¿Qué es la Ley de Privacidad de Colorado (CPA)?

La Ley de Privacidad de Colorado (CPA), codificada en C.R.S. secciones 6-1-1301 a 6-1-1314, entró en vigor el 1 de julio de 2023, convirtiendo a Colorado en el tercer estado del país en promulgar una ley integral de privacidad de datos del consumidor. Lo que la distingue no es solo el estatuto en sí, sino las detalladas reglas de implementación (4 CCR 904-3) que adoptó la Fiscalía General junto con él, incluyendo un requisito pionero a nivel nacional de que las empresas cubiertas respeten la señal del navegador Global Privacy Control como una exclusión voluntaria legalmente reconocida.

A partir de 2026, la Fiscalía General de Colorado hace cumplir activamente la CPA. El periodo general obligatorio de subsanación de 60 días que protegía a las empresas del cumplimiento inmediato expiró el 1 de enero de 2025, lo que significa que la Fiscalía General y los fiscales de distrito ahora pueden iniciar la mayoría de las acciones de cumplimiento sin emitir primero un aviso de subsanación. Un requisito separado de aviso de subsanación de 60 días sigue aplicando a la ejecución de las disposiciones de la CPA sobre datos de menores hasta el 31 de diciembre de 2026.

Qué es la Ley de Privacidad de Colorado: estatuto, promulgación y contexto

La Ley de Privacidad de Colorado es el estatuto integral de privacidad de datos del consumidor de Colorado, codificado en C.R.S. secciones 6-1-1301 a 6-1-1314 como la Parte 13 de la Ley de Protección al Consumidor de Colorado (Título 6, Artículo 1). El gobernador Jared Polis firmó el Proyecto de Ley del Senado 21-190 el 7 de julio de 2021, dándole a las empresas casi dos años para prepararse antes de que la ley entrara en vigor el 1 de julio de 2023. Eso convirtió a Colorado en el tercer estado, después de California y Virginia, en promulgar un régimen amplio de privacidad de datos del consumidor.

La CPA rige como las empresas cubiertas deben recopilar, usar, compartir y proteger los datos personales de los residentes de Colorado. Al igual que la VCDPA de Virginia, su arquitectura toma prestado significativamente del Reglamento General de Protección de Datos de la UE (GDPR): usa un marco de controlador-encargado, exige evaluaciones de protección de datos para actividades de procesamiento de alto riesgo, y requiere consentimiento afirmativo de inclusión voluntaria para datos sensibles en lugar de un simple mecanismo de exclusión voluntaria. Sin embargo, a diferencia de Virginia, Colorado fue más lejos al ordenar a la Fiscalía General promulgar reglas de implementación detalladas, y esas reglas a su vez establecieron una lista pública de Mecanismos Universales de Exclusión Voluntaria (UOOM) reconocidos que las empresas deben respetar.

Las regulaciones complementarias, las Reglas de la Ley de Privacidad de Colorado (4 CCR 904-3), entraron en vigor el 1 de julio de 2023, junto con el estatuto. La Fiscalía General presentó esas reglas finales el 15 de marzo de 2023, convirtiendo a Colorado en uno de los pocos estados donde las regulaciones de implementación y el estatuto de privacidad se lanzaron juntos. Esas reglas agregan especificidad a los estándares de consentimiento, los requisitos de contenido de las evaluaciones de protección de datos y el marco UOOM que el estatuto por sí solo no proporciona.

Para el marco de cumplimiento completo que cubre las obligaciones del controlador, los contratos con encargados, los requisitos de aviso de privacidad y el historial de cumplimiento, consulte la página principal de leyes de privacidad de datos de Colorado.

A quién cubre la Ley de Privacidad de Colorado: umbrales, exenciones y la distinción de organizaciones sin fines de lucro

La CPA alcanza a cualquier persona, incluyendo corporaciones, individuos y organizaciones sin fines de lucro, que haga negocios en Colorado o produzca o entregue productos o servicios comerciales dirigidos intencionalmente a residentes de Colorado, y que cumpla con cualquiera de los dos umbrales establecidos en C.R.S. sección 6-1-1304(1).

