A Colorado Privacy Act (CPA, C.R.S. § 6-1-1301 et seq.) tem um dos conjuntos mais detalhados de exigências para o aviso de privacidade entre todas as leis estaduais americanas.

Isso acontece porque o Colorado foi além da lei: o Attorney General promulgou as Colorado Privacy Act Rules (4 CCR 904-3), um conjunto completo de regulamentações que especificam com precisão o que cada elemento do aviso de privacidade precisa conter, como deve ser apresentado, em quais idiomas, e quais mudanças exigem atualização imediata.

Este artigo foca exclusivamente no que a CPA e suas regulamentações exigem da Política de Privacidade, com base no texto oficial de ambos os documentos.

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade.

O C.R.S. § 6-1-1308(1) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

As regulamentações (4 CCR 904-3, Regra 6.02) expandem esse padrão: o aviso precisa fornecer ao consumidor uma compreensão significativa e expectativas precisas de como seus dados serão processados. Ele precisa ser claro, facilmente acessível, específico, e estar disponível em todos os idiomas que o controlador usa regularmente para interagir com os consumidores.

O aviso deve listar as categorias de dados pessoais coletados ou processados pelo controlador ou por um operador (C.R.S. § 6-1-1308(1)(a)(I)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(1)(a)) exigem que as categorias sejam descritas com nível de detalhe suficiente para que o consumidor entenda o tipo de dado. Exemplos de categorias com granularidade adequada: "informações de contato", "números de identificação governamentais", "informações de pagamento", "dados de cookies", "dados revelando afiliação religiosa", "dados médicos".

O aviso também precisa indicar especificamente se dados sensíveis ou dados de crianças são processados.

O aviso deve explicar para quê os dados de cada categoria são usados (C.R.S. § 6-1-1308(1)(a)(II)).

As regulamentações (4 CCR 904-3, Regra 6.06) exigem que a finalidade seja descrita com nível de detalhe que dê ao consumidor uma compreensão significativa de como os dados são usados. Finalidades vagas são proibidas. Se os dados forem usados para publicidade segmentada, perfilamento ou venda, isso precisa ser declarado explicitamente para cada categoria.

O aviso deve descrever como e onde os consumidores podem exercer os direitos garantidos pela CPA, incluindo as informações de contato do controlador e como apelar de uma decisão (C.R.S. § 6-1-1308(1)(a)(III)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(4)) detalham o que precisa estar no aviso:

Instruções de como usar cada método de submissão disponível.

Instruções de como um agente autorizado pode submeter opt-outs em nome do consumidor.

Um método claro e conspícuo para exercer o opt-out de publicidade segmentada e venda de dados.

A descrição do processo comercialmente razoável de autenticação de identidade.

Efetivo a partir de julho de 2024: explicação de como solicitações via Universal Opt-Out Mechanism serão processadas.

Se o controlador compartilha dados com terceiros, o aviso deve identificar as categorias de dados compartilhados (C.R.S. § 6-1-1308(1)(a)(IV)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(1)(d)) exigem que o aviso também indique se os dados de cada categoria serão vendidos, usados para publicidade segmentada, ou para perfilamento com efeitos significativos sobre o consumidor.

Além das categorias de dados, o aviso deve identificar as categorias de terceiros que os recebem (C.R.S. § 6-1-1308(1)(a)(V)).

As regulamentações (4 CCR 904-3, Regra 6.03(A)(1)(e)) exigem que as categorias de terceiros sejam descritas com nível de detalhe que dê ao consumidor uma compreensão significativa do tipo de empresa, modelo de negócios ou processamento conduzido por esses terceiros. Exemplos: "empresas de analytics", "data brokers", "anunciantes terceiros", "processadores de pagamento", "credores", "agências governamentais".

As regulamentações (4 CCR 904-3, Regra 6.03(A)(8)) exigem que o aviso inclua a data em que foi atualizado pela última vez.

O C.R.S. § 6-1-1308(1)(b) exige que se o controlador vende dados ou processa para publicidade segmentada, ele deve divulgar isso de forma clara e conspícua, junto com o método para exercer o opt-out.

As regulamentações (4 CCR 904-3, Regra 4.03(B)) detalham: o método de opt-out precisa estar no aviso de privacidade E em uma localização clara, conspícua e facilmente acessível fora do aviso. Um link direto ao método de opt-out é necessário.

A partir de julho de 2024, o aviso também precisa descrever como as solicitações via Universal Opt-Out Mechanism (incluindo o GPC) serão processadas.

Se o controlador processa dados sensíveis, o aviso precisa refletir isso explicitamente.

Dados sensíveis sob a CPA (C.R.S. § 6-1-1303(24)) incluem: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual ou orientação sexual, status de cidadania, dados genéticos ou biométricos para identificação, e dados de crianças conhecidas.

As regulamentações (4 CCR 904-3, Regra 6.10) adicionam uma nuance importante: inferências feitas pelo controlador que indicam essas categorias sensíveis (chamadas de "Sensitive Data Inferences") também são dados sensíveis e precisam de consentimento para serem processadas, exceto em situações específicas onde podem ser excluídas em 24 horas.

Se o controlador usará essa exceção de 24 horas para inferências sensíveis, o aviso deve descrever as inferências sujeitas a essa disposição e o cronograma de retenção e exclusão.

A CPA nomeia explicitamente o dever de especificação de finalidade como obrigação autônoma do controlador (C.R.S. § 6-1-1308(2)): o controlador deve especificar as finalidades expressas para as quais os dados pessoais são coletados e processados.

As regulamentações (4 CCR 904-3, Regra 6.06) detalham o que isso significa:

A finalidade deve ser descrita com nível de detalhe que dê ao consumidor uma compreensão significativa de como os dados são usados.

Se os dados são coletados para mais de uma finalidade, cada finalidade não relacionada deve ser especificada separadamente.

Não é permitido identificar uma finalidade ampla para justificar inúmeras atividades de processamento que são apenas remotamente relacionadas.

Não é permitido usar uma finalidade ampla para cobrir atividades de processamento futuras potenciais que são apenas remotamente relacionadas.

A CPA também nomeia o dever de evitar uso secundário (C.R.S. § 6-1-1308(4)): o controlador não pode processar dados para finalidades que não sejam razoavelmente necessárias ou compatíveis com as finalidades especificadas, salvo com o consentimento do consumidor.

As regulamentações (4 CCR 904-3, Regra 6.08) detalham: se o controlador coletou dados antes de julho de 2023 e a finalidade muda depois dessa data de forma incompatível com a original, precisa obter novo consentimento.

Essa é uma exigência exclusiva das regulamentações do Colorado que não existe em outras leis estaduais americanas.

Conforme 4 CCR 904-3, Regra 7.08: quando um consumidor não interagiu com o controlador nos últimos 24 meses, o controlador deve renovar o consentimento para:

Continuar processando dados sensíveis.

Continuar processando dados pessoais para finalidades secundárias que envolvam perfilamento com efeitos significativos.

A exceção é para casos em que o consumidor tem acesso permanente e capacidade de atualizar suas preferências de opt-out através de uma interface controlada por ele.

A Política de Privacidade deve descrever quando e como esse consentimento será renovado.

As regulamentações (4 CCR 904-3, Regra 6.04) exigem que o controlador notifique os consumidores de mudanças materiais no aviso de privacidade, comunicadas de forma que o controlador normalmente interage com os consumidores.

Mudanças materiais incluem: categorias de dados processados, finalidades de processamento, identidade do controlador, compartilhamento de dados com terceiros, categorias de terceiros, e métodos para exercer direitos.

Se uma mudança material configura uso secundário, o controlador precisa obter consentimento do consumidor.

As violações da CPA são tratadas como práticas comerciais enganosas sob o Colorado Consumer Protection Act (C.R.S. § 6-1-1311(1)(c)).

A fiscalização é compartilhada entre o Attorney General e os District Attorneys do Colorado. Não há direito de ação privada (C.R.S. § 6-1-1310).

Antes de 2025, havia garantia de 60 dias para correção. A partir de 2025, o período de cura é discricionário.

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A plataforma de gestão de consentimentos garante que o Universal Opt-Out Mechanism é honrado automaticamente e que o mecanismo de consentimento funciona conforme descrito.

