Derechos del Consumidor de la CTDPA: Ejerza sus Derechos de Privacidad en Connecticut

Bajo Conn. Gen. Stat. sección 42-518, los residentes de Connecticut tienen siete derechos de privacidad exigibles contra las empresas que recopilan sus datos, incluyendo dos derechos agregados por la Ley Pública 25-113 que entraron en vigor el 1 de julio de 2026. Esta página explica cada derecho, los pasos exactos para ejercerlo, cómo usar Global Privacy Control, y cómo escalar si una empresa ignora o niega su solicitud.

La Ley de Privacidad de Datos de Connecticut aplica a cualquier controlador cubierto que procese sus datos personales. Si desea una visión más amplia de cómo funciona la ley y a quién cubre, comience con qué es la CTDPA y a quién cubre. Para el centro principal de la Ley de Privacidad de Datos de Connecticut (CTDPA), consulte la página principal.

Sus Siete Derechos de Privacidad de la CTDPA de un Vistazo

La Ley de Privacidad de Datos de Connecticut otorga a los residentes siete derechos enumerados bajo Conn. Gen. Stat. sección 42-518(a), dos de los cuales fueron agregados por la Ley Pública 25-113 vigente desde el 1 de julio de 2026. Todo controlador cubierto debe respetar estos derechos cuando se le solicite.

1. Derecho de acceso y confirmación del procesamiento. Usted puede pedirle a cualquier empresa cubierta que confirme si posee datos personales sobre usted y, de ser así, que le proporcione una copia. Esto cubre tanto la confirmación (¿tiene la empresa mis datos?) como el derecho de acceso (muéstreme lo que tiene).

2. Derecho de corrección. Usted puede exigir que una empresa corrija inexactitudes en los datos personales que posee sobre usted, teniendo en cuenta la naturaleza de los datos y los propósitos del procesamiento. Esto importa más para los perfiles financieros, los registros relacionados con la salud, y la información de contacto usada para tomar decisiones.

3. Derecho de eliminación. Usted puede exigir la eliminación de los datos personales que la empresa recopiló de usted u obtuvo sobre usted de terceros. Este es el derecho de borrado más amplio que proporciona la CTDPA. La eliminación no es absoluta; las empresas pueden retener datos para completar una transacción, cumplir con una obligación legal, o llevar a cabo ciertas funciones de seguridad o investigación, y deben decirle que excepción aplica si se niegan.

4. Derecho a la portabilidad de datos. Usted puede recibir una copia de sus datos personales en un formato portátil y fácilmente utilizable que le permita transmitirlos a otro servicio cuando sea técnicamente viable.

5. Derecho de exclusión voluntaria. Usted puede excluirse de tres usos distintos de sus datos: (a) la venta de sus datos personales a terceros; (b) el procesamiento para publicidad dirigida, es decir, anuncios seleccionados para usted según su actividad en sitios web, aplicaciones o servicios no relacionados; y (c) el perfilamiento en apoyo de decisiones que producen efectos legales o similarmente significativos sobre usted, como decisiones que afectan el crédito, el seguro, el empleo, la vivienda, o el acceso a servicios esenciales.

6. Derecho a impugnar el perfilamiento automatizado. Desde el 1 de julio de 2026, si una empresa procesó sus datos para un perfilamiento que produjo una decisión con un efecto legal o similarmente significativo, usted puede cuestionar el resultado, que se le informe por qué el perfilamiento llegó a esa decisión, y revisar los datos usados. Si la decisión se relacionaba con vivienda, también puede corregir datos inexactos y que la decisión sea reevaluada con base en la corrección.

7. Derecho a una lista de los terceros que reciben sus datos. Desde el 1 de julio de 2026, usted puede pedirle a un controlador una lista de los terceros a quienes ha vendido sus datos personales. Si el controlador no mantiene una lista específica por consumidor, debe darle una lista de todos los terceros a quienes ha vendido datos personales en general. Un controlador no está obligado a revelar un secreto comercial para cumplir.

Estos derechos aplican solo contra los controladores que cumplen con los umbrales de la CTDPA bajo Conn. Gen. Stat. sección 42-516. Desde el 1 de julio de 2026, una empresa que hace negocios en Connecticut o se dirige a residentes de Connecticut está cubierta si, durante el año calendario anterior, (a) controló o procesó los datos personales de al menos 35,000 consumidores de Connecticut, excluyendo los datos procesados únicamente para completar una transacción de pago; (b) controló o procesó datos sensibles de consumidores, en cualquier volumen; o (c) ofreció los datos personales de consumidores para la venta en el comercio. Las empresas que no cumplen con ninguna de estas tres pruebas no están sujetas a los requisitos de derechos del consumidor de la CTDPA.