El primer umbral: la empresa controla o procesa datos personales de 100,000 o más consumidores de Colorado por año calendario. El segundo umbral: la empresa obtiene ingresos o recibe un descuento en el precio de bienes o servicios por la venta de datos personales y controla o procesa los datos personales de 25,000 o más consumidores. Ese segundo criterio contiene una distinción crítica respecto a la VCDPA de Virginia: Colorado solo requiere que una empresa obtenga cualquier ingreso por la venta de datos personales, no que las ventas de datos representen más del 50% de los ingresos brutos. Una empresa que obtiene una pequeña fracción de sus ingresos de la venta de datos mientras procesa los datos de 25,000 consumidores de Colorado está cubierta en Colorado pero puede no estarlo en Virginia.

La CPA también cubre a las organizaciones sin fines de lucro que cumplen con esos umbrales, lo cual es otro contraste significativo con Virginia y Texas. Tanto la VCDPA como la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) eximen por completo a las organizaciones sin fines de lucro. Colorado no lo hace.

Dos reformas de 2024 agregaron vías de cobertura que no dependen en absoluto de los umbrales de conteo de consumidores o de ingresos. Desde el 1 de julio de 2025, un controlador que procese cualquier cantidad de identificadores o datos biométricos está cubierto respecto de esos datos, sin importar el volumen, bajo la HB 24-1130. Desde el 1 de octubre de 2025, las disposiciones de la CPA sobre datos de menores (C.R.S. secciones 6-1-1305.5, 6-1-1308.5 y 6-1-1309.5) se aplican a cualquier controlador que haga negocios en Colorado o dirija sus servicios a residentes de Colorado, sin ningún umbral de conteo de consumidores o de ingresos, bajo la SB 24-041.

Varias categorías de entidades y datos están exentas bajo C.R.S. sección 6-1-1304(2) a (4):

• Organismos gubernamentales estatales y locales
• Datos personales usados con fines puramente no comerciales por instituciones estatales de educación superior
• Entidades cubiertas por HIPAA y asociados comerciales, para datos regulados por HIPAA
• Instituciones financieras y datos regidos por la Ley Gramm-Leach-Bliley (GLBA)
• Aerolíneas bajo la ley federal de aviación
• Datos regulados por la Ley de Informe Justo de Crédito (FCRA), la Ley de Derechos Educativos y Privacidad Familiar (FERPA), la Ley de Protección de la Privacidad Infantil en Línea (COPPA) y la Ley de Protección de la Privacidad del Conductor (DPPA)

Estas exenciones significan que los sistemas de salud que procesan datos regulados por HIPAA, los bancos y cooperativas de crédito regulados por GLBA, y las universidades estatales que operan con fines educativos están en gran medida fuera del alcance de la CPA incluso cuando manejan grandes volúmenes de datos de residentes.

Los cinco derechos del consumidor de Colorado bajo la CPA

La CPA otorga a los residentes de Colorado cinco derechos enumerados contra los controladores cubiertos bajo C.R.S. sección 6-1-1306(1):

1. Derecho de acceso. Un consumidor puede confirmar si un controlador está procesando sus datos personales y solicitar una copia de esos datos en un formato fácilmente utilizable.
2. Derecho de corrección. Un consumidor puede exigir que un controlador corrija datos personales inexactos, teniendo en cuenta la naturaleza y los propósitos del procesamiento.
3. Derecho de eliminación. Un consumidor puede solicitar la eliminación de los datos personales que el controlador tiene sobre él, ya sea que el consumidor los haya proporcionado o que el controlador los haya recopilado de otras fuentes.
4. Derecho de portabilidad. Un consumidor puede obtener sus datos personales en un formato portátil y fácilmente utilizable que permita la transferencia a otro controlador, siempre que la solicitud sea técnicamente viable.
5. Derecho de exclusión voluntaria. Un consumidor puede excluirse del procesamiento para tres propósitos específicos: publicidad dirigida, la venta de datos personales, y el perfilamiento en apoyo de decisiones que producen efectos legales o similarmente significativos sobre el consumidor.

Los controladores deben responder a las solicitudes de derechos autenticadas dentro de 45 días de recibidas. Bajo C.R.S. sección 6-1-1306(2)(a), el periodo de respuesta puede extenderse una vez por 45 días adicionales cuando sea razonablemente necesario, pero solo si el controlador notifica al consumidor dentro de la ventana inicial de 45 días y explica las razones del retraso. El plazo máximo de respuesta es, por lo tanto, de 90 días con la notificación adecuada.

