Hiter odgovor: Zakon o zasebnosti v Koloradu (CPA) in Zakon o zasebnosti podatkov v Connecticutu (CTDPA) sta dva izmed najbolj aktivno uveljavljenih zakonov o zasebnosti na ravni držav v Združenih državah Amerike. Obe zakonodaji nalagata obveznosti glede soglasja, preglednosti in možnosti izstopa na spletne strani, ki obdelujejo osebne podatke prebivalcev nad določenimi pragovi. Od sredine leta 2026 je Connecticut znižal svoj prag uporabe na 35.000 potrošnikov in razširil opredelitev občutljivih podatkov, kar pomeni, da je skladnost za lastnike spletnih strani in podjetja, ki delujejo čez državne meje, bolj nujna kot kdaj koli prej.
Ključne točke
- Zakon o zasebnosti v Koloradu je v veljavi od 1. julija 2023; prag Connecticuta se je znižal na 35.000 potrošnikov, kar velja od 1. julija 2026.
- Obe državi zahtevata, da podjetja upoštevajo signale Global Privacy Control (GPC), generalni tožilci obeh držav pa so septembra 2025 izvedli skupno akcijo uveljavljanja.
- Spremembe v Connecticutu leta 2026 so razširile kategorije občutljivih podatkov, da vključujejo nevralne podatke, status invalidnosti, transgender ali nebinarnost ter številke osebnih dokumentov, ki jih izdaja vlada.
- Novi zakon o umetni inteligenci v Koloradu (CADMA), podpisan 14. maja 2026, dodaja obveznosti glede algoritmične preglednosti, ki začnejo veljati 1. januarja 2027.
- Podjetja morajo uvesti univerzalne mehanizme za izstop, objaviti podrobna obvestila o zasebnosti in odgovoriti na zahteve potrošnikov glede pravic do podatkov.
- Noben zakon ne zahteva popolnoma ločenih politik o zasebnosti za vsako državo, vendar mora ena sama politika obravnavati specifične pravice, ki jih dodeljuje vsak zakon.
- Orodja za upravljanje soglasja, kot je Biscotti CMP (www.biscotti-cmp.com), so ključna za avtomatizacijo prepoznavanja signalov za izstop in beleženje soglasij.
- Kršitve lahko privedejo do civilnih kazni, ki jih uveljavljajo generalni tožilci držav; pod nobenim zakonom ni zasebne pravice do tožbe.
Kakšna je razlika med zakoni o zasebnosti v Koloradu in Connecticutu
Kolorado in Connecticut imata široko podoben okvir zasebnosti, vendar se razlikujeta v ključnih pragovih, opredelitvah občutljivih podatkov in obsegu regulacije umetne inteligence. Razumevanje teh razlik je temeljno za zakone o zasebnosti v Koloradu in Connecticutu: priprava vaše spletne strani na skladnost z zakonodajo na ravni držav.
Zakon o zasebnosti v Koloradu (CPA): V veljavi od 1. julija 2023, CPA velja za upravljavce, ki obdelujejo osebne podatke 100.000 ali več potrošnikov v Koloradu letno, ali 25.000 ali več potrošnikov, kadar podjetje pridobiva prihodke s prodajo osebnih podatkov [6].
Zakon o zasebnosti podatkov v Connecticutu (CTDPA): V veljavi od 1. julija 2023, vendar je bil znatno spremenjen za leto 2026. Od 1. julija 2026 se je prag uporabe znižal s 100.000 na 35.000 potrošnikov, kar znatno širi doseg zakona [2].
| Značilnost | Kolorado (CPA) | Connecticut (CTDPA) |
|---|---|---|
| Datum začetka veljavnosti | 1. julij 2023 | 1. julij 2023 |
| Prag potrošnikov | 100.000/leto | 35.000 (od julija 2026) |
| Prag na podlagi prihodkov | 25.000 + prihodki od podatkov | 25.000 + 25% prihodkov od podatkov |
| Zahteva po univerzalnem izstopu | Da | Da (od 1. januarja 2025) |
| Širitev občutljivih podatkov (2026) | Brez večjih sprememb 2026 | Da (nevralni podatki, invalidnost itd.) |
| Zakon o umetni inteligenci | CADMA (v veljavi od 1. januarja 2027) | SB 5 (v veljavi od 1. oktobra 2027) |
Ali se zakoni o zasebnosti v Koloradu in Connecticutu nanašajo na moje malo podjetje
Oba zakona se uporabljata na podlagi pragov obsega podatkov, ne pa zgolj na podlagi velikosti podjetja ali prihodkov. Malo e-trgovinsko podjetje, ki obdeluje osebne podatke 35.000 ali več prebivalcev Connecticuta v koledarskem letu, spada pod CTDPA od 1. julija 2026, ne glede na letne prihodke [2].
Izberite to pravilo: Če vaša spletna stran zbira e-poštne naslove, zgodovino nakupov ali podatke o vedenju od prebivalcev katere koli države, preštejte svoje edinstvene potrošniške zapise letno. Presegate prag? Pokriti ste.
- Kolorado: 100.000 potrošnikov obdelanih na leto, ALI 25.000 potrošnikov, če prodaja podatkov prispeva k prihodkom [6].
- Connecticut: 35.000 potrošnikov obdelanih na leto (po juliju 2026), ALI 25.000 potrošnikov, če 25% ali več bruto prihodkov izhaja iz prodaje osebnih podatkov [2].
Pogosta napaka: Mnoge majhne podjetja domnevajo, da "prodaja podatkov" pomeni neposredno posredovanje podatkov. V praksi lahko deljenje podatkov z oglaševalskimi omrežji za ciljno oglaševanje kvalificira kot prodajo po obeh zakonih.
Kakšne so glavne zahteve Zakona o zasebnosti v Koloradu
CPA zahteva, da upravljavci zagotavljajo jasna obvestila o zasebnosti, upoštevajo pravice potrošnikov in uvedejo mehanizme za izstop pri prodaji podatkov in ciljnem oglaševanju [6].
Osnovne obveznosti po CPA:
- Obvestilo o zasebnosti: Razkritje kategorij osebnih podatkov, zbranih, namenov obdelave in kategorij tretjih oseb, ki prejemajo podatke.
- Pravice potrošnikov: Dostop, popravilo, izbris, prenos podatkov in izstop iz prodaje, ciljnega oglaševanja in profiliranja.
- Ocene zaščite podatkov: Zahtevane za dejavnosti obdelave z visokim tveganjem, vključno s ciljnim oglaševanjem in profiliranjem.
- Pogodbe s procesorji: Pisne pogodbe z obdelovalci podatkov, ki določajo navodila za obdelavo in obveznosti glede varnosti.
- Univerzalni izstop: Upoštevati signale GPC in podobne mehanizme za izstop, ki temeljijo na brskalniku [7].
Uradi generalnega tožilca Kolorada uveljavljajo CPA z 60-dnevnim rokom za odpravo napak pri prvih kršitvah (podvrženo spremembam v prihodnjem zakonodajnem postopku) [6].
Kakšne so glavne zahteve Zakona o zasebnosti podatkov v Connecticutu
CTDPA odraža strukturo CPA, vendar vključuje razširjene kategorije občutljivih podatkov in zgodnejše uveljavljanje univerzalnega izstopa. Od 1. januarja 2025 morajo pokrita podjetja upoštevati signale o preferencah univerzalnega izstopa, vključno z GPC [4].
Občutljivi podatki po CTDPA (po spremembah julija 2026) zdaj vključujejo [3]:
- Rasno ali etnično poreklo
- Duševno ali fizično zdravje, vključno s statusom invalidnosti
- Transgender ali nebinarnost
- Nevralni podatki
- Številke finančnih računov v kombinaciji z dostopnimi poverilnicami
- Številke osebnih dokumentov, ki jih izdaja vlada
- Natančni geolokacijski podatki
- Genetski ali biometrični podatki
Obdelava občutljivih podatkov zahteva izrecno soglasje za vstop od potrošnikov v Connecticutu. To je strožji standard kot model izstopa, ki se uporablja za splošne osebne podatke.
Kateri je strožji: Zakon o zasebnosti v Koloradu ali Zakon o zasebnosti v Connecticutu
Spremembe v Connecticutu leta 2026 ga nekoliko strožje postavljajo za večino spletnih strani, predvsem zaradi nižjega praga uporabe (35.000 proti 100.000 potrošnikov) in razširjenih kategorij občutljivih podatkov, ki zahtevajo soglasje za vstop [2][3]. Vendar pa bo Colorado s prihajajočim CADMA nalagal širše obveznosti, povezane z umetno inteligenco, v več sektorjih kot Connecticutu SB 5 [1].
Praktična presoja: Za spletne strani, ki se predvsem ukvarjajo z zbiranjem podatkov in oglaševanjem, je Connecticut v letu 2026 bolj zahtevna jurisdikcija. Za podjetja, ki uvajajo orodja za avtomatizirano odločanje, bo Colorado s CADMA (v veljavi od 1. januarja 2027) verjetno nalagal večje breme skladnosti [8].
Kakšen je rok za skladnost z zakoni o zasebnosti v Koloradu in Connecticutu
CPA je v veljavi od 1. julija 2023. Znižani prag Connecticuta in razširjene opredelitve občutljivih podatkov so začele veljati 1. julija 2026. Podjetja, ki so bila prej pod pragom 100.000 potrošnikov v Connecticutu, a zdaj presegajo 35.000, morajo takoj doseči skladnost [2].
Prihajajoči roki, ki jih je treba spremljati:
- 1. julij 2026: Nov prag 35.000 potrošnikov v Connecticutu in razširjene kategorije občutljivih podatkov so v veljavi.
- 1. januar 2027: Colorado CADMA začne veljati za sisteme odločanja, podprtimi z umetno inteligenco.
- 1. oktober 2027: Uredbe SB 5 Connecticuta o umetni inteligenci začnejo veljati za avtomatizirane odločitve, povezane z zaposlovanjem [8].
Kaj se zgodi, če moja spletna stran krši zakone o zasebnosti v Koloradu ali Connecticutu
Nobeden od zakonov ne ustvarja zasebne pravice do tožbe, kar pomeni, da posamezni potrošniki ne morejo neposredno tožiti vašega podjetja. Uveljavitev je izključno v pristojnosti državnega generalnega tožilca [4][8].
Možne posledice:
- Civilne kazni do 20.000 dolarjev na kršitev v Connecticutu in do 20.000 dolarjev na kršitev v Koloradu.
- Ukrepi za prepoved, ki zahtevajo spremembe v delovanju.
- Javni ukrepi uveljavljanja, ki prinašajo znatno škodo ugled.
Septembra 2025 so generalni tožilci Connecticuta, Kalifornije in Kolorada napovedali skupno preiskovalno akcijo, ki se osredotoča na podjetja, ki ne upoštevajo signalov GPC [5]. Ta usklajena uveljavitev pomeni, da regulatorji aktivno spremljajo skladnost in ne čakajo na pritožbe potrošnikov.
Ali potrebujem ločene politike o zasebnosti za Kolorado in Connecticut
Ne, ena sama celovita politika o zasebnosti lahko zadostuje obema zakonoma, če jasno obravnava pravice in razkritja, zahtevana pod vsakim. Mnoge podjetja uporabljajo plastičen pristop: splošno politiko o zasebnosti, dopolnjeno s posebnimi dodatki za posamezne države ali posebno sekcijo "Vaše pravice do zasebnosti", ki navaja prebivalce Kolorada in Connecticuta po imenu.
Vaša politika o zasebnosti mora obravnavati vsaj:
- Kategorije osebnih podatkov, zbranih in namene obdelave
- Razpoložljive pravice potrošnikov (dostop, izbris, popravilo, prenos, izstop)
- Kako vložiti zahtevo za pravice potrošnikov in časovni okvir odgovora (45 dni, podaljšljivo za 45 dni)
- Kategorije tretjih oseb, s katerimi se podatki delijo
- Ali podjetje prodaja osebne podatke ali jih uporablja za ciljno oglaševanje
Kako naj vem, ali se moja spletna stran mora skladovati s temi državami
Določite uporabo tako, da pregledate svoje letne potrošniške podatke v primerjavi s pragovi vsake države. Če vaša spletna stran uporablja analitiko, oglaševalske piksle ali kakršno koli obliko sledenja vedenju, skoraj zagotovo zbirate osebne podatke od prebivalcev obeh držav.
Hitra samoocena:
- Ali vaša spletna stran zbira osebne podatke (imena, e-pošte, IP naslove, identifikatorje naprav)?
- Ali obiskovalcem služite iz Kolorada ali Connecticuta?
- Ali obdelujete podatke 100.000+ prebivalcev Kolorada ali 35.000+ prebivalcev Connecticuta letno?
- Ali delite podatke z oglaševalskimi omrežji ali tretjimi ponudniki analitike?
Če ste na vprašanja 1, 2 in 4 odgovorili pritrdilno, verjetno izpolnjujete prag za vsaj en zakon, tudi brez natančnih številk potrošnikov, zlasti za Connecticut po juliju 2026.
Katere orodja za zasebnost moram uvesti za skladnost
Skladnost zahteva tako tehnično izvajanje kot dokumentacijo politik. Najbolj kritična tehnična komponenta je platforma za upravljanje soglasja (CMP), ki lahko zazna in upošteva signale GPC, predstavi skladne pasice za soglasje in beleži zapise soglasja za namene revizije.
Biscotti CMP (www.biscotti-cmp.com) je zasnovan za izpolnjevanje teh zahtev, ponuja prepoznavanje signalov GPC, podrobno kategorizacijo soglasja in revizijske zapise soglasja, ki so v skladu z obveznostmi CPA in CTDPA.
Dodatne tehnične zahteve:
- Revizija piškotkov: Inventarizacija vseh prvih in tretjih piškotkov ter sledilcev na vaši spletni strani.
- Zemljevid podatkov: Dokumentiranje, kateri osebni podatki tečejo kam, vključno s tretjimi obdelovalci.
- Portal za pravice potrošnikov: Mehanizem (spletni obrazec ali e-poštni postopek) za vložitev zahtevkov za dostop, izbris in popravilo.
- Posodobitve obvestila o zasebnosti: Odražanje vseh sprememb v Connecticutu iz leta 2026, vključno z razširjenimi kategorijami občutljivih podatkov.
Ali obstajajo izjeme za določene vrste spletnih strani ali podjetij
Oba zakona vključujeta izjeme na ravni entitet in podatkov. Neprofitne organizacije, vladne entitete in nekateri regulirani sektorji (kot so subjekti, pokriti z HIPAA za zdravstvene podatke in finančne institucije, regulirane z GLBA za finančne podatke) so lahko delno ali popolnoma izvzeti.
Pogoste izjeme:
- Podatki, ki jih že regulira HIPAA, FERPA, GLBA ali COPPA, so izvzeti iz zahtev CPA in CTDPA na ravni podatkov.
- Podjetja, ki delujejo izključno v Koloradu ali Connecticutu brez digitalnih oglaševalskih dejavnosti in pod pragom potrošnikov, niso pokrita.
- Podatki zaposlenih imajo omejene izjeme pod obema zakonoma, čeprav SB 5 Connecticuta dodaja nove zahteve za razkritje AI pri zaposlovanju, ki začnejo veljati oktobra 2027 [8].
Mejna situacija: Spletna stran za zdravstveno varstvo, ki zbira podatke o pacientih, pokrite z HIPAA, je izvzeta za te podatke, vendar je lahko še vedno pokrita za ne-zdravstvene osebne podatke, zbrane preko analitike trženja ali naročnin na novice.
Kakšne so pogoste napake, ki jih podjetja delajo pri skladnosti z državno zasebnostjo
Najpogostejše napake pri skladnosti vključujejo signale GPC, beleženje soglasja in zastarela obvestila o zasebnosti.
Največje napake, ki se jim je treba izogniti:
- Ignoriranje signalov GPC: Od leta 2026 vsaj osem držav zahteva prepoznavanje GPC. Neupoštevanje teh signalov je bilo neposredna tarča akcije uveljavljanja v treh državah leta 2025 [5][7].
- Statistične politike o zasebnosti: Objavljanje politike enkrat in nikoli več posodobitev. Spremembe v Connecticutu julija 2026 zahtevajo takojšnje posodobitve politik, da odražajo nove kategorije občutljivih podatkov.
- Obravnavanje izstopa kot neobveznega: Nekatera podjetja uvajajo pasice za soglasje, a še naprej aktivirajo oglaševalske sledilce, preden uporabnik interagira. To krši duh in črko obeh zakonov.
- Brez pogodb o obdelavi podatkov: Deljenje podatkov s procesorji brez pisnih pogodb je neposredna kršitev CPA [6].
- Domneva, da status neprofitne organizacije zagotavlja popolno izjemo: Izjeme na ravni entitet so ozke; izjeme na ravni podatkov ne pokrivajo vseh dejavnosti obdelave.
Ali zakoni o zasebnosti v Koloradu in Connecticutu vplivajo na spletne trgovine drugače
Spletne trgovine se soočajo z večjim tveganjem pod obema zakonoma, ker običajno zbirajo podatke o plačilih, zgodovino nakupov, natančne geolokacijske podatke (za pošiljanje) in vedenjske profile, ki vse lahko kvalificirajo kot občutljive podatke po razširjenih definicijah CTDPA [3].
Za operaterje e-trgovin praktične posledice vključujejo:
- Soglasje za vstop je potrebno pred obdelavo številk finančnih računov v kombinaciji z dostopnimi poverilnicami (nova kategorija občutljivih podatkov v Connecticutu od julija 2026).
- Vedenjsko oglaševanje na podlagi zgodovine nakupov zahteva jasen mehanizem za izstop in skladnost z GPC.
- Podatki o programih zvestobe, povezani z individualnimi potrošniškimi profili, sprožajo zahteve po oceni zaščite podatkov pod CPA.
Koliko stane, da moja spletna stran postane skladna z državami o zasebnosti
Stroški skladnosti se znatno razlikujejo glede na kompleksnost spletne strani, obstoječo infrastrukturo podatkov in ali je vključena pravna pomoč. Preprosta informacijska spletna stran z minimalnim zbiranjem podatkov lahko doseže skladnost predvsem s posodobitvami politik in uvedbo CMP, kar lahko stane nekaj sto do nekaj tisoč dolarjev letno. Kompleksne platforme e-trgovine ali podjetja z obsežnimi podatkovnimi procesnimi cevovodi lahko povzročijo znatno višje stroške za zemljevid podatkov, pravni pregled in tehnične popravke.
Dejavniki stroškov:
- Pravni pregled politike o zasebnosti in pogodb o obdelavi podatkov
- Licenciranje in izvajanje CMP (letni strošek)
- Čas notranjega osebja za obdelavo zahtevkov za pravice potrošnikov
- Zemljevid podatkov in revizijske vaje (enkratni plus periodične posodobitve)
Stroški ne-skladnosti pa vključujejo civilne kazni do 20.000 dolarjev na kršitev ter škodo na ugledu zaradi javnih ukrepov uveljavljanja.
Zaključek
Zakonodaja o zasebnosti v Koloradu in Connecticutu: priprava vaše spletne strani na skladnost z zakonodajo na ravni držav ni več načrtovanje za prihodnost. S Connecticutovim znižanim pragom, ki je zdaj v veljavi od 1. julija 2026, in akcijami uveljavljanja, ki so že v teku, se je okno za reaktivno skladnost zaprlo. Lastniki spletnih strani, razvijalci in marketinške agencije, ki delujejo v teh državah, morajo pregledati obsege svojih potrošniških podatkov, posodobiti obvestila o zasebnosti, da odražajo razširjene kategorije občutljivih podatkov, uvesti upravljanje soglasja, ki spoštuje GPC preko platforme, kot je Biscotti CMP (www.biscotti-cmp.com), in vzpostaviti dokumentirane procese za zahteve potrošnikov.
Izvedljivi naslednji koraki:
- Takoj preglejte svoje letne potrošniške podatke v primerjavi s pragoma 35.000 (Connecticut) in 100.000 (Kolorado).
- Posodobite svojo politiko o zasebnosti, da obravnava razširitve občutljivih podatkov v Connecticutu julija 2026.
- Uvedite platformo za upravljanje soglasja, ki prepoznava in spoštuje signale GPC na vseh spletnih mestih.
- Izvedite pisne pogodbe o obdelavi podatkov z vsemi tretjimi obdelovalci.
- Začnite se pripravljati na obveznosti AI CADMA v Koloradu, ki začnejo veljati 1. januarja 2027, če vaša spletna stran uporablja orodja za avtomatizirano odločanje.
Skladnost z zakonodajo o zasebnosti na ravni držav je zdaj osnovna pričakovanja, ne pa konkurenčna prednost. Podjetja, ki to obravnavajo kot infrastrukturo in ne kot strošek, bodo najbolje pozicionirana, saj se dejavnosti uveljavljanja še naprej pospešujejo.
Pogosta vprašanja
Q: Ali se Zakon o zasebnosti v Koloradu nanaša na podjetja zunaj Kolorada? Da. CPA se nanaša na vsako podjetje, ki obdeluje osebne podatke prebivalcev Kolorada nad pragom, ne glede na to, kje se podjetje fizično nahaja.
Q: Kaj je signal Global Privacy Control (GPC)? GPC je signal, ki temelji na brskalniku in samodejno sporoča preferenco potrošnika za izstop pri prodaji podatkov in ciljnem oglaševanju vsaki spletni strani, ki jo obiščejo. Tako Kolorado kot Connecticut zahtevata, da pokrita podjetja to spoštujejo [7].
Q: Kdaj je Connecticut znižal svoj prag uporabe? Prag Connecticuta se je znižal s 100.000 na 35.000 potrošnikov, kar velja od 1. julija 2026, kot del sprememb zakonodaje o zasebnosti iz leta 2025 [2].
Q: Ali obstaja zasebna pravica do tožbe po CPA ali CTDPA? Ne. Obe zakonodaji uveljavlja izključno njuna državna generalna tožilca. Posamezni potrošniki ne morejo neposredno vložiti tožb po nobenem od zakonov [4][8].
Q: Kaj šteje kot "prodaja" osebnih podatkov po teh zakonih? Deljenje osebnih podatkov s tretjimi osebami za denarno ali drugo dragoceno nasprotno, vključno z deljenjem z oglaševalskimi omrežji v zameno za ciljne oglaševalske storitve, na splošno kvalificira kot prodaja po obeh zakonih.
Q: Koliko časa imajo podjetja za odgovor na zahteve potrošnikov? Tako CPA kot CTDPA zahtevata odgovor v 45 dneh, z možno 45-dnevno podaljšanjem, ko je to razumno potrebno, za skupno največ 90 dni [6][4].
Q: Ali CADMA v Koloradu nadomešča CPA? Ne. CADMA, ki začne veljati 1. januarja 2027, je ločen zakon, ki ureja odločanje, podprto z umetno inteligenco. CPA še naprej ureja splošno obdelavo osebnih podatkov [8].
Q: Kaj so nevralni podatki in zakaj so pomembni za spletne strani? Nevralni podatki se nanašajo na informacije, pridobljene iz vmesnikov med možgani in računalniki ali nevrotehnologijo. Connecticut jih je dodal v svoje kategorije občutljivih podatkov leta 2026. Večina standardnih spletnih strani jih ne bo zbirala, vendar bi morale platforme za zdravje in dobro počutje, ki uporabljajo biometrična orodja, pregledati svoje podatkovne inventarje [3].
Q: Ali potrebujem soglasje za vstop ali izstop za občutljive podatke v Connecticutu? Soglasje za vstop je potrebno za obdelavo občutljivih podatkov po CTDPA. To je strožji standard kot model izstopa, ki se uporablja za splošne osebne podatke [3].
Q: Ali lahko ena sama politika o zasebnosti pokriva tako Kolorado kot Connecticut? Da, pod pogojem, da politika jasno obravnava pravice in razkritja, zahtevana pod vsakim zakonom. Dodatki specifični za državo "Vaše pravice do zasebnosti" so pogost in učinkovit pristop.
Reference
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai