A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem algumas peculiaridades no processo de DSAR que a diferenciam das outras leis estaduais americanas.

A mais importante: as solicitações de opt-out não precisam de autenticação, mas o controlador pode negar se tiver crença documentada de fraude. E a apelação tem prazo de 60 dias para resposta, não 45 como o prazo inicial.

Este artigo cobre tudo isso: o que é uma DSAR sob a CTDPA, quais são os cinco direitos garantidos, os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Connecticut.

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Connecticut para exercer os direitos que a CTDPA garante sobre os próprios dados.

Conforme a Seção 4(b), o consumidor exerce seus direitos por meios seguros e confiáveis estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o portal do titular da LGPD, a estrutura é familiar. A CTDPA adiciona regras específicas sobre autenticação de opt-outs e o papel dos agentes autorizados via tecnologia.

Conforme a Seção 4(a), os residentes do Connecticut têm cinco direitos:

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (Seção 4(a)(1)).

Uma limitação específica da CTDPA: se a confirmação ou o acesso exigirem que o controlador revele segredo comercial, o controlador não é obrigado a fazê-lo. Isso é diferente de outras leis que não mencionam segredos comerciais no contexto do direito de acesso.

O consumidor pode solicitar correção de imprecisões nos dados pessoais, levando em conta a natureza dos dados e os propósitos do processamento (Seção 4(a)(2)).

O consumidor pode solicitar a exclusão de dados pessoais fornecidos por ele ou obtidos sobre ele (Seção 4(a)(3)).

Para dados obtidos de terceiros (não do próprio consumidor), o controlador pode cumprir retendo apenas o registro da solicitação de exclusão e o mínimo necessário para garantir que os dados permaneçam excluídos (sem usar esses dados para outra finalidade), ou optando o consumidor para fora do processamento desses dados (Seção 4(c)(5)).

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável para transmissão a outro controlador sem obstáculos, onde o processamento é realizado por meios automatizados (Seção 4(a)(4)).

O controlador não é obrigado a revelar segredos comerciais para atender à solicitação de portabilidade.

O consumidor pode recusar o processamento de dados para três finalidades (Seção 4(a)(5)):

Publicidade segmentada.

Venda de dados pessoais (exceto como previsto na Seção 6(b) sobre programas de fidelidade).

Perfilamento em apoio a decisões exclusivamente automatizadas que produzem efeitos legais ou igualmente significativos sobre o consumidor.

O terceiro ponto é a diferença mais importante da CTDPA em relação a outras leis: o opt-out de perfilamento se aplica apenas a decisões exclusivamente automatizadas. Se houver qualquer revisão humana na decisão final, esse opt-out pode não se aplicar.

Conforme a Seção 4(c)(1):

45 dias para responder a partir do recebimento da solicitação.

Extensão de +45 dias quando razoavelmente necessário, considerando complexidade e número de solicitações, com notificação dentro do prazo inicial.

Gratuito uma vez por consumidor durante qualquer período de 12 meses (Seção 4(c)(3)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas: pode cobrar taxa razoável ou recusar, com ônus da prova do caráter excessivo recaindo sobre o controlador.

A CTDPA tem uma peculiaridade: o prazo para resposta à apelação é de 60 dias, não 45 como o prazo inicial (Seção 4(d)).

O processo de apelação precisa ser:

Conspicuamente disponível e similar ao processo de submissão de solicitações.

Acionável dentro de período razoável após o consumidor receber a decisão.

A resposta deve incluir qualquer ação tomada ou não tomada, junto com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online, se disponível, ou outro método pelo qual o consumidor pode contatar o Attorney General para submeter reclamação.

A CTDPA tem uma regra de autenticação diferente para opt-outs (Seção 4(c)(4)):

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: se o controlador não conseguir autenticar usando esforços comercialmente razoáveis, não é obrigado a cumprir. Deve notificar o consumidor que não conseguiu autenticar e que precisa de informação adicional.

Para solicitações de opt-out: o controlador não é obrigado a autenticar, mas pode negar se tiver crença de boa-fé, razoável e documentada de que a solicitação é fraudulenta. Se negar, deve enviar notificação ao solicitante explicando que acredita que é fraudulenta, por quê acredita nisso, e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem exigir autenticação, mas o controlador pode ter um processo de verificação de fraude.

A Seção 5 permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia, como link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de 1º de janeiro de 2025, o controlador que processa para publicidade segmentada ou vende dados deve aceitar opt-outs via sinal enviado por plataforma ou mecanismo com o consentimento do consumidor (Seção 6(e)(1)(A)(ii)). Isso inclui o Global Privacy Control (GPC).

A Seção 6(e)(1) exige que o controlador estabeleça e descreva no aviso de privacidade um ou mais meios seguros e confiáveis para submissão de solicitações. Os meios devem levar em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável.

A capacidade de verificar a identidade do consumidor.

O controlador não pode exigir criação de nova conta. Pode exigir uso de conta existente.

Além disso, a Seção 6(e)(1)(A)(i) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade segmentada e venda de dados.

Receba e autentique a identidade do titular com esforços comercialmente razoáveis.

Localize todos os dados pessoais do consumidor nos sistemas.

Verifique se a confirmação ou acesso revelaria segredos comerciais: se sim, pode negar nessa parte específica.

Prepare resposta em formato acessível dentro de 45 dias.

Receba e autentique.

Identifique o dado impreciso.

Corrija nos sistemas principais.

Confirme ao consumidor dentro de 45 dias.

Receba e autentique.

Verifique se há exceção legal.

Para dados obtidos de terceiros: escolha entre excluir ou optar o consumidor para fora do processamento.

Confirme ao consumidor.

Receba e autentique.

Gere arquivo com dados do consumidor em formato portátil, sem revelar segredos comerciais.

Entregue de forma segura dentro de 45 dias.

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC).

Não é necessário autenticar para processar, mas monitore sinais de fraude.

Se houver suspeita razoável e documentada de fraude: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Atenção especial: se o sinal de opt-out conflita com configuração específica ou programa de fidelidade do consumidor, cumpra o opt-out mas pode notificar o conflito.

Receba via Portal.

Avalie se o perfilamento em questão é exclusivamente automatizado (sem revisão humana). Se houver revisão humana significativa, o opt-out pode não se aplicar.

Se for exclusivamente automatizado: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado.

Conforme a Seção 4(c)(2), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 6(a)(6) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento no máximo em 15 dias após o recebimento da revogação.

Esse prazo de 15 dias precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

Para crianças conhecidas (menores de 13 anos sob a COPPA): os pais ou responsáveis legais podem exercer os direitos em nome da criança (Seção 4(b)).

Para consumidores sob tutela, curatela ou outro arranjo de proteção: o tutor ou curador pode exercer os direitos em nome do consumidor (Seção 4(b)).

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade segmentada ou venda sem o consentimento desses consumidores (Seção 6(a)(7)).

A Seção 6(a) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam.

A Seção 11(a) confere ao Attorney General do Connecticut autoridade exclusiva para fiscalizar a CTDPA. Não há District Attorneys envolvidos (diferente do Colorado) e não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode considerar múltiplos fatores antes de agir ou não.

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento e garante a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.

Um ou mais canais seguros e confiáveis descritos no aviso de privacidade (Seção 6(e)(1)).

Link claro e conspícuo no site para opt-out de publicidade segmentada/venda (Seção 6(e)(1)(A)(i)).

Opt-out preference signal honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

Cobertura dos 5 direitos: acesso/confirmação, correção, exclusão, portabilidade, opt-out.

Perfilamento: apenas exclusivamente automatizado coberto pelo opt-out (Seção 4(a)(5)(C)).

Opt-out sem autenticação obrigatória: processo que aceita opt-outs sem exigir verificação (Seção 4(c)(4)).

Processo de denúncia de fraude documentado se opt-outs forem negados por suspeita de fraude.

Agentes autorizados aceitos para opt-out (Seção 5).

Prazos: 45 dias para resposta (+45 ext.); 60 dias para apelação (não 45).

Mecanismo de apelação conspicuamente disponível e similar ao processo original.

Referência ao AG fornecida quando apelação é negada (Seção 4(d)).

Gratuidade na primeira solicitação por período de 12 meses (Seção 4(c)(3)).

Revogação de consentimento honrada em 15 dias (Seção 6(a)(6)).

Pais/responsáveis podem exercer direitos por crianças (Seção 4(b)).

Tutores podem exercer direitos por consumidores sob tutela (Seção 4(b)).

Proteção para adolescentes 13-15: processo para obter consentimento antes de processar para publicidade/venda.

Tipo de solicitação	Prazo de resposta	Extensão possível
Acesso, correção, exclusão, portabilidade	45 dias	+45 dias com notificação
Opt-out (não requer autenticação)	Sem prazo específico	Imediato recomendado
Apelação de decisão	60 dias	Não especificado
Revogação de consentimento	Máx. 15 dias	Não há extensão
Cure period (violações gerais)	Discricionário (2025)	Não há garantia

1. Por que o opt-out não precisa de autenticação na CTDPA?
A Seção 4(c)(4) estabelece que o controlador não é obrigado a autenticar solicitações de opt-out. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode, no entanto, negar se tiver crença documentada de fraude e deve notificar o solicitante com a justificativa. Isso equilibra a facilidade de exercício do direito com a proteção contra abusos.

2. Por que a apelação tem prazo de 60 dias e não 45 como as solicitações iniciais?
A Seção 4(d) estabelece explicitamente 60 dias para resposta a apelações, enquanto as solicitações iniciais têm prazo de 45 dias (Seção 4(c)(1)). O prazo maior para apelações provavelmente reflete a necessidade de revisão mais cuidadosa de uma decisão já tomada. Não há extensão mencionada para o prazo de apelações.

3. O opt-out de perfilamento na CTDPA é mais restrito do que em outras leis?
Sim. A Seção 4(a)(5)(C) limita o opt-out de perfilamento a decisões exclusivamente automatizadas com efeitos legais ou significativos. A VCDPA da Virgínia e a CPA do Colorado cobrem decisões com esses efeitos sem o requisito de exclusividade. Na prática, se o controlador usa perfilamento automatizado mas um humano revisa e toma a decisão final, o opt-out de perfilamento da CTDPA pode não se aplicar.

4. Quem pode exercer direitos em nome de outros consumidores na CTDPA?
A Seção 4(b) permite que pais ou responsáveis legais exercam os direitos em nome de crianças conhecidas, e que tutores ou curadores exercem direitos em nome de consumidores sob esses arranjos de proteção. Além disso, a Seção 5 permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

5. O que acontece se o controlador negar um opt-out por suspeita de fraude?
A Seção 4(c)(4) permite a negação se houver crença de boa-fé, razoável e documentada de que o opt-out é fraudulento. Mas exige notificação ao solicitante com três informações: que o controlador acredita que a solicitação é fraudulenta, por que acredita nisso, e que não cumprirá. Sem essa notificação, a negação pode ser considerada violação da lei.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.