Los controladores que nieguen una solicitud de derechos deben informar al consumidor sobre la negativa y explicar cómo el consumidor puede apelar. C.R.S. sección 6-1-1306(3)(a) exige que el controlador establezca un proceso interno de apelación que esté disponible de manera visible y sea tan fácil de usar como el proceso para presentar la solicitud original. Bajo la sección 6-1-1306(3)(b), el controlador debe informar al consumidor sobre la medida que tomó respecto de la apelación dentro de 45 días, un plazo que puede extender por 60 días adicionales cuando sea razonablemente necesario. Si la apelación es denegada, la sección 6-1-1306(3)(c) exige que el controlador informe al consumidor sobre su capacidad de comunicarse con la Fiscalía General.

Para un recorrido detallado de cómo presentar solicitudes y qué se requiere de las empresas para cada una, consulte el artículo sobre los derechos del consumidor de Colorado bajo la CPA.

Datos sensibles y el requisito de consentimiento de inclusión voluntaria

Una de las características definitorias de la CPA es su requisito de que los controladores obtengan consentimiento afirmativo de inclusión voluntaria antes de procesar cualquier dato personal sensible. Esto no es una configuración activada por defecto con una forma de excluirse después: el consentimiento debe obtenerse antes de que comience el procesamiento. Los controladores que procesan datos sensibles sin consentimiento previo están infringiendo C.R.S. sección 6-1-1308(7).

La definición actual de datos sensibles de la CPA en C.R.S. sección 6-1-1303 cubre:

• Datos personales que revelan origen racial o étnico
• Datos personales que revelan creencias religiosas
• Condición o diagnóstico de salud mental o física
• Vida sexual u orientación sexual
• Estatus de ciudadanía o inmigración
• Datos genéticos o biométricos procesados para identificar de manera única a un individuo
• Datos biológicos, incluyendo datos neuronales
• Datos personales recopilados de un menor conocido
• Datos de geolocalización precisa, desde el 23 de mayo de 2025 (agregados por la SB 25-276)

Desde el 23 de mayo de 2025, cuando entró en vigor la SB 25-276, los datos de geolocalización precisa también han sido clasificados como datos sensibles bajo la CPA. La SB 25-276, firmada por el gobernador Polis el 23 de mayo de 2025, modificó la definición de datos sensibles en C.R.S. sección 6-1-1303 para agregar datos de ubicación precisa, lo que significa que cualquier controlador que procese datos de geolocalización precisa debe haber obtenido consentimiento de inclusión voluntaria de los consumidores de Colorado antes de procesarlos. Las empresas que dependen de servicios basados en ubicación o rastrean ubicaciones de dispositivos ahora deben tratar la geolocalización precisa como un dato sensible que requiere consentimiento de inclusión voluntaria.

El estándar de inclusión voluntaria para datos sensibles alinea a Colorado más estrechamente con el requisito de consentimiento explícito del Artículo 9 del GDPR para datos de categoría especial que con el enfoque de California. La CCPA/CPRA usa un modelo de exclusión voluntaria para información personal sensible: las empresas pueden procesarla a menos que el consumidor solicite una limitación. Colorado invierte ese valor por defecto: no hay procesamiento hasta que el consumidor diga que sí.

Las reglas de la Fiscalía General de Colorado (4 CCR 904-3) y el Mecanismo Universal de Exclusión Voluntaria

Colorado se destaca de la mayoría de las leyes estatales de privacidad de EE. UU. por la especificidad de sus regulaciones de implementación. La Fiscalía General presentó las Reglas finales de la Ley de Privacidad de Colorado (4 CCR 904-3) el 15 de marzo de 2023, y entraron en vigor el 1 de julio de 2023, junto con el estatuto. Mientras que muchos estados han promulgado leyes de privacidad de datos sin reglas detalladas de agencia, las reglas de Colorado cubren los estándares de consentimiento (4 CCR 904-3-7.02), los requisitos de contenido de las evaluaciones de protección de datos (4 CCR 904-3-8.02 a 8.05), las obligaciones del controlador para la transparencia del procesamiento, y todo el marco del Mecanismo Universal de Exclusión Voluntaria (4 CCR 904-3-5.03).

El marco UOOM es el requisito operativo más distintivo de Colorado. C.R.S. sección 6-1-1313(2) ordenó a la Fiscalía General adoptar, antes del 1 de julio de 2023, reglas que detallaran las especificaciones técnicas de uno o más mecanismos universales de exclusión voluntaria, que son señales de navegador o dispositivo que los controladores cubiertos deben respetar como la exclusión voluntaria de un consumidor de la publicidad dirigida y la venta de datos. La lista pública en sí proviene de esas reglas y no del estatuto: la Regla 5.07 de la CPA (4 CCR 904-3) establece que el Departamento de Derecho mantiene una lista pública de los Mecanismos Universales de Exclusión Voluntaria reconocidos, cuya lista inicial debía publicarse a más tardar el 1 de enero de 2024 y actualizarse periódicamente.

El Global Privacy Control (GPC) es el primer y actualmente el único mecanismo que la Fiscalía General de Colorado ha reconocido como un UOOM válido. La Fiscalía General publicó el reconocimiento de GPC en su página de Mecanismos Universales de Exclusión Voluntaria. A partir del 1 de julio de 2024, los controladores cubiertos han estado obligados a respetar las señales de GPC de los consumidores de Colorado como exclusiones voluntarias válidas de la publicidad dirigida y la venta de datos personales. Esto no es aspiracional: es una obligación de cumplimiento actual. Un consumidor de Colorado que tiene GPC activado en su navegador no necesita navegar por la configuración de privacidad de un sitio web ni presentar una solicitud de exclusión voluntaria separada. La señal es legalmente suficiente por sí sola.

La implicación práctica es significativa. Las empresas que ejecutan programas de publicidad conductual o venden datos a corredores de datos externos deben detectar y respetar las señales de GPC a nivel del navegador, no solo a través de un formulario de exclusión voluntaria dedicado en una página de preferencias de privacidad. Las reglas 4 CCR 904-3 especifican cómo debe implementarse técnicamente un UOOM, qué divulgaciones deben proporcionar los controladores cuando reconocen un UOOM, y qué registros deben mantenerse.

Evaluaciones de protección de datos: cuándo y por qué los controladores deben realizarlas

La CPA exige que los controladores cubiertos completen una evaluación de protección de datos antes de comenzar cualquier actividad de procesamiento que presente un riesgo elevado de daño a un consumidor. C.R.S. sección 6-1-1309 identifica cuatro categorías de procesamiento que requieren una evaluación:

1. Procesamiento de datos personales para publicidad dirigida
2. Venta de datos personales
3. Procesamiento de datos personales para perfilamiento que presenta un riesgo razonablemente previsible de trato injusto o engañoso, impacto dispar ilegal, lesión financiera, física o de reputación, intrusión en la soledad, u otro daño sustancial a los consumidores
4. Procesamiento de datos sensibles

Los controladores deben documentar cada evaluación. Las reglas 4 CCR 904-3 (específicamente las Reglas 8.02 a 8.05) especifican trece componentes mínimos que las evaluaciones deben incluir: las categorías de datos personales procesados, el propósito del procesamiento, el interés legítimo del controlador en el procesamiento, las categorías de terceros que pueden recibir los datos, los beneficios esperados para el controlador y los consumidores, los riesgos para los derechos e intereses del consumidor, y las salvaguardas que el controlador implementará para mitigar esos riesgos, entre otros. Los requisitos de Colorado son más detallados que la mayoría de las leyes estatales comparables.

La Fiscalía General puede solicitar revisar las evaluaciones de protección de datos durante una investigación. Una evaluación exhaustiva y bien mantenida no es solo un requisito de cumplimiento: es una línea de defensa primaria si la Fiscalía General comienza a examinar las prácticas de un controlador. Un controlador que no puede producir una evaluación creíble para una actividad de procesamiento cubierta no tiene una respuesta efectiva ante una investigación de cumplimiento.

Cumplimiento de la CPA: Fiscalía General y fiscales de distrito, hasta $20,000 por infracción, fin del periodo de subsanación

La CPA es aplicada exclusivamente por la Fiscalía General de Colorado y los fiscales de distrito. No existe un derecho de acción privado para los consumidores: un residente individual de Colorado no puede demandar directamente a una empresa cubierta por infracciones de la CPA, sin importar cuán clara sea la violación de sus derechos. Toda la autoridad de cumplimiento pasa por la oficina de la Fiscalía General y los fiscales de distrito del estado.

Las infracciones de la CPA se clasifican como prácticas comerciales engañosas bajo la Ley de Protección al Consumidor de Colorado (C.R.S. sección 6-1-105). Esa clasificación conlleva sanciones civiles de hasta $20,000 por infracción bajo C.R.S. sección 6-1-112(1)(a), que aumentan hasta $50,000 por infracción cuando la infracción se cometió contra una persona de edad avanzada, definida como un consumidor de Colorado de 60 años o más, bajo C.R.S. sección 6-1-112(1)(c) y sección 6-1-102(4.4). Ese límite por infracción es notablemente más alto que el de la VCDPA de Virginia ($7,500 por infracción) o el de la TDPSA de Texas ($7,500 por infracción, hasta $25,000 por una serie relacionada). Una empresa que niega indebidamente miles de solicitudes de derechos del consumidor o no respeta las señales de GPC a gran escala enfrenta una exposición sustancial bajo la ley de Colorado.

La CPA originalmente proporcionó una válvula de seguridad: desde la fecha de vigencia de la ley del 1 de julio de 2023 hasta el 1 de enero de 2025, la Fiscalía General y los fiscales de distrito debían proporcionar a las empresas cubiertas un aviso escrito de subsanación de 60 días antes de iniciar una acción de cumplimiento, siempre que la infracción pudiera remediarse. Ese periodo general obligatorio de subsanación expiró el 1 de enero de 2025, bajo C.R.S. sección 6-1-1311(1)(d)(I). A partir de esa fecha, la Fiscalía General puede iniciar la mayoría de las acciones de cumplimiento de inmediato al identificar una infracción, sin darle primero a la empresa la oportunidad de corregir el problema. Las empresas que contaban con recibir un aviso de subsanación antes de enfrentar consecuencias ya no tienen ese colchón para la mayoría de las infracciones. La excepción: C.R.S. sección 6-1-1311(1)(d)(II), agregada por la SB 24-041, conserva un aviso obligatorio de subsanación de 60 días específicamente para la ejecución de las disposiciones de la CPA sobre datos de menores (C.R.S. secciones 6-1-1305.5, 6-1-1308.5 y 6-1-1309.5), y esa excepción no se deroga hasta el 31 de diciembre de 2026.

La Fiscalía General también puede buscar medidas cautelares y, como parte de cualquier acción de cumplimiento, puede recuperar los costos razonables de investigación. La Fiscalía General mantiene un centro público de recursos sobre la CPA en coag.gov/resources/colorado-privacy-act/, que incluye orientación sobre cumplimiento y actualizaciones normativas.

Para la lista completa de verificación de cumplimiento del controlador que cubre avisos de privacidad, acuerdos de procesamiento de datos, flujos de trabajo de respuesta al consumidor y pasos de implementación de UOOM, consulte la lista de verificación de cumplimiento de la CPA.

Reformas recientes de la CPA: biometría, menores y geolocalización (2024 a 2026)

La CPA ha sido reformada al menos cuatro veces desde su lanzamiento en 2023, cada vez agregando nuevas obligaciones en áreas de mayor preocupación pública.

HB 24-1058 (vigente desde el 7 de agosto de 2024): datos biológicos y neuronales como dato sensible. El gobernador Polis firmó este proyecto de ley el 17 de abril de 2024. Amplió la definición de datos sensibles de la CPA en C.R.S. sección 6-1-1303 para incluir los «datos biológicos», que la ley describe como datos generados por el procesamiento, la medición o el análisis tecnológico de las propiedades, composiciones o actividades biológicas, genéticas, bioquímicas, fisiológicas o neuronales de un individuo, cuando esos datos se usan con fines de identificación. Debido a que los datos neuronales caen dentro de esa definición, Colorado se convirtió en el primer estado en tratar los datos neuronales como datos sensibles que requieren consentimiento de inclusión voluntaria. Esta reforma es ley vigente.

HB 24-1130 (vigente desde el 1 de julio de 2025): protecciones de identificadores biométricos. El gobernador Polis firmó este proyecto de ley el 31 de mayo de 2024. La reforma agrega obligaciones específicas para los controladores que procesan identificadores biométricos (huellas dactilares, geometría facial, escaneos de iris y datos similares) más allá del requisito general de consentimiento de datos sensibles ya presente en la CPA. Bajo la HB 24-1130, los controladores cubiertos deben: adoptar y poner a disposición del público un cronograma escrito de retención y destrucción de identificadores biométricos; obtener una divulgación al consumidor y consentimiento por escrito antes de recopilar, comprar u obtener de otro modo datos biométricos; desarrollar protocolos de respuesta para violaciones de seguridad que involucren datos biométricos; y limitar cuándo pueden exigir el consentimiento del empleado para recopilar identificadores biométricos como condición de empleo. Esta última obligación es más limitada que una prohibición total. Bajo C.R.S. sección 6-1-1314(6)(a), un empleador puede condicionar el empleo al consentimiento del empleado o solicitante para recopilar un identificador biométrico únicamente para permitir el acceso a ubicaciones físicas seguras y a hardware y software electrónico seguro; para registrar el inicio y el fin de una jornada laboral completa, incluyendo los descansos para comer y descansar de más de treinta minutos; para mejorar o supervisar la seguridad en el lugar de trabajo; o para proteger la seguridad pública en una emergencia o crisis. Para cualquier otro uso, C.R.S. sección 6-1-1314(6)(b) prohíbe que un empleador exija el consentimiento como condición de empleo y prohíbe tomar represalias contra un empleado o solicitante que se niegue. Esta reforma es ley vigente.

SB 24-041 (vigente desde el 1 de octubre de 2025): protecciones de datos en línea de menores. También firmada el 31 de mayo de 2024, la SB 24-041 agregó C.R.S. sección 6-1-1309.5, imponiendo obligaciones elevadas cuando un controlador sabe o ignora deliberadamente que un usuario es menor de edad. Cuando se cumple ese umbral de conocimiento, el controlador debe: ejercer un cuidado razonable para evitar un daño elevado al menor; realizar evaluaciones de protección de datos de cualquier procesamiento que pueda afectar a menores; y obtener consentimiento antes de realizar publicidad dirigida a menores, vender los datos personales de menores, perfilar a menores, o usar características de diseño destinadas a extender significativamente el uso del servicio por parte de menores. Es importante destacar que los controladores no están obligados a implementar sistemas de verificación de edad bajo la SB 24-041. Esta reforma es ley vigente desde el 1 de octubre de 2025.

SB 25-276 (vigente desde el 23 de mayo de 2025): geolocalización precisa como dato sensible. El gobernador Polis firmó la SB 25-276 el 23 de mayo de 2025. La ley incluye una cláusula de seguridad y entró en vigor de inmediato al ser firmada, por lo que los datos de geolocalización precisa han sido agregados a la definición de datos sensibles de la CPA en C.R.S. sección 6-1-1303. Los controladores que procesen datos de ubicación precisa de consumidores de Colorado deben obtener consentimiento de inclusión voluntaria antes de hacerlo. La SB 25-276 también restringe de manera más amplia la venta de datos sensibles sin el consentimiento del consumidor. Las empresas que usan datos de geolocalización precisa (incluyendo aplicaciones de mapas, plataformas de entrega, sistemas de gestión de flotas o cualquier servicio que rastree la ubicación de un dispositivo) ahora deben tratar la geolocalización precisa como un dato sensible que requiere consentimiento de inclusión voluntaria.

Ley de Privacidad de Colorado vs. CCPA: tres diferencias clave

La CPA y la CCPA de California son las dos leyes estatales de privacidad de EE. UU. más discutidas, y comparten un marco común, pero difieren en tres formas que importan en la práctica. Nuestra página de comparación de leyes estatales de privacidad de datos cubre el panorama completo de múltiples estados, pero aquí están las distinciones más marcadas:

Estándar de consentimiento para datos sensibles. La CPA exige consentimiento afirmativo de inclusión voluntaria antes de que un controlador pueda procesar datos personales sensibles (C.R.S. sección 6-1-1308(7)). La CCPA/CPRA usa un modelo de exclusión voluntaria: las empresas pueden procesar información personal sensible bajo la ley de California a menos y hasta que el consumidor presente una solicitud de "Limitar el Uso de Mi Información Personal Sensible" bajo Cal. Civ. Code sección 1798.121. En términos prácticos, inclusión voluntaria significa que no hay procesamiento sin un sí previo; exclusión voluntaria significa que el procesamiento continúa a menos que el consumidor se oponga.

Mecanismo Universal de Exclusión Voluntaria. Colorado exige que los controladores cubiertos respeten las señales de navegador GPC como una exclusión voluntaria válida del consumidor de la publicidad dirigida y las ventas de datos, con cumplimiento requerido desde el 1 de julio de 2024. California tiene un requisito similar bajo las regulaciones de la CPRA para "señales de preferencia de exclusión voluntaria", pero el requisito de Colorado está codificado tanto en el estatuto como en reglas detalladas de la Fiscalía General, con un registro público de mecanismos reconocidos que proporciona más especificidad operativa.

Umbral de aplicabilidad. El segundo criterio de cobertura de la CPA solo requiere que una empresa obtenga cualquier ingreso por la venta de datos personales mientras procesa datos de 25,000 o más consumidores de Colorado. La CCPA aplica a empresas que cumplen al menos uno de tres umbrales separados, uno de los cuales es ingresos brutos anuales que superan los $25 millones. Una pequeña empresa sin ingresos significativos pero con un gran volumen de procesamiento de datos puede estar cubierta en Colorado pero no en California.

Más Leyes de Colorado

• Leyes de grabación de reuniones con IA en Colorado
• Leyes de pensión alimenticia en Colorado
• Leyes de empleo a voluntad en Colorado
• Leyes de accidentes automovilísticos en Colorado
• Leyes de asientos de seguridad para niños en Colorado
• Leyes de custodia de menores en Colorado
• Leyes de manutención infantil en Colorado
• Leyes de matrimonio de hecho en Colorado
• Leyes sobre deepfakes en Colorado
• Leyes de divorcio en Colorado
• Leyes sobre mordeduras de perro en Colorado
• Leyes de emancipación en Colorado
• Leyes de eliminación de antecedentes penales en Colorado
• Leyes sobre atropello y fuga en Colorado
• Leyes de propietarios e inquilinos en Colorado
• Leyes del limón en Colorado

Guías relacionadas

• Derechos del Consumidor de la Ley de Privacidad de Colorado y Como Usarlos
• Lista de Verificación de Cumplimiento de la Ley de Privacidad de Colorado (2026)
• Leyes de Privacidad de Datos de Colorado: Guía de Derechos del Consumidor de la CPA (2026)
• Leyes de Privacidad Biométrica de Colorado: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)

Preguntas frecuentes

¿Qué es la Ley de Privacidad de Colorado?

La Ley de Privacidad de Colorado (CPA) es la ley integral de privacidad de datos del consumidor de Colorado, codificada en C.R.S. secciones 6-1-1301 a 6-1-1314. El gobernador Jared Polis firmó el Proyecto de Ley del Senado 21-190 el 7 de julio de 2021, y la ley entró en vigor el 1 de julio de 2023. Otorga a los residentes de Colorado derechos sobre sus datos personales y exige que las empresas cubiertas sean transparentes sobre la recopilación, el uso y el procesamiento. Colorado fue el tercer estado, después de California y Virginia, en promulgar una ley de este alcance.

¿A quién aplica la Ley de Privacidad de Colorado?

La CPA aplica a cualquier persona que haga negocios en Colorado o dirija sus servicios a residentes de Colorado y cumpla con cualquiera de dos umbrales: (1) procesa datos personales de 100,000 o más consumidores de Colorado por año calendario, o (2) procesa datos de 25,000 o más consumidores mientras obtiene cualquier ingreso por la venta de datos personales. A diferencia de la VCDPA de Virginia, no hay una prueba del 50% de ingresos. La CPA también cubre a las organizaciones sin fines de lucro, a las que Virginia y Texas eximen. Los organismos gubernamentales, las entidades reguladas por HIPAA, las instituciones financieras reguladas por GLBA, y los datos cubiertos por FCRA, FERPA, COPPA y DPPA están exentos.

¿Qué derechos tienen los consumidores de Colorado bajo la CPA?

Los residentes de Colorado tienen cinco derechos bajo C.R.S. sección 6-1-1306(1): el derecho de acceso y de confirmar si sus datos están siendo procesados, el derecho a corregir datos inexactos, el derecho a eliminar sus datos personales, el derecho a recibir una copia portátil de sus datos, y el derecho a excluirse de la publicidad dirigida, las ventas de datos personales y el perfilamiento que produce un efecto legal o similarmente significativo. Los controladores deben responder dentro de 45 días, con posibilidad de una extensión de 45 días adicionales con la notificación adecuada.

¿Cuál es la sanción por infringir la Ley de Privacidad de Colorado?

Las infracciones de la CPA se clasifican como prácticas comerciales engañosas bajo la Ley de Protección al Consumidor de Colorado, con sanciones civiles de hasta $20,000 por infracción bajo C.R.S. sección 6-1-112(1)(a), que aumentan hasta $50,000 por infracción cuando se cometió contra un consumidor de 60 años o más bajo C.R.S. sección 6-1-112(1)(c). Esto es más alto que los $7,500 por infracción de Virginia. La Fiscalía General de Colorado y los fiscales de distrito también pueden buscar medidas cautelares. El periodo general obligatorio de subsanación de 60 días que anteriormente protegía a las empresas expiró el 1 de enero de 2025, por lo que la mayoría de las acciones de cumplimiento ahora pueden iniciarse sin una oportunidad previa de subsanación, excepto para las disposiciones de la CPA sobre menores, que aún requieren un aviso de subsanación de 60 días hasta el 31 de diciembre de 2026.

¿Tiene la Ley de Privacidad de Colorado un derecho de acción privado?

No. Solo la Fiscalía General de Colorado y los fiscales de distrito pueden hacer cumplir la CPA bajo C.R.S. sección 6-1-1311. Los consumidores individuales no pueden demandar directamente a las empresas cubiertas por infracciones de la CPA. Este es un contraste clave con la CCPA de California, que proporciona un derecho de acción privado limitado para violaciones de datos causadas por seguridad inadecuada.

¿Qué es el Mecanismo Universal de Exclusión Voluntaria bajo la Ley de Privacidad de Colorado?

Un Mecanismo Universal de Exclusión Voluntaria (UOOM) es una señal de navegador o dispositivo que le indica a las empresas cubiertas que un consumidor desea excluirse de la publicidad dirigida y las ventas de datos personales. La Fiscalía General de Colorado mantiene una lista pública de UOOM reconocidos bajo la Regla 5.07 de la CPA (4 CCR 904-3); el estatuto, C.R.S. sección 6-1-1313(2), es lo que ordenó a la Fiscalía General adoptar las especificaciones técnicas que esos mecanismos deben cumplir. El Global Privacy Control (GPC) es actualmente el único UOOM reconocido. Los controladores han estado obligados a respetar las señales de GPC de los consumidores de Colorado desde el 1 de julio de 2024. Un consumidor no necesita presentar un formulario de exclusión voluntaria separado si su navegador tiene GPC activado.

¿Qué se considera dato sensible bajo la Ley de Privacidad de Colorado?

Las categorías actuales de datos sensibles bajo C.R.S. sección 6-1-1303 incluyen: datos personales que revelan origen racial o étnico, creencias religiosas, condición o diagnóstico de salud mental o física, vida sexual u orientación sexual, estatus de ciudadanía o inmigración, datos genéticos o biométricos procesados para identificar de manera única a una persona, datos biológicos (incluyendo datos neuronales), datos personales recopilados de un menor conocido, y datos de geolocalización precisa. Los controladores deben obtener consentimiento de inclusión voluntaria antes de procesar cualquiera de estas categorías. Los datos de geolocalización precisa se convirtieron en una categoría de dato sensible el 23 de mayo de 2025, cuando se firmó la SB 25-276 y entró en vigor de inmediato conforme a su cláusula de seguridad.

¿Ha sido reformada la Ley de Privacidad de Colorado desde que se promulgó?

Sí, al menos cuatro veces. La HB 24-1058 (vigente desde el 7 de agosto de 2024) agregó los datos biológicos, que incluyen los datos neuronales, a la definición de dato sensible, convirtiendo a Colorado en el primer estado en exigir consentimiento de inclusión voluntaria para los datos neuronales. La HB 24-1130 (vigente desde el 1 de julio de 2025) agregó protecciones de identificadores biométricos, incluyendo un requisito de cronograma público de retención y destrucción y límites sobre cuándo un empleador puede condicionar el empleo al consentimiento biométrico. La SB 24-041 (vigente desde el 1 de octubre de 2025) agregó protecciones elevadas para menores, exigiendo consentimiento antes de dirigirse a o perfilar a menores conocidos. La SB 25-276 (firmada el 23 de mayo de 2025 y vigente de inmediato conforme a su cláusula de seguridad) agregó los datos de geolocalización precisa a la definición de datos sensibles, exigiendo consentimiento de inclusión voluntaria antes de procesarlos.