快速回答： 科罗拉多隐私法（CPA）和康涅狄格数据隐私法（CTDPA）是美国执行最积极的州隐私法。这两项法律对处理超过定义阈值的居民个人数据的网站施加了同意、透明度和选择退出的义务。截至2026年中，康涅狄格州将适用阈值降低至35,000名消费者，并扩大了敏感数据的定义，使得跨州经营的网站所有者和企业的合规变得更加紧迫。
关键要点
- 科罗拉多隐私法自2023年7月1日起生效；康涅狄格州的阈值自2026年7月1日起降至35,000名消费者。
- 两州要求企业尊重全球隐私控制（GPC）信号，两州的检察长于2025年9月进行了联合执法行动。
- 康涅狄格州2026年的修正案扩大了敏感数据类别，包括神经数据、残疾状态、跨性别或非二元性别状态以及政府签发的身份证号码。
- 科罗拉多州的新人工智能法（CADMA）于2026年5月14日签署，自2027年1月1日起生效，增加了算法透明度的义务。
- 企业必须实施通用选择退出机制，发布详细的隐私通知，并回应消费者的数据权利请求。
- 两项法律均不要求每个州有完全独立的隐私政策，但单一政策必须涵盖每项法律下授予的特定权利。
- 同意管理工具，如Biscotti CMP（www.biscotti-cmp.com），对于自动化选择退出信号识别和同意记录至关重要。
- 违反规定可能导致州检察长执行的民事处罚；在任何一项法律下均没有私人诉讼权。
科罗拉多州和康涅狄格州隐私法的区别是什么
科罗拉多州和康涅狄格州共享一个大致相似的隐私框架，但在关键阈值、敏感数据定义和人工智能监管范围上有所不同。理解这些区别是科罗拉多州和康涅狄格州隐私法的基础：为州级合规准备您的网站。
科罗拉多隐私法（CPA）： 自2023年7月1日起生效，CPA适用于每年处理100,000名或更多科罗拉多消费者个人数据的控制者，或当企业通过销售个人数据获得收入时，适用于25,000名或更多消费者[6]。
康涅狄格数据隐私法（CTDPA）： 自2023年7月1日起生效，但在2026年进行了重大修订。自2026年7月1日起，适用阈值从100,000名降至35,000名消费者，显著扩大了法律的适用范围[2]。
| 特征 | 科罗拉多（CPA） | 康涅狄格（CTDPA） |
|---|---|---|
| 生效日期 | 2023年7月1日 | 2023年7月1日 |
| 消费者阈值 | 100,000/年 | 35,000（自2026年7月起） |
| 基于收入的阈值 | 25,000 + 数据收入 | 25,000 + 25%收入来自数据 |
| 需要通用选择退出 | 是 | 是（自2025年1月1日起） |
| 敏感数据扩展（2026） | 无重大2026年变化 | 是（神经数据、残疾等） |
| 人工智能法 | CADMA（自2027年1月1日起生效） | SB 5（自2027年10月1日起生效） |
科罗拉多州和康涅狄格州隐私法适用于我的小企业吗
这两项法律的适用基于数据量阈值，而不是仅仅基于企业规模或收入。一个小型电子商务商店如果在一个日历年内处理35,000名或更多康涅狄格州居民的个人数据，自2026年7月1日起将受CTDPA的约束，无论其年收入如何[2]。
选择此规则： 如果您的网站收集来自任一州居民的电子邮件地址、购买历史或行为跟踪数据，请每年计算您的独特消费者记录。超过阈值？您就受到了保护。
- 科罗拉多州：每年处理100,000名消费者，或如果数据销售对收入有贡献，则为25,000名消费者[6]。
- 康涅狄格州：每年处理35,000名消费者（2026年7月后），或如果25%或更多的总收入来自销售个人数据，则为25,000名消费者[2]。
常见错误： 许多小企业认为“销售数据”意味着直接的数据经纪。在实践中，与广告网络共享数据以进行定向广告可能在这两项法律下被视为销售。
科罗拉多隐私法的主要要求是什么
CPA要求控制者提供清晰的隐私通知，尊重消费者权利，并为数据销售和定向广告实施选择退出机制[6]。
CPA下的核心义务：
- 隐私通知： 披露收集的个人数据类别、处理目的以及接收数据的第三方类别。
- 消费者权利： 访问、修正、删除、数据可携带性，以及选择退出销售、定向广告和个人资料分析。
- 数据保护评估： 对高风险处理活动（包括定向广告和个人资料分析）进行评估。
- 处理者合同： 与数据处理者签订书面协议，明确处理指令和安全义务。
- 通用选择退出： 尊重GPC信号和类似的基于浏览器的选择退出机制[7]。
科罗拉多州检察长办公室执行CPA，对于首次违规提供60天的补救期（未来规则制定可能会有所变化）[6]。
康涅狄格数据隐私法的主要要求是什么
CTDPA在结构上与CPA相似，但包括扩展的敏感数据类别和更早的通用选择退出执行。自2025年1月1日起，受覆盖的企业必须尊重通用选择退出偏好信号，包括GPC[4]。
CTDPA下的敏感数据（2026年7月后修正案） 现在包括[3]：
- 种族或民族来源
- 心理或身体健康状况，包括残疾状态
- 跨性别或非二元性别状态
- 神经数据
- 与访问凭证结合的金融账户号码
- 政府签发的身份证号码
- 精确地理位置数据
- 遗传或生物识别数据
处理敏感数据需要获得康涅狄格州消费者的明确选择同意。这比适用于一般个人数据的选择退出模型标准更严格。
哪个更严格：科罗拉多隐私法还是康涅狄格隐私法
康涅狄格州2026年的修正案使其对大多数网站而言略显严格，主要是因为其较低的适用阈值（35,000与100,000名消费者）以及扩展的敏感数据类别要求选择同意[2][3]。然而，科罗拉多州即将实施的CADMA在更多行业中施加了更广泛的与人工智能相关的义务，超出了康涅狄格州的SB 5[1]。
实际判决： 对于主要关注数据收集和广告的网站而言，康涅狄格州在2026年是更为严格的管辖区。对于使用自动决策工具的企业而言，科罗拉多州的CADMA（自2027年1月1日起生效）可能会施加更重的合规负担[8]。
遵守科罗拉多州和康涅狄格州隐私法的截止日期是什么
CPA自2023年7月1日起可执行。康涅狄格州降低的阈值和扩展的敏感数据定义自2026年7月1日起生效。之前低于康涅狄格州100,000名消费者阈值但现在超过35,000的企业必须立即实现合规[2]。
即将到来的截止日期：
- 2026年7月1日： 康涅狄格州的新35,000名消费者阈值和扩展的敏感数据类别生效。
- 2027年1月1日： 科罗拉多州的CADMA对人工智能辅助决策系统生效。
- 2027年10月1日： 康涅狄格州的SB 5人工智能条款对与就业相关的自动决策生效[8]。
如果我的网站违反科罗拉多州或康涅狄格州隐私法会发生什么
这两项法律均未创建私人诉讼权，这意味着个人消费者无法直接起诉您的企业。执法工作完全由州检察长负责[4][8]。
潜在后果：
- 康涅狄格州每次违规最高可处以20,000美元的民事罚款，科罗拉多州亦然。
- 要求进行运营变更的禁令救济。
- 可能导致重大声誉损害的公共执法行动。
在2025年9月，康涅狄格州、加利福尼亚州和科罗拉多州的检察长宣布进行联合调查行动，针对未能尊重GPC信号的企业[5]。这种协调执法表明，监管者正在积极监控合规情况，而不是等待消费者投诉。
我需要为科罗拉多州和康涅狄格州制定独立的隐私政策吗
不需要，只要一份全面的隐私政策可以满足这两项法律的要求，前提是它明确涵盖每项法律下所需的权利和披露。许多企业采用分层方法：一份通用隐私政策，辅以州特定的附录或专门的“您的隐私权利”部分，按名称提及科罗拉多州和康涅狄格州居民。
您的隐私政策至少必须涵盖：
- 收集的个人数据类别和处理目的
- 可用的消费者权利（访问、删除、修正、可携带性、选择退出）
- 如何提交消费者权利请求及响应时间（45天，可延长45天）
- 与哪些第三方共享数据的类别
- 企业是否销售个人数据或将其用于定向广告
我如何知道我的网站是否需要遵守这些州法律
通过审计您的年度消费者数据记录与每个州的阈值进行适用性判断。如果您的网站使用分析、广告像素或任何形式的行为跟踪，您几乎可以肯定正在收集来自这两个州居民的个人数据。
快速自我评估：
- 您的网站是否收集个人数据（姓名、电子邮件、IP地址、设备标识符）？
- 您是否为来自科罗拉多州或康涅狄格州的访客提供服务？
- 您每年是否处理100,000名以上科罗拉多州居民或35,000名以上康涅狄格州居民的数据？
- 您是否与广告网络或第三方分析提供商共享数据？
如果您对问题1、2和4的回答是肯定的，您可能符合至少一项法律的阈值，即使没有精确的消费者计数，特别是在2026年7月后针对康涅狄格州。
我需要实施哪些隐私工具以确保合规
合规需要技术实施和政策文档。最关键的技术组件是一个同意管理平台（CMP），能够检测和尊重GPC信号，展示合规的同意横幅，并记录同意记录以备审计。
Biscotti CMP（www.biscotti-cmp.com）旨在满足这些要求，提供GPC信号识别、细致的同意分类和符合CPA和CTDPA义务的审计准备同意日志。
其他技术要求：
- Cookie审计： 清点您网站上的所有第一方和第三方Cookie及跟踪器。
- 数据映射： 记录个人数据流向，包括第三方处理者。
- 消费者权利门户： 提交访问、删除和修正请求的机制（网络表单或电子邮件流程）。
- 隐私通知更新： 反映所有2026年康涅狄格州的修正案，包括扩展的敏感数据类别。
是否对某些类型的网站或企业有豁免
这两项法律均包括实体级和数据级的豁免。非营利组织、政府实体和某些受监管行业（如HIPAA覆盖的健康数据和GLBA监管的金融机构）可能部分或完全豁免。
常见豁免：
- 已在HIPAA、FERPA、GLBA或COPPA下受监管的数据在数据层面上豁免CPA和CTDPA的要求。
- 仅在科罗拉多州或康涅狄格州运营且没有数字广告活动且低于消费者阈值的企业不受覆盖。
- 员工数据在这两项法律下有有限的豁免，尽管康涅狄格州的SB 5增加了自2027年10月起生效的新就业人工智能披露要求[8]。
边缘案例： 收集HIPAA覆盖的患者数据的医疗网站对此数据豁免，但可能仍会因通过营销分析或新闻通讯订阅收集的非健康个人数据而受到覆盖。
企业在州隐私合规中常犯的错误
最常见的合规失败涉及GPC信号、同意记录和过时的隐私通知。
需要避免的主要错误：
- 忽视GPC信号： 自2026年起，至少有八个州要求GPC识别。未能尊重这些信号是2025年三州执法行动的直接目标[5][7]。
- 静态隐私政策： 仅发布一次政策而从不更新。康涅狄格州2026年7月的修正案要求立即更新政策以反映新的敏感数据类别。
- 将选择退出视为可选： 一些企业实施同意横幅，但在用户互动之前继续触发广告跟踪器。这违反了两项法律的精神和字面。
- 没有数据处理协议： 与处理者共享数据而没有书面合同是直接违反CPA的行为[6]。
- 假设非营利状态提供完全豁免： 实体级豁免是狭窄的；数据级豁免并不涵盖所有处理活动。
科罗拉多州和康涅狄格州隐私法对电子商务网站的影响是否不同
电子商务网站在这两项法律下面临更高的曝光风险，因为它们通常收集支付数据、购买历史、精确地理位置（用于运输）和行为档案，所有这些都可能根据扩展的CTDPA定义被视为敏感数据[3]。
对于电子商务运营商，实际影响包括：
- 在处理与访问凭证结合的金融账户号码之前需要获得选择同意（这是2026年7月起康涅狄格州的新敏感数据类别）。
- 基于购买历史的行为广告需要明确的选择退出机制和GPC合规。
- 与个别消费者档案关联的忠诚度计划数据触发CPA下的数据保护评估要求。
使我的网站符合州隐私法的成本是多少
合规成本因网站复杂性、现有数据基础设施以及是否聘请法律顾问而异。一个简单的信息网站，如果数据收集最小，可以通过政策更新和CMP实施实现合规，成本可能在几百到几千美元之间。复杂的电子商务平台或拥有广泛数据处理管道的企业可能会因数据映射、法律审查和技术整改而产生更高的成本。
成本驱动因素：
- 隐私政策和数据处理协议的法律审查
- CMP许可和实施（持续的年度成本）
- 内部员工处理消费者权利请求的时间
- 数据映射和审计工作（一次性加定期更新）
相比之下，不合规的成本包括每次违规最高可达20,000美元的民事罚款，以及因公共执法行动造成的声誉损害。
结论
科罗拉多州和康涅狄格州隐私法：为州级合规准备您的网站不再是未来的规划工作。随着康涅狄格州的阈值在2026年7月1日生效，执法行动已经开始，反应性合规的窗口已经关闭。在这些州运营的网站所有者、开发者和营销机构必须审计其消费者数据量，更新隐私通知以反映扩展的敏感数据类别，通过像Biscotti CMP（www.biscotti-cmp.com）这样的平台实施尊重GPC的同意管理，并建立文档化的消费者权利请求处理流程。
可行的下一步：
- 立即审计您的年度消费者数据记录与35,000（康涅狄格州）和100,000（科罗拉多州）阈值的符合性。
- 更新您的隐私政策以涵盖2026年7月康涅狄格州敏感数据扩展。
- 部署一个能够识别和尊重所有网站属性的GPC信号的同意管理平台。
- 与所有第三方处理者签署书面数据处理协议。
- 如果您的网站使用自动决策工具，请开始为科罗拉多州的CADMA人工智能义务做准备，自2027年1月1日起生效。
州级隐私合规现在是基本期望，而不是竞争差异化。那些将其视为基础设施而非开支的企业将在执法活动持续加速的情况下处于最佳位置。
常见问题
问：科罗拉多隐私法适用于科罗拉多州以外的企业吗？ 是的。CPA适用于任何处理超过阈值的科罗拉多州居民个人数据的企业，无论该企业的实际位置在哪里。
问：什么是全球隐私控制（GPC）信号？ GPC是一种基于浏览器的信号，自动向每个访问的网站传达消费者对数据销售和定向广告的选择退出偏好。科罗拉多州和康涅狄格州均要求受覆盖的企业尊重该信号[7]。
问：康涅狄格州何时降低了其适用阈值？ 康涅狄格州的阈值自2026年7月1日起从100,000降至35,000名消费者，作为其2025年隐私法修正案的一部分[2]。
问：CPA或CTDPA下是否有私人诉讼权？ 没有。这两项法律均由各自的州检察长独家执行。个人消费者无法直接根据任何一项法律提起诉讼[4][8]。
问：在这些法律下，什么算作“销售”个人数据？ 与第三方共享个人数据以获取金钱或其他有价值的对价，包括与广告网络共享以换取定向广告服务，通常被视为销售。
问：企业对消费者权利请求的响应时间是多长？ CPA和CTDPA均要求在45天内作出回应，在合理必要时可延长45天，总共最多90天[6][4]。
问：科罗拉多州的CADMA是否取代了CPA？ 不。CADMA自2027年1月1日起生效，是一项单独的法律，管理人工智能辅助决策。CPA继续管理一般个人数据处理[8]。
问：什么是神经数据，它对网站有什么重要性？ 神经数据是指来自脑机接口或神经技术的信息。康涅狄格州在2026年将其添加到敏感数据类别中。大多数标准网站不会收集此类数据，但使用生物识别工具的健康和保健平台应审查其数据清单[3]。
问：在康涅狄格州，我需要对敏感数据获得选择同意还是选择退出同意？ 根据CTDPA，处理敏感数据需要获得选择同意。这比适用于一般个人数据的选择退出模型标准更严格[3]。
问：一份隐私政策可以涵盖科罗拉多州和康涅狄格州吗？ 可以，只要该政策明确涵盖每项法律所要求的权利和披露。州特定的“您的隐私权利”附录是一种常见且有效的方法。
参考文献
[1] Connecticut AI Law Casts Wider Net But Colorado's May Hit Harder, Experts Say - https://www.spglobal.com/market-intelligence/en/news-insights/articles/2026/6/connecticut-ai-law-casts-wider-net-but-colorado-s-may-hit-harder-experts-102395794?utm_source=openai
[2] Connecticut: The Provisions State Adds New Provisions to Its Privacy Law - https://www.sheppard.com/insights/blogs/connecticut-the-provisions-state-adds-new-provisions-to-its-privacy-law?utm_source=openai
[3] Connecticut Data Privacy Laws - https://www.recordinglaw.com/us-laws/data-privacy-laws/connecticut-data-privacy-laws/?utm_source=openai
[4] The Connecticut Data Privacy Act - https://portal.ct.gov/AG/Sections/Privacy/The-Connecticut-Data-Privacy-Act?utm_source=openai
[5] Connecticut, California and Colorado Announce Joint Investigative Privacy Sweep - https://portal.ct.gov/ag/press-releases/2025-press-releases/connecticut-california-and-colorado-announce-joint-investigative-privacy-sweep?utm_source=openai
[6] Colorado Privacy Act - https://coag.gov/resources/colorado-privacy-act/?utm_source=openai
[7] Universal Opt-Out Mechanisms: State Requirements and Penalties - https://legalclarity.org/universal-opt-out-mechanisms-state-requirements-and-penalties/?utm_source=openai
[8] State AI Regulatory Landscape Continues to Evolve With Passage of New Laws in Colorado and Connecticut - https://www.omm.com/insights/alerts-publications/state-ai-regulatory-landscape-continues-to-evolve-with-passage-of-new-laws-in-colorado-and-connecticut/?utm_source=openai