Lista de Verificación de Cumplimiento de la CTDPA para Empresas (2026)

Si su empresa opera en Connecticut o se dirige a residentes de Connecticut, la Ley de Privacidad de Datos de Connecticut (CTDPA), Conn. Gen. Stat. secciones 42-515 a 42-525, puede exigir una acción de cumplimiento inmediata. El periodo obligatorio de subsanación de 60 días expiró el 31 de diciembre de 2024, lo que significa que la Fiscalía General ahora puede proceder directamente a una acción civil de cumplimiento que conlleva hasta $5,000 por infracción deliberada. Esta lista de verificación recorre cada paso: la autoevaluación de aplicabilidad, las exenciones de entidad y de datos, los requisitos de aviso de privacidad, el consentimiento de datos sensibles, la obligación de exclusión voluntaria universal vigente desde el 1 de enero de 2025, las evaluaciones de protección de datos, los contratos con encargados, y las lecciones de cumplimiento del primer acuerdo de la CTDPA en Connecticut.

Para una visión general en lenguaje sencillo de lo que exige la CTDPA, consulte el explicador complementario. Para el desglose completo de cada derecho del consumidor y el plazo de respuesta de 45 días, consulte los derechos del consumidor bajo la CTDPA.

Paso 1: Realice la Autoevaluación de Aplicabilidad

Su empresa es un controlador cubierto bajo la CTDPA si hace negocios en Connecticut o produce productos o servicios dirigidos a residentes de Connecticut, Y durante el año calendario anterior superó cualquiera de tres umbrales numéricos: procesar datos de 35,000 o más consumidores de Connecticut, procesar cualquier cantidad de datos sensibles, o vender cualquier dato personal.

A partir del 1 de julio de 2026, la ley actual establece tres umbrales independientes bajo Conn. Gen. Stat. sección 42-516, según enmienda por la Ley Pública 25-113: procesar datos de al menos 35,000 consumidores de Connecticut; O procesar cualquier dato sensible sin importar el volumen de consumidores; O ofrecer cualquier dato personal para la venta, sin importar el volumen. No existe un activador de porcentaje de ingresos bajo la ley actual.

Antes del 1 de julio de 2026, los dos activadores eran más altos: (1) procesar datos personales de al menos 100,000 consumidores de Connecticut, excluyendo los datos personales procesados únicamente para completar una transacción de pago; o (2) procesar datos personales de al menos 25,000 consumidores mientras se obtenía más del 25 por ciento de los ingresos brutos de la venta de datos personales. Ese umbral de ingresos del 25 por ciento anterior a la enmienda era notablemente más estricto que el equivalente del 50 por ciento de Virginia, pero ya no aplica.

Hay una cuarta vía de cobertura que no tiene ningún umbral de volumen: los Controladores de Datos de Salud del Consumidor que hacen negocios en Connecticut están cubiertos por las disposiciones de datos de salud de la CTDPA independientemente de a cuantos consumidores atiendan. Conn. Gen. Stat. secciones 42-516 y 42-526.

Preguntas clave que hacerse

• ¿Cuántos residentes únicos de Connecticut aparecen en todos sus productos, servicios y sesiones del sitio web durante el año calendario?
• ¿Vende algún dato personal a terceros, sin importar el volumen o el porcentaje de los ingresos brutos que represente?
• ¿Procesa alguna categoría de datos sensibles (condiciones de salud, biometría, geolocalización, datos de menores)?
• ¿Maneja datos de salud del consumidor de alguna forma?

Si las respuestas honestas lo colocan en o por encima de cualquiera de los umbrales actuales, continúe con todos los pasos restantes. Si está por debajo de los tres umbrales actuales, siga monitoreando su cantidad de consumidores, el procesamiento de datos sensibles, y cualquier venta de datos, porque el límite de 35,000 consumidores y el activador de cualquier dato sensible ya atrapan a muchas más empresas de las que atrapaba la prueba anterior a 2026.

