快速回答： 科羅拉多隱私法（CPA）和康乃狄克數據隱私法（CTDPA）是美國最積極執行的州隱私法之一。這兩部法律對處理超過定義門檻的居民個人數據的網站施加了同意、透明度和選擇退出的義務。截至2026年中，康乃狄克州已將適用門檻降低至35,000名消費者，並擴大了敏感數據的定義，使得網站所有者和跨州經營的企業的合規變得比以往任何時候都更加緊迫。
主要要點
- 科羅拉多隱私法自2023年7月1日起生效；康乃狄克州的門檻自2026年7月1日起降至35,000名消費者。
- 兩州均要求企業遵守全球隱私控制（GPC）信號，並且兩州的檢察長於2025年9月進行了聯合執法行動。
- 康乃狄克州2026年的修正案擴大了敏感數據類別，包括神經數據、殘疾狀況、跨性別或非二元狀況以及政府發放的身份證號碼。
- 科羅拉多州的新人工智慧法（CADMA）於2026年5月14日簽署，將於2027年1月1日起生效，增加了算法透明度的義務。
- 企業必須實施通用選擇退出機制，發布詳細的隱私通知，並回應消費者的數據權利請求。
- 兩部法律均不要求每個州擁有完全獨立的隱私政策，但單一政策必須涵蓋每部法律下授予的具體權利。
- 同意管理工具，如Biscotti CMP（www.biscotti-cmp.com），對於自動化選擇退出信號識別和同意記錄至關重要。
- 違規可能導致由州檢察長執行的民事罰款；在任何法律下均無私人訴訟權。
科羅拉多州和康乃狄克州隱私法的區別是什麼
科羅拉多州和康乃狄克州共享一個大致相似的隱私框架，但在關鍵門檻、敏感數據定義和人工智慧監管範圍上有所不同。了解這些區別是科羅拉多州和康乃狄克州隱私法的基礎：為您的網站準備州級合規。
科羅拉多隱私法（CPA）： 自2023年7月1日起生效，CPA適用於每年處理100,000名或更多科羅拉多州消費者的個人數據的控制者，或當企業從銷售個人數據中獲得收入時，適用於25,000名或更多消費者[6]。
康乃狄克數據隱私法（CTDPA）： 自2023年7月1日起生效，但在2026年進行了重大修訂。截至2026年7月1日，適用門檻從100,000名消費者降至35,000名，顯著擴大了法律的適用範圍[2]。
| 特徵 | 科羅拉多（CPA） | 康乃狄克（CTDPA） |
|---|---|---|
| 生效日期 | 2023年7月1日 | 2023年7月1日 |
| 消費者門檻 | 每年100,000 | 35,000（自2026年7月起） |
| 基於收入的門檻 | 25,000 + 數據收入 | 25,000 + 25% 來自數據的收入 |
| 需要通用選擇退出 | 是 | 是（自2025年1月1日起） |
| 敏感數據擴展（2026） | 無重大2026變更 | 是（神經數據、殘疾等） |
| 人工智慧法 | CADMA（自2027年1月1日起生效） | SB 5（自2027年10月1日起生效） |
科羅拉多州和康乃狄克州隱私法是否適用於我的小型企業
這兩部法律是根據數據量門檻適用的，而不是僅根據企業的規模或收入。一家小型電子商務商店如果在日曆年內處理35,000名或更多康乃狄克州居民的個人數據，則自2026年7月1日起將受CTDPA的約束，無論年收入如何[2]。
選擇這條規則： 如果您的網站收集來自任一州居民的電子郵件地址、購買歷史或行為追蹤數據，請每年計算您的唯一消費者記錄。超過門檻？您就受到了保護。
- 科羅拉多州：每年處理100,000名消費者，或如果數據銷售對收入有貢獻則為25,000名消費者[6]。
- 康乃狄克州：每年處理35,000名消費者（2026年7月後），或如果25%或更多的總收入來自銷售個人數據則為25,000名消費者[2]。
常見錯誤： 許多小型企業認為“銷售數據”意味著直接的數據經紀。在實踐中，與廣告網絡共享數據以進行定向廣告可能根據這兩部法律被視為銷售。
科羅拉多隱私法的主要要求是什麼
CPA要求控制者提供清晰的隱私通知，尊重消費者權利，並為數據銷售和定向廣告實施選擇退出機制[6]。
CPA下的核心義務：
- 隱私通知： 披露收集的個人數據類別、處理目的以及接收數據的第三方類別。
- 消費者權利： 訪問、修正、刪除、數據可攜性，以及選擇退出銷售、定向廣告和個人資料分析。
- 數據保護評估： 對高風險處理活動（包括定向廣告和個人資料分析）進行評估。
- 處理者合同： 與數據處理者簽訂書面協議，明確處理指示和安全義務。
- 通用選擇退出： 尊重GPC信號和類似的基於瀏覽器的選擇退出機制[7]。
科羅拉多州檢察長辦公室負責執行CPA，對於首次違規提供60天的補救期（根據未來的規則制定可能會有所變更）[6]。
康乃狄克數據隱私法的主要要求是什麼
CTDPA在結構上與CPA相似，但包括擴大的敏感數據類別和更早的通用選擇退出執行。自2025年1月1日起，受涵蓋的企業必須尊重通用選擇退出偏好信號，包括GPC[4]。
CTDPA下的敏感數據（2026年7月後的修訂） 現在包括[3]：
- 種族或民族來源
- 精神或身體健康狀況，包括殘疾狀況
- 跨性別或非二元狀況
- 神經數據
- 與訪問憑證結合的金融賬戶號碼
- 政府發放的身份證號碼
- 精確的地理位置數據
- 基因或生物識別數據
處理敏感數據需要康乃狄克州消費者的明確選擇加入同意。這是一個比適用於一般個人數據的選擇退出模型更嚴格的標準。
哪個更嚴格：科羅拉多隱私法還是康乃狄克隱私法
康乃狄克州2026年的修訂使其對於大多數網站來說略顯嚴格，主要是因為其較低的適用門檻（35,000對100,000名消費者）以及擴大的敏感數據類別要求選擇加入同意[2][3]。然而，科羅拉多州即將實施的CADMA在更多行業中施加了更廣泛的人工智慧相關義務，超過康乃狄克州的SB 5[1]。
實際判決： 對於主要關注數據收集和廣告的網站來說，康乃狄克州在2026年是更具要求的管轄區。對於使用自動決策工具的企業來說，科羅拉多州的CADMA（自2027年1月1日起生效）可能會施加更重的合規負擔[8]。
遵守科羅拉多州和康乃狄克州隱私法的截止日期是什麼
CPA自2023年7月1日起可執行。康乃狄克州降低的門檻和擴大的敏感數據定義於2026年7月1日起生效。之前低於康乃狄克州100,000名消費者門檻的企業，但現在超過35,000名的必須立即達成合規[2]。
即將到來的截止日期：
- 2026年7月1日： 康乃狄克州的新35,000名消費者門檻和擴大的敏感數據類別生效。
- 2027年1月1日： 科羅拉多州的CADMA對人工智慧輔助決策系統生效。
- 2027年10月1日： 康乃狄克州的SB 5人工智慧條款對與就業相關的自動決策生效[8]。
如果我的網站違反科羅拉多州或康乃狄克州隱私法會發生什麼
這兩部法律均未創建私人訴訟權，這意味著個別消費者無法直接起訴您的企業。執法完全由州檢察長負責[4][8]。
潛在後果：
- 康乃狄克州每次違規最高可處以20,000美元的民事罰款，科羅拉多州亦然。
- 要求進行操作變更的禁令救濟。
- 可能導致重大聲譽損害的公共執法行動。
在2025年9月，康乃狄克州、加利福尼亞州和科羅拉多州的檢察長宣布進行聯合調查行動，針對未能尊重GPC信號的企業[5]。這一協調執法表明監管機構正在積極監控合規，而不是等待消費者的投訴。
我需要為科羅拉多州和康乃狄克州制定獨立的隱私政策嗎
不需要，只需一份全面的隱私政策即可滿足兩部法律的要求，前提是它明確涵蓋每部法律下所需的權利和披露。許多企業採用分層方法：一份一般隱私政策，並附加州特定的附錄或專門的“您的隱私權”部分，明確提及科羅拉多州和康乃狄克州的居民。
您的隱私政策至少必須涵蓋：
- 收集的個人數據類別及其處理目的
- 可用的消費者權利（訪問、刪除、修正、可攜性、選擇退出）
- 如何提交消費者權利請求及回應時間表（45天，可延長45天）
- 與之共享數據的第三方類別
- 企業是否出售個人數據或將其用於定向廣告
我如何知道我的網站是否需要遵守這些州法律
通過審核您的年度消費者數據記錄與每個州的門檻來確定適用性。如果您的網站使用分析、廣告像素或任何形式的行為追蹤，您幾乎肯定在收集來自兩州居民的個人數據。
快速自我評估：
- 您的網站是否收集個人數據（姓名、電子郵件、IP地址、設備標識符）？
- 您是否服務於來自科羅拉多州或康乃狄克州的訪客？
- 您每年是否處理100,000名以上科羅拉多州居民或35,000名以上康乃狄克州居民的數據？
- 您是否與廣告網絡或第三方分析提供商共享數據？
如果您對問題1、2和4的回答是肯定的，那麼即使沒有精確的消費者數量，您也可能符合至少一部法律的門檻，特別是對於2026年7月後的康乃狄克州。
我需要實施哪些隱私工具以符合合規要求
合規需要技術實施和政策文檔。最關鍵的技術組件是同意管理平台（CMP），它可以檢測和尊重GPC信號，展示合規的同意橫幅，並記錄同意記錄以供審計之用。
Biscotti CMP（www.biscotti-cmp.com）旨在滿足這些要求，提供GPC信號識別、細分同意類別和符合CPA和CTDPA義務的審計準備同意記錄。
其他技術要求：
- Cookie審計： 清點您網站上的所有第一方和第三方Cookie及追蹤器。
- 數據映射： 記錄個人數據流向，包括第三方處理者。
- 消費者權利入口： 提交訪問、刪除和修正請求的機制（網頁表單或電子郵件流程）。
- 隱私通知更新： 反映所有2026年康乃狄克州的修訂，包括擴大的敏感數據類別。
是否對某些類型的網站或企業有豁免
這兩部法律均包括實體級和數據級的豁免。非營利組織、政府實體和某些受監管行業（例如HIPAA涵蓋的健康數據和GLBA監管的金融機構的金融數據）可能部分或完全豁免。
常見豁免：
- 根據HIPAA、FERPA、GLBA或COPPA已經受到監管的數據在數據層面上豁免CPA和CTDPA的要求。
- 僅在科羅拉多州或康乃狄克州內運營且沒有數字廣告活動且低於消費者門檻的企業不受涵蓋。
- 員工數據在這兩部法律下有有限的豁免，儘管康乃狄克州的SB 5增加了新的就業人工智慧披露要求，自2027年10月起生效[8]。
邊緣案例： 收集HIPAA涵蓋的患者數據的醫療網站對於該數據是豁免的，但可能仍會因通過市場分析或電子報訂閱收集的非健康個人數據而受到涵蓋。
企業在州隱私合規方面常見的錯誤
最常見的合規失敗涉及GPC信號、同意記錄和過時的隱私通知。
需要避免的主要錯誤：
- 忽視GPC信號： 自2026年起，至少有八個州要求GPC識別。未能尊重這些信號是2025年三州執法行動的直接目標[5][7]。
- 靜態隱私政策： 只發布一次政策而從不更新。康乃狄克州的2026年7月修訂要求立即更新政策以反映新的敏感數據類別。
- 將選擇退出視為可選： 一些企業實施同意橫幅，但在用戶互動之前繼續啟動廣告追蹤器。這違反了兩部法律的精神和字面。
- 沒有數據處理協議： 與處理者共享數據而沒有書面合同是直接違反CPA的行為[6]。
- 假設非營利地位提供完全豁免： 實體級的豁免是狹窄的；數據級的豁免並不涵蓋所有處理活動。
科羅拉多州和康乃狄克州隱私法是否對電子商務網站有不同影響
電子商務網站在這兩部法律下面臨更高的風險，因為它們通常收集支付數據、購買歷史、精確地理位置（用於運輸）和行為檔案，所有這些都可能根據擴大的CTDPA定義被視為敏感數據[3]。
對於電子商務運營商，實際影響包括：
- 在處理與訪問憑證結合的金融賬戶號碼之前需要選擇加入同意（自2026年7月起的新康乃狄克州敏感數據類別）。
- 基於購買歷史的行為廣告需要明確的選擇退出機制和GPC合規。
- 與個別消費者檔案相關的忠誠計劃數據觸發CPA下的數據保護評估要求。
使我的網站符合州隱私法的成本是多少
合規成本因網站複雜性、現有數據基礎設施以及是否聘請法律顧問而異。一個簡單的資訊網站，數據收集最少，主要通過政策更新和CMP實施即可達成合規，這可能每年花費幾百到幾千美元。複雜的電子商務平台或擁有廣泛數據處理管道的企業可能會因數據映射、法律審查和技術修復而產生更高的成本。
成本驅動因素：
- 隱私政策和數據處理協議的法律審查
- CMP許可和實施（持續的年度成本）
- 內部員工處理消費者權利請求的時間
- 數據映射和審計工作（一次性加上定期更新）
相比之下，不合規的成本包括每次違規最高可達20,000美元的民事罰款，以及來自公共執法行動的聲譽損害。
結論
科羅拉多州和康乃狄克州隱私法：為您的網站準備州級合規不再是未來的計劃工作。隨著康乃狄克州的降低門檻自2026年7月1日起生效，執法行動已經開始，反應性合規的窗口已經關閉。在這些州運營的網站所有者、開發者和營銷機構必須審核其消費者數據量，更新隱私通知以反映擴大的敏感數據類別，通過像Biscotti CMP（www.biscotti-cmp.com）這樣的平台實施尊重GPC的同意管理，並建立消費者權利請求的文檔流程。
可行的下一步：
- 立即審核您的年度消費者數據記錄，與35,000（康乃狄克州）和100,000（科羅拉多州）門檻進行對比。
- 更新您的隱私政策，以涵蓋2026年7月康乃狄克州敏感數據的擴展。
- 部署一個能夠識別和尊重GPC信號的同意管理平台，涵蓋所有網站屬性。
- 與所有第三方處理者簽署書面數據處理協議。
- 如果您的網站使用自動決策工具，開始為科羅拉多州的CADMA人工智慧義務做準備，該法自2027年1月1日起生效。
州級隱私合規現在是一個基本期望，而不是競爭差異化的因素。那些將其視為基礎設施而非開支的企業，將在執法活動持續加速的情況下，處於最佳位置。
常見問題
問：科羅拉多隱私法是否適用於科羅拉多州以外的企業？
是的。CPA適用於任何處理超過門檻的科羅拉多州居民個人數據的企業，無論該企業的實際位置在哪裡。
問：什麼是全球隱私控制（GPC）信號？
GPC是一種基於瀏覽器的信號，自動向每個訪問的網站傳達消費者對數據銷售和定向廣告的選擇退出偏好。科羅拉多州和康乃狄克州均要求受涵蓋的企業尊重它[7]。
問：康乃狄克州何時降低其適用門檻？
康乃狄克州的門檻自2026年7月1日起從100,000名消費者降至35,000名，作為其2025年隱私法修訂的一部分[2]。
問：CPA或CTDPA下是否有私人訴訟權？
沒有。這兩部法律均由各自的州檢察長專門執行。個別消費者無法根據任何一部法律直接提起訴訟[4][8]。
問：根據這些法律，什麼算作“銷售”個人數據？
與第三方共享個人數據以獲取金錢或其他有價值的考慮，包括與廣告網絡共享數據以換取定向廣告服務，通常被視為銷售。
問：企業對消費者權利請求的回應時間是多長？
CPA和CTDPA均要求在45天內回應，當合理必要時可延長45天，最多可達90天[6][4]。
問：科羅拉多州的CADMA是否取代了CPA？
不。CADMA自2027年1月1日起生效，是一部單獨的法律，規範人工智慧輔助決策。CPA繼續規範一般個人數據處理[8]。
問：什麼是神經數據，為什麼對網站來說重要？
神經數據是指來自腦-計算機接口或神經技術的信息。康乃狄克州在2026年將其添加到敏感數據類別中。大多數標準網站不會收集此類數據，但使用生物識別工具的健康和健康平台應檢查其數據庫[3]。
問：在康乃狄克州，對於敏感數據，我需要選擇加入還是選擇退出的同意？
根據CTDPA，處理敏感數據需要選擇加入同意。這是一個比適用於一般個人數據的選擇退出模型更嚴格的標準[3]。
問：一份隱私政策是否可以涵蓋科羅拉多州和康乃狄克州？
是的，只要該政策明確涵蓋每部法律所需的權利和披露。州特定的“您的隱私權”附錄是一種常見且有效的方法。
參考資料
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai