Cumplimiento de la Connecticut Data Privacy Act con ConsentX

La Connecticut Data Privacy Act (CTDPA) es la ley integral de privacidad del consumidor de Connecticut. Reconoce derechos a los residentes de Connecticut sobre sus datos personales y establece obligaciones de privacidad para las empresas sujetas. La ley entró en vigor el 1 de julio de 2023.

La CTDPA se aplica, con carácter general, a las organizaciones que operan en Connecticut o que se dirigen a residentes de Connecticut y que superan determinados umbrales de tratamiento o venta de datos. La norma también incluye disposiciones específicas para determinados responsables de datos de salud del consumidor y exenciones para ciertas organizaciones y tipos de datos.

Los consumidores de Connecticut tienen derecho a acceder a sus datos personales, rectificar los datos inexactos, suprimir sus datos personales, obtener su portabilidad, recibir información sobre determinadas ventas a terceros, oponerse a la venta de datos personales, oponerse a la publicidad dirigida y oponerse a determinadas actividades de elaboración de perfiles. Estos derechos están sujetos a las condiciones y excepciones aplicables.

La CTDPA exige el consentimiento antes de tratar los datos sensibles de un consumidor. No todas las actividades de tratamiento requieren consentimiento, por lo que las organizaciones deben determinar los requisitos legales aplicables a cada actividad.

Los datos sensibles incluyen determinadas categorías de datos personales, como el origen racial o étnico, las creencias religiosas, la información de salud, la vida sexual o la orientación sexual, la situación de ciudadanía o inmigración, los datos genéticos o biométricos y cierta información de localización precisa. La CTDPA también contiene protecciones específicas relativas a los datos de niños y menores.

Sí. Los consumidores de Connecticut tienen derecho a oponerse al tratamiento de sus datos personales con fines de publicidad dirigida.

Sí. Los consumidores tienen derecho a oponerse a la venta de sus datos personales. Las empresas sujetas deben ofrecer mecanismos adecuados para que los consumidores ejerzan este derecho.

Sí. Los consumidores pueden oponerse a la elaboración de perfiles destinada a decisiones que producen efectos jurídicos o similarmente significativos para el consumidor.

Una Universal Opt-Out Preference Signal permite a los consumidores comunicar determinadas preferencias de privacidad a distintos sitios web y empresas a través del navegador u otro mecanismo de privacidad. A partir del 1 de enero de 2025, las empresas sujetas a la CTDPA deben respetar las señales de preferencia de exclusión aplicables de los consumidores de Connecticut.

Sí. La Fiscalía General de Connecticut señala el Global Privacy Control (GPC) como ejemplo de señal de preferencia de exclusión que los consumidores pueden utilizar para comunicar sus preferencias de privacidad. ConsentX admite GPC para ayudar a las organizaciones a aplicar los requisitos de exclusión universal correspondientes.

La CTDPA regula el tratamiento de datos personales y no las cookies como tales. Cuando las cookies, los rastreadores o tecnologías similares recogen o tratan información que constituye datos personales, las organizaciones deben evaluar los requisitos aplicables de la CTDPA e implantar los controles de privacidad adecuados.

Sí. Los consumidores tienen derecho a reclamar frente a la decisión de un responsable del tratamiento que deniegue una solicitud de derechos. El responsable dispone, con carácter general, de 60 días desde la recepción de la reclamación para responder con el resultado y los motivos de su decisión.

Sí. Los responsables del tratamiento deben realizar evaluaciones de protección de datos para determinadas actividades que presentan un riesgo elevado de perjuicio para los consumidores. Estas evaluaciones pueden aplicarse a actividades relacionadas con datos sensibles, publicidad dirigida, elaboración de perfiles y venta de datos personales.

La Fiscalía General de Connecticut tiene competencia exclusiva para hacer cumplir la CTDPA. Las infracciones pueden dar lugar a sanciones civiles de hasta 5.000 dólares por infracción, junto con otras medidas disponibles, como medidas cautelares, restitución o devolución de beneficios.

ConsentX aporta tecnología que respalda operaciones de privacidad importantes de la CTDPA, como la gestión del consentimiento, el consentimiento para datos sensibles, las exclusiones de los consumidores, el soporte de GPC, el descubrimiento de rastreadores, el bloqueo previo de scripts, los flujos de trabajo de derechos y las evidencias de privacidad. No obstante, ConsentX por sí solo no garantiza el cumplimiento de la CTDPA. Las organizaciones deben evaluar el conjunto de sus tratamientos de datos, avisos de privacidad, controles de seguridad, contratos, evaluaciones de protección de datos y demás obligaciones legales aplicables.