Colorado Privacy Act 合规，从 ConsentX 开始

Colorado Privacy Act (CPA) 是科罗拉多州的综合性消费者隐私法。它赋予科罗拉多州消费者对其个人数据的权利，并为控制或处理该等数据的组织设定了义务。

CPA 通常适用于在科罗拉多州开展业务或面向科罗拉多州居民，并在控制或处理个人数据方面达到该法适用门槛的组织。特定实体、数据和活动可获豁免。

科罗拉多州消费者享有的权利包括：访问其个人数据、更正不准确的个人数据、删除个人数据、数据可携带、退出个人数据的出售、退出定向广告以及退出特定的画像分析活动。消费者行使这些权利须符合适用的条件与例外情形。

CPA 对特定处理活动要求取得同意，尤其是敏感数据的处理。并非所有处理都需要同意，因此组织应针对每项处理活动确定适当的合法性基础和适用要求。

敏感数据包括特定类别的个人数据，例如揭示种族或民族出身、宗教信仰、身心健康状况或诊断、性生活或性取向、公民身份或移民身份的信息，以及特定的基因或生物识别数据和特定的儿童数据。科罗拉多州的隐私法律框架此后还经过修订，纳入了精确地理位置数据等更多类别。

Universal Opt-Out Mechanism (UOOM) 允许消费者向多家企业传达特定隐私选择，而无需分别向每个组织提交单独的退出请求。科罗拉多州要求受监管组织就特定退出权响应适用的 UOOM 信号。

是的。Global Privacy Control (GPC) 目前被 Colorado Department of Law 认可为有效的 Universal Opt-Out Mechanism。受监管组织必须就适用的退出权响应 GPC，包括退出个人数据的出售以及将个人数据用于定向广告。

是的。科罗拉多州消费者有权退出为定向广告目的对其个人数据的处理。

是的。CPA 赋予消费者退出特定画像分析活动的权利，尤其是用于作出对消费者产生法律效果或类似重大影响之决定的画像分析。

CPA 规范的是个人数据的处理，而非专门针对 Cookie。当 Cookie、追踪器或类似技术收集或处理构成个人数据的信息时，组织应评估适用的 CPA 要求并落实适当的隐私控制措施。

是的。对于对消费者存在较高损害风险的特定处理活动，控制者必须开展数据保护评估。这可能包括涉及定向广告、画像分析、个人数据出售和敏感数据的处理。

受监管组织通常必须在 45 天内响应消费者请求。在合理必要的情况下，该期限可再延长 45 天，前提是已告知消费者延期及其理由。

ConsentX 提供的技术可以支撑 Colorado Privacy Act 项下的多项重要运营工作，包括同意管理、敏感数据同意、消费者退出、GPC 支持、追踪技术发现、脚本预先拦截、消费者权利工作流以及隐私证据留存。但仅靠 ConsentX 并不能保证实现 CPA 合规。组织仍须评估其完整的数据处理活动、隐私告知、安全控制措施、合同、数据保护评估以及其他适用的法律义务。