Cómo Presentar una Solicitud de Derechos de la CTDPA

Todo controlador cubierto está obligado por Conn. Gen. Stat. sección 42-520(c) a mantener un aviso de privacidad que describa claramente cómo los consumidores pueden ejercer sus derechos, y por la sección 42-520(e)(1) a proporcionar al menos un canal de presentación seguro y confiable. En la práctica, la mayoría de las empresas ofrecen un portal de privacidad en línea, una dirección de correo electrónico dedicada, o un número gratuito.

Proceso paso a paso:

1. Encuentre la política de privacidad de la empresa o busque un enlace en el pie de página de su sitio web etiquetado "Privacy Rights", "Consumer Request", "Do Not Sell My Data", o "Your Privacy Choices".
2. Seleccione el derecho que desea ejercer: acceso, corrección, eliminación, portabilidad, o exclusión voluntaria.
3. Proporcione suficiente información de identificación para que la empresa pueda autenticarlo. Esto normalmente significa su nombre, la dirección de correo electrónico registrada en su cuenta, y posiblemente respuestas a preguntas de seguridad.
4. Presente su solicitud y guarde la confirmación, ya sea una captura de pantalla o un correo electrónico de confirmación, para tener un registro de la fecha de presentación.
5. La ventana de respuesta de 45 días comienza desde la fecha en que la empresa recibe su solicitud autenticada.

Bajo Conn. Gen. Stat. sección 42-518(c)(1), las empresas deben responder sin demora indebida y en todos los casos dentro de 45 días de recibida la solicitud. Si la empresa necesita más tiempo, puede extender el plazo una vez por 45 días adicionales, dando una ventana máxima de respuesta de 90 días. Cuando una empresa extiende el plazo, debe notificarle dentro de la ventana inicial de 45 días y explicar la razón de la extensión.

Su primera solicitud en cualquier periodo de 12 meses debe cumplirse sin cargo. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa administrativa razonable o negarse a actuar sobre ellas bajo la sección 42-518(c)(3).

Si la empresa no puede autenticar su identidad usando esfuerzos comercialmente razonables, no está obligada a cumplir, pero puede solicitarle información adicional necesaria para autenticar la solicitud en lugar de simplemente negarse por completo. Usted no está obligado a proporcionar información más allá de lo razonablemente necesario para la autenticación.

Uso de Global Privacy Control (GPC) para Excluirse Automáticamente

Desde el 1 de enero de 2025, todo controlador cubierto por la CTDPA debe respetar las señales de preferencia de exclusión voluntaria enviadas por los consumidores de Connecticut bajo Conn. Gen. Stat. sección 42-520(e)(1)(A)(ii). El Global Privacy Control es la implementación líder de este requisito.

GPC es una señal a nivel de navegador que le indica automáticamente a cada sitio web que visita que usted no consiente a la venta de sus datos personales ni a su uso para publicidad dirigida. En lugar de hacer clic en un formulario de exclusión voluntaria en el sitio web de cada empresa, usted activa GPC una vez en su navegador y este transmite su preferencia a cada sitio cubierto que visite de ahí en adelante.

Cómo activar GPC:

• Use un navegador enfocado en privacidad que tenga GPC integrado, como Brave o DuckDuckGo Browser.
• Instale una extensión de navegador compatible con GPC en Chrome, Firefox, u otro navegador.
• Hay una lista de navegadores y extensiones compatibles disponible en globalprivacycontrol.org, referenciada directamente por el Fiscal General de Connecticut Tong en su aviso al consumidor del 30 de diciembre de 2024.

Una vez activada, los controladores cubiertos deben tratar una señal válida de GPC como una solicitud para excluirse tanto de la venta de sus datos personales como del procesamiento para publicidad dirigida. Es fundamental que las empresas deben respetar una señal de GPC incluso si entra en conflicto con una preferencia de inclusión voluntaria previa que usted dio o con la participación en un programa de lealtad. Si previamente optó por el intercambio de datos como parte de un programa de recompensas, una señal de GPC anula ese consentimiento previo.

A finales de 2024, más de 40 millones de usuarios en todo el mundo ya usaban GPC. Como señaló el Fiscal General Tong en su aviso: "Todos estamos familiarizados ahora con las ventanas emergentes de 'pedir al sitio que no rastree'. A partir del 1 de enero, puede instalar una simple extensión de navegador para responder esa pregunta de una vez por todas, y los sitios que visite serán responsables de conocer y seguir su preferencia."

Bajo Conn. Gen. Stat. sección 42-519, también puede designar a un agente autorizado para presentar solicitudes de exclusión voluntaria en su nombre. La autorización puede realizarse a través de una configuración del navegador, una extensión del navegador, una configuración global del dispositivo, u otra tecnología. El controlador debe cumplir si puede verificar su identidad y la autoridad del agente usando un esfuerzo comercialmente razonable.

Apelar una Denegación y Presentar una Queja ante la Fiscalía General de Connecticut

Si un controlador se niega a actuar sobre su solicitud de derechos, la ley de Connecticut le da dos pasos de escalamiento.

Paso 1: Apelación interna. Bajo Conn. Gen. Stat. sección 42-518(d), todo controlador cubierto debe establecer un proceso visible para que los consumidores apelen las negativas. Presente su apelación a través del canal que designe la empresa, típicamente el mismo portal de privacidad usado para su solicitud inicial o un correo electrónico de apelación dedicado. No hay un formulario requerido; indique claramente que está apelando la denegación, identifique su solicitud original por tipo y fecha, y explique por qué cree que la negativa fue indebida.

La empresa tiene 60 días después de recibir su apelación para responderle por escrito, indicando la acción que tomó o las razones por las que se negó a actuar. Note los diferentes plazos: 45 días para las solicitudes iniciales, 60 días para las apelaciones.

Paso 2: Queja ante la Fiscalía General de Connecticut. Si la empresa niega su apelación, la ley exige que le proporcione información que describa cómo comunicarse con la Fiscalía General de Connecticut para presentar una queja. Presente su queja de la CTDPA en portal.ct.gov/ag/common/complaint-form-landing-page. Seleccione "Consumer Data Privacy" en el menú desplegable de asunto en el formulario de queja electrónica de la Fiscalía General.

Al presentar la queja, incluya el nombre de la empresa, la fecha en que presentó su solicitud original, la fecha en que recibió la denegación, la fecha en que presentó su apelación, la fecha en que recibió la denegación de la apelación, y copias de cualquier correspondencia escrita. Mientras más documentación proporcione, más sólido será su expediente de queja.

La Fiscalía General de Connecticut tiene autoridad exclusiva de cumplimiento sobre la CTDPA. No existe un derecho de acción privado, lo que significa que usted no puede demandar directamente a una empresa por una infracción de la CTDPA. La CTDPA original incluía un periodo de derecho a subsanar de 60 días que permitía a la Fiscalía General darle a los controladores la oportunidad de corregir infracciones antes de presentar una demanda, pero ese periodo de subsanación expiró el 31 de diciembre de 2024. Para las infracciones que ocurran después de esa fecha, la Fiscalía General puede iniciar una acción civil sin ofrecer primero una ventana de subsanación.

La postura de cumplimiento de la Fiscalía General es seria. En uno de sus acuerdos de la CTDPA de mayor perfil, anunciado el 8 de julio de 2025, TicketNetwork, Inc. pagó $85,000 y aceptó un decreto de consentimiento después de que la Fiscalía General determinara que su aviso de privacidad era "en gran parte ilegible, sin derechos de datos clave, y con mecanismos de derechos mal configurados o inoperables". Para ese momento, la oficina de la Fiscalía General ya había realizado cuatro rondas de revisión de avisos de privacidad con más de dos docenas de avisos de subsanación en total; TicketNetwork fue señalada específicamente porque afirmó repetidamente haber corregido las deficiencias sin realmente haberlo hecho. La Fiscalía General había emitido su aviso de subsanación a TicketNetwork en noviembre de 2023; la empresa no subsanó dentro del plazo.

Consentimiento de Inclusión Voluntaria para Datos Sensibles y Protecciones para Menores

Para ciertas categorías de datos y ciertos consumidores, el valor por defecto de la CTDPA cambia de exclusión voluntaria a inclusión voluntaria. La empresa debe obtener su consentimiento afirmativo antes de que el procesamiento pueda comenzar.

Categorías de datos sensibles que requieren consentimiento de inclusión voluntaria. Bajo Conn. Gen. Stat. sección 42-520(a)(1)(D), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor. Desde el 1 de julio de 2026, las categorías de datos sensibles bajo la CTDPA incluyen:

• Datos que revelan origen racial o étnico
• Creencias religiosas
• Una condición, diagnóstico, discapacidad, o tratamiento de salud mental o física
• Vida sexual, orientación sexual, o estatus como no binario o transgénero
• Estatus de ciudadanía o inmigración
• Datos de salud del consumidor según se define en la ley de Connecticut
• Datos genéticos, sin importar el propósito para el que se procesen
• Datos biométricos, sin importar el propósito para el que se procesen (para más información sobre esta categoría, consulte las protecciones de datos biométricos en Connecticut)
• Estatus de víctima de delito
• Datos de geolocalización precisa
• Datos neuronales (información generada al medir la actividad de su sistema nervioso central)
• Un número de cuenta financiera, tarjeta de débito, o tarjeta de crédito combinado con el código de acceso, la contraseña, o la credencial necesaria para acceder a la cuenta
• Un número de identificación emitido por el gobierno que no se requiere que se muestre públicamente por ley, como un número de Seguro Social, un número de pasaporte, un número de tarjeta de identificación estatal, o un número de licencia de conducir
• Datos personales de un consumidor que el controlador sabe con certeza, o ignora deliberadamente, que es menor de 13 años

Para los datos personales de un menor conocido menor de 13 años, el controlador debe cumplir con el requisito de consentimiento parental verificable de la Ley de Protección de la Privacidad Infantil en Línea (COPPA) en lugar del mecanismo estándar de consentimiento del consumidor de la CTDPA. Los padres pueden presentar solicitudes de derechos en nombre de sus hijos menores.

Protección actual para adolescentes de 13 a 17 años. La Ley Pública 25-113 (SB 1295, sesión regular de 2025) entró en vigor el 1 de julio de 2026 y reescribió Conn. Gen. Stat. sección 42-520(a)(1)(I). Cuando un controlador tiene conocimiento real, o ignora deliberadamente, que un consumidor tiene al menos 13 pero menos de 18 años de edad, el controlador no puede procesar los datos personales de ese consumidor para publicidad dirigida ni venderlos, sin excepción. No existe una opción de anulación por consentimiento: el adolescente no puede volver a optar por participar y un padre no puede dar consentimiento en su nombre para desbloquearla. Esto reemplazó la regla anterior, que cubría solo a los de 13 a 15 años y permitía el consentimiento de inclusión voluntaria como excepción.

Los datos personales de un menor conocido menor de 13 años se manejan por separado bajo el estándar de consentimiento parental verificable de COPPA, no bajo esta disposición.

La Ley Pública 25-113 también agregó protecciones relacionadas para menores bajo Conn. Gen. Stat. sección 42-529a, también vigente desde el 1 de julio de 2026: los controladores no pueden usar características de diseño del sistema destinadas a aumentar, sostener o extender significativamente el uso de un servicio en línea por parte de un menor, y deben aplicar configuraciones predeterminadas de protección que limiten los mensajes directos no solicitados a menores de adultos con quienes aún no están conectados.

No Discriminación: Ejercer Derechos Sin Penalización

Bajo Conn. Gen. Stat. sección 42-520(a), un controlador no debe discriminar en su contra por ejercer cualquier derecho bajo la CTDPA. La prohibición cubre tres formas específicas de represalia:

• Negar bienes o servicios porque usted presentó una solicitud de privacidad o se excluyó voluntariamente
• Cobrar precios o tarifas diferentes únicamente porque usted ejerció un derecho
• Proporcionar un nivel o calidad diferente de bienes o servicios porque usted solicitó sus datos, pidió la eliminación, o se excluyó voluntariamente de las ventas de datos

En términos prácticos: una empresa no puede negarse a venderle un producto, subirle el precio, o degradar su suscripción porque usted envió una solicitud de eliminación o activó Global Privacy Control. La protección de no discriminación de la CTDPA refleja el enfoque adoptado en los derechos de exclusión voluntaria de la CCPA en California y los derechos del consumidor de la VCDPA de Virginia.

La prohibición no impide que los controladores ofrezcan programas de lealtad voluntarios o incentivos financieros vinculados al intercambio de datos. Un minorista puede ofrecer descuentos a cambio de aceptar ciertos usos de datos, pero la participación en dichos programas debe ser genuinamente voluntaria, el trato diferencial debe ser proporcional, y debe divulgarse claramente por adelantado. Usted no puede ser penalizado por negarse a participar.

Si cree que una empresa lo ha penalizado por ejercer un derecho de la CTDPA, documente la conducta (capturas de pantalla de cambios de precios, negación de acceso, degradación del nivel de servicio) e incluyala en su queja ante la Fiscalía General.

Más Leyes de Connecticut

• Leyes de grabación de reuniones con IA en Connecticut
• Leyes de pensión alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilísticos en Connecticut
• Leyes de asientos de seguridad para niños en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutención infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipación en Connecticut
• Leyes de eliminación de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limón en Connecticut

Guías relacionadas

• ¿Qué es la CTDPA? La Ley de Privacidad de Datos de Connecticut Explicada
• Lista de Verificación de Cumplimiento de la CTDPA para Empresas (2026)
• Leyes de Privacidad de Datos de Connecticut: Guía de Derechos del Consumidor de la CTDPA (2026)
• Leyes de Privacidad Biométrica de Connecticut: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)