O registro de cada interação fica documentado por 24 meses conforme exigido pelas regulamentações.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site, usando a palavra "privacy" (4 CCR 904-3, Regra 6.02(E)).

Disponível em todos os idiomas que o controlador usa para interagir com os consumidores (4 CCR 904-3, Regra 3.02(A)(3)).

Acessível para pessoas com deficiência, seguindo WCAG 2.1 (4 CCR 904-3, Regra 3.02(A)(2)).

Categorias de dados pessoais processados, com granularidade suficiente (C.R.S. § 6-1-1308(1)(a)(I)).

Finalidade para cada categoria, sem descrições vagas (C.R.S. § 6-1-1308(1)(a)(II)).

Se dados serão vendidos, usados para publicidade segmentada ou perfilamento (4 CCR 904-3, Regra 6.03(A)(1)(c)).

Como exercer todos os direitos garantidos pela CPA, com processos e prazos (C.R.S. § 6-1-1308(1)(a)(III)).

Processo de apelação descrito com prazos de 45+60 dias.

Categorias de dados compartilhados com terceiros (C.R.S. § 6-1-1308(1)(a)(IV)).

Categorias de terceiros com nível de detalhe sobre tipo/modelo de negócio (C.R.S. § 6-1-1308(1)(a)(V)).

Método de opt-out claro e conspícuo dentro e fora do aviso (C.R.S. § 6-1-1308(1)(b)).

Universal Opt-Out Mechanism e como será processado (4 CCR 904-3, Regra 6.03(A)(4)(e)).

Dados sensíveis e inferências sensíveis identificadas com como o consentimento é obtido.

Política de renovação de consentimento após 24 meses de inatividade (4 CCR 904-3, Regra 7.08).

Data da última atualização (4 CCR 904-3, Regra 6.03(A)(8)).

Informações de contato do controlador.

Processo de autenticação descrito.

1. A CPA exige um aviso de privacidade específico para o Colorado?
Não. As regulamentações (4 CCR 904-3, Regra 6.02(B)) confirmam que o controlador não precisa de um aviso separado para o Colorado, desde que o aviso existente atenda a todos os requisitos da CPA e deixe claro que os consumidores do Colorado têm os direitos garantidos pelo C.R.S. § 6-1-1306.

2. Em quantos idiomas o aviso de privacidade precisa estar disponível?
O aviso precisa estar disponível em todos os idiomas nos quais o controlador normalmente fornece páginas web, interfaces, contratos, e outras informações aos consumidores (4 CCR 904-3, Regra 3.02(A)(3)). Comunicações enviadas diretamente ao consumidor devem ser no idioma que o consumidor normalmente usa para interagir com o controlador.

3. O que são "Sensitive Data Inferences" e como elas afetam a Política de Privacidade?
São inferências feitas pelo controlador com base em dados pessoais que indicam origem racial, crenças religiosas, saúde, vida sexual ou status de cidadania (4 CCR 904-3, Regra 2.02). Assim como os dados sensíveis de origem, essas inferências precisam de consentimento para serem processadas. Se o controlador usa a exceção de exclusão em 24 horas, a Política deve descrever as inferências sujeitas a essa disposição e o cronograma de retenção.

4. O que é a renovação de consentimento após 24 meses?
As regulamentações (4 CCR 904-3, Regra 7.08) exigem que quando o consumidor não interagiu com o controlador nos últimos 24 meses, o consentimento para processar dados sensíveis ou para finalidades secundárias que envolvam perfilamento com efeitos significativos precisa ser renovado. Essa exigência é exclusiva do Colorado e não existe em outras leis estaduais americanas.

5. O que mudou na fiscalização da CPA a partir de 2025?
Antes de 2025, o C.R.S. § 6-1-1311(1)(d) garantia 60 dias de cura antes de ação judicial. A partir de 1º de janeiro de 2025, esse dispositivo foi revogado. O Attorney General e os District Attorneys têm discricionariedade para investigar e agir sem obrigação de conceder prazo prévio de correção.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CPA do Colorado? Fale com a nossa equipe.