Соответствие требованиям Connecticut Data Privacy Act с ConsentX

Connecticut Data Privacy Act (CTDPA) - это комплексный закон штата Коннектикут о приватности потребителей. Он предоставляет жителям Коннектикута права в отношении их персональных данных и устанавливает обязанности в сфере приватности для подпадающих под него компаний. Закон вступил в силу 1 июля 2023 года.

CTDPA, как правило, применяется к организациям, ведущим деятельность в Коннектикуте или ориентированным на жителей Коннектикута, которые достигают установленных порогов по обработке данных или их продаже. Закон также содержит отдельные положения для некоторых контролёров потребительских данных о здоровье и исключения для определённых организаций и видов данных.

Жители Коннектикута имеют право на доступ к своим персональным данным, исправление неточных персональных данных, удаление персональных данных, переносимость данных, получение информации об отдельных продажах третьим лицам, отказ от продажи персональных данных, отказ от таргетированной рекламы и отказ от отдельных видов профилирования. Эти права реализуются с учётом применимых условий и исключений.

CTDPA требует получить согласие до обработки чувствительных данных потребителя. Не все виды обработки требуют согласия, поэтому организациям следует определить применимые правовые требования для каждого вида обработки.

К чувствительным данным относятся отдельные категории персональных данных: расовое или этническое происхождение, религиозные убеждения, информация о здоровье, сведения о половой жизни или сексуальной ориентации, гражданство или иммиграционный статус, генетические или биометрические данные, а также отдельные сведения о точном местоположении. CTDPA также содержит специальные меры защиты данных детей и несовершеннолетних.

Да. Жители Коннектикута имеют право отказаться от обработки своих персональных данных в целях таргетированной рекламы.

Да. Потребители имеют право отказаться от продажи своих персональных данных. Подпадающие под закон компании обязаны предоставить надлежащие механизмы для реализации этого права.

Да. Потребители могут отказаться от профилирования в целях принятия решений, влекущих юридические или иные аналогично значимые последствия для потребителя.

Universal Opt-Out Preference Signal позволяет потребителям сообщать о своих предпочтениях в сфере приватности сразу многим сайтам и компаниям через браузер или иной механизм приватности. Начиная с 1 января 2025 года компании, подпадающие под CTDPA, обязаны соблюдать применимые сигналы отказа от жителей Коннектикута.

Да. Генеральный прокурор Коннектикута указывает Global Privacy Control (GPC) как пример сигнала отказа, который потребители могут использовать для передачи своих предпочтений в сфере приватности. ConsentX поддерживает GPC, помогая организациям практически выполнять применимые требования универсального отказа.

CTDPA регулирует обработку персональных данных, а не файлы cookie как таковые. Если файлы cookie, трекеры или аналогичные технологии собирают либо обрабатывают информацию, относящуюся к персональным данным, организациям следует оценить применимые требования CTDPA и внедрить соответствующие механизмы контроля приватности.

Да. Потребители имеют право обжаловать решение контролёра об отказе в удовлетворении запроса о правах. У контролёра обычно есть 60 дней с момента получения апелляции, чтобы сообщить результат и обоснование своего решения.

Да. Контролёры обязаны проводить оценки защиты данных для отдельных видов обработки, создающих повышенный риск причинения вреда потребителям. Такие оценки могут касаться обработки чувствительных данных, таргетированной рекламы, профилирования и продажи персональных данных.

Исключительные полномочия по применению CTDPA принадлежат Генеральному прокурору Коннектикута. Нарушения могут повлечь гражданско-правовые штрафы до 5 000 долларов США за каждое нарушение, а также иные доступные меры, такие как судебный запрет, возмещение или изъятие полученной выгоды.

ConsentX предоставляет технологии, поддерживающие важные операции в сфере приватности по CTDPA: управление согласием, получение согласия на обработку чувствительных данных, отказы потребителей, поддержку GPC, обнаружение трекеров, блокировку скриптов до согласия, рабочие процессы по правам потребителей и формирование доказательств. Однако сам по себе ConsentX не гарантирует соответствия требованиям CTDPA. Организациям необходимо оценить весь объём своей обработки данных, уведомления о приватности, меры безопасности, договоры, оценки защиты данных и иные применимые правовые обязанности.