Derechos del Consumidor de la CTDPA: Ejerza sus Derechos de Privacidad en Connecticut

Bajo Conn. Gen. Stat. seccion 42-518, los residentes de Connecticut tienen cinco derechos de privacidad exigibles contra las empresas que recopilan sus datos. Esta pagina explica cada derecho, los pasos exactos para ejercerlo, como usar Global Privacy Control, y como escalar si una empresa ignora o niega su solicitud.

La Ley de Privacidad de Datos de Connecticut aplica a cualquier controlador cubierto que procese sus datos personales. Si desea una vision mas amplia de como funciona la ley y a quien cubre, comience con que es la CTDPA y a quien cubre. Para el centro principal de la Ley de Privacidad de Datos de Connecticut (CTDPA), consulte la pagina principal.

Sus Cinco Derechos de Privacidad de la CTDPA de un Vistazo

La Ley de Privacidad de Datos de Connecticut otorga a los residentes cinco derechos enumerados bajo Conn. Gen. Stat. seccion 42-518(a). Todo controlador cubierto debe respetar estos derechos cuando se le solicite.

1. Derecho de acceso y confirmacion del procesamiento. Usted puede pedirle a cualquier empresa cubierta que confirme si posee datos personales sobre usted y, de ser asi, que le proporcione una copia. Esto cubre tanto la confirmacion (tiene la empresa mis datos?) como el derecho de acceso (muestreme lo que tiene).

2. Derecho de correccion. Usted puede exigir que una empresa corrija inexactitudes en los datos personales que posee sobre usted, teniendo en cuenta la naturaleza de los datos y los propositos del procesamiento. Esto importa mas para los perfiles financieros, los registros relacionados con la salud, y la informacion de contacto usada para tomar decisiones.

3. Derecho de eliminacion. Usted puede exigir la eliminacion de los datos personales que la empresa recopilo de usted u obtuvo sobre usted de terceros. Este es el derecho de borrado mas amplio que proporciona la CTDPA. La eliminacion no es absoluta; las empresas pueden retener datos para completar una transaccion, cumplir con una obligacion legal, o llevar a cabo ciertas funciones de seguridad o investigacion, y deben decirle que excepcion aplica si se niegan.

4. Derecho a la portabilidad de datos. Usted puede recibir una copia de sus datos personales en un formato portatil y facilmente utilizable que le permita transmitirlos a otro servicio cuando sea tecnicamente viable.

5. Derecho de exclusion voluntaria. Usted puede excluirse de tres usos distintos de sus datos: (a) la venta de sus datos personales a terceros; (b) el procesamiento para publicidad dirigida, es decir, anuncios seleccionados para usted segun su actividad en sitios web, aplicaciones o servicios no relacionados; y (c) el perfilamiento en apoyo de decisiones que producen efectos legales o similarmente significativos sobre usted, como decisiones que afectan el credito, el seguro, el empleo, la vivienda, o el acceso a servicios esenciales.

Estos derechos aplican solo contra los controladores que cumplen con los umbrales de tamano de la CTDPA bajo Conn. Gen. Stat. seccion 42-516. Una empresa debe procesar los datos personales de al menos 100,000 consumidores de Connecticut por ano, o procesar los datos personales de al menos 25,000 consumidores mientras obtiene mas del 25 por ciento de los ingresos brutos de la venta de datos personales. Las empresas mas pequenas por debajo de ambos umbrales no estan sujetas a los requisitos de derechos del consumidor de la CTDPA.

Como Presentar una Solicitud de Derechos de la CTDPA

Todo controlador cubierto esta obligado por Conn. Gen. Stat. seccion 42-520(b) a mantener un aviso de privacidad que describa claramente como los consumidores pueden ejercer sus derechos y a proporcionar al menos un canal de presentacion seguro y confiable. En la practica, la mayoria de las empresas ofrecen un portal de privacidad en linea, una direccion de correo electronico dedicada, o un numero gratuito.

