A Colorado Privacy Act (CPA) tem um conjunto de regras para o Portal do Titular que vai além da lei. O Attorney General promulgou as Colorado Privacy Act Rules (4 CCR 904-3), que especificam exatamente como cada aspecto do processo de DSAR precisa funcionar, incluindo o conteúdo mínimo do registro de cada solicitação, o prazo de manutenção dos registros, e como lidar com agentes autorizados.

Este artigo cobre tudo isso: o que é uma DSAR sob a CPA, quais são os cinco direitos garantidos, os prazos específicos da lei, o Universal Opt-Out Mechanism, e o que as regulamentações exigem do processo.

DSAR é a sigla para Data Subject Access Request, ou Solicitação de Direitos de Dados na linguagem da CPA. É qualquer pedido formal de um consumidor do Colorado para exercer os direitos que a lei garante sobre os próprios dados.

Conforme C.R.S. § 6-1-1306(1), o consumidor pode submeter uma solicitação a qualquer momento usando os métodos especificados pelo controlador no aviso de privacidade.

Se você já conhece o portal do titular da LGPD, a estrutura é familiar. A CPA acrescenta o Universal Opt-Out Mechanism como canal alternativo para exercer o opt-out de publicidade segmentada e venda de dados.

Conforme C.R.S. § 6-1-1306(1), os residentes do Colorado têm cinco direitos:

O consumidor pode recusar o processamento de seus dados para três finalidades (C.R.S. § 6-1-1306(1)(a)):

Publicidade segmentada.

Venda de dados pessoais.

Perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (acesso a serviços financeiros, habitação, seguros, educação, justiça criminal, emprego, saúde, ou bens essenciais).

O consumidor também pode exercer o opt-out através de agente autorizado, inclusive via UOM (como o GPC), quando o controlador consegue autenticar a identidade do consumidor e a autoridade do agente com esforço comercialmente razoável (C.R.S. § 6-1-1306(1)(a)(II)).

As regulamentações (4 CCR 904-3, Regra 4.03(A)(1)(b)) detalham: se o opt-out for submetido online e o controlador não conseguir identificar o consumidor para cessar o processamento de dados offline conectados, pode pedir informações adicionais. E se um consumidor submeteu múltiplas DSARs, o opt-out deve ser processado primeiro.

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (C.R.S. § 6-1-1306(1)(b)).

As regulamentações (4 CCR 904-3, Regra 4.04(A)(1)) esclarecem que "peças específicas de dados pessoais" incluem decisões finais de perfilamento, inferências, dados derivados, perfis de marketing, e qualquer outro dado pessoal criado pelo controlador vinculado ao consumidor.

A resposta precisa ser fornecida em formato eletrônico comum e acessível, no idioma que o consumidor usa para interagir com o controlador, sem códigos internos incompreensíveis.

O controlador não precisa divulgar, em resposta a uma solicitação de acesso: números de identificação governamental, números de contas financeiras, dados biométricos ou identificadores biométricos. Mas deve informar ao consumidor que tem esses tipos de dados (ex: "Coletamos dados biométricos únicos incluindo digitalização de impressão digital" sem revelar a impressão em si).

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza e os propósitos do processamento (C.R.S. § 6-1-1306(1)(c)).

As regulamentações (4 CCR 904-3, Regra 4.05) detalham:

O controlador corrige nos sistemas ativos, mas pode adiar para sistemas de arquivo ou backup até que sejam restaurados ou acessados.

Se a correção pode ser feita pelo próprio consumidor através das configurações da conta, o controlador pode fornecer instruções, desde que o processo não seja excessivamente trabalhoso.

O controlador pode pedir documentação para verificar a precisão dos dados.

Se o controlador não recebeu o dado diretamente do consumidor e não tem documentação de suporte, a declaração do consumidor sobre a imprecisão é suficiente para estabelecer que o dado é impreciso.

O consumidor pode solicitar a exclusão dos dados pessoais (C.R.S. § 6-1-1306(1)(d)).

As regulamentações (4 CCR 904-3, Regra 4.06) detalham:

O controlador apaga permanente e completamente dos sistemas ativos, ou desidentifica de forma que não seja razoavelmente associável ao indivíduo.

Também instrui os operadores a excluírem.

Pode adiar para sistemas de arquivo ou backup até que sejam restaurados.

Para dados obtidos de terceiros (não do próprio consumidor), pode cumprir retendo apenas o registro da solicitação e o mínimo necessário para garantir que os dados permaneçam excluídos, ou optando o consumidor para fora do processamento.

Se houver retenção parcial justificada por exceção legal, deve informar ao consumidor quais categorias não foram excluídas e qual exceção se aplica.

Quando exercendo o direito de acesso, o consumidor pode obter os dados em formato portátil e tecnicamente utilizável que permita transmissão a outra entidade sem obstáculos (C.R.S. § 6-1-1306(1)(e)).

A portabilidade pode ser exercida no máximo duas vezes por ano civil. Isso é diferente de outras leis estaduais americanas que não impõem esse limite ao direito de portabilidade.