Paso 2: Confirme si Aplica una Exención de Entidad o de Datos

Incluso si su empresa supera el umbral numérico, doce clases de entidades están completamente exentas de la CTDPA bajo Conn. Gen. Stat. sección 42-517(a), según enmienda por la Ley Pública 25-113 vigente desde el 1 de julio de 2026: (1) organismos gubernamentales estatales y locales; (2) personas bajo contrato con un organismo gubernamental que procesan datos de salud del consumidor en su nombre; (3) organizaciones sin fines de lucro, con una excepción importante de datos de salud que se explica más abajo; (4) comités de candidatos, comités nacionales de partidos, y comités políticos según se definen en la sección 9-601; (5) instituciones de educación superior; (6) asociaciones nacionales de valores registradas bajo la Ley de Bolsa de Valores; (7) entidades cubiertas por HIPAA y sus asociados comerciales según se definen en 45 C.F.R. sección 160.103; (8) organizaciones gubernamentales de naciones tribales; (9) aerolíneas reguladas bajo la Ley Federal de Aviación y la Ley de Desregulación de Aerolíneas; (10) aseguradoras, portadoras de salud, sociedades de beneficios fraternales, organizaciones de apoyo de seguros, y agentes o productores de seguros; (11) bancos y cooperativas de crédito que se dedican exclusivamente a actividades financieras bajo 12 U.S.C. sección 1843(k), están regulados y examinados por el Comisionado Bancario o un regulador bancario federal, y cuentan con un programa de cumplimiento establecido; y (12) corredores de bolsa, asesores de inversión, y agentes de asesores de inversión regulados por el Comisionado Bancario o la Comisión de Bolsa y Valores.

La Ley Pública 25-113 derogó la antigua exención general para instituciones financieras o datos sujetos al Título V de la Ley Gramm-Leach-Bliley. Una institución financiera ya no está automáticamente exenta como entidad. Solo la exención condicional limitada de bancos y cooperativas de crédito anterior, o la exención de corredores de bolsa y asesores de inversión anterior, eximen a una entidad por completo. Los datos regulados por GLBA en sí mismos siguen exentos, pero ahora solo como una exención de datos, no como un pase a nivel de entidad.

La exención de organizaciones sin fines de lucro contiene un límite significativo. Una organización sin fines de lucro que califica como Controlador de Datos de Salud del Consumidor bajo la sección 42-526 no obtiene el pase a nivel de entidad para sus operaciones de datos de salud. Las organizaciones sin fines de lucro que operan programas de bienestar, exámenes de salud o servicios similares necesitan verificar si esa excepción les aplica.

Separado de las exenciones de entidad, la sección 42-517(b), según enmienda, excluye dieciocho categorías de datos sin importar quién las posea: información médica protegida bajo HIPAA; registros de identificación de pacientes por uso de sustancias bajo 42 U.S.C. sección 290dd-2; información privada identificable recopilada bajo las normas federales de protección de sujetos humanos o las guías de buenas prácticas clínicas; datos personales usados o compartidos en investigación con sujetos humanos bajo los estándares federales aplicables; registros creados bajo la Ley de Mejora de la Calidad de la Atención Médica de 1986; producto de trabajo de seguridad del paciente bajo la Ley de Mejora de la Seguridad y Calidad del Paciente; información desidentificada bajo HIPAA derivada de cualquiera de las anteriores; información mezclada e indistinguible de los registros exentos de uso de sustancias; información usada para actividades de salud pública, salud comunitaria, y salud poblacional autorizadas por HIPAA; información crediticia del consumidor regulada por la Ley de Informe Justo de Crédito; datos personales cubiertos por la Ley de Protección de Privacidad del Conductor; datos personales sujetos a FERPA; datos personales cubiertos por la Ley de Crédito Agrícola; datos procesados en el contexto laboral o de contratista independiente, información de contacto de emergencia, y datos necesarios para administrar beneficios para otra persona; datos de precio, ruta, o servicio de aerolíneas; datos sujetos al Título V de la Ley Gramm-Leach-Bliley, ahora una exención de datos únicamente en lugar de una exención de entidad; e información en un conjunto de datos limitado de HIPAA bajo 45 C.F.R. sección 164.514(e).

Cómo aplicar la doble verificación

La exención de entidad y la exención de datos son vías independientes. Un hospital cubierto por HIPAA está exento a nivel de entidad en todas sus operaciones. Una empresa de tecnología que no está cubierta por HIPAA aún puede tener algunos datos regulados por HIPAA si actúa como asociado comercial, y ese flujo de datos está exento a nivel de datos aunque la empresa no esté exenta a nivel de entidad.

Para cada flujo de datos que procesa, ¿pregunte (a) cubre una exención de entidad a toda la organización para todas las operaciones? ¿y (b) incluso si la organización está cubierta, elimina una exención de categoría de datos este tipo específico de datos del alcance de la CTDPA? Solo después de despejar ambas preguntas debe tratar una actividad de procesamiento como sujeta a las obligaciones de la CTDPA.