Proceso paso a paso:

1. Encuentre la politica de privacidad de la empresa o busque un enlace en el pie de pagina de su sitio web etiquetado "Privacy Rights", "Consumer Request", "Do Not Sell My Data", o "Your Privacy Choices".
2. Seleccione el derecho que desea ejercer: acceso, correccion, eliminacion, portabilidad, o exclusion voluntaria.
3. Proporcione suficiente informacion de identificacion para que la empresa pueda autenticarlo. Esto normalmente significa su nombre, la direccion de correo electronico registrada en su cuenta, y posiblemente respuestas a preguntas de seguridad.
4. Presente su solicitud y guarde la confirmacion, ya sea una captura de pantalla o un correo electronico de confirmacion, para tener un registro de la fecha de presentacion.
5. La ventana de respuesta de 45 dias comienza desde la fecha en que la empresa recibe su solicitud autenticada.

Bajo Conn. Gen. Stat. seccion 42-518(b), las empresas deben responder sin demora indebida y en todos los casos dentro de 45 dias de recibida la solicitud. Si la empresa necesita mas tiempo, puede extender el plazo una vez por 45 dias adicionales, dando una ventana maxima de respuesta de 90 dias. Cuando una empresa extiende el plazo, debe notificarle dentro de la ventana inicial de 45 dias y explicar la razon de la extension.

Su primera solicitud en cualquier periodo de 12 meses debe cumplirse sin cargo. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa administrativa razonable o negarse a actuar sobre ellas bajo la seccion 42-518(b).

Si la empresa no puede autenticar su identidad usando esfuerzos comercialmente razonables, no esta obligada a cumplir, pero puede solicitarle informacion adicional necesaria para autenticar la solicitud en lugar de simplemente negarse por completo. Usted no esta obligado a proporcionar informacion mas alla de lo razonablemente necesario para la autenticacion.

Uso de Global Privacy Control (GPC) para Excluirse Automaticamente

Desde el 1 de enero de 2025, todo controlador cubierto por la CTDPA debe respetar las senales de preferencia de exclusion voluntaria enviadas por los consumidores de Connecticut bajo Conn. Gen. Stat. seccion 42-519. El Global Privacy Control es la implementacion lider de este requisito.

GPC es una senal a nivel de navegador que le indica automaticamente a cada sitio web que visita que usted no consiente a la venta de sus datos personales ni a su uso para publicidad dirigida. En lugar de hacer clic en un formulario de exclusion voluntaria en el sitio web de cada empresa, usted activa GPC una vez en su navegador y este transmite su preferencia a cada sitio cubierto que visite de ahi en adelante.

Como activar GPC:

• Use un navegador enfocado en privacidad que tenga GPC integrado, como Brave o DuckDuckGo Browser.
• Instale una extension de navegador compatible con GPC en Chrome, Firefox, u otro navegador.
• Hay una lista de navegadores y extensiones compatibles disponible en globalprivacycontrol.org, referenciada directamente por el Fiscal General de Connecticut Tong en su aviso al consumidor del 30 de diciembre de 2024.

Una vez activada, los controladores cubiertos deben tratar una senal valida de GPC como una solicitud para excluirse tanto de la venta de sus datos personales como del procesamiento para publicidad dirigida. Es fundamental que las empresas deben respetar una senal de GPC incluso si entra en conflicto con una preferencia de inclusion voluntaria previa que usted dio o con la participacion en un programa de lealtad. Si previamente opto por el intercambio de datos como parte de un programa de recompensas, una senal de GPC anula ese consentimiento previo.

A finales de 2024, mas de 40 millones de usuarios en todo el mundo ya usaban GPC. Como senalo el Fiscal General Tong en su aviso: "Todos estamos familiarizados ahora con las ventanas emergentes de 'pedir al sitio que no rastree'. A partir del 1 de enero, puede instalar una simple extension de navegador para responder esa pregunta de una vez por todas, y los sitios que visite seran responsables de conocer y seguir su preferencia."

Bajo Conn. Gen. Stat. seccion 42-519, tambien puede designar a un agente autorizado para presentar solicitudes de exclusion voluntaria en su nombre. La autorizacion puede realizarse a traves de una configuracion del navegador, una extension del navegador, una configuracion global del dispositivo, u otra tecnologia. El controlador debe cumplir si puede verificar su identidad y la autoridad del agente usando un esfuerzo comercialmente razonable.

Apelar una Denegacion y Presentar una Queja ante la Fiscalia General de Connecticut

Si un controlador se niega a actuar sobre su solicitud de derechos, la ley de Connecticut le da dos pasos de escalamiento.

