Connecticut Data Privacy Act 合规，从 ConsentX 开始

Connecticut Data Privacy Act (CTDPA) 是康涅狄格州的综合性消费者隐私法。它赋予康涅狄格州居民对其个人数据的权利，并为受监管企业设定了隐私义务。该法于 2023 年 7 月 1 日生效。

CTDPA 通常适用于在康涅狄格州开展业务或面向康涅狄格州居民，并达到规定的数据处理或出售门槛的组织。该法还包含针对特定消费者健康数据控制者的专门规定，以及针对特定组织和数据类型的豁免。

康涅狄格州消费者享有的权利包括：访问其个人数据、更正不准确的个人数据、删除个人数据、数据可携带、获取有关特定第三方出售情况的信息、退出个人数据的出售、退出定向广告以及退出特定的画像分析活动。这些权利须符合适用的条件与例外情形。

CTDPA 要求在处理消费者敏感数据前取得同意。并非所有处理活动都需要同意，因此组织应针对每项处理活动确定适用的法律要求。

敏感数据包括特定类别的个人数据，例如种族或民族出身、宗教信仰、健康信息、性生活或性取向、公民身份或移民身份、基因或生物识别数据以及特定的精确位置信息。CTDPA 还就儿童和未成年人数据规定了专门的保护措施。

是的。康涅狄格州消费者有权退出为定向广告目的对其个人数据的处理。

是的。消费者有权退出其个人数据的出售。受监管企业必须提供适当的机制供消费者行使该项权利。

是的。消费者可以退出用于作出对其产生法律效果或类似重大影响之决定的画像分析。

Universal Opt-Out Preference Signal 允许消费者通过浏览器或其他隐私机制，向多个网站和企业传达特定的隐私偏好。自 2025 年 1 月 1 日起，受 CTDPA 约束的企业必须响应来自康涅狄格州消费者的适用退出偏好信号。

是的。康涅狄格州总检察长将 Global Privacy Control (GPC) 列为消费者可用于传达隐私偏好的退出偏好信号示例。ConsentX 支持 GPC，帮助组织落实适用的通用退出要求。

CTDPA 规范的是个人数据处理，而非专门针对 Cookie。当 Cookie、追踪器或类似技术收集或处理构成个人数据的信息时，组织应评估适用的 CTDPA 要求并落实适当的隐私控制措施。

是的。对于控制者拒绝消费者权利请求的决定，消费者有权提出申诉。控制者通常须在收到申诉后 60 天内答复处理结果及其决定理由。

是的。对于对消费者存在较高损害风险的特定处理活动，控制者必须开展数据保护评估。这些评估可适用于涉及敏感数据、定向广告、画像分析以及个人数据出售的活动。

康涅狄格州总检察长对 CTDPA 拥有专属执法权。违法行为每次可处最高 5,000 美元的民事罚款，并可能面临禁令救济、返还或非法所得追缴等其他救济措施。

ConsentX 提供的技术可以支撑 CTDPA 项下的多项重要隐私运营工作，包括同意管理、敏感数据同意、消费者退出、GPC 支持、追踪技术发现、脚本预先拦截、消费者权利工作流以及隐私证据留存。但仅靠 ConsentX 并不能保证实现 CTDPA 合规。组织仍须评估其完整的数据处理活动、隐私告知、安全控制措施、合同、数据保护评估以及其他适用的法律义务。