Paso 3: Audite su Aviso de Privacidad

La CTDPA exige que los controladores proporcionen a los consumidores un aviso de privacidad razonablemente accesible, claro y significativo. Desde el 1 de julio de 2026, Conn. Gen. Stat. sección 42-520(b), según enmienda por la Ley Pública 25-113, exige nueve elementos en todo aviso de privacidad cubierto:

1. Las categorías de datos personales que procesa el controlador.
2. Los propósitos del procesamiento para cada categoría.
3. Cómo pueden los consumidores ejercer sus siete derechos y, es importante, cómo apelar una denegación de esos derechos.
4. Las categorías de datos personales que el controlador comparte con terceros.
5. Las categorías de terceros con quienes se comparten los datos.
6. Una divulgación clara y visible de cualquier procesamiento de datos personales para publicidad dirigida, o cualquier venta de datos personales a un tercero con fines de publicidad dirigida.
7. Una dirección de correo electrónico activa u otro mecanismo de contacto en línea que el consumidor pueda usar para comunicarse con el controlador.
8. Una declaración que divulgue si el controlador recopila, usa o vende datos personales con el propósito de entrenar modelos de lenguaje de gran escala, ya sea que ese entrenamiento ocurra internamente o a través de un proveedor externo. Esta obligación de divulgación de LLM es única entre las leyes estatales de privacidad actualmente vigentes.
9. El mes y año más reciente en que el controlador actualizó el aviso de privacidad.

Antes del 1 de julio de 2026, solo seis de estos elementos eran obligatorios. La divulgación de publicidad dirigida, la divulgación de entrenamiento de LLM, y la marca de fecha de última actualización son adiciones hechas por la Ley Pública 25-113.

Lista de verificación de auditoría del aviso de privacidad

Revise cada fila contra su aviso de privacidad actual. La acción de cumplimiento de TicketNetwork surgió directamente de un aviso de privacidad que la Fiscalía General describió como "en gran parte ilegible, sin derechos de datos clave, y con mecanismos de derechos mal configurados o inoperables". El funcionamiento práctico importa tanto como el texto del aviso: si el enlace de correo electrónico no funciona o el botón de exclusión voluntaria no hace nada, el aviso falla incluso si el lenguaje está técnicamente completo.

Paso 4: Implemente la Minimización de Datos y las Salvaguardas de Seguridad

Dos deberes fundamentales del controlador aplican a todo el procesamiento cubierto. Primero, los controladores deben limitar la recopilación de datos personales a lo que sea adecuado, relevante y razonablemente necesario en relación con los propósitos para los cuales se procesan los datos, tal como esos propósitos fueron divulgados al consumidor. Conn. Gen. Stat. sección 42-520(a)(1)(A). No puede recopilar más de lo que requiere su uso divulgado, y no puede reutilizar los datos para usos incompatibles sin obtener un nuevo consentimiento.

Segundo, los controladores deben establecer, implementar y mantener prácticas razonables de seguridad de datos administrativas, técnicas y físicas apropiadas para el volumen y la naturaleza de los datos personales procesados. Conn. Gen. Stat. sección 42-520(a)(1)(C). El estándar se calibra según la escala: una empresa que procesa 5 millones de registros sensibles enfrenta una carga mayor que una que procesa 110,000 registros de contacto básicos. Dos deberes adicionales son fáciles de pasar por alto: los controladores no pueden procesar datos personales en violación de ninguna ley estatal, ni de ninguna ley federal, que prohíba la discriminación ilegal contra los consumidores. Conn. Gen. Stat. sección 42-520(a)(1)(E) y (F).

Pasos prácticos

• Mapee todos los flujos de datos personales: qué recopila, dónde se almacena, quién puede acceder a ellos, y cuánto tiempo los retiene.
• Compare el alcance de la recopilación con los propósitos divulgados en su aviso de privacidad actual y cierre cualquier brecha.
• Revise su programa de seguridad frente al volumen y la sensibilidad de los datos que posee y documente la revisión.
• Confirme que ningún sistema automatizado de perfilamiento o puntuación produce resultados que puedan constituir un impacto dispar ilegal basado en características protegidas.
• Establezca un cronograma de retención de datos y aplique la eliminación una vez que los datos ya no sean necesarios para el propósito divulgado.

Paso 5: Mapee los Datos Sensibles y Obtenga Consentimiento de Inclusión Voluntaria

La desviación más crítica de la CTDPA de un marco de exclusión voluntaria es el requisito de consentimiento afirmativo de INCLUSIÓN voluntaria antes de procesar datos sensibles. Este consentimiento debe obtenerse antes de que comience el procesamiento. Conn. Gen. Stat. sección 42-520(a)(1)(D).

Desde el 1 de julio de 2026, la lista completa de datos sensibles bajo Conn. Gen. Stat. sección 42-515(39), según enmienda por la Ley Pública 25-113, incluye: datos que revelan origen racial o étnico; creencias religiosas; una condición, diagnóstico, discapacidad, o tratamiento de salud mental o física; vida sexual, orientación sexual, o estatus como no binario o transgénero; estatus de ciudadanía o inmigración; datos de salud del consumidor; datos genéticos o biométricos, o información derivada de datos genéticos o biométricos; datos personales recopilados de una persona que el controlador sabe con certeza, o ignora deliberadamente, que es menor de edad; datos relacionados con el estatus de una persona como víctima de un delito, según se define en Conn. Gen. Stat. sección 1-1k; datos de geolocalización precisa definidos como un radio de 1,750 pies o menos; datos neuronales, es decir, información generada al medir la actividad del sistema nervioso central de una persona; información de cuentas financieras incluyendo números de cuenta, números de tarjeta, y credenciales de inicio de sesión que permitirían el acceso a una cuenta financiera; y números de identificación emitidos por el gobierno, incluyendo números de Seguro Social, licencias de conducir, y pasaportes. La adición de números de identificación gubernamental, información de cuentas financieras, estatus de víctima de delito, datos neuronales, y datos de discapacidad/tratamiento y estatus transgénero/no binario es una expansión práctica significativa: cualquier sistema que almacene números de Seguro Social, números de cuentas financieras, o credenciales de cuenta para cualquier propósito no exento se convierte en una operación de datos sensibles que requiere consentimiento de inclusión voluntaria.

Antes del 1 de julio de 2026, la lista de datos sensibles era más limitada: cubría datos que revelan origen racial o étnico; creencias religiosas; condiciones de salud mental o física; orientación sexual; estatus de ciudadanía o inmigración; datos genéticos o datos biométricos procesados con el propósito de identificar de manera única a una persona; datos personales recopilados de un menor conocido; y datos de geolocalización precisa definidos como un radio de 1,750 pies o menos. Conn. Gen. Stat. sección 42-515 (antes de la enmienda).

Pasos para el cumplimiento de datos sensibles

Revise cada categoría sensible y pregunte si alguno de sus productos, herramientas de análisis, plataformas publicitarias, cuestionarios de salud, o perfiles de usuario tocan esa categoría. Una aplicación de bienestar que registra síntomas de salud mental, un programa de lealtad minorista que recopila coordenadas GPS precisas, y cualquier sistema que almacene números de Seguro Social o números de cuentas financieras involucran todos datos sensibles.

Para cada flujo de datos sensibles que identifique, necesita un mecanismo de inclusión voluntaria granular e informado que: (1) describa claramente qué datos sensibles se están recopilando; (2) explique el propósito; y (3) proporcione una elección genuina de rechazar sin perder el servicio principal cuando sea posible. Las casillas premarcadas, el consentimiento agrupado, y las pantallas retroactivas de inclusión voluntaria no cumplen con el estándar de consentimiento afirmativo.

Paso 6: Respete la Señal Universal de Preferencia de Exclusión Voluntaria

Desde el 1 de enero de 2025, todo controlador sujeto a la CTDPA debe reconocer las señales de preferencia de exclusión voluntaria (OOPS) enviadas a través de navegadores o extensiones que protegen la privacidad, tratando esas señales como solicitudes del consumidor para excluirse de la venta de datos personales y la publicidad dirigida. Conn. Gen. Stat. sección 42-520(c). El Global Privacy Control (GPC) es la señal estandarizada principal en uso actual.

La obligación de OOPS agrega una capa técnica significativa sobre los mecanismos manuales de exclusión voluntaria que la mayoría de las empresas ya mantienen. A diferencia de una presentación de formulario, el GPC se activa silenciosa y automáticamente mientras un consumidor navega. Las empresas deben construir o configurar lógica del lado del servidor o del cliente que detecte la señal y suprima los flujos de datos de venta y publicidad dirigida para esa sesión. La señal debe originarse de una plataforma que le permita verificar que el consumidor es residente de Connecticut.

Si la señal de preferencia de exclusión voluntaria de un consumidor entra en conflicto con una elección de privacidad que expresó previamente, o con su participación voluntaria en un programa de lealtad o descuentos, usted debe respetar la señal de todos modos. Sin embargo, puede notificar al consumidor sobre el conflicto y pedirle que confirme su elección con el entendimiento de que la confirmación podría afectar su preferencia previa o su participación en el programa. Conn. Gen. Stat. sección 42-520(c); orientación de la Fiscalía General de Connecticut, 19 de diciembre de 2024.

Pasos de implementación

• Confirme que su plataforma de gestión de consentimiento o sistema de gestión de etiquetas pueda detectar las señales de encabezado de GPC.
• Mapee qué flujos de datos e integraciones de tecnología publicitaria constituyen "ventas" o "publicidad dirigida" bajo las definiciones de la CTDPA.
• Suprima esos flujos cuando se reciba una señal válida de GPC de una sesión que pueda atribuirse a un residente de Connecticut.
• Documente la implementación técnica para poder demostrarla a la Fiscalía General a solicitud.
• Revise la orientación de exclusión voluntaria de diciembre de 2024 de la Fiscalía General de Connecticut para la lista actual de formatos de señal aprobados.

Paso 7: Realice y Documente Evaluaciones de Protección de Datos

Las evaluaciones escritas de protección de datos (DPA) son obligatorias bajo Conn. Gen. Stat. sección 42-522(b)(1) para cada actividad de procesamiento que presente un riesgo elevado de daño al consumidor. Cuatro categorías de procesamiento activan evaluaciones obligatorias:

1. Procesamiento de datos personales para publicidad dirigida.
2. Venta de datos personales.
3. Procesamiento de datos personales para perfilamiento que presenta un riesgo razonablemente previsible de trato injusto o engañoso, impacto dispar ilegal, lesión financiera o física, o intrusiones en la privacidad de los consumidores.
4. Procesamiento de datos sensibles.

Cada evaluación debe documentar los beneficios de la actividad de procesamiento, los riesgos potenciales para los derechos e intereses del consumidor, y las salvaguardas desplegadas para mitigar esos riesgos. El análisis requiere una ponderación genuina de los beneficios contra el daño residual al consumidor, no un ejercicio de marcar casillas.

Desde el 1 de agosto de 2026, está vigente un requisito separado y obligatorio de evaluación de impacto de perfilamiento bajo la Ley Pública 25-113 para los controladores que realizan perfilamiento con el propósito de tomar decisiones que producen cualquier efecto legal o similarmente significativo sobre los consumidores. Conn. Gen. Stat. sección 42-522 según enmienda. Esta evaluación debe documentar: los propósitos y usos previstos del perfilamiento; las categorías de datos involucradas; los beneficios esperados; las medidas de mitigación de riesgos; el enfoque de transparencia adoptado; y las salvaguardas posteriores al despliegue. La evaluación de impacto de perfilamiento es distinta y adicional a la DPA general.

La Fiscalía General puede solicitar las evaluaciones de protección de datos completadas mediante una demanda civil de investigación como parte de cualquier investigación de la CTDPA. Conn. Gen. Stat. sección 42-522(d). Es importante destacar que las evaluaciones divulgadas a la Fiscalía General son confidenciales y no están sujetas a divulgación pública bajo la Ley de Libertad de Información de Connecticut. Trate los borradores y las evaluaciones finales como material de trabajo sensible desde el principio.

Alcance y momento oportuno

Una evaluación puede cubrir un conjunto comparable de operaciones de procesamiento en lugar de requerir un documento separado para cada campana individual. Las evaluaciones aplican de manera prospectiva a las actividades de procesamiento nuevas o materialmente modificadas. Mantenga las evaluaciones completadas en un sistema documentado y recuperable porque una demanda civil de investigación puede llegar con un plazo de producción corto.

Paso 8: Ejecute Contratos Escritos con Encargados

Todo proveedor o encargado de servicios que procese datos personales en su nombre debe estar regido por un contrato escrito vinculante antes de que comience el procesamiento. Conn. Gen. Stat. sección 42-521. El contrato debe especificar: las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos personales involucrados, y la duración del procesamiento. Estos cuatro elementos definen el alcance de la actividad autorizada del encargado.

Más allá del alcance, el contrato debe obligar al encargado a cumplir con cinco categorías de deberes:

1. Mantener la confidencialidad: Todo el personal que maneje datos personales debe estar sujeto a obligaciones de confidencialidad.
2. Eliminar o devolver los datos: A solicitud del controlador o al finalizar el contrato, el encargado debe eliminar o devolver todos los datos personales a menos que la retención sea requerida por ley.
3. Poner a disposición la información de cumplimiento: El encargado debe proporcionar la información razonablemente necesaria para que el controlador demuestre el cumplimiento de la CTDPA.
4. Cooperar con las auditorías: El encargado debe someterse y cooperar con auditorías razonables o evaluaciones independientes bajo la dirección del controlador.
5. Transferir a subencargados: Cualquier subencargado contratado por el encargado debe estar cubierto por un contrato escrito con obligaciones equivalentes.

Pasos del inventario de proveedores

Antes de redactar o actualizar contratos, construya un inventario completo de proveedores. Enumere a cada tercero que maneje datos personales que usted controla: proveedores de infraestructura en la nube, proveedores de análisis, plataformas de marketing, procesadores de pagos, herramientas de gestión de relaciones con el cliente, y cualquier plataforma de software como servicio que ingiera datos de sus sistemas. Cada relación es un encargado (que actúa bajo sus instrucciones) o un controlador tercero (con sus propios propósitos de uso de datos). Esa distinción determina si un acuerdo de procesamiento de datos o un acuerdo de intercambio de datos es el instrumento correcto.

Paso 9: Implemente Flujos de Trabajo para Solicitudes de Derechos del Consumidor

Los consumidores de Connecticut tienen siete derechos exigibles bajo Conn. Gen. Stat. sección 42-518, según enmienda por la Ley Pública 25-113: (1) acceso: confirmar si sus datos personales se procesan y obtener una copia, incluyendo las inferencias del perfilamiento; (2) corrección: corregir inexactitudes en sus datos; (3) eliminación: solicitar la eliminación de sus datos personales, incluyendo los datos obtenidos a través de terceros; (4) portabilidad: recibir los datos en un formato portátil y fácilmente utilizable; (5) exclusión voluntaria: de la publicidad dirigida, las ventas de datos personales, y cierto perfilamiento que produce efectos legales o similarmente significativos; (6) revisión de perfilamiento: cuestionar una decisión automatizada que produce un efecto legal o similarmente significativo, ser informado de la razón, revisar los datos usados, y, para decisiones de vivienda, tener la decisión reevaluada después de corregir los datos; y (7) divulgación de ventas: obtener del controlador una lista de los terceros a quienes el controlador ha vendido los datos personales del consumidor.

Los controladores deben responder a las solicitudes autenticadas dentro de 45 días de recibidas. Se permite una única extensión de hasta 45 días adicionales cuando sea razonablemente necesario, siempre que el controlador notifique al consumidor sobre la extensión dentro de la ventana inicial de 45 días.

Si usted niega una solicitud, debe informar al consumidor de la razón y proporcionar un mecanismo de apelación. Los controladores tienen entonces 60 días para responder a las apelaciones. Si se niega la apelación, debe proporcionar al consumidor información sobre cómo presentar una queja ante la Fiscalía General. Esta cadena de apelación de dos niveles debe describirse en su aviso de privacidad bajo la sección de "cómo ejercer los derechos".

Para un recorrido detallado de cada derecho, los requisitos de autenticación de solicitudes, y plantillas de respuesta, consulte los derechos del consumidor bajo la CTDPA.

Paso 10: Aplique Protecciones Elevadas para los Datos de Menores

Desde el 1 de julio de 2026, la Ley Pública 25-113 convierte en una prohibición absoluta la publicidad dirigida a, y la venta de datos personales de, consumidores que el controlador sabe, o ignora deliberadamente, que son menores de 18 años. Conn. Gen. Stat. sección 42-520, según enmienda. Ningún consentimiento parental o del usuario puede autorizar la práctica bajo la ley actual. El consentimiento parental bajo COPPA continúa aplicando por separado para los niños menores de 13 años.

Antes del 1 de julio de 2026, la regla era más limitada: los controladores no podían procesar los datos personales de un consumidor que sabían con certeza que tenía entre 13 y 15 años para publicidad dirigida o ventas de datos sin el consentimiento afirmativo de inclusión voluntaria de ese consumidor, y el consentimiento era una base válida para proceder. Esa opción de consentimiento ya no existe para nadie menor de 18 años.

Este cambio requiere una revisión de cumplimiento de cualquier producto, sitio web o servicio que tenga una audiencia juvenil o que un observador razonable esperaría que atrajera a usuarios menores de 18 años. El estándar de "ignorancia deliberada" significa que un controlador no puede evitar la regla simplemente al declinar verificar edades. Las empresas que operan plataformas generalmente comercializadas a adultos pero que en la práctica atraen a usuarios adolescentes deben evaluar sus prácticas de publicidad dirigida y venta de datos ahora.

Paso 11: Entienda el Cumplimiento: Sin Periodo de Subsanación, $5,000 por Infracción, Sin Demanda Privada

La CTDPA es aplicada exclusivamente por la Fiscalía General de Connecticut bajo la Ley de Prácticas Comerciales Justas de Connecticut (CUTPA), Conn. Gen. Stat. sección 42-110b y siguientes. No existe un derecho de acción privado. Los consumidores individuales y los demandantes de acciones colectivas no pueden demandar a su empresa por infracciones de la CTDPA. Conn. Gen. Stat. sección 42-525(a) y (d).

Las sanciones por infracciones deliberadas pueden alcanzar $5,000 por infracción, además de medidas cautelares, restitución y desembolso de ganancias. La estructura por infracción es significativa: una sola campana de marketing que procesa datos sensibles sin consentimiento de inclusión voluntaria para 50,000 consumidores de Connecticut no produce una sola infracción. Construya el cumplimiento antes de recibir un aviso, no después.

El periodo de subsanación desapareció

La CTDPA originalmente proporcionó un periodo obligatorio de subsanación de 60 días: cuando la Fiscalía General identificaba una infracción subsanable, el controlador tenía 60 días para remediarla antes de que pudiera proceder una acción de cumplimiento. Ese periodo de subsanación expiró por estatuto el 31 de diciembre de 2024. Conn. Gen. Stat. sección 42-525(b). Connecticut fue el primer estado en poner fin al periodo de subsanación de una ley integral de privacidad. Desde el 1 de enero de 2025, la Fiscalía General tiene plena discreción para proceder directamente al litigio sin una ventana de espera requerida.

La Fiscalía General conserva la discreción informal de permitir tiempo de remediación en casos apropiados, pero las empresas ya no tienen derecho a esa oportunidad. El reporte de cumplimiento actualizado de la Fiscalía General indica que las entidades cubiertas que reciban un aviso de infracción deben asumir que la Fiscalía General está preparada para presentar una demanda si la remediación no se completa con prontitud.

Lecciones de la primera acción de cumplimiento

El 8 de julio de 2025, la Fiscalía General de Connecticut anunció un acuerdo con TicketNetwork, Inc. por $85,000, la primera acción de cumplimiento de la CTDPA resuelta públicamente. Los hallazgos de la Fiscalía General son instructivos. El aviso de privacidad de TicketNetwork fue descrito como "en gran parte ilegible, sin derechos de datos clave, y con mecanismos de derechos mal configurados o inoperables". TicketNetwork había recibido un aviso de subsanación el 9 de noviembre de 2023, no cumplió dentro del periodo de subsanación entonces aplicable, y luego tergiversó repetidamente su progreso de remediación ante la oficina de la Fiscalía General.

La narrativa de cumplimiento identifica cuatro prioridades prácticas: el aviso de privacidad debe ser legible para los consumidores comunes; cada mecanismo de derechos enumerado en el aviso debe funcionar realmente; cuando la Fiscalía General se comunique con usted, responda con precisión; y no trate un aviso de subsanación como una invitación a retrasarse indefinidamente. El periodo de subsanación ya desapareció. La primera acción de cumplimiento muestra que la Fiscalía General lo está usando.

Elementos del programa de cumplimiento

• Designe a un responsable interno para el cumplimiento de la CTDPA con autoridad y presupuesto documentados.
• Mantenga un calendario de cumplimiento: revisión anual del umbral de aplicabilidad bajo los umbrales vigentes desde el 1 de julio de 2026, revisión del aviso de privacidad incluyendo los elementos de LLM y menores, revisión de DPA para nuevas actividades de procesamiento, y auditoría de contratos con proveedores.
• Capacite al personal que maneja datos personales sobre las reglas de consentimiento de datos sensibles, la obligación de señal de preferencia de exclusión voluntaria, los flujos de trabajo de solicitudes del consumidor, y los procedimientos de escalamiento.
• Mantenga todas las DPA, contratos con encargados, y registros de consentimiento en un sistema documentado y recuperable. Si la Fiscalía General envía una demanda civil de investigación, necesitará producirlos con poca anticipación.
• Pruebe cada mecanismo de derechos del consumidor enumerado en su aviso de privacidad al menos trimestralmente. Un enlace de exclusión voluntaria roto o una bandeja de solicitudes sin supervisar es independientemente sancionable.

Para la visión general completa de la ley de privacidad de datos de Connecticut y cómo se compara la CTDPA con otras leyes estatales de privacidad, consulte la página principal.

Más Leyes de Connecticut

• Leyes de grabación de reuniones con IA en Connecticut
• Leyes de pensión alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilísticos en Connecticut
• Leyes de asientos de seguridad para niños en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutención infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipación en Connecticut
• Leyes de eliminación de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limón en Connecticut

Guías relacionadas

• ¿Qué es la CTDPA? La Ley de Privacidad de Datos de Connecticut Explicada
• Derechos del Consumidor de la CTDPA: Ejerza sus Derechos de Privacidad en Connecticut
• Leyes de Privacidad de Datos de Connecticut: Guía de Derechos del Consumidor de la CTDPA (2026)
• Leyes de Privacidad Biométrica de Connecticut: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)

Preguntas frecuentes

¿Aplica la CTDPA a las organizaciones sin fines de lucro?

Las organizaciones sin fines de lucro generalmente están exentas de la CTDPA bajo Conn. Gen. Stat. sección 42-517(a). Sin embargo, la exención de organizaciones sin fines de lucro no se extiende a los Controladores de Datos de Salud del Consumidor. Una organización sin fines de lucro que maneja datos de salud del consumidor, como un programa de bienestar, un registro de enfermedades, o una organización benéfica enfocada en salud, debe seguir cumpliendo con las disposiciones de datos de salud de la CTDPA sin importar su estatus de organización sin fines de lucro.

¿Qué hace diferente al umbral de ingresos del 25% de Connecticut de otras leyes estatales de privacidad?

Antes del 1 de julio de 2026, el segundo activador original de aplicabilidad de Connecticut cubría a empresas que procesaban datos de 25,000 o más consumidores que obtenían más del 25 por ciento de los ingresos brutos de la venta de datos personales, un umbral más estricto que el equivalente del 50 por ciento de Virginia. Ese activador de porcentaje de ingresos desapareció el 1 de julio de 2026, cuando la Ley Pública 25-113 lo reemplazó por una regla más simple: cualquier venta de datos personales, sin importar la proporción de ingresos o el volumen de consumidores, activa de manera independiente la cobertura bajo la ley actual.

¿Cuándo entró en vigor el requisito de exclusión voluntaria universal, y qué señales debo respetar?

La obligación de exclusión voluntaria universal ha estado vigente desde el 1 de enero de 2025. Todas las empresas cubiertas deben tratar las señales de preferencia de exclusión voluntaria, incluyendo el Global Privacy Control (GPC), como solicitudes para excluirse de la venta de datos personales y la publicidad dirigida. La señal debe provenir de una plataforma que le permita verificar la residencia en Connecticut. La Fiscalía General de Connecticut emitió orientación de implementación el 19 de diciembre de 2024, asesorando a las empresas sobre los pasos técnicos de cumplimiento.

¿Cuál es la diferencia entre una evaluación de protección de datos y una evaluación de impacto de perfilamiento?

Una evaluación de protección de datos bajo Conn. Gen. Stat. sección 42-522 se requiere para cuatro categorías de procesamiento: publicidad dirigida, ventas de datos, perfilamiento riesgoso, y procesamiento de datos sensibles. Sopesa los beneficios contra los riesgos para el consumidor. Una evaluación de impacto de perfilamiento, nueva y requerida a partir del 1 de agosto de 2026 bajo la Ley Pública 25-113, es un documento separado y más detallado requerido específicamente cuando el perfilamiento produce cualquier efecto de decisión legal o similarmente significativo sobre los consumidores. Debe documentar los propósitos, las categorías de datos, los riesgos, las medidas de mitigación, el enfoque de transparencia, y las salvaguardas posteriores al despliegue.

¿Existe un derecho de acción privado bajo la CTDPA?

No. El cumplimiento recae exclusivamente en la Fiscalía General de Connecticut bajo la CUTPA. Los consumidores individuales no pueden presentar una demanda por infracciones de la CTDPA, y no existe un mecanismo de acción colectiva bajo el estatuto. Esta es una diferencia estructural significativa respecto a la Ley de Privacidad de Información Biométrica de Illinois, que permite a las personas demandar directamente y ha generado cientos de millones de dólares en acuerdos de acciones colectivas.

¿Puede la Fiscalía General de Connecticut todavía otorgar una oportunidad de subsanación después del 31 de diciembre de 2024?

La Fiscalía General conserva la discreción informal de permitir tiempo de remediación en casos apropiados, pero las empresas ya no tienen derecho a una oportunidad de subsanación por estatuto. El periodo obligatorio de subsanación de 60 días expiró el 31 de diciembre de 2024. La postura de cumplimiento actualizada de la Fiscalía General indica que las entidades cubiertas que reciban un aviso de infracción deben asumir que la Fiscalía General está preparada para presentar una demanda si la remediación no se completa con prontitud. Confiar en una oportunidad discrecional de subsanación no es una estrategia de cumplimiento.

¿Afectan los cambios de umbral del 1 de julio de 2026 mi programa de cumplimiento existente?

Sí, potencialmente de manera significativa. Si su empresa anteriormente estaba por debajo del umbral de 100,000 consumidores, ahora debe evaluar si procesa datos de 35,000 o más consumidores de Connecticut, procesa cualquier dato sensible, o vende cualquier dato personal. Los tres son activadores independientes bajo la Ley Pública 25-113. Las empresas recién cubiertas por las reformas de 2026 necesitan completar un análisis de brechas que cubra: actualizaciones del aviso de privacidad incluyendo la nueva divulgación de LLM, la expansión del inventario de datos sensibles para incluir números de Seguro Social, información de cuentas financieras, y datos de discapacidad/tratamiento, la prohibición de publicidad de datos de menores, y las revisiones de contratos con encargados.

¿Cuáles son los requisitos de divulgación de entrenamiento de LLM y cuando entran en vigor?

Desde el 1 de julio de 2026, Connecticut exige que todos los controladores cubiertos incluyan una declaración clara y visible en su aviso de privacidad que divulgue si recopilan, usan o venden datos personales con el propósito de entrenar modelos de lenguaje de gran escala. La obligación aplica ya sea que el entrenamiento ocurra internamente o a través de un proveedor externo. Este requisito de divulgación es uno de los primeros de su tipo en la ley estatal de privacidad. Los controladores que usan servicios de IA de proveedores que entrenan con datos de clientes, o que alimentan sus propios conjuntos de datos en canalizaciones de entrenamiento de LLM, ya deben haber actualizado sus avisos de privacidad para incluir esta divulgación.