O controlador não é obrigado a fornecer os dados de forma que revele segredos comerciais. Mas deve fornecer o máximo possível em formato portátil sem revelar o segredo.

Os prazos da CPA têm uma estrutura específica.

45 dias a partir do recebimento da solicitação para responder (C.R.S. § 6-1-1306(2)(a)).

O prazo pode ser estendido por mais 45 dias quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

Para apelações: 45 dias para responder, extensível por mais 60 dias em casos de complexidade ou grande número de solicitações (C.R.S. § 6-1-1306(3)(b)).

A primeira solicitação é gratuita. Para solicitações subsequentes no mesmo período de 12 meses, a empresa pode cobrar taxa calculada conforme C.R.S. § 24-72-205(5)(a).

A CPA tem um processo de apelação bem específico (C.R.S. § 6-1-1306(3)):

O controlador deve estabelecer um processo interno de apelação que seja conspicuamente disponível e tão fácil de usar quanto o processo de submissão de solicitações original.

O processo deve ser acionável em período razoável após o consumidor receber a notificação de recusa.

A resposta à apelação deve incluir a decisão e a justificativa por escrito.

Se a apelação for negada, o controlador deve informar o consumidor sobre a capacidade de contatar o Attorney General (C.R.S. § 6-1-1306(3)(c)).

As regulamentações (4 CCR 904-3, Regra 4.02(B)) detalham os requisitos:

Empresas exclusivamente online com relação direta com o consumidor: apenas um endereço de e-mail é suficiente.

Demais empresas: dois ou mais métodos designados, sendo que se a empresa mantém site, aplicativo ou presença digital, um dos métodos deve ser através dessa presença digital (formulário web).

Empresas que interagem presencialmente: devem considerar um método presencial (formulário impresso, tablet/computador com formulário online, ou telefone para ligação gratuita).

O método precisa:

Levar em conta como os consumidores normalmente interagem com o controlador.

Habilitar o consumidor a submeter a solicitação a qualquer momento.

Usar medidas razoáveis de segurança de dados.

Ser fácil de executar, com número mínimo de etapas.

Não exigir criação de nova conta (mas pode exigir uso de conta existente protegida por senha).

As regulamentações (4 CCR 904-3, Regra 4.08) são específicas:

O controlador deve usar método comercialmente razoável para autenticar cada solicitação. Para determinar o que é razoável, considera:

O direito exercido, o tipo, sensibilidade, valor e volume de dados envolvidos.

O nível de possível dano por acesso indevido.

O custo de autenticação para o controlador.

O controlador deve evitar solicitar dados pessoais adicionais se consegue autenticar com os dados que já tem.

O controlador não pode cobrar taxa de autenticação do consumidor. Por exemplo, não pode exigir reconhecimento em cartório sem compensar o consumidor pelo custo.

Se não conseguir autenticar com esforços razoáveis, não é obrigado a cumprir. Mas deve informar ao consumidor que a identidade não pôde ser autenticada e como remediar as deficiências.

As regulamentações (4 CCR 904-3, Regra 6.11(A)) exigem que os registros de todas as DSARs sejam mantidos por pelo menos 24 meses. Cada registro deve incluir no mínimo:

A data da solicitação.

O tipo da solicitação.

A data da resposta do controlador.

A natureza da resposta.

O fundamento para negação se o pedido foi negado total ou parcialmente.

A existência e resolução de qualquer apelação.

Os registros de DSARs com que o controlador já cumpriu também devem ser mantidos por 24 meses e disponibilizados ao novo controlador em caso de fusão, aquisição ou outra transação onde um terceiro assuma o controle dos dados pessoais.

O UOM (incluindo o GPC) não substitui o Portal do Titular, mas cobre o opt-out de publicidade segmentada e venda de dados.

Quando o consumidor envia um sinal de UOM válido, o controlador deve:

Cessar o processamento para as finalidades indicadas o mais rápido possível, sem demora indevida (4 CCR 904-3, Regra 4.03(A)(1)).

Manter o registro do opt-out (4 CCR 904-3, Regra 4.03(A)(2)).

Continuar tratando o navegador, dispositivo e consumidor como tendo exercido opt-out até que o consumidor consinta novamente (4 CCR 904-3, Regra 5.08(A)(2)).

Se o consumidor quer exercer opt-out de perfilamento com efeitos significativos, isso ainda precisa ser feito via Portal do Titular, pois o UOM cobre apenas publicidade segmentada e venda de dados.

O C.R.S. § 6-1-1308(1)(c)(II) proíbe que o controlador, com base apenas no exercício de um direito e não relacionado à viabilidade ou ao valor de um serviço, aumente o custo ou diminua a disponibilidade do produto ou serviço.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartões de clube (C.R.S. § 6-1-1308(1)(d)). As regulamentações (4 CCR 904-3, Regra 6.05) detalham extensamente as obrigações relacionadas a programas de fidelidade.

A CPA é fiscalizada pelo Attorney General e pelos District Attorneys do Colorado (C.R.S. § 6-1-1311). Não há direito de ação privada.

A partir de 1º de janeiro de 2025, o cure period de 60 dias foi revogado. AG e DAs têm discricionariedade para agir sem prazo prévio de correção.

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único, mantendo documentação por 24 meses conforme exigido pelas regulamentações.

O GPC e outros UOMs são detectados e honrados automaticamente. Quando o consumidor exerce opt-out via Portal ou via UOM, o sistema atualiza os rastreadores correspondentes. O log auditável serve como evidência para o AG ou District Attorneys.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.

Dois ou mais métodos de submissão para empresas não exclusivamente online, incluindo canal digital se a empresa mantém presença digital (4 CCR 904-3, Regra 4.02(B)(1)(b)).

Apenas e-mail para empresas exclusivamente online com relação direta com o consumidor (4 CCR 904-3, Regra 4.02(B)(1)(a)).

Cobertura dos 5 direitos: opt-out, acesso, correção, exclusão, portabilidade.

Portabilidade limitada a 2x por ano civil (C.R.S. § 6-1-1306(1)(e)).

Universal Opt-Out Mechanism honrado automaticamente a partir de julho de 2024 (C.R.S. § 6-1-1306(1)(a)(IV)(B)).

Processo de apelação conspicuamente disponível e tão fácil quanto o processo original.

Prazos: 45 dias para resposta (+45 ext.); 45 dias para apelação (+60 ext.).

Informação ao consumidor sobre como contatar o AG em caso de apelação negada.

Autenticação com esforço comercialmente razoável, sem cobrar taxa, sem solicitar dados desnecessários.

Registros mantidos por 24 meses com os 6 campos obrigatórios (4 CCR 904-3, Regra 6.11(A)).

Gratuidade na primeira solicitação; segunda pode ser cobrada conforme C.R.S. § 24-72-205(5)(a).

Renovação de consentimento configurada para 24 meses de inatividade do consumidor.

Notificação a operadores quando uma exclusão ou correção é atendida.

Tipo de solicitação	Prazo de resposta	Extensão possível
Opt-out, acesso, correção, exclusão	45 dias	+45 dias com notificação
Portabilidade (máx. 2x/ano)	45 dias	+45 dias com notificação
Apelação de decisão	45 dias	+60 dias com notificação
Cure period (violações gerais)	Discricionário (2025)	Não há garantia

1. A CPA exige Portal do Titular dedicado ou um e-mail é suficiente?
Depende do tipo de empresa. Empresas exclusivamente online com relação direta com o consumidor só precisam de um endereço de e-mail (4 CCR 904-3, Regra 4.02(B)(1)(a)). As demais precisam de dois ou mais métodos, sendo que uma empresa com site deve oferecer uma opção digital (formulário web). Um Portal do Titular dedicado é a forma mais organizada, mas não é o nome que a lei exige.

2. Como funciona o limite de 2x por ano para portabilidade?
O direito de portabilidade sob a CPA pode ser exercido no máximo duas vezes por ano civil (C.R.S. § 6-1-1306(1)(e)). Esse é um limite exclusivo da CPA entre as leis estaduais americanas. O direito de acesso (sem formato portátil) não tem esse limite explícito na lei, embora a primeira solicitação seja gratuita e subsequentes possam ser cobradas.

3. O que o controlador deve fazer quando um consumidor não interagiu por 24 meses?
As regulamentações (4 CCR 904-3, Regra 7.08) exigem que o controlador renove o consentimento para processamento de dados sensíveis e para finalidades secundárias que envolvam perfilamento com efeitos significativos, quando o consumidor não interagiu nos últimos 24 meses. Isso significa que o Portal do Titular e os sistemas de gestão de consentimento precisam rastrear a última interação do consumidor e disparar fluxos de renovação de consentimento.

4. O que acontece após apelação negada na CPA?
O C.R.S. § 6-1-1306(3)(c) exige que o controlador informe o consumidor sobre a capacidade de contatar o Attorney General. Isso é diferente de outras leis que exigem fornecer instruções específicas de como contatar a autoridade. A CPA é mais aberta: o controlador precisa comunicar que essa opção existe. O consumidor pode então submeter reclamação ao AG ou ao District Attorney da jurisdição.

5. A CPA tem alguma obrigação específica sobre dados encontrados durante uma solicitação de acesso que o controlador não pode divulgar?
Sim. As regulamentações (4 CCR 904-3, Regra 4.04(D)) listam categorias de dados que o controlador não precisa divulgar na resposta de acesso: números de identificação governamentais, números de contas financeiras, dados de seguros de saúde ou identificação médica, senhas, questões de segurança, dados biométricos e identificadores biométricos. Mas o controlador deve informar ao consumidor que tem esse tipo de dado, com detalhe suficiente (ex: "Coletamos dados biométricos únicos, incluindo digitalização de impressão digital"), sem revelar o dado em si.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.