Швидка відповідь: Закон про конфіденційність Колорадо (CPA) та Закон про конфіденційність даних Коннектикуту (CTDPA) є двома з найбільш активно виконуваних законів про конфіденційність на рівні штатів у Сполучених Штатах. Обидва закони накладають зобов'язання щодо згоди, прозорості та можливості відмови на веб-сайти, які обробляють особисті дані жителів вище визначених порогів. Станом на середину 2026 року Коннектикут знизив свій поріг застосування до 35 000 споживачів і розширив визначення чутливих даних, що робить відповідність більш терміновою, ніж будь-коли, для власників веб-сайтів та підприємств, які працюють через межі штатів.
Основні висновки
- Закон про конфіденційність Колорадо діє з 1 липня 2023 року; поріг Коннектикуту знизився до 35 000 споживачів, починаючи з 1 липня 2026 року.
- Обидва штати вимагають від бізнесу поважати сигнали Глобального контролю конфіденційності (GPC), а генеральні прокурори обох штатів провели спільну перевірку виконання в вересні 2025 року.
- Поправки Коннектикуту 2026 року розширили категорії чутливих даних, включаючи нейронні дані, статус інвалідності, статус трансгендерів або небінарних осіб та номери ідентифікаційних документів, виданих державою.
- Новий закон про штучний інтелект Колорадо (CADMA), підписаний 14 травня 2026 року, додає зобов'язання щодо алгоритмічної прозорості, що набирають чинності з 1 січня 2027 року.
- Бізнеси повинні впроваджувати універсальні механізми відмови, публікувати детальні повідомлення про конфіденційність та реагувати на запити споживачів щодо прав на дані.
- Жоден з законів не вимагає повністю окремих політик конфіденційності для кожного штату, але єдина політика повинна враховувати конкретні права, надані відповідно до кожного закону.
- Інструменти управління згодою, такі як Biscotti CMP (www.biscotti-cmp.com), є необхідними для автоматизації визнання сигналів відмови та ведення обліку згоди.
- Порушення можуть призвести до цивільних штрафів, які накладаються генеральними прокурорами штатів; приватного права на позов за жодним із законів немає.
У чому різниця між законами про конфіденційність Колорадо та Коннектикуту
Колорадо та Коннектикут мають загалом схожу структуру конфіденційності, але відрізняються ключовими порогами, визначеннями чутливих даних та обсягом регулювання штучного інтелекту. Розуміння цих відмінностей є основою для законів про конфіденційність Колорадо та Коннектикуту: підготовка вашого веб-сайту до відповідності на рівні штатів.
Закон про конфіденційність Колорадо (CPA): Діє з 1 липня 2023 року, CPA застосовується до контролерів, які обробляють особисті дані 100 000 або більше споживачів Колорадо щорічно, або 25 000 або більше споживачів, якщо бізнес отримує дохід від продажу особистих даних [6].
Закон про конфіденційність даних Коннектикуту (CTDPA): Діє з 1 липня 2023 року, але значно змінений для 2026 року. Станом на 1 липня 2026 року поріг застосування знизився з 100 000 до 35 000 споживачів, що суттєво розширює охоплення закону [2].
| Особливість | Колорадо (CPA) | Коннектикут (CTDPA) |
|---|---|---|
| Дата набуття чинності | 1 липня 2023 року | 1 липня 2023 року |
| Поріг споживачів | 100 000/рік | 35 000 (з липня 2026 року) |
| Поріг на основі доходу | 25 000 + дохід від даних | 25 000 + 25% доходу від даних |
| Універсальна відмова обов'язкова | Так | Так (з 1 січня 2025 року) |
| Розширення чутливих даних (2026) | Немає суттєвих змін у 2026 році | Так (нейронні дані, інвалідність тощо) |
| Закон про ШІ | CADMA (діє з 1 січня 2027 року) | SB 5 (діє з 1 жовтня 2027 року) |
Чи застосовуються закони про конфіденційність Колорадо та Коннектикуту до мого малого бізнесу
Обидва закони застосовуються на основі порогів обсягу даних, а не лише на основі розміру бізнесу чи доходу. Маленький інтернет-магазин, який обробляє особисті дані 35 000 або більше жителів Коннектикуту протягом календарного року, підпадає під дію CTDPA з 1 липня 2026 року, незалежно від річного доходу [2].
