Brzi odgovor: Zakon o privatnosti Kolorada (CPA) i Zakon o privatnosti podataka Konektikata (CTDPA) su dva od najaktivnije sprovedenih državnih zakona o privatnosti u Sjedinjenim Američkim Državama. Obe zakonodavne regulative nameću obaveze o pristanku, transparentnosti i mogućnosti odustajanja veb stranicama koje obrađuju lične podatke stanovnika iznad definisanih pragova. Od sredine 2026. godine, Konektikat je smanjio prag primenljivosti na 35.000 potrošača i proširio definiciju osetljivih podataka, čineći usklađenost hitnijom nego ikada za vlasnike veb stranica i preduzeća koja posluju preko državnih granica.
Ključne tačke
- Zakon o privatnosti Kolorada je na snazi od 1. jula 2023; prag Konektikata je smanjen na 35.000 potrošača, počevši od 1. jula 2026.
- Obe države zahtevaju od preduzeća da poštuju signale Global Privacy Control (GPC), a generalni tužioci iz obe države su sproveli zajedničku akciju za sprovođenje zakona u septembru 2025.
- Izmene Konektikata iz 2026. godine proširile su kategorije osetljivih podataka da uključuju neuralne podatke, status invaliditeta, transgender ili nebinarnu status, i brojeve identifikacija koje izdaje vlada.
- Novi zakon o veštačkoj inteligenciji u Koloradu (CADMA), potpisan 14. maja 2026, dodaje obaveze o algoritamskoj transparentnosti koje stupaju na snagu 1. januara 2027.
- Preduzeća moraju implementirati univerzalne mehanizme za odustajanje, objaviti detaljna obaveštenja o privatnosti i odgovoriti na zahteve potrošača za prava na podatke.
- Nijedan zakon ne zahteva potpuno odvojene politike privatnosti po državama, ali jedna politika mora obuhvatiti specifična prava koja su dodeljena prema svakom zakonu.
- Alati za upravljanje pristankom, kao što je Biscotti CMP (www.biscotti-cmp.com), su od suštinskog značaja za automatizaciju prepoznavanja signala za odustajanje i beleženje pristanka.
- Kršenja mogu rezultirati građanskim kaznama koje sprovode generalni tužioci; ne postoji privatno pravo na tužbu prema bilo kojem zakonu.
Koja je razlika između zakona o privatnosti Kolorada i Konektikata
Kolorado i Konektikat dele široko sličan okvir privatnosti, ali se razlikuju u ključnim pragovima, definicijama osetljivih podataka i obimu regulative o veštačkoj inteligenciji. Razumevanje ovih razlika je osnovno za zakone o privatnosti Kolorada i Konektikata: pripremanje vaše veb stranice za usklađenost na nivou države.
Zakon o privatnosti Kolorada (CPA): Na snazi od 1. jula 2023, CPA se primenjuje na kontrolore koji obrađuju lične podatke 100.000 ili više potrošača iz Kolorada godišnje, ili 25.000 ili više potrošača kada preduzeće ostvaruje prihod od prodaje ličnih podataka [6].
Zakon o privatnosti podataka Konektikata (CTDPA): Na snazi od 1. jula 2023, ali značajno izmenjen za 2026. godinu. Od 1. jula 2026, prag primenljivosti je smanjen sa 100.000 na 35.000 potrošača, značajno proširujući domet zakona [2].
| Karakteristika | Kolorado (CPA) | Konektikat (CTDPA) |
|---|---|---|
| Datum stupanja na snagu | 1. jul 2023 | 1. jul 2023 |
| Prag potrošača | 100.000/godišnje | 35.000 (od jula 2026) |
| Prag zasnovan na prihodu | 25.000 + prihod od podataka | 25.000 + 25% prihoda od podataka |
| Univerzalno odustajanje obavezno | Da | Da (od 1. januara 2025) |
| Proširenje osetljivih podataka (2026) | Nema značajnih promena 2026. | Da (neuralni podaci, invaliditet itd.) |
| Zakon o veštačkoj inteligenciji | CADMA (stupa na snagu 1. januara 2027) | SB 5 (stupa na snagu 1. oktobra 2027) |
Da li se zakoni o privatnosti Kolorada i Konektikata primenjuju na moje malo preduzeće
Oba zakona se primenjuju na osnovu pragova obima podataka, a ne samo na veličinu preduzeća ili prihod. Mala e-trgovina koja obrađuje lične podatke 35.000 ili više stanovnika Konektikata u kalendarskoj godini potpada pod CTDPA od 1. jula 2026, bez obzira na godišnji prihod [2].
Izaberite ovo pravilo: Ako vaša veb stranica prikuplja adrese e-pošte, istorije kupovine ili podatke o ponašanju od stanovnika bilo koje od ovih država, prebrojite svoje jedinstvene potrošačke zapise godišnje. Prekoračite prag? Pokriveni ste.
- Kolorado: 100.000 potrošača obrađeno godišnje, ILI 25.000 potrošača ako prodaja podataka doprinosi prihodu [6].
- Konektikat: 35.000 potrošača obrađeno godišnje (posle jula 2026), ILI 25.000 potrošača ako 25% ili više bruto prihoda dolazi od prodaje ličnih podataka [2].
Uobičajena greška: Mnogi mali preduzetnici pretpostavljaju da "prodaja podataka" podrazumeva direktnu trgovinu podacima. U praksi, deljenje podataka sa mrežama oglasa za ciljanje može se smatrati prodajom prema oba zakona.
Koji su glavni zahtevi Zakona o privatnosti Kolorada
CPA zahteva od kontrolora da pruže jasna obaveštenja o privatnosti, poštuju prava potrošača i implementiraju mehanizme za odustajanje od prodaje podataka i ciljanog oglašavanja [6].
Osnovne obaveze prema CPA:
- Obaveštenje o privatnosti: Otkrijte kategorije ličnih podataka koji se prikupljaju, svrhe obrade i kategorije trećih strana koje primaju podatke.
- Prava potrošača: Pristup, ispravka, brisanje, prenos podataka i odustajanje od prodaje, ciljanog oglašavanja i profilisanja.
- Procene zaštite podataka: Obavezne za aktivnosti obrade visokog rizika, uključujući ciljanje oglašavanja i profilisanje.
- Ugovori sa procesorima: Pismeni ugovori sa procesorima podataka koji preciziraju uputstva za obradu i obaveze bezbednosti.
- Univerzalno odustajanje: Poštujte GPC signale i slične mehanizme za odustajanje zasnovane na pretraživaču [7].
Kancelarija generalnog tužioca Kolorada sprovodi CPA sa periodom od 60 dana za ispravku za prva kršenja (podložno promenama u budućim pravilnicima) [6].
Koji su glavni zahtevi Zakona o privatnosti podataka Konektikata
CTDPA odražava strukturu CPA, ali uključuje proširene kategorije osetljivih podataka i raniju primenu univerzalnog odustajanja. Od 1. januara 2025, obuhvaćena preduzeća moraju poštovati signale preferencija za univerzalno odustajanje, uključujući GPC [4].
Osetljivi podaci prema CTDPA (posle izmena iz jula 2026) sada uključuju [3]:
- Rasa ili etničko poreklo
- Mentalna ili fizička zdravstvena stanja, uključujući status invaliditeta
- Transgender ili nebinarnu status
- Neuralni podaci
- Brojevi finansijskih računa u kombinaciji sa pristupnim podacima
- Brojevi identifikacija koje izdaje vlada
- Precizni geolokacijski podaci
- Genetski ili biometrijski podaci
Obrada osetljivih podataka zahteva izričit pristanak od potrošača iz Konektikata. Ovo je stroži standard od modela odustajanja koji se primenjuje na opšte lične podatke.
Koji je stroži: Zakon o privatnosti Kolorada ili Zakon o privatnosti Konektikata
Izmene Konektikata iz 2026. godine čine ga marginalno strožim za većinu veb stranica, prvenstveno zbog nižeg praga primenljivosti (35.000 naspram 100.000 potrošača) i proširenih kategorija osetljivih podataka koje zahtevaju pristanak [2][3]. Međutim, nadolazeći CADMA u Koloradu nameće šire obaveze vezane za veštačku inteligenciju u više sektora nego Konektikatov SB 5 [1].
Praktična presuda: Za veb stranice koje se prvenstveno bave prikupljanjem podataka i oglašavanjem, Konektikat je zahtevnija jurisdikcija u 2026. godini. Za preduzeća koja koriste alate za automatizovano donošenje odluka, Kolorado će verovatno nametnuti veće obaveze usklađenosti kroz CADMA (stupa na snagu 1. januara 2027) [8].
Koji je rok za usklađivanje sa zakonima o privatnosti Kolorada i Konektikata
CPA je na snazi od 1. jula 2023. Smanjeni prag Konektikata i proširene definicije osetljivih podataka stupile su na snagu 1. jula 2026. Preduzeća koja su prethodno bila ispod praga od 100.000 potrošača u Konektikatu, a sada premašuju 35.000, moraju odmah postići usklađenost [2].
Nadolazeći rokovi koje treba pratiti:
- 1. jul 2026: Novi prag od 35.000 potrošača u Konektikatu i proširene kategorije osetljivih podataka su aktivni.
- 1. januar 2027: CADMA u Koloradu stupa na snagu za sisteme donošenja odluka uz pomoć veštačke inteligencije.
- 1. oktobar 2027: Odredbe o veštačkoj inteligenciji Konektikata iz SB 5 stupa na snagu za automatizovane odluke vezane za zapošljavanje [8].
Šta se dešava ako moja veb stranica prekrši zakone o privatnosti Kolorada ili Konektikata
Nijedan zakon ne stvara privatno pravo na tužbu, što znači da pojedinačni potrošači ne mogu direktno tužiti vaše preduzeće. Sprovođenje zakona obavlja isključivo državni generalni tužilac [4][8].
Potencijalne posledice:
- Građanske kazne do 20.000 dolara po prekršaju u Konektikatu i do 20.000 dolara po prekršaju u Koloradu.
- Sudske mere koje zahtevaju promene u radu.
- Javne akcije za sprovođenje zakona koje nose značajnu reputacionu štetu.
U septembru 2025. godine, generalni tužioci Konektikata, Kalifornije i Kolorada najavili su zajedničku istražnu akciju usmerenu na preduzeća koja ne poštuju GPC signale [5]. Ova koordinisana primena zakona signalizira da regulatori aktivno prate usklađenost, a ne čekaju na pritužbe potrošača.
Da li mi trebaju odvojene politike privatnosti za Kolorado i Konektikat
Ne, jedna sveobuhvatna politika privatnosti može zadovoljiti oba zakona, pod uslovom da eksplicitno obuhvata prava i obaveštenja koja su potrebna prema svakom zakonu. Mnoge kompanije koriste složen pristup: opšta politika privatnosti dopunjena državnim dodacima ili posvećenim odeljak "Vaša prava na privatnost" koji imenuje stanovnike Kolorada i Konektikata.
Vaša politika privatnosti mora obuhvatiti, najmanje:
- Kategorije ličnih podataka koji se prikupljaju i svrhe obrade
- Prava potrošača (pristup, brisanje, ispravka, prenos, odustajanje)
- Kako podneti zahtev za prava potrošača i vremenski okvir odgovora (45 dana, produživo za 45 dana)
- Kategorije trećih strana sa kojima se podaci dele
- Da li preduzeće prodaje lične podatke ili ih koristi za ciljanje oglasa
Kako da znam da li moja veb stranica treba da se uskladi sa ovim državnim zakonima
Odredite primenljivost tako što ćete proveriti svoje godišnje zapise o potrošačima u odnosu na pragove svake države. Ako vaša veb stranica koristi analitiku, oglase, ili bilo koji oblik praćenja ponašanja, gotovo sigurno prikupljate lične podatke od stanovnika obe države.
Brza samoprocenjivanja:
- Da li vaša veb stranica prikuplja lične podatke (imena, e-pošte, IP adrese, identifikatore uređaja)?
- Da li poslužujete posetioce iz Kolorada ili Konektikata?
- Da li obrađujete podatke od 100.000+ stanovnika Kolorada ili 35.000+ stanovnika Konektikata godišnje?
- Da li delite podatke sa mrežama oglasa ili trećim provajderima analitike?
Ako ste odgovorili sa da na pitanja 1, 2 i 4, verovatno ispunjavate prag za barem jedan zakon čak i bez preciznih brojeva potrošača, posebno za Konektikat posle jula 2026.
Koje alate za privatnost trebam implementirati za usklađenost
Usklađenost zahteva i tehničku implementaciju i dokumentaciju politika. Najkritičnija tehnička komponenta je platforma za upravljanje pristankom (CMP) koja može prepoznati i poštovati GPC signale, prikazivati usklađene banere za pristanak i beležiti zapise o pristanku za potrebe revizije.
Biscotti CMP (www.biscotti-cmp.com) je dizajniran da ispuni ove zahteve, nudeći prepoznavanje GPC signala, granularnu kategorizaciju pristanka i zapise o pristanku spremne za reviziju koji su u skladu sa obavezama CPA i CTDPA.
Dodatni tehnički zahtevi:
- Revizija kolačića: Inventar svih kolačića i tragača prvih i trećih strana na vašoj veb stranici.
- Mapiranje podataka: Dokumentujte kuda teku lični podaci, uključujući treće procesore.
- Portal za prava potrošača: Mehanizam (web forma ili proces e-pošte) za podnošenje zahteva za pristup, brisanje i ispravku.
- Ažuriranja obaveštenja o privatnosti: Odbrazite sve izmene Konektikata iz 2026. godine, uključujući proširene kategorije osetljivih podataka.
Da li postoje izuzeci za određene vrste veb stranica ili preduzeća
Oba zakona uključuju izuzeća na nivou entiteta i podataka. Neprofitne organizacije, vladine jedinice i određene regulisane industrije (kao što su entiteti pokriveni HIPAA za zdravstvene podatke i finansijske institucije regulisane GLBA za finansijske podatke) mogu biti delimično ili potpuno izuzete.
Uobičajena izuzeća:
- Podaci koji su već regulisani prema HIPAA, FERPA, GLBA ili COPPA su izuzeti od zahteva CPA i CTDPA na nivou podataka.
- Preduzeća koja posluju isključivo unutar Kolorada ili Konektikata bez digitalne reklamne aktivnosti i ispod praga potrošača nisu pokrivena.
- Podaci o zaposlenima imaju ograničena izuzeća prema oba zakona, iako Konektikatov SB 5 dodaje nove zahteve za otkrivanje veštačke inteligencije u zapošljavanju koji stupaju na snagu u oktobru 2027 [8].
Iznimni slučaj: Veb stranica za zdravstvenu zaštitu koja prikuplja podatke o pacijentima pokrivene HIPAA je izuzeta za te podatke, ali može biti pokrivena za ne-zdravstvene lične podatke prikupljene putem marketinške analitike ili pretplata na biltene.
Koje su uobičajene greške koje preduzeća prave u vezi sa usklađenošću sa državnim zakonima o privatnosti
Najčešći propusti u usklađenosti uključuju GPC signale, beleženje pristanka i zastarela obaveštenja o privatnosti.
Najveće greške koje treba izbegavati:
- Ignorisanje GPC signala: Od 2026. godine, najmanje osam država zahteva prepoznavanje GPC. Nepoštovanje ovih signala bilo je direktna meta akcije za sprovođenje zakona iz 2025. godine [5][7].
- Statične politike privatnosti: Objavljivanje politike jednom i nikada je ne ažurirati. Izmene Konektikata iz jula 2026. godine zahtevaju trenutna ažuriranja politika kako bi odražavale nove kategorije osetljivih podataka.