Paso 1: Apelacion interna. Bajo Conn. Gen. Stat. seccion 42-518(c), todo controlador cubierto debe establecer un proceso visible para que los consumidores apelen las negativas. Presente su apelacion a traves del canal que designe la empresa, tipicamente el mismo portal de privacidad usado para su solicitud inicial o un correo electronico de apelacion dedicado. No hay un formulario requerido; indique claramente que esta apelando la denegacion, identifique su solicitud original por tipo y fecha, y explique por que cree que la negativa fue indebida.

La empresa tiene 60 dias despues de recibir su apelacion para responderle por escrito, indicando la accion que tomo o las razones por las que se nego a actuar. Note los diferentes plazos: 45 dias para las solicitudes iniciales, 60 dias para las apelaciones.

Paso 2: Queja ante la Fiscalia General de Connecticut. Si la empresa niega su apelacion, la ley exige que le proporcione informacion que describa como comunicarse con la Fiscalia General de Connecticut para presentar una queja. Presente su queja de la CTDPA en portal.ct.gov/ag/common/complaint-form-landing-page. Seleccione "Consumer Data Privacy" en el menu desplegable de asunto en el formulario de queja electronica de la Fiscalia General.

Al presentar la queja, incluya el nombre de la empresa, la fecha en que presento su solicitud original, la fecha en que recibio la denegacion, la fecha en que presento su apelacion, la fecha en que recibio la denegacion de la apelacion, y copias de cualquier correspondencia escrita. Mientras mas documentacion proporcione, mas solido sera su expediente de queja.

La Fiscalia General de Connecticut tiene autoridad exclusiva de cumplimiento sobre la CTDPA bajo Conn. Gen. Stat. seccion 42-524. No existe un derecho de accion privado, lo que significa que usted no puede demandar directamente a una empresa por una infraccion de la CTDPA. La CTDPA original incluia un periodo de derecho a subsanar de 60 dias que permitia a la Fiscalia General darle a los controladores la oportunidad de corregir infracciones antes de presentar una demanda, pero ese periodo de subsanacion expiro el 31 de diciembre de 2024. Para las infracciones que ocurran despues de esa fecha, la Fiscalia General puede iniciar una accion civil sin ofrecer primero una ventana de subsanacion.

La postura de cumplimiento de la Fiscalia General es seria. En la primera accion de cumplimiento de la CTDPA, anunciada el 8 de julio de 2025, TicketNetwork, Inc. pago $85,000 y acepto un decreto de consentimiento despues de que la Fiscalia General determinara que su aviso de privacidad era "en gran parte ilegible, sin derechos de datos clave, y con mecanismos de derechos mal configurados o inoperables". La Fiscalia General habia emitido un aviso de subsanacion de 60 dias en noviembre de 2023; TicketNetwork no subsano dentro del plazo.

Consentimiento de Inclusion Voluntaria para Datos Sensibles y Protecciones para Menores

Para ciertas categorias de datos y ciertos consumidores, el valor por defecto de la CTDPA cambia de exclusion voluntaria a inclusion voluntaria. La empresa debe obtener su consentimiento afirmativo antes de que el procesamiento pueda comenzar.

Categorias de datos sensibles que requieren consentimiento de inclusion voluntaria. Bajo Conn. Gen. Stat. seccion 42-520(a)(4), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor. Las categorias de datos sensibles bajo la CTDPA incluyen:

• Datos que revelan origen racial o etnico
• Creencias religiosas
• Condiciones o diagnosticos de salud mental o fisica
• Orientacion sexual o actividad sexual
• Estatus de ciudadania o inmigracion
• Datos de salud del consumidor segun se define en la ley de Connecticut
• Datos geneticos
• Datos biometricos procesados para identificar de manera unica a una persona (para mas informacion sobre esta categoria, consulte las protecciones de datos biometricos en Connecticut)
• Datos de geolocalizacion precisa
• Datos personales de un menor conocido menor de 13 anos

Para los datos personales de un menor conocido menor de 13 anos, el controlador debe cumplir con el requisito de consentimiento parental verificable de la Ley de Proteccion de la Privacidad Infantil en Linea (COPPA) en lugar del mecanismo estandar de consentimiento del consumidor de la CTDPA. Los padres pueden presentar solicitudes de derechos en nombre de sus hijos menores.

Protecciones actuales para adolescentes de 13 a 15 anos. Bajo Conn. Gen. Stat. seccion 42-520(a)(5) segun enmienda por la Ley Publica 23-56 (vigente el 1 de octubre de 2024), cuando un controlador tiene conocimiento real, o ignora deliberadamente, que un consumidor tiene entre 13 y 15 anos de edad, el controlador no puede procesar los datos personales de ese consumidor para publicidad dirigida ni venderlos sin obtener primero el consentimiento de inclusion voluntaria del consumidor. Este es un requisito de inclusion voluntaria, no de exclusion voluntaria: la empresa debe obtener un acuerdo afirmativo antes de procesar, no simplemente detenerse si se le solicita.

Expansion proxima vigente el 1 de julio de 2026. La Ley Publica 25-113 (SB 1295, sesion regular de 2025) amplia significativamente las protecciones para los jovenes y entra en vigor el 1 de julio de 2026. Una vez vigente, prohibira categoricamente el procesamiento de los datos personales de cualquier consumidor menor de 18 anos para publicidad dirigida o venta de datos personales, sin excepcion de consentimiento. A diferencia de la regla actual de 13 a 15 anos (que puede anularse con consentimiento de inclusion voluntaria), la prohibicion general para menores de 18 anos sera absoluta. La misma ley tambien prohibira las caracteristicas de diseno destinadas a aumentar, sostener o extender significativamente el uso de un servicio en linea por parte de un menor sin consentimiento y exigira que los controladores apliquen configuraciones de privacidad predeterminadas para menores. Esta disposicion aun no esta vigente a partir de junio de 2026.

No Discriminacion: Ejercer Derechos Sin Penalizacion

Bajo Conn. Gen. Stat. seccion 42-520(a)(7), un controlador no debe discriminar en su contra por ejercer cualquier derecho bajo la CTDPA. La prohibicion cubre tres formas especificas de represalia:

• Negar bienes o servicios porque usted presento una solicitud de privacidad o se excluyo voluntariamente
• Cobrar precios o tarifas diferentes unicamente porque usted ejercio un derecho
• Proporcionar un nivel o calidad diferente de bienes o servicios porque usted solicito sus datos, pidio la eliminacion, o se excluyo voluntariamente de las ventas de datos

En terminos practicos: una empresa no puede negarse a venderle un producto, subirle el precio, o degradar su suscripcion porque usted envio una solicitud de eliminacion o activo Global Privacy Control. La proteccion de no discriminacion de la CTDPA refleja el enfoque adoptado en los derechos de exclusion voluntaria de la CCPA en California y los derechos del consumidor de la VCDPA de Virginia.

La prohibicion no impide que los controladores ofrezcan programas de lealtad voluntarios o incentivos financieros vinculados al intercambio de datos. Un minorista puede ofrecer descuentos a cambio de aceptar ciertos usos de datos, pero la participacion en dichos programas debe ser genuinamente voluntaria, el trato diferencial debe ser proporcional, y debe divulgarse claramente por adelantado. Usted no puede ser penalizado por negarse a participar.

Si cree que una empresa lo ha penalizado por ejercer un derecho de la CTDPA, documente la conducta (capturas de pantalla de cambios de precios, negacion de acceso, degradacion del nivel de servicio) e incluyala en su queja ante la Fiscalia General.

Mas Leyes de Connecticut

• Leyes de grabacion de reuniones con IA en Connecticut
• Leyes de pension alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilisticos en Connecticut
• Leyes de asientos de seguridad para ninos en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutencion infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipacion en Connecticut
• Leyes de eliminacion de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limon en Connecticut

Guias relacionadas

• Que es la CTDPA? La Ley de Privacidad de Datos de Connecticut Explicada
• Lista de Verificacion de Cumplimiento de la CTDPA para Empresas (2026)
• Leyes de Privacidad de Datos de Connecticut: Guia de Derechos del Consumidor de la CTDPA (2026)
• Leyes de Privacidad Biometrica de Connecticut: Recopilacion, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)