Виберіть це правило: Якщо ваш веб-сайт збирає адреси електронної пошти, історії покупок або дані про поведінку від жителів будь-якого з штатів, підрахуйте свої унікальні записи споживачів щорічно. Перевищили поріг? Ви підпадаєте під дію закону.
- Колорадо: 100 000 споживачів обробляється на рік, АБО 25 000 споживачів, якщо продажі даних сприяють доходу [6].
- Коннектикут: 35 000 споживачів обробляється на рік (після липня 2026 року), АБО 25 000 споживачів, якщо 25% або більше валового доходу походить від продажу особистих даних [2].
Загальна помилка: Багато малих бізнесів вважають, що "продаж даних" означає прямий брокерський бізнес. Насправді, обмін даними з рекламними мережами для цільової реклами може вважатися продажем відповідно до обох законів.
Які основні вимоги Закону про конфіденційність Колорадо
CPA вимагає від контролерів надання чітких повідомлень про конфіденційність, поваги до прав споживачів та впровадження механізмів відмови для продажу даних та цільової реклами [6].
Основні зобов'язання відповідно до CPA:
- Повідомлення про конфіденційність: Розкрити категорії особистих даних, що збираються, цілі обробки та категорії третіх сторін, які отримують дані.
- Права споживачів: Доступ, виправлення, видалення, портативність даних та можливість відмови від продажу, цільової реклами та профілювання.
- Оцінки захисту даних: Вимагаються для високоризикових процесів, включаючи цільову рекламу та профілювання.
- Контракти з обробниками: Письмові угоди з обробниками даних, що визначають інструкції з обробки та зобов'язання щодо безпеки.
- Універсальна відмова: Поважати сигнали GPC та подібні механізми відмови на основі браузера [7].
Офіс генерального прокурора Колорадо забезпечує виконання CPA з 60-денною можливістю виправлення для перших порушень (може змінюватися в рамках майбутнього регулювання) [6].
Які основні вимоги Закону про конфіденційність даних Коннектикуту
CTDPA відображає структуру CPA, але включає розширені категорії чутливих даних та раніше запроваджує універсальну відмову. Станом на 1 січня 2025 року, охоплені бізнеси повинні поважати сигнали переваги універсальної відмови, включаючи GPC [4].
Чутливі дані відповідно до CTDPA (після поправок липня 2026 року) тепер включають [3]:
- Расове або етнічне походження
- Психічні або фізичні стани здоров'я, включаючи статус інвалідності
- Статус трансгендерів або небінарних осіб
- Нейронні дані
- Номери фінансових рахунків у поєднанні з обліковими даними для доступу
- Номери ідентифікаційних документів, виданих державою
- Точні дані про геолокацію
- Генетичні або біометричні дані
Обробка чутливих даних вимагає явної згоди від споживачів Коннектикуту. Це є більш суворим стандартом, ніж модель відмови, що застосовується до загальних особистих даних.
Що є суворішим: Закон про конфіденційність Колорадо чи Закон про конфіденційність Коннектикуту
Поправки Коннектикуту 2026 року роблять його трохи суворішим для більшості веб-сайтів, головним чином через нижчий поріг застосування (35 000 проти 100 000 споживачів) та розширені категорії чутливих даних, що вимагають згоди [2][3]. Проте, майбутній CADMA Колорадо накладає більш широкі зобов'язання, пов'язані з ШІ, на більше число секторів, ніж SB 5 Коннектикуту [1].
Практичний вердикт: Для веб-сайтів, які в основному займаються збором даних та рекламою, Коннектикут є більш вимогливою юрисдикцією у 2026 році. Для бізнесів, які використовують інструменти автоматизованого прийняття рішень, CADMA Колорадо (діє з 1 січня 2027 року) ймовірно накладе більший тягар відповідності [8].
Який термін для відповідності законам про конфіденційність Колорадо та Коннектикуту
CPA є чинним з 1 липня 2023 року. Знижений поріг Коннектикуту та розширені визначення чутливих даних набрали чинності 1 липня 2026 року. Бізнеси, які раніше були нижче порогу 100 000 споживачів Коннектикуту, але тепер перевищують 35 000, повинні терміново досягти відповідності [2].
Наближаються терміни, які потрібно відстежувати:
- 1 липня 2026 року: Новий поріг Коннектикуту в 35 000 споживачів та розширені категорії чутливих даних набирають чинності.
- 1 січня 2027 року: CADMA Колорадо набирає чинності для систем прийняття рішень з підтримкою ШІ.
- 1 жовтня 2027 року: Положення SB 5 Коннектикуту про ШІ набирають чинності для автоматизованих рішень, пов'язаних з працевлаштуванням [8].
Що станеться, якщо мій веб-сайт порушить закони про конфіденційність Колорадо чи Коннектикуту
Жоден з законів не створює приватного права на позов, що означає, що окремі споживачі не можуть безпосередньо подавати позови проти вашого бізнесу. Виконання здійснюється виключно генеральним прокурором штату [4][8].
Можливі наслідки:
- Цивільні штрафи до 20 000 доларів за порушення в Коннектикуті та до 20 000 доларів за порушення в Колорадо.
- Судові заборони, що вимагають змін в операціях.
- Публічні дії з виконання, які несуть значні репутаційні збитки.
У вересні 2025 року генеральні прокурори Коннектикуту, Каліфорнії та Колорадо оголосили про спільну перевірку, спрямовану на бізнеси, які не поважають сигнали GPC [5]. Ця скоординована діяльність з виконання сигналізує про те, що регулятори активно контролюють відповідність, а не чекають на скарги споживачів.
Чи потрібні мені окремі політики конфіденційності для Колорадо та Коннектикуту
Ні, одна комплексна політика конфіденційності може задовольнити обидва закони, якщо вона чітко враховує права та розкриття, вимагатимуться відповідно до кожного з них. Багато бізнесів використовують багаторівневий підхід: загальна політика конфіденційності, доповнена специфічними для штату додатками або спеціальним розділом "Ваші права на конфіденційність", який згадує жителів Колорадо та Коннектикуту поіменно.
Ваша політика конфіденційності повинна охоплювати, принаймні:
- Категорії особистих даних, що збираються, та цілі обробки
- Доступні права споживачів (доступ, видалення, виправлення, портативність, можливість відмови)
- Як подати запит на права споживачів та терміни відповіді (45 днів, з можливістю продовження на 45 днів)
- Категорії третіх сторін, з якими дані діляться
- Чи продає бізнес особисті дані або використовує їх для цільової реклами
Як дізнатися, чи мій веб-сайт повинен відповідати цим державним законам
Визначте застосовність, перевіривши свої щорічні записи споживачів на відповідність порогам кожного штату. Якщо ваш веб-сайт використовує аналітику, рекламні пікселі або будь-яку форму поведінкового відстеження, ви, ймовірно, збираєте особисті дані від жителів обох штатів.
Швидка самооцінка:
- Чи збирає ваш веб-сайт особисті дані (імена, електронні адреси, IP-адреси, ідентифікатори пристроїв)?
- Чи обслуговуєте ви відвідувачів з Колорадо або Коннектикуту?
- Чи обробляєте ви дані 100 000+ жителів Колорадо або 35 000+ жителів Коннектикуту щорічно?
- Чи ділитеся ви даними з рекламними мережами або сторонніми постачальниками аналітики?
Якщо ви відповіли "так" на питання 1, 2 та 4, ви, ймовірно, відповідаєте порогу принаймні одного закону, навіть без точних підрахунків споживачів, особливо для Коннектикуту після липня 2026 року.
Які інструменти конфіденційності мені потрібно впровадити для відповідності
Відповідність вимагає як технічної реалізації, так і документування політики. Найважливішим технічним компонентом є платформа управління згодою (CMP), яка може виявляти та поважати сигнали GPC, представляти відповідні банери згоди та вести облік згоди для аудиту.
Biscotti CMP (www.biscotti-cmp.com) розроблений для задоволення цих вимог, пропонуючи визнання сигналів GPC, детальну категоризацію згоди та журнали згоди, готові до аудиту, які відповідають зобов'язанням як CPA, так і CTDPA.
Додаткові технічні вимоги:
- Аудит файлів cookie: Інвентаризація всіх файлів cookie та трекерів першої та третьої сторін на вашому веб-сайті.
- Картографування даних: Документування того, які особисті дані куди надходять, включаючи третіх сторін.
- Портал прав споживачів: Механізм (веб-форма або процес електронної пошти) для подання запитів на доступ, видалення та виправлення.
- Оновлення повідомлень про конфіденційність: Відображення всіх поправок Коннектикуту 2026 року, включаючи розширені категорії чутливих даних.
Чи є винятки для певних типів веб-сайтів або бізнесів
Обидва закони включають винятки на рівні суб'єктів та даних. Некомерційні організації, державні установи та певні регульовані галузі (такі як суб'єкти, що підпадають під HIPAA для медичних даних та фінансові установи, що регулюються GLBA для фінансових даних) можуть бути частково або повністю звільнені.
Загальні винятки:
- Дані, які вже регулюються відповідно до HIPAA, FERPA, GLBA або COPPA, звільнені від вимог CPA та CTDPA на рівні даних.
- Бізнеси, які працюють виключно в Колорадо або Коннектикуті без цифрової рекламної діяльності та нижче порогу споживачів, не підпадають під дію.
- Дані працівників мають обмежені винятки відповідно до обох законів, хоча SB 5 Коннектикуту додає нові вимоги щодо розкриття ШІ в працевлаштуванні, які набирають чинності з жовтня 2027 року [8].
Крайній випадок: Веб-сайт охорони здоров'я, який збирає дані пацієнтів, що підпадають під HIPAA, звільняється від цих даних, але може все ще підпадати під дію для не медичних особистих даних, зібраних через маркетингову аналітику або підписки на розсилки.
Які поширені помилки, які бізнеси роблять з дотриманням державних норм конфіденційності
Найчастіші невдачі у відповідності стосуються сигналів GPC, ведення обліку згоди та застарілих повідомлень про конфіденційність.
Основні помилки, яких слід уникати:
- Ігнорування сигналів GPC: Станом на 2026 рік щонайменше вісім штатів вимагають визнання GPC. Невиконання цих сигналів стало прямою метою перевірки виконання в трьох штатах у 2025 році [5][7].
- Статичні політики конфіденційності: Публікація політики один раз і ніколи її не оновлювати. Поправки Коннектикуту липня 2026 року вимагають термінового оновлення політики для відображення нових категорій чутливих даних.
- Розгляд відмови як необов'язкової: Деякі бізнеси впроваджують банери згоди, але продовжують запускати рекламні трекери до того, як користувач взаємодіє. Це порушує дух і букву обох законів.
- Відсутність угод про обробку даних: Обмін даними з обробниками без письмових контрактів є прямим порушенням CPA [6].
- Припущення, що статус неприбуткової організації забезпечує повне звільнення: Винятки на рівні суб'єктів є вузькими; винятки на рівні даних не охоплюють всі види обробки.
Чи впливають закони про конфіденційність Колорадо та Коннектикуту на веб-сайти електронної комерції по-різному
Веб-сайти електронної комерції стикаються з підвищеною експозицією відповідно до обох законів, оскільки вони зазвичай збирають дані про платежі, історії покупок, точні геолокації (для доставки) та поведінкові профілі, всі з яких можуть відповідати визначенням чутливих даних відповідно до розширених визначень CTDPA [3].
Для операторів електронної комерції практичні наслідки включають:
- Необхідність згоди перед обробкою фінансових рахунків у поєднанні з обліковими даними для доступу (нова категорія чутливих даних Коннектикуту з липня 2026 року).
- Поведінкова реклама на основі історії покупок вимагає чіткої механізму відмови та відповідності GPC.
- Дані програм лояльності, пов'язані з індивідуальними споживчими профілями, викликають вимоги до оцінки захисту даних відповідно до CPA.
Скільки коштує зробити мій веб-сайт відповідним до державних законів про конфіденційність
Витрати на відповідність значно варіюються в залежності від складності веб-сайту, існуючої інфраструктури даних та залучення юридичних консультантів. Простий інформаційний веб-сайт з мінімальним збором даних може досягти відповідності переважно через оновлення політики та впровадження CMP, що може коштувати від кількох сотень до кількох тисяч доларів на рік. Складні платформи електронної комерції або підприємства з великими обсягами обробки даних можуть понести значно вищі витрати на картографування даних, юридичний огляд та технічне виправлення.
Фактори витрат:
- Юридичний огляд політики конфіденційності та угод про обробку даних
- Ліцензування та впровадження CMP (постійні щорічні витрати)
- Час внутрішнього персоналу для обробки запитів на права споживачів
- Картографування даних та аудиторські заходи (одноразові плюс періодичні оновлення)
Витрати на невідповідність, навпаки, включають цивільні штрафи до 20 000 доларів за порушення плюс репутаційні збитки від публічних дій з виконання.
Висновок
Закони про конфіденційність Колорадо та Коннектикуту: підготовка вашого веб-сайту до відповідності на рівні штатів більше не є вправою з планування на майбутнє. Знижений поріг Коннектикуту, що набрав чинності з 1 липня 2026 року, та вже розпочаті перевірки виконання закривають вікно для реактивної відповідності. Власники веб-сайтів, розробники та маркетингові агентства, які працюють у цих штатах, повинні перевірити обсяги своїх споживчих даних, оновити повідомлення про конфіденційність, щоб відобразити розширені категорії чутливих даних, впровадити управління згодою, що поважає GPC, через платформу, таку як Biscotti CMP (www.biscotti-cmp.com), та встановити документовані процеси для запитів прав споживачів.
Дії, які потрібно виконати:
- Терміново перевірте свої щорічні записи споживачів на відповідність порогам 35 000 (Коннектикут) та 100 000 (Колорадо).
- Оновіть свою політику конфіденційності, щоб врахувати розширення чутливих даних Коннектикуту липня 2026 року.
- Впровадьте платформу управління згодою, яка виявляє та поважає сигнали GPC на всіх веб-сайтах.
- Виконайте письмові угоди про обробку даних з усіма сторонніми обробниками.
- Розпочніть підготовку до зобов'язань ШІ CADMA Колорадо, що набирають чинності з 1 січня 2027 року, якщо ваш веб-сайт використовує інструменти автоматизованого прийняття рішень.
Відповідність державним нормам конфіденційності тепер є базовим очікуванням, а не конкурентною перевагою. Бізнеси, які сприймають це як інфраструктуру, а не накладні витрати, будуть найкраще підготовлені, оскільки діяльність з виконання продовжує прискорюватися.
Часті запитання
Q: Чи застосовується Закон про конфіденційність Колорадо до бізнесів за межами Колорадо? Так. CPA застосовується до будь-якого бізнесу, який обробляє особисті дані жителів Колорадо вище порогу, незалежно від того, де фізично розташований бізнес.
Q: Що таке сигнал Глобального контролю конфіденційності (GPC)? GPC — це сигнал на основі браузера, який автоматично повідомляє про перевагу споживача щодо відмови від продажу даних та цільової реклами на кожному веб-сайті, який вони відвідують. Як Колорадо, так і Коннектикут вимагають, щоб охоплені бізнеси поважали його [7].
Q: Коли Коннектикут знизив свій поріг застосування? Поріг Коннектикуту знизився з 100 000 до 35 000 споживачів, починаючи з 1 липня 2026 року, в рамках поправок до закону про конфіденційність 2025 року [2].
Q: Чи є приватне право на позов відповідно до CPA або CTDPA? Ні. Обидва закони виконуються виключно генеральними прокурорами відповідних штатів. Окремі споживачі не можуть подавати позови безпосередньо відповідно до жодного з законів [4][8].
Q: Що вважається "продажем" особистих даних відповідно до цих законів? Обмін особистими даними з третіми сторонами за грошову або іншу цінну винагороду, включаючи обмін з рекламними мережами в обмін на послуги цільової реклами, зазвичай вважається продажем відповідно до обох законів.
Q: Скільки часу мають бізнеси на відповідь на запити прав споживачів? Як CPA, так і CTDPA вимагають відповіді протягом 45 днів, з можливим 45-дневним продовженням, коли це розумно необхідно, максимум 90 днів загалом [6][4].
Q: Чи замінює CADMA Колорадо CPA? Ні. CADMA, що набирає чинності з 1 січня 2027 року, є окремим законом, що регулює прийняття рішень з підтримкою ШІ. CPA продовжує регулювати загальну обробку особистих даних [8].
Q: Що таке нейронні дані і чому це важливо для веб-сайтів? Нейронні дані відносяться до інформації, отриманої з інтерфейсів мозок-комп'ютер або нейротехнологій. Коннектикут додав їх до своїх категорій чутливих даних у 2026 році. Більшість стандартних веб-сайтів не будуть їх збирати, але платформи охорони здоров'я та благополуччя, що використовують біометричні інструменти, повинні переглянути свої інвентаризації даних [3].
Q: Чи потрібна мені згода на обробку чутливих даних у Коннектикуті? Явна згода потрібна для обробки чутливих даних відповідно до CTDPA. Це є більш суворим стандартом, ніж модель відмови, що застосовується до загальних особистих даних [3].
Q: Чи може одна політика конфіденційності охоплювати і Колорадо, і Коннектикут? Так, за умови, що політика чітко враховує права та розкриття, вимагатимуться відповідно до кожного закону. Додаток "Ваші права на конфіденційність" є поширеним і ефективним підходом.
Джерела
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai