Derechos del Consumidor de la CTDPA: Ejerza sus Derechos de Privacidad en Connecticut

Bajo Conn. Gen. Stat. sección 42-518, los residentes de Connecticut tienen siete derechos de privacidad exigibles contra las empresas que recopilan sus datos, incluyendo dos derechos agregados por la Ley Pública 25-113 que entraron en vigor el 1 de julio de 2026. Esta página explica cada derecho, los pasos exactos para ejercerlo, cómo usar Global Privacy Control, y cómo escalar si una empresa ignora o niega su solicitud.

La Ley de Privacidad de Datos de Connecticut aplica a cualquier controlador cubierto que procese sus datos personales. Si desea una visión más amplia de cómo funciona la ley y a quién cubre, comience con qué es la CTDPA y a quién cubre. Para el centro principal de la Ley de Privacidad de Datos de Connecticut (CTDPA), consulte la página principal.

Sus Siete Derechos de Privacidad de la CTDPA de un Vistazo

La Ley de Privacidad de Datos de Connecticut otorga a los residentes siete derechos enumerados bajo Conn. Gen. Stat. sección 42-518(a), dos de los cuales fueron agregados por la Ley Pública 25-113 vigente desde el 1 de julio de 2026. Todo controlador cubierto debe respetar estos derechos cuando se le solicite.

1. Derecho de acceso y confirmación del procesamiento. Usted puede pedirle a cualquier empresa cubierta que confirme si posee datos personales sobre usted y, de ser así, que le proporcione una copia. Esto cubre tanto la confirmación (¿tiene la empresa mis datos?) como el derecho de acceso (muéstreme lo que tiene).

2. Derecho de corrección. Usted puede exigir que una empresa corrija inexactitudes en los datos personales que posee sobre usted, teniendo en cuenta la naturaleza de los datos y los propósitos del procesamiento. Esto importa más para los perfiles financieros, los registros relacionados con la salud, y la información de contacto usada para tomar decisiones.

3. Derecho de eliminación. Usted puede exigir la eliminación de los datos personales que la empresa recopiló de usted u obtuvo sobre usted de terceros. Este es el derecho de borrado más amplio que proporciona la CTDPA. La eliminación no es absoluta; las empresas pueden retener datos para completar una transacción, cumplir con una obligación legal, o llevar a cabo ciertas funciones de seguridad o investigación, y deben decirle que excepción aplica si se niegan.

4. Derecho a la portabilidad de datos. Usted puede recibir una copia de sus datos personales en un formato portátil y fácilmente utilizable que le permita transmitirlos a otro servicio cuando sea técnicamente viable.

5. Derecho de exclusión voluntaria. Usted puede excluirse de tres usos distintos de sus datos: (a) la venta de sus datos personales a terceros; (b) el procesamiento para publicidad dirigida, es decir, anuncios seleccionados para usted según su actividad en sitios web, aplicaciones o servicios no relacionados; y (c) el perfilamiento en apoyo de decisiones que producen efectos legales o similarmente significativos sobre usted, como decisiones que afectan el crédito, el seguro, el empleo, la vivienda, o el acceso a servicios esenciales.

6. Derecho a impugnar el perfilamiento automatizado. Desde el 1 de julio de 2026, si una empresa procesó sus datos para un perfilamiento que produjo una decisión con un efecto legal o similarmente significativo, usted puede cuestionar el resultado, que se le informe por qué el perfilamiento llegó a esa decisión, y revisar los datos usados. Si la decisión se relacionaba con vivienda, también puede corregir datos inexactos y que la decisión sea reevaluada con base en la corrección.

7. Derecho a una lista de los terceros que reciben sus datos. Desde el 1 de julio de 2026, usted puede pedirle a un controlador una lista de los terceros a quienes ha vendido sus datos personales. Si el controlador no mantiene una lista específica por consumidor, debe darle una lista de todos los terceros a quienes ha vendido datos personales en general. Un controlador no está obligado a revelar un secreto comercial para cumplir.

Estos derechos aplican solo contra los controladores que cumplen con los umbrales de la CTDPA bajo Conn. Gen. Stat. sección 42-516. Desde el 1 de julio de 2026, una empresa que hace negocios en Connecticut o se dirige a residentes de Connecticut está cubierta si, durante el año calendario anterior, (a) controló o procesó los datos personales de al menos 35,000 consumidores de Connecticut, excluyendo los datos procesados únicamente para completar una transacción de pago; (b) controló o procesó datos sensibles de consumidores, en cualquier volumen; o (c) ofreció los datos personales de consumidores para la venta en el comercio. Las empresas que no cumplen con ninguna de estas tres pruebas no están sujetas a los requisitos de derechos del consumidor de la CTDPA.

Cómo Presentar una Solicitud de Derechos de la CTDPA

Todo controlador cubierto está obligado por Conn. Gen. Stat. sección 42-520(b)(1) a mantener un aviso de privacidad que describa claramente cómo los consumidores pueden ejercer sus derechos, y por la sección 42-520(c)(1) a proporcionar al menos un canal de presentación seguro y confiable. En la práctica, la mayoría de las empresas ofrecen un portal de privacidad en línea, una dirección de correo electrónico dedicada, o un número gratuito.

Proceso paso a paso:

1. Encuentre la política de privacidad de la empresa o busque un enlace en el pie de página de su sitio web etiquetado "Privacy Rights", "Consumer Request", "Do Not Sell My Data", o "Your Privacy Choices".
2. Seleccione el derecho que desea ejercer: acceso, corrección, eliminación, portabilidad, o exclusión voluntaria.
3. Proporcione suficiente información de identificación para que la empresa pueda autenticarlo. Esto normalmente significa su nombre, la dirección de correo electrónico registrada en su cuenta, y posiblemente respuestas a preguntas de seguridad.
4. Presente su solicitud y guarde la confirmación, ya sea una captura de pantalla o un correo electrónico de confirmación, para tener un registro de la fecha de presentación.
5. La ventana de respuesta de 45 días comienza desde la fecha en que la empresa recibe su solicitud autenticada.

Bajo Conn. Gen. Stat. sección 42-518(c)(1), las empresas deben responder sin demora indebida y en todos los casos dentro de 45 días de recibida la solicitud. Si la empresa necesita más tiempo, puede extender el plazo una vez por 45 días adicionales, dando una ventana máxima de respuesta de 90 días. Cuando una empresa extiende el plazo, debe notificarle dentro de la ventana inicial de 45 días y explicar la razón de la extensión.

Su primera solicitud en cualquier periodo de 12 meses debe cumplirse sin cargo. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa administrativa razonable o negarse a actuar sobre ellas bajo la sección 42-518(c)(3).

Si la empresa no puede autenticar su identidad usando esfuerzos comercialmente razonables, no está obligada a cumplir, pero puede solicitarle información adicional necesaria para autenticar la solicitud en lugar de simplemente negarse por completo. Usted no está obligado a proporcionar información más allá de lo razonablemente necesario para la autenticación.

Uso de Global Privacy Control (GPC) para Excluirse Automáticamente

Desde el 1 de enero de 2025, todo controlador cubierto por la CTDPA debe respetar las señales de preferencia de exclusión voluntaria enviadas por los consumidores de Connecticut bajo Conn. Gen. Stat. sección 42-520(c)(1)(A)(ii). El Global Privacy Control es la implementación líder de este requisito.

GPC es una señal a nivel de navegador que le indica automáticamente a cada sitio web que visita que usted no consiente a la venta de sus datos personales ni a su uso para publicidad dirigida. En lugar de hacer clic en un formulario de exclusión voluntaria en el sitio web de cada empresa, usted activa GPC una vez en su navegador y este transmite su preferencia a cada sitio cubierto que visite de ahí en adelante.

Cómo activar GPC:

• Use un navegador enfocado en privacidad que tenga GPC integrado, como Brave o DuckDuckGo Browser.
• Instale una extensión de navegador compatible con GPC en Chrome, Firefox, u otro navegador.
• Hay una lista de navegadores y extensiones compatibles disponible en globalprivacycontrol.org, referenciada directamente por el Fiscal General de Connecticut Tong en su aviso al consumidor del 30 de diciembre de 2024.

Una vez activada, los controladores cubiertos deben tratar una señal válida de GPC como una solicitud para excluirse tanto de la venta de sus datos personales como del procesamiento para publicidad dirigida. Es fundamental que las empresas deben respetar una señal de GPC incluso si entra en conflicto con una preferencia de inclusión voluntaria previa que usted dio o con la participación en un programa de lealtad. Si previamente optó por el intercambio de datos como parte de un programa de recompensas, una señal de GPC anula ese consentimiento previo.

A finales de 2024, más de 40 millones de usuarios en todo el mundo ya usaban GPC. Como señaló el Fiscal General Tong en su aviso: "Todos estamos familiarizados ahora con las ventanas emergentes de 'pedir al sitio que no rastree'. A partir del 1 de enero, puede instalar una simple extensión de navegador para responder esa pregunta de una vez por todas, y los sitios que visite serán responsables de conocer y seguir su preferencia."

Bajo Conn. Gen. Stat. sección 42-519, también puede designar a un agente autorizado para presentar solicitudes de exclusión voluntaria en su nombre. La autorización puede realizarse a través de una configuración del navegador, una extensión del navegador, una configuración global del dispositivo, u otra tecnología. El controlador debe cumplir si puede verificar su identidad y la autoridad del agente usando un esfuerzo comercialmente razonable.

Apelar una Denegación y Presentar una Queja ante la Fiscalía General de Connecticut

Si un controlador se niega a actuar sobre su solicitud de derechos, la ley de Connecticut le da dos pasos de escalamiento.

Paso 1: Apelación interna. Bajo Conn. Gen. Stat. sección 42-518(d), todo controlador cubierto debe establecer un proceso visible para que los consumidores apelen las negativas. Presente su apelación a través del canal que designe la empresa, típicamente el mismo portal de privacidad usado para su solicitud inicial o un correo electrónico de apelación dedicado. No hay un formulario requerido; indique claramente que está apelando la denegación, identifique su solicitud original por tipo y fecha, y explique por qué cree que la negativa fue indebida.

La empresa tiene 60 días después de recibir su apelación para responderle por escrito, indicando la acción que tomó o las razones por las que se negó a actuar. Note los diferentes plazos: 45 días para las solicitudes iniciales, 60 días para las apelaciones.

Paso 2: Queja ante la Fiscalía General de Connecticut. Si la empresa niega su apelación, la ley exige que le proporcione información que describa cómo comunicarse con la Fiscalía General de Connecticut para presentar una queja. Presente su queja de la CTDPA en portal.ct.gov/ag/common/complaint-form-landing-page. Seleccione "Consumer Data Privacy" en el menú desplegable de asunto en el formulario de queja electrónica de la Fiscalía General.

Al presentar la queja, incluya el nombre de la empresa, la fecha en que presentó su solicitud original, la fecha en que recibió la denegación, la fecha en que presentó su apelación, la fecha en que recibió la denegación de la apelación, y copias de cualquier correspondencia escrita. Mientras más documentación proporcione, más sólido será su expediente de queja.

La Fiscalía General de Connecticut tiene autoridad exclusiva de cumplimiento sobre la CTDPA. No existe un derecho de acción privado, lo que significa que usted no puede demandar directamente a una empresa por una infracción de la CTDPA. La CTDPA original incluía un periodo de derecho a subsanar de 60 días que permitía a la Fiscalía General darle a los controladores la oportunidad de corregir infracciones antes de presentar una demanda, pero ese periodo de subsanación expiró el 31 de diciembre de 2024. Para las infracciones que ocurran después de esa fecha, la Fiscalía General puede iniciar una acción civil sin ofrecer primero una ventana de subsanación.

La postura de cumplimiento de la Fiscalía General es seria. En uno de sus acuerdos de la CTDPA de mayor perfil, anunciado el 8 de julio de 2025, TicketNetwork, Inc. pagó $85,000 y aceptó un decreto de consentimiento después de que la Fiscalía General determinara que su aviso de privacidad era "en gran parte ilegible, sin derechos de datos clave, y con mecanismos de derechos mal configurados o inoperables". Para ese momento, la oficina de la Fiscalía General ya había realizado cuatro rondas de revisión de avisos de privacidad con más de dos docenas de avisos de subsanación en total; TicketNetwork fue señalada específicamente porque afirmó repetidamente haber corregido las deficiencias sin realmente haberlo hecho. La Fiscalía General había emitido su aviso de subsanación a TicketNetwork en noviembre de 2023; la empresa no subsanó dentro del plazo.

Consentimiento de Inclusión Voluntaria para Datos Sensibles y Protecciones para Menores

Para ciertas categorías de datos y ciertos consumidores, el valor por defecto de la CTDPA cambia de exclusión voluntaria a inclusión voluntaria. La empresa debe obtener su consentimiento afirmativo antes de que el procesamiento pueda comenzar.

Categorías de datos sensibles que requieren consentimiento de inclusión voluntaria. Bajo Conn. Gen. Stat. sección 42-520(a)(1)(D), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor. Las categorías que cuentan como datos sensibles se definen por separado, en Conn. Gen. Stat. sección 42-515(39). Desde el 1 de julio de 2026, esa definición incluye:

• Datos que revelan origen racial o étnico
• Creencias religiosas
• Una condición, diagnóstico, discapacidad, o tratamiento de salud mental o física
• Vida sexual, orientación sexual, o estatus como no binario o transgénero
• Estatus de ciudadanía o inmigración
• Datos de salud del consumidor según se define en la ley de Connecticut
• Datos genéticos, sin importar el propósito para el que se procesen
• Datos biométricos, sin importar el propósito para el que se procesen (para más información sobre esta categoría, consulte las protecciones de datos biométricos en Connecticut)
• Estatus de víctima de delito
• Datos de geolocalización precisa
• Datos neuronales (información generada al medir la actividad de su sistema nervioso central)
• Un número de cuenta financiera, tarjeta de débito, o tarjeta de crédito combinado con el código de acceso, la contraseña, o la credencial necesaria para acceder a la cuenta
• Un número de identificación emitido por el gobierno que no se requiere que se muestre públicamente por ley, como un número de Seguro Social, un número de pasaporte, un número de tarjeta de identificación estatal, o un número de licencia de conducir
• Datos personales de un consumidor que el controlador sabe con certeza, o ignora deliberadamente, que es menor de 13 años

Para los datos personales de un menor conocido menor de 13 años, el controlador debe cumplir con el requisito de consentimiento parental verificable de la Ley de Protección de la Privacidad Infantil en Línea (COPPA) en lugar del mecanismo estándar de consentimiento del consumidor de la CTDPA. Los padres pueden presentar solicitudes de derechos en nombre de sus hijos menores.

Protección actual para adolescentes de 13 a 17 años. La Ley Pública 25-113 (SB 1295, sesión regular de 2025) entró en vigor el 1 de julio de 2026 y reescribió Conn. Gen. Stat. sección 42-520(a)(1)(I). Cuando un controlador tiene conocimiento real, o ignora deliberadamente, que un consumidor tiene al menos 13 pero menos de 18 años de edad, el controlador no puede procesar los datos personales de ese consumidor para publicidad dirigida ni venderlos, sin excepción. No existe una opción de anulación por consentimiento: el adolescente no puede volver a optar por participar y un padre no puede dar consentimiento en su nombre para desbloquearla. Esto reemplazó la regla anterior, que cubría solo a los de 13 a 15 años y permitía el consentimiento de inclusión voluntaria como excepción.

Los datos personales de un menor conocido menor de 13 años se manejan por separado bajo el estándar de consentimiento parental verificable de COPPA, no bajo esta disposición.

Los deberes separados de seguridad en línea para menores están en Conn. Gen. Stat. sección 42-529a, y son anteriores a la ley de 2025. Desde el 1 de octubre de 2024, a un controlador que ofrece un servicio en línea a consumidores que sabe que son menores se le ha prohibido usar cualquier característica de diseño del sistema para aumentar, sostener o extender significativamente el uso de ese servicio por parte de un menor, y ha tenido que proporcionar salvaguardas que limiten la capacidad de los adultos para enviar mensajes no solicitados a menores con quienes no están conectados. Vigente desde el 1 de julio de 2026, la Ley Pública 25-113 trasladó la prohibición de características de diseño a la sección 42-529a(c)(1)(C) y agregó una excepción para servicios usados bajo la dirección de una entidad educativa, y reforzó la salvaguarda de mensajería en la sección 42-529a(c)(1)(B) al exigir que bloquee los mensajes no solicitados de adultos como configuración predeterminada.

No Discriminación: Ejercer Derechos Sin Penalización

Bajo Conn. Gen. Stat. sección 42-520(a), un controlador no debe discriminar en su contra por ejercer cualquier derecho bajo la CTDPA. La prohibición cubre tres formas específicas de represalia:

• Negar bienes o servicios porque usted presentó una solicitud de privacidad o se excluyó voluntariamente
• Cobrar precios o tarifas diferentes únicamente porque usted ejerció un derecho
• Proporcionar un nivel o calidad diferente de bienes o servicios porque usted solicitó sus datos, pidió la eliminación, o se excluyó voluntariamente de las ventas de datos

En términos prácticos: una empresa no puede negarse a venderle un producto, subirle el precio, o degradar su suscripción porque usted envió una solicitud de eliminación o activó Global Privacy Control. La protección de no discriminación de la CTDPA refleja el enfoque adoptado en los derechos de exclusión voluntaria de la CCPA en California y los derechos del consumidor de la VCDPA de Virginia.

La prohibición no impide que los controladores ofrezcan programas de lealtad voluntarios o incentivos financieros vinculados al intercambio de datos. Un minorista puede ofrecer descuentos a cambio de aceptar ciertos usos de datos, pero la participación en dichos programas debe ser genuinamente voluntaria, el trato diferencial debe ser proporcional, y debe divulgarse claramente por adelantado. Usted no puede ser penalizado por negarse a participar.

Si cree que una empresa lo ha penalizado por ejercer un derecho de la CTDPA, documente la conducta (capturas de pantalla de cambios de precios, negación de acceso, degradación del nivel de servicio) e incluyala en su queja ante la Fiscalía General.

Más Leyes de Connecticut

• Leyes de grabación de reuniones con IA en Connecticut
• Leyes de pensión alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilísticos en Connecticut
• Leyes de asientos de seguridad para niños en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutención infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipación en Connecticut
• Leyes de eliminación de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limón en Connecticut

Guías relacionadas

• ¿Qué es la CTDPA? La Ley de Privacidad de Datos de Connecticut Explicada
• Lista de Verificación de Cumplimiento de la CTDPA para Empresas (2026)
• Leyes de Privacidad de Datos de Connecticut: Guía de Derechos del Consumidor de la CTDPA (2026)
• Leyes de Privacidad Biométrica de Connecticut: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)

Preguntas frecuentes

¿Cuáles son mis siete derechos bajo la Ley de Privacidad de Datos de Connecticut?

Bajo Conn. Gen. Stat. sección 42-518(a), usted tiene siete derechos: (1) acceso: confirmar si una empresa procesa sus datos y obtener una copia; (2) corrección: corregir inexactitudes en los datos que la empresa posee; (3) eliminación: exigir la eliminación de los datos personales que la empresa recopiló de usted u obtuvo sobre usted; (4) portabilidad: recibir sus datos en un formato utilizable que pueda transferir a otro servicio; (5) exclusión voluntaria: excluirse de la venta de sus datos personales, el procesamiento para publicidad dirigida, y el perfilamiento que produce efectos legales o similarmente significativos sobre usted; (6) desde el 1 de julio de 2026, impugnar ciertas decisiones de perfilamiento automatizado y, para decisiones de vivienda, corregir los datos usados y que la decisión sea reevaluada; y (7) desde el 1 de julio de 2026, obtener una lista de los terceros a quienes un controlador ha vendido sus datos personales. Estos derechos aplican a los controladores cubiertos que cumplen con los umbrales de la sección 42-516.

¿Cuánto tiempo tiene una empresa para responder a mi solicitud de la CTDPA?

Las empresas deben responder dentro de 45 días de recibir su solicitud autenticada bajo Conn. Gen. Stat. sección 42-518(c)(1). Si la solicitud es compleja o el volumen de solicitudes es alto, la empresa puede extender este plazo una vez por 45 días adicionales, dando una ventana máxima total de 90 días. La empresa debe notificarle sobre la extensión y su razón dentro del periodo inicial de 45 días. No responder en absoluto dentro de 45 días sin notificarle de una extensión es una infracción.

¿Hay un cargo por presentar una solicitud de derechos de datos de la CTDPA?

No se puede cobrar ningún cargo por su primera solicitud durante cualquier periodo de 12 meses. Conn. Gen. Stat. sección 42-518(c)(3) exige que las respuestas se proporcionen sin cargo una vez por consumidor durante cualquier periodo de doce meses. Nota: esto es una vez por periodo de 12 meses, no dos veces. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas más allá de esa primera solicitud gratuita, la empresa puede cobrar una tarifa administrativa razonable o negarse a actuar.

¿Qué es Global Privacy Control y cómo lo uso en Connecticut?

Global Privacy Control (GPC) es una señal a nivel de navegador que transmite automáticamente su preferencia de exclusión voluntaria a cada sitio web que visita. Desde el 1 de enero de 2025, todo controlador cubierto por la CTDPA en Connecticut debe respetar una señal de GPC como una solicitud para excluirse de las ventas de datos y la publicidad dirigida bajo Conn. Gen. Stat. sección 42-520(c)(1)(A)(ii). Para usarlo, instale una extensión de navegador compatible o cambie a un navegador enfocado en privacidad con GPC integrado. Hay recursos y una lista de herramientas compatibles disponibles en globalprivacycontrol.org, citados en el aviso del Fiscal General Tong del 30 de diciembre de 2024. Una vez activo, las empresas cubiertas deben cumplir con su preferencia de GPC incluso si entra en conflicto con una inclusión voluntaria previa que usted dio.

¿Qué sucede si una empresa niega mi solicitud de derechos de la CTDPA?

Si un controlador niega su solicitud, debe proporcionar un mecanismo de apelación visible bajo Conn. Gen. Stat. sección 42-518(d). Usted presenta su apelación a través de ese canal, y la empresa tiene 60 días para responder por escrito con la acción tomada y las razones. Si también se niega su apelación, la empresa debe darle información sobre cómo comunicarse con la Fiscalía General de Connecticut. Luego usted presenta una queja ante la Fiscalía General en portal.ct.gov/ag/common/complaint-form-landing-page, seleccionando Consumer Data Privacy en el menú desplegable de asunto.

¿Cómo presento una queja ante la Fiscalía General de Connecticut sobre una infracción de privacidad de datos?

Presente su queja de la CTDPA usando el formulario de queja electrónica de la Fiscalía General en portal.ct.gov/ag/common/complaint-form-landing-page y seleccione Consumer Data Privacy en el menú desplegable de asunto. Incluya el nombre de la empresa, las fechas de su solicitud y denegación, las fechas de su apelación y la denegación de la apelación, y copias de toda la correspondencia escrita. La Fiscalía General de Connecticut tiene autoridad exclusiva de cumplimiento. No existe un derecho de acción privado; solo la Fiscalía General puede iniciar el cumplimiento. Nota: el periodo original de derecho a subsanar de 60 días expiró el 31 de diciembre de 2024, por lo que la Fiscalía General ahora puede iniciar una acción civil sin ofrecer primero una ventana de subsanación.

¿Qué son los datos sensibles bajo la CTDPA, y qué derechos tengo sobre ellos?

Los datos sensibles se definen en Conn. Gen. Stat. sección 42-515(39), según enmienda por la Ley Pública 25-113 vigente desde el 1 de julio de 2026, e incluyen: origen racial o étnico; creencias religiosas; una condición, diagnóstico, discapacidad, o tratamiento de salud mental o física; vida sexual, orientación sexual, o estatus como no binario o transgénero; estatus de ciudadanía o inmigración; datos de salud del consumidor; datos genéticos o biométricos sin importar el propósito para el que se procesen; estatus de víctima de delito; geolocalización precisa; datos neuronales; un número de cuenta financiera o de tarjeta combinado con la credencial de acceso necesaria para usarla; un número de identificación emitido por el gobierno que no se requiere que sea público; y datos personales de un consumidor que el controlador sabe con certeza, o ignora deliberadamente, que es menor de 13 años. Para estas categorías, el valor por defecto cambia de exclusión voluntaria a inclusión voluntaria: bajo Conn. Gen. Stat. sección 42-520(a)(1)(D), una empresa no puede procesar estos datos sin obtener primero su consentimiento afirmativo. Si usted no dio su consentimiento y una empresa está procesando sus datos sensibles, eso es una infracción que puede reportar a la Fiscalía General.

¿Puede una empresa vender datos sobre un adolescente en Connecticut?

No, no para adolescentes de 13 a 17 años. Desde el 1 de julio de 2026, Conn. Gen. Stat. sección 42-520(a)(1)(I), según enmienda por la Ley Pública 25-113, prohíbe a un controlador vender los datos personales de, o usarlos para publicidad dirigida hacia, cualquier consumidor que sepa con certeza o ignore deliberadamente que tiene al menos 13 pero menos de 18 años de edad. No existe excepción de consentimiento, por lo que el adolescente no puede optar por participar y un padre no puede dar consentimiento en su nombre para desbloquearla. Para niños menores de 13 años, aplica la ley federal COPPA y exige consentimiento parental verificable para cualquier procesamiento.

¿Puede una empresa cobrarme más o negarme el servicio porque me excluí voluntariamente de las ventas de datos?

No. Bajo Conn. Gen. Stat. sección 42-520(a), un controlador no puede negarle bienes o servicios, cobrarle precios diferentes, o proporcionarle una calidad inferior de bienes o servicios únicamente porque usted ejerció un derecho de la CTDPA. Excluirse voluntariamente de las ventas de datos, eliminar sus datos, o enviar una señal de Global Privacy Control no pueden usarse como motivo para penalizarlo. Aplica una excepción limitada a los programas de lealtad voluntarios donde el trato diferencial se divulga claramente y es proporcional, pero negarse a participar en dicho programa no puede resultar en una penalización.