O Colorado tem uma exigência que muda a equação para qualquer site com usuários no estado.

A partir de 1º de julho de 2024, se o seu site processa dados para publicidade segmentada ou vende dados pessoais, ele precisa detectar e honrar automaticamente o Universal Opt-Out Mechanism (UOM). Isso inclui o Global Privacy Control (GPC) e outros mecanismos reconhecidos pelo Colorado Department of Law.

Não é opcional. Não é uma boa prática recomendada. É obrigação legal sob a Colorado Privacy Act (CPA, C.R.S. § 6-1-1301 et seq.), complementada pelas Colorado Privacy Act Rules (4 CCR 904-3).

Este artigo foca exclusivamente no que a CPA e suas regulamentações exigem da Política de Cookies: o que o documento precisa conter, como o consentimento e o opt-out precisam funcionar, e o que o Universal Opt-Out Mechanism implica para cada rastreador do seu site.

O banner de cookies é a interface visual. É o que o visitante vê ao acessar o site e onde faz escolhas sobre o que aceita.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa ser acessível pelo link no próprio aviso de consentimento.

O C.R.S. § 6-1-1308(1)(a)(II) exige que o aviso de privacidade descreva as finalidades para as quais cada categoria de dados é processada. As regulamentações (4 CCR 904-3, Regra 6.06) exigem especificidade.

Para cookies, isso significa que cada categoria precisa ter uma descrição de finalidade que o consumidor realmente entenda.

O que não funciona: "cookies para melhorar sua experiência". Não é uma finalidade.

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados são processados por nossos sistemas internos e não são vendidos nem usados para publicidade segmentada."

"Cookies de publicidade: coletam identificadores de comportamento que são compartilhados com plataformas de anúncios para publicidade segmentada em outros sites e aplicações não afiliados. Incluem pixels de Meta Ads, Google Ads. Os consumidores podem exercer o opt-out através do link em nossa Política de Privacidade ou via Universal Opt-Out Mechanism."

A Política precisa listar as categorias de rastreadores:

Cookies necessários: essenciais para funcionamento básico. Não configuram publicidade segmentada ou venda. Precisam ser documentados.

Cookies de analytics: dependem da configuração. Se os dados ficam internos, geralmente não configuram publicidade segmentada. Se forem enviados a terceiros para targeting, configuram.

Cookies de publicidade: quase sempre configuram publicidade segmentada sob a CPA, que define publicidade segmentada como anúncios baseados em dados "obtidos ou inferidos ao longo do tempo das atividades do consumidor em sites, aplicações ou serviços não afiliados" (C.R.S. § 6-1-1303(25)(a)).

Cookies funcionais: lembram preferências. Geralmente não configuram publicidade segmentada ou venda.

Cookies de terceiros: disparados por serviços externos. A categorização correta de tags é o que permite documentar cada um.

A CPA define publicidade segmentada (C.R.S. § 6-1-1303(25)(a)) como a exibição de anúncios baseados em dados obtidos ou inferidos ao longo do tempo das atividades do consumidor em sites, aplicações ou serviços não afiliados.

O que não configura publicidade segmentada:

Publicidade em resposta a uma solicitação específica do consumidor.

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca atual, visita a site ou aplicação.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

A CPA define venda (C.R.S. § 6-1-1303(23)(a)) como a troca de dados pessoais por contrapartida monetária ou outro valor valioso por um controlador a um terceiro.

O segundo critério do threshold da CPA já sinaliza essa amplitude: inclui "receber desconto no preço de bens ou serviços" da venda de dados. Acordos onde o controlador troca dados por benefícios econômicos indiretos podem configurar venda.

O aviso precisa identificar as categorias de terceiros que recebem dados via cookies (C.R.S. § 6-1-1308(1)(a)(V)), com nível de detalhe que dê ao consumidor compreensão do tipo de empresa ou modelo de negócio (4 CCR 904-3, Regra 6.03(A)(1)(e)).

Isso significa que não basta dizer "parceiros de publicidade". O aviso deve descrever, por exemplo: "plataformas de anúncios digitais que usam os dados para publicidade comportamental contextual cruzada", "data brokers", "plataformas de analytics que processam dados de comportamento de navegação".

Essa é a exigência mais importante da CPA para o contexto de cookies. A partir de 1º de julho de 2024, o controlador que processa dados para publicidade segmentada ou vende dados deve aceitar opt-outs exercidos via UOM (C.R.S. § 6-1-1306(1)(a)(IV)(B)).

Na prática para cookies: quando um usuário acessa o site com o GPC ativado em seu navegador, o site precisa interpretar esse sinal como opt-out de publicidade segmentada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

As regulamentações (4 CCR 904-3, Regra 5.08(A)) detalham:

Após receber um opt-out válido via UOM, o controlador deve continuar tratando o navegador, dispositivo e consumidor como tendo exercido o opt-out até que o consumidor consinta novamente.

O controlador não pode exigir que o consumidor faça login como condição para reconhecer o UOM.

O controlador pode exibir conspicuamente quando o sinal de opt-out foi honrado (ex: "Opt-Out Preference Signal Honored").

A Política de Cookies deve descrever como o UOM é processado e o que acontece quando um consumidor envia esse sinal.

O dever de minimização de dados (C.R.S. § 6-1-1308(3)) e as regulamentações (4 CCR 904-3, Regra 6.07) exigem que os dados sejam mantidos apenas pelo tempo necessário para a finalidade especificada.

Para cookies: documentar por quanto tempo cada cookie fica ativo no dispositivo e por quanto tempo os dados coletados ficam nos sistemas. Dados biométricos e fotografias armazenadas precisam ser revisados pelo menos uma vez por ano para verificar se o armazenamento ainda é necessário (4 CCR 904-3, Regra 6.07(B)(2)).

O C.R.S. § 6-1-1303(5) define consentimento como um ato afirmativo claro, livre, específico, informado e inequívoco.

O padrão correto: cookies não essenciais desligados por padrão. O usuário escolhe o que ativa.

O que não é consentimento válido: aceitar termos gerais com descrições de processamento misturadas a outras informações, passar o mouse sobre ou fechar um conteúdo, e qualquer concordância por dark patterns.

As regulamentações do Colorado têm a descrição mais detalhada de dark patterns entre todas as leis estaduais americanas (4 CCR 904-3, Regra 7.09). São proibidos:

Apresentar as opções de escolha com peso ou destaque desigual (botão "aceitar" maior, em cor mais viva, ou mais proeminente que "recusar").

Linguagem emocionalmente manipuladora para coagir a escolha (ex: "Sim, quero ajudar espécies em extinção" vs "Não, não me importo com animais").

Silêncio ou inação interpretados como consentimento (fechar uma janela não é consentimento).

Opções de escolha com padrão pré-selecionado.

Caminho para exercer a opção mais protetora de privacidade mais longo ou difícil que o caminho para aceitar.

Interrupção repetida da experiência do usuário para solicitar consentimento após recusa.

Linguagem enganosa, duplas negações, ou sintaxe confusa nas opções de escolha.

A CPA define "criança" como indivíduo menor de 13 anos (C.R.S. § 6-1-1303(4)). Dados de crianças conhecidas são dados sensíveis e precisam de consentimento parental antes do processamento (C.R.S. § 6-1-1308(7)).

As regulamentações (4 CCR 904-3, Regra 7.06) detalham os métodos de obtenção de consentimento parental verificável, incluindo: formulários assinados retornados por correio ou fax, transação financeira com notificação ao titular da conta, ligação para número gratuito com pessoal treinado, ou videoconferência.

Se o site pode ter usuários menores de 13 anos, a Política de Cookies precisa descrever como cookies são bloqueados para esse público.

As regulamentações (4 CCR 904-3, Regra 6.04) exigem notificação dos consumidores sobre mudanças materiais. Para cookies, situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador de terceiros.

Nova ferramenta de analytics.

Novo parceiro que recebe dados de comportamento.

Mudança no uso de dados de cookies para novas finalidades.

Adição de um novo mecanismo reconhecido de UOM à lista do Colorado Department of Law (que exige que o site comece a reconhecê-lo em até 6 meses).

O mapeamento de dados contínuo é o que mantém o inventário de cookies sincronizado com o documento.

As violações da CPA são tratadas como práticas comerciais enganosas pelo Attorney General e pelos District Attorneys do Colorado. Não há direito de ação privada (C.R.S. § 6-1-1310).

O cure period de 60 dias foi revogado em 1º de janeiro de 2025. A partir de 2025, o AG e os DAs podem agir sem garantia de prazo prévio de correção.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, detecta e honra o GPC e outros UOMs automaticamente, oferece opções reais de escolha sem dark patterns, e documenta cada interação por 24 meses.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.

Link visível no rodapé e no próprio banner de cookies.

Listagem de categorias de cookies com descrição específica de cada uma.

Finalidade específica para cada categoria, sem descrições vagas.

Indicação se os dados de cada categoria são vendidos ou usados para publicidade segmentada (4 CCR 904-3, Regra 6.03(A)(1)(c)).

Categorias de terceiros que recebem dados, com nível de detalhe do tipo/modelo de negócio.

Método de opt-out claro e conspícuo dentro e fora do aviso (4 CCR 904-3, Regra 4.03(B)).

Universal Opt-Out Mechanism reconhecido: descrição de como o GPC e outros UOMs são processados (obrigatório desde julho de 2024).

Período de retenção de cada categoria de cookie.

Cookies não essenciais desativados por padrão, sem dark patterns (4 CCR 904-3, Regra 7.09).

Proteção para crianças menores de 13 anos com bloqueio de rastreadores sem consentimento parental.

Data da última atualização do documento.

Idioma acessível, sem juridiquês.

Ausência de cookie wall.

1. O que é o Universal Opt-Out Mechanism e por que ele é obrigatório no Colorado?
O UOM é um mecanismo (como o GPC) que permite ao consumidor comunicar automaticamente a escolha de opt-out de publicidade segmentada e venda de dados para múltiplos controladores simultaneamente. A partir de julho de 2024, o C.R.S. § 6-1-1306(1)(a)(IV)(B) tornou obrigatório que controladores que processam dados para publicidade segmentada ou venda aceitem e honrem esses sinais. O Colorado foi o primeiro estado americano a exigir isso por lei.

2. Como devo configurar o site para reconhecer o GPC como UOM?
As regulamentações (4 CCR 904-3, Regra 5.08) determinam que quando um sinal de UOM válido é recebido, o controlador deve imediatamente cessar o processamento para as finalidades de opt-out indicadas. O controlador não pode exigir login para reconhecer o sinal, não pode coletar dados além do necessário para autenticar que é um residente do Colorado, e pode exibir na tela quando o sinal foi honrado. Uma plataforma de gestão de consentimentos integrada automatiza esse reconhecimento.

3. O que acontece se o consumidor envia o GPC e o site continua rastreando para publicidade?
É uma violação direta do C.R.S. § 6-1-1306(1)(a)(IV)(B). O AG ou District Attorney pode investigar e, a partir de 2025, agir sem garantia de prazo de cura. As regulamentações (4 CCR 904-3, Regra 5.08(A)(2)) esclarecem que o controlador deve continuar tratando o navegador e o consumidor como tendo exercido opt-out até que o consumidor consinta novamente voluntariamente.

4. Cookies de analytics precisam de opt-out sob a CPA?
Depende de como os dados são usados. Se os dados de analytics ficam internos e não são enviados a terceiros para targeting em outros sites, geralmente não configuram publicidade segmentada. Mas se a ferramenta de analytics envia dados ao provedor que os usa para anúncios em outros sites, pode configurar. O critério da CPA é "atividades em sites não afiliados" (C.R.S. § 6-1-1303(25)(a)).

5. Como a proibição de dark patterns do Colorado se aplica ao banner de cookies?
As regulamentações (4 CCR 904-3, Regra 7.09) são detalhadas: o botão "aceitar" e o botão "recusar" precisam ter mesmo destaque visual (tamanho, cor, posição). O caminho para recusar não pode ser mais longo ou difícil. Opções pré-selecionadas são proibidas. Reaparecer repetidamente após o consumidor recusar é proibido. Cookie walls bloqueando conteúdo até aceitar podem ser proibidos se o consentimento não for estritamente necessário para o serviço.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.