- Tretiranje odustajanja kao opcionalnog: Neka preduzeća implementiraju banere za pristanak, ali nastavljaju sa aktiviranjem tragača oglasa pre nego što korisnik interaguje. Ovo krši duh i slovo oba zakona.
- Nema ugovora o obradi podataka: Deljenje podataka sa procesorima bez pismenih ugovora je direktno kršenje CPA [6].
- Pretpostavljanje da status neprofitne organizacije pruža potpuno izuzeće: Izuzeci na nivou entiteta su uski; izuzeci na nivou podataka ne pokrivaju sve aktivnosti obrade.
Da li zakoni o privatnosti Kolorada i Konektikata drugačije utiču na veb stranice za e-trgovinu
Veb stranice za e-trgovinu suočavaju se sa povećanom izloženošću prema oba zakona jer obično prikupljaju podatke o plaćanju, istorije kupovine, precizne geolokacije (za isporuku) i profile ponašanja, od kojih se svi mogu kvalifikovati kao osetljivi podaci prema proširenim definicijama CTDPA [3].
Za operatore e-trgovine, praktične implikacije uključuju:
- Pristanak na odustajanje je obavezan pre obrade brojeva finansijskih računa u kombinaciji sa pristupnim podacima (nova kategorija osetljivih podataka u Konektikatu od jula 2026).
- Ciljano oglašavanje zasnovano na istoriji kupovine zahteva jasan mehanizam za odustajanje i usklađenost sa GPC.
- Podaci o programima lojalnosti povezani sa pojedinačnim potrošačkim profilima pokreću zahteve za procenu zaštite podataka prema CPA.
Koliko košta usklađivanje moje veb stranice sa državnim zakonima o privatnosti
Troškovi usklađenosti značajno variraju u zavisnosti od složenosti veb stranice, postojećih infrastruktura podataka i da li je angažovana pravna pomoć. Jednostavna informativna veb stranica sa minimalnim prikupljanjem podataka može postići usklađenost prvenstveno kroz ažuriranja politika i implementaciju CMP-a, što može koštati nekoliko stotina do nekoliko hiljada dolara godišnje. Složene platforme za e-trgovinu ili preduzeća sa opsežnim procesima obrade podataka mogu imati znatno veće troškove za mapiranje podataka, pravnu reviziju i tehničku sanaciju.
Faktori troškova:
- Pravna revizija politike privatnosti i ugovora o obradi podataka
- Licenciranje i implementacija CMP-a (tekući godišnji trošak)
- Vreme unutrašnjeg osoblja za obradu zahteva za prava potrošača
- Mapiranje podataka i revizije (jednokratni plus periodična ažuriranja)
Trošak neusklađenosti, s druge strane, uključuje građanske kazne do 20.000 dolara po prekršaju, plus reputacionu štetu od javnih akcija za sprovođenje zakona.
Zaključak
Zakoni o privatnosti Kolorada i Konektikata: priprema vaše veb stranice za usklađenost na nivou države više nije vežba planiranja za budućnost. Sa smanjenim pragom Konektikata koji je sada aktivan od 1. jula 2026. godine, i akcijama za sprovođenje zakona koje su već u toku, prozor za reaktivnu usklađenost se zatvorio. Vlasnici veb stranica, programeri i marketinške agencije koje posluju u ovim državama moraju da provere obim svojih potrošačkih podataka, ažuriraju obaveštenja o privatnosti kako bi odražavali proširene kategorije osetljivih podataka, implementiraju upravljanje pristankom koje poštuje GPC putem platforme kao što je Biscotti CMP (www.biscotti-cmp.com), i uspostave dokumentovane procese za zahteve potrošača za prava.
Akcioni koraci:
- Odmah proverite svoje godišnje zapise o potrošačima u odnosu na pragove od 35.000 (Konektikat) i 100.000 (Kolorado).
- Ažurirajte svoju politiku privatnosti kako biste obuhvatili proširenja osetljivih podataka iz Konektikata iz jula 2026.
- Implementirajte platformu za upravljanje pristankom koja prepoznaje i poštuje GPC signale na svim svojstvima veb stranica.
- Izvršite pismene ugovore o obradi podataka sa svim trećim procesorima.
- Počnite sa pripremama za obaveze veštačke inteligencije prema Koloradu, koje stupaju na snagu 1. januara 2027, ako vaša veb stranica koristi alate za automatizovano donošenje odluka.
Usklađenost na nivou države o privatnosti sada je osnovno očekivanje, a ne konkurentska prednost. Preduzeća koja to tretiraju kao infrastrukturu, a ne kao trošak, biće najbolje pozicionirana dok se aktivnost sprovođenja zakona nastavlja ubrzavati.
Česta pitanja
P: Da li se Zakon o privatnosti Kolorada primenjuje na preduzeća van Kolorada? Da. CPA se primenjuje na svako preduzeće koje obrađuje lične podatke stanovnika Kolorada iznad praga, bez obzira na to gde se preduzeće fizički nalazi.
P: Šta je signal Global Privacy Control (GPC)? GPC je signal zasnovan na pretraživaču koji automatski komunicira preferencu potrošača za odustajanje od prodaje podataka i ciljanog oglašavanja svakoj veb stranici koju posete. Obe države, Kolorado i Konektikat, zahtevaju od obuhvaćenih preduzeća da ga poštuju [7].
P: Kada je Konektikat smanjio svoj prag primenljivosti? Prag Konektikata je smanjen sa 100.000 na 35.000 potrošača, počevši od 1. jula 2026, kao deo izmena zakona o privatnosti iz 2025. godine [2].
P: Da li postoji privatno pravo na tužbu prema CPA ili CTDPA? Ne. Obe regulative sprovode isključivo njihovi državni generalni tužioci. Pojedinačni potrošači ne mogu direktno podnositi tužbe prema bilo kojem zakonu [4][8].
P: Šta se smatra "prodajom" ličnih podataka prema ovim zakonima? Deljenje ličnih podataka sa trećim stranama za novčanu ili drugu vrednu naknadu, uključujući deljenje sa mrežama oglasa u zamenu za ciljanje oglasa, obično se kvalifikuje kao prodaja prema oba zakona.
P: Koliko vremena preduzeća imaju da odgovore na zahteve za prava potrošača? I CPA i CTDPA zahtevaju odgovor u roku od 45 dana, uz moguću ekstenziju od 45 dana kada je to razumno neophodno, za maksimalno 90 dana ukupno [6][4].
P: Da li CADMA u Koloradu zamenjuje CPA? Ne. CADMA, koja stupa na snagu 1. januara 2027, je poseban zakon koji reguliše donošenje odluka uz pomoć veštačke inteligencije. CPA i dalje reguliše opštu obradu ličnih podataka [8].
P: Šta su neuralni podaci i zašto su važni za veb stranice? Neuralni podaci se odnose na informacije dobijene iz interfejsa između mozga i računara ili neurotehnologije. Konektikat ih je dodao u svoje kategorije osetljivih podataka 2026. godine. Većina standardnih veb stranica ih neće prikupljati, ali platforme za zdravlje i dobrobit koje koriste biometrijske alate trebaju pregledati svoje inventare podataka [3].
P: Da li mi je potreban pristanak na odustajanje ili pristanak na pristup za osetljive podatke u Konektikatu? Izričit pristanak je potreban za obradu osetljivih podataka prema CTDPA. Ovo je stroži standard od modela odustajanja koji se primenjuje na opšte lične podatke [3].
P: Može li jedna politika privatnosti pokriti i Kolorado i Konektikat? Da, pod uslovom da politika eksplicitno obuhvata prava i obaveštenja koja su potrebna prema svakom zakonu. Državni specifični dodatak "Vaša prava na privatnost" je uobičajen i efikasan pristup.
Reference
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai