急の課題となっています。
主なポイント
- コロラド州プライバシー法は2023年7月1日から施行されており、コネチカット州の閾値は2026年7月1日から35,000人に引き下げられました。
- 両州は企業に対してグローバルプライバシーコントロール（GPC）信号を尊重することを求めており、両州の司法長官は2025年9月に共同で施行スイープを実施しました。
- コネチカット州の2026年の改正により、センシティブデータのカテゴリーが神経データ、障害の状態、トランスジェンダーまたはノンバイナリーの状態、政府発行のID番号を含むように拡大されました。
- コロラド州の新しいAI法（CADMA）は2026年5月14日に署名され、2027年1月1日からアルゴリズムの透明性に関する義務が追加されます。
- 企業はユニバーサルオプトアウトメカニズムを実装し、詳細なプライバシー通知を公開し、消費者のデータ権利リクエストに応じる必要があります。
- どちらの法律も州ごとに完全に別々のプライバシーポリシーを要求するものではありませんが、単一のポリシーは各法律の下で付与される特定の権利に対処する必要があります。
- Biscotti CMP（www.biscotti-cmp.com）などの同意管理ツールは、オプトアウト信号の認識と同意の記録を自動化するために不可欠です。
- 違反は州の司法長官によって執行される民事罰をもたらす可能性があり、どちらの法律の下でも個人の訴訟権はありません。
コロラド州とコネチカット州のプライバシー法の違いは何か
コロラド州とコネチカット州は、広く似たプライバシーフレームワークを共有していますが、重要な閾値、センシティブデータの定義、AI規制の範囲において異なります。これらの違いを理解することは、コロラド州とコネチカット州のプライバシー法において、州レベルのコンプライアンスに向けたウェブサイトの準備の基礎となります。
コロラド州プライバシー法（CPA）： 2023年7月1日から施行され、CPAは年間で100,000人以上のコロラド州の消費者の個人データを処理するコントローラーに適用されます。また、ビジネスが個人データの販売から収益を得る場合は、25,000人以上の消費者に適用されます[6]。
コネチカット州データプライバシー法（CTDPA）： 2023年7月1日から施行されますが、2026年に大幅に改正されました。2026年7月1日から、適用閾値は100,000人から35,000人に引き下げられ、法律の適用範囲が大幅に拡大されました[2]。
| 特徴 | コロラド（CPA） | コネチカット（CTDPA） |
|---|---|---|
| 発効日 | 2023年7月1日 | 2023年7月1日 |
| 消費者閾値 | 100,000人/年 | 35,000人（2026年7月1日から） |
| 収益ベースの閾値 | 25,000人 + データ収益 | 25,000人 + データからの25%の収益 |
| ユニバーサルオプトアウトの必要性 | はい | はい（2025年1月1日から） |
| センシティブデータの拡張（2026年） | 2026年に大きな変更なし | はい（神経データ、障害など） |
| AI法 | CADMA（2027年1月1日発効） | SB 5（2027年10月1日発効） |
コロラド州とコネチカット州のプライバシー法は私の小規模ビジネスに適用されますか
両法律は、ビジネスの規模や収益だけでなく、データ量の閾値に基づいて適用されます。カレンダー年内に35,000人以上のコネチカット州の居住者の個人データを処理する小規模なeコマースストアは、2026年7月1日からCTDPAの対象となります[2]。
このルールを選択してください： あなたのウェブサイトが、いずれかの州の居住者からメールアドレス、購入履歴、または行動追跡データを収集している場合、年間のユニークな消費者記録をカウントしてください。閾値を超えていますか？あなたは対象です。
- コロラド州：年間100,000人の消費者を処理、またはデータ販売が収益に寄与する場合は25,000人[6]。
- コネチカット州：年間35,000人の消費者を処理（2026年7月以降）、または売上の25%以上が個人データの販売から得られる場合は25,000人[2]。
一般的な間違い： 多くの小規模ビジネスは「データの販売」が直接的なデータ仲介を意味すると考えています。実際には、ターゲット広告のために広告ネットワークとデータを共有することが、両法律の下での販売と見なされる場合があります。
コロラド州プライバシー法の主な要件は何ですか
CPAは、コントローラーに対して明確なプライバシー通知を提供し、消費者の権利を尊重し、データ販売およびターゲット広告のためのオプトアウトメカニズムを実装することを要求しています[6]。
CPAの下での主要な義務：
- プライバシー通知： 収集される個人データのカテゴリー、処理の目的、データを受け取る第三者のカテゴリーを開示します。
- 消費者の権利： アクセス、修正、削除、データポータビリティ、販売、ターゲット広告、プロファイリングのオプトアウト。
- データ保護評価： ターゲット広告やプロファイリングを含む高リスクの処理活動に対して必要です。
- プロセッサー契約： 処理指示とセキュリティ義務を明記したデータプロセッサーとの書面による契約。
- ユニバーサルオプトアウト： GPC信号および同様のブラウザベースのオプトアウトメカニズムを尊重します[7]。
コロラド州司法長官のオフィスは、CPAを施行し、初回違反に対しては60日間の治癒期間を設けています（将来のルール作成により変更される可能性があります）[6]。
コネチカット州データプライバシー法の主な要件は何ですか
CTDPAは構造的にはCPAと類似していますが、センシティブデータのカテゴリーが拡大され、ユニバーサルオプトアウトの施行が早まっています。2025年1月1日から、対象となる企業はGPCを含むユニバーサルオプトアウトの優先信号を尊重する必要があります[4]。
**CTDPAの下でのセンシティブデータ（2026年7月以降の改正）**には、以下が含まれます[3]：
- 人種または民族的出自
- 精神的または身体的健康状態、障害の状態を含む
- トランスジェンダーまたはノンバイナリーの状態
- 神経データ
- アクセス資格情報と組み合わされた金融口座番号
- 政府発行の識別番号
- 正確な位置情報データ
- 遺伝的または生体認証データ
センシティブデータを処理するには、コネチカット州の消費者から明示的なオプトインの同意が必要です。これは、一般的な個人データに適用されるオプトアウトモデルよりも厳しい基準です。
どちらが厳しい：コロラド州プライバシー法かコネチカット州プライバシー法か
コネチカット州の2026年の改正により、適用閾値が低く（35,000対100,000人）、オプトインの同意を必要とするセンシティブデータのカテゴリーが拡大されたため、ほとんどのウェブサイトにとってわずかに厳しくなります[2][3]。しかし、コロラド州の今後のCADMAは、コネチカット州のSB 5よりも多くのセクターにわたって広範なAI関連の義務を課します[1]。
実際の判断： データ収集と広告に主に関心のあるウェブサイトにとって、2026年にはコネチカット州がより要求の厳しい管轄となります。自動意思決定ツールを展開している企業にとっては、コロラド州のCADMA（2027年1月1日発効）がより重いコンプライアンスの負担を課す可能性があります[8]。
コロラド州とコネチカット州のプライバシー法に準拠するための期限はいつですか
CPAは2023年7月1日から施行されています。コネチカット州の閾値引き下げとセンシティブデータの定義拡大は2026年7月1日から発効しました。以前はコネチカット州の100,000人の消費者閾値を下回っていた企業が35,000人を超えた場合、直ちにコンプライアンスを達成する必要があります[2]。
追跡すべき今後の期限：
- 2026年7月1日： コネチカット州の新しい35,000人の消費者閾値と拡大されたセンシティブデータカテゴリーが施行されます。
- 2027年1月1日： コロラド州のCADMAがAI支援の意思決定システムに対して発効します。
- 2027年10月1日： コネチカット州のSB 5 AI規定が雇用関連の自動意思決定に対して発効します[8]。
私のウェブサイトがコロラド州またはコネチカット州のプライバシー法に違反した場合、どうなりますか
どちらの法律も個人の訴訟権を創出していないため、個々の消費者が直接あなたのビジネスを訴えることはできません。執行は州の司法長官によって独占的に行われます[4][8]。
潜在的な結果：
- コネチカット州では違反ごとに最大20,000ドルの民事罰、コロラド州でも同様に最大20,000ドルの民事罰が科されます。
- 操作の変更を要求する差止命令。
- 重大な評判の損害を伴う公的な執行措置。
2025年9月、コネチカット州、カリフォルニア州、コロラド州の司法長官は、GPC信号を尊重しない企業を対象とした共同調査スイープを発表しました[5]。この共同執行は、規制当局がコンプライアンスを積極的に監視していることを示しており、消費者の苦情を待っているわけではありません。
コロラド州とコネチカット州のために別々のプライバシーポリシーが必要ですか
いいえ、単一の包括的なプライバシーポリシーが両方の法律を満たすことができます。ただし、それぞれの法律の下で要求される権利と開示を明示的に扱っている必要があります。多くの企業は、一般的なプライバシーポリシーに州固有の付録を補足する層状アプローチを使用しています。または、コロラド州とコネチカット州の居住者を名前で参照する「あなたのプライバシー権」セクションを設けることが一般的です。
あなたのプライバシーポリシーは、最低限以下をカバーする必要があります：
- 収集される個人データのカテゴリーと処理の目的
- 利用可能な消費者の権利（アクセス、削除、修正、ポータビリティ、オプトアウト）
- 消費者権利リクエストを提出する方法と応答のタイムライン（45日、最大45日延長可能）
- データが共有される第三者のカテゴリー
- ビジネスが個人データを販売するか、ターゲット広告に使用するかどうか
どのようにして私のウェブサイトがこれらの州の法律に準拠する必要があるかを知るにはどうすればよいですか
各州の閾値に対して年間の消費者データ記録を監査することで適用性を判断します。あなたのウェブサイトが分析、広告ピクセル、または行動追跡のいずれかを使用している場合、ほぼ確実に両州の居住者から個人データを収集しています。
簡単な自己評価：
- あなたのウェブサイトは個人データ（名前、メール、IPアドレス、デバイス識別子）を収集していますか？
- コロラド州またはコネチカット州の訪問者にサービスを提供していますか？
- 年間で100,000人以上のコロラド州の居住者または35,000人以上のコネチカット州の居住者のデータを処理していますか？
- データを広告ネットワークや第三者の分析プロバイダーと共有していますか？
質問1、2、4に「はい」と答えた場合、特に2026年7月以降のコネチカット州において、正確な消費者数がなくても少なくとも1つの法律の閾値を満たしている可能性が高いです。
コンプライアンスのために実装する必要があるプライバシーツールは何ですか
コンプライアンスには、技術的な実装とポリシー文書の両方が必要です。最も重要な技術的要素は、GPC信号を検出し、尊重し、コンプライアンスバナーを表示し、監査目的のために同意記録をログすることができる同意管理プラットフォーム（CMP）です。
Biscotti CMP（www.biscotti-cmp.com）は、これらの要件に対応するように設計されており、GPC信号の認識、詳細な同意の分類、CPAおよびCTDPAの義務に沿った監査準備が整った同意ログを提供します。
追加の技術要件：
- クッキー監査： ウェブサイト上のすべてのファーストパーティおよびサードパーティのクッキーとトラッカーのインベントリを作成します。
- データマッピング： どの個人データがどこに流れるかを文書化し、第三者のプロセッサーを含めます。
- 消費者権利ポータル： アクセス、削除、修正リクエストを提出するためのメカニズム（ウェブフォームまたはメールプロセス）。
- プライバシー通知の更新： 2026年のコネチカット州の改正を反映し、拡大されたセンシティブデータカテゴリーを含めます。
特定の種類のウェブサイトやビジネスに対する免除はありますか
両法律には、エンティティレベルおよびデータレベルの免除が含まれています。非営利団体、政府機関、特定の規制業界（健康データに対するHIPAA適用エンティティや金融データに対するGLBA規制の金融機関など）は、部分的または完全に免除される場合があります。
一般的な免除：
- HIPAA、FERPA、GLBA、COPPAの下で既に規制されているデータは、データレベルでCPAおよびCTDPAの要件から免除されます。
- デジタル広告活動がなく、消費者閾値を下回るコロラド州またはコネチカット州内でのみ運営される企業は対象外です。
- 従業員データは両法律の下で限られた免除がありますが、コネチカット州のSB 5は2027年10月発効の新しい雇用AI開示要件を追加します[8]。
エッジケース： HIPAA適用の患者データを収集する医療ウェブサイトは、そのデータについては免除されますが、マーケティング分析やニュースレターの購読を通じて収集された非健康の個人データについては依然として対象となる可能性があります。
ビジネスが州のプライバシーコンプライアンスで犯す一般的な間違いは何ですか
最も頻繁なコンプライアンスの失敗は、GPC信号、同意のログ、古いプライバシー通知に関連しています。
避けるべき主な間違い：
- GPC信号を無視すること： 2026年以降、少なくとも8つの州がGPCの認識を要求しています。これらの信号を尊重しないことは、2025年の三州執行スイープの直接的なターゲットでした[5][7]。
- 静的なプライバシーポリシー： 一度ポリシーを公開して以来、更新しないこと。コネチカット州の2026年7月の改正は、新しいセンシティブデータカテゴリーを反映するために即時のポリシー更新を要求します。
- オプトアウトを任意と見なすこと： 一部の企業は同意バナーを実装していますが、ユーザーが対話する前に広告トラッカーを発火させ続けています。これは両法律の精神と文言に違反します。
- データ処理契約がないこと： 書面による契約なしにプロセッサーとデータを共有することは、CPAの直接的な違反です[6]。
- 非営利ステータスが完全な免除を提供すると仮定すること： エンティティレベルの免除は狭く、データレベルの免除はすべての処理活動をカバーしません。
コロラド州とコネチカット州のプライバシー法はeコマースウェブサイトに異なる影響を与えますか
eコマースウェブサイトは、通常、支払いデータ、購入履歴、正確な位置情報（配送用）、および行動プロファイルを収集するため、両法律の下での露出が高まります。これらはすべて、拡大されたCTDPAの定義の下でセンシティブデータと見なされる可能性があります[3]。
eコマースオペレーターにとっての実際的な影響には以下が含まれます：
- アクセス資格情報と組み合わされた金融口座番号を処理する前にオプトインの同意が必要です（2026年7月以降のコネチカット州の新しいセンシティブデータカテゴリー）。
- 購入履歴に基づく行動広告には、明確なオプトアウトメカニズムとGPCコンプライアンスが必要です。
- 個々の消費者プロファイルにリンクされたロイヤリティプログラムデータは、CPAの下でデータ保護評価要件を引き起こします。
私のウェブサイトを州のプライバシー法に準拠させるためのコストはどのくらいですか
コンプライアンスコストは、ウェブサイトの複雑さ、既存のデータインフラストラクチャ、および法律顧問の関与の有無によって大きく異なります。最小限のデータ収集を行う単純な情報ウェブサイトは、主にポリシーの更新とCMPの実装を通じてコンプライアンスを達成でき、年間数百ドルから数千ドルのコストがかかる可能性があります。複雑なeコマースプラットフォームや広範なデータ処理パイプラインを持つ企業は、データマッピング、法律レビュー、技術的な修正に対してはるかに高いコストがかかる可能性があります。
コスト要因：
- プライバシーポリシーおよびデータ処理契約の法律レビュー
- CMPのライセンスおよび実装（継続的な年間コスト）
- 消費者権利リクエスト処理のための内部スタッフの時間
- データマッピングおよび監査作業（1回限りの費用および定期的な更新）
対照的に、非コンプライアンスのコストには、違反ごとに最大20,000ドルの民事罰と公的な執行措置からの評判の損害が含まれます。
結論
コロラド州とコネチカット州のプライバシー法：州レベルのコンプライアンスに向けたウェブサイトの準備は、もはや未来の計画作業ではありません。コネチカット州の閾値引き下げが2026年7月1日から施行され、執行スイープがすでに進行中であるため、反応的なコンプライアンスのためのウィンドウは閉じました。これらの州で事業を行うウェブサイトの所有者、開発者、マーケティングエージェンシーは、消費者データのボリュームを監査し、拡大されたセンシティブデータカテゴリーを反映するようにプライバシー通知を更新し、Biscotti CMP（www.biscotti-cmp.com）などのプラットフォームを通じてGPCを尊重する同意管理を実装し、消費者権利リクエストのための文書化されたプロセスを確立する必要があります。
実行可能な次のステップ：
- 35,000人（コネチカット州）および100,000人（コロラド州）の閾値に対して、年間の消費者データ記録を直ちに監査してください。
- 2026年7月のコネチカット州のセンシティブデータ拡張に対処するためにプライバシーポリシーを更新してください。
- すべてのウェブサイトプロパティでGPC信号を認識し、尊重する同意管理プラットフォームを展開してください。
- すべての第三者プロセッサーとの書面によるデータ処理契約を実行してください。
- 自動意思決定ツールを使用している場合、2027年1月1日発効のコロラド州のCADMA AI義務に備え始めてください。
州レベルのプライバシーコンプライアンスは、もはや競争上の差別化要因ではなく、基本的な期待事項となっています。それをオーバーヘッドではなくインフラストラクチャとして扱う企業が、執行活動が加速し続ける中で最も良い位置に立つでしょう。
FAQ
Q: コロラド州プライバシー法はコロラド州外のビジネスに適用されますか？
はい。CPAは、閾値を超えてコロラド州の居住者の個人データを処理するすべてのビジネスに適用されます。ビジネスの物理的な所在地に関係なく適用されます。
Q: グローバルプライバシーコントロール（GPC）信号とは何ですか？
GPCは、消費者のデータ販売およびターゲット広告に対するオプトアウトの好みを自動的に伝えるブラウザベースの信号です。コロラド州とコネチカット州の両方は、対象となるビジネスにこれを尊重することを要求しています[7]。
Q: コネチカット州はいつ適用閾値を引き下げましたか？
コネチカット州の閾値は、2026年7月1日から100,000人から35,000人に引き下げられました。これは2025年のプライバシー法改正の一環です[2]。
Q: CPAまたはCTDPAの下で個人の訴訟権はありますか？
いいえ。両法律は、それぞれの州の司法長官によって独占的に施行されます。個々の消費者は、どちらの法律の下でも直接訴訟を提起することはできません[4][8]。
Q: これらの法律の下で「データを販売する」とは何を意味しますか？
金銭的またはその他の価値のある対価のために第三者と個人データを共有すること、ターゲット広告サービスの対価として広告ネットワークとデータを共有することが、一般的に両法律の下での販売と見なされます。
Q: ビジネスは消費者権利リクエストにどのくらいの期間で応答する必要がありますか？
CPAおよびCTDPAの両方は、応答を45日以内に行うことを要求しており、合理的に必要な場合は最大45日間の延長が可能です。合計で最大90日間です[6][4]。
Q: コロラド州のCADMAはCPAを置き換えますか？
いいえ。CADMAは、2027年1月1日発効のAI支援の意思決定を規制する別の法律です。CPAは一般的な個人データ処理を引き続き規制します[8]。
Q: 神経データとは何であり、ウェブサイトにとってなぜ重要ですか？
神経データは、脳-コンピュータインターフェースや神経技術から得られる情報を指します。コネチカット州は2026年にこれをセンシティブデータカテゴリーに追加しました。ほとんどの標準的なウェブサイトはこれを収集しませんが、生体認証ツールを使用する健康およびウェルネスプラットフォームは、データインベントリを見直す必要があります[3]。
Q: コネチカット州でセンシティブデータの処理にはオプトインまたはオプトアウトの同意が必要ですか？
CTDPAの下では、センシティブデータを処理するためにはオプトインの同意が必要です。これは、一般的な個人データに適用されるオプトアウトモデルよりも厳しい基準です[3]。
Q: 単一のプライバシーポリシーでコロラド州とコネチカット州をカバーできますか？
はい、ポリシーがそれぞれの法律の下で要求される権利と開示を明示的に扱っている限り、単一のポリシーで両方をカバーできます。州固有の「あなたのプライバシー権」付録は、一般的かつ効果的なアプローチです。
参考文献
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai