A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem algumas peculiaridades no processo de DSAR que a diferenciam das outras leis estaduais americanas.

Esta página cobre uma parte do quadro. Para o escopo completo da CTDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da CTDPA e cookies.

A mais importante: as solicitações de opt-out não precisam de autenticação, mas o controlador pode negar se tiver crença documentada de fraude. E a apelação tem prazo de 60 dias para resposta, não 45 como o prazo inicial.

Este artigo cobre tudo isso: o que é uma DSAR sob a CTDPA, quais são os cinco direitos garantidos, os prazos específicos, as regras de autenticação, e como estruturar um Portal do Titular que funcione para a lei do Connecticut.

DSAR é a sigla para Data Subject Access Request, Solicitação de Direitos do Titular dos Dados. É qualquer pedido formal de um residente do Connecticut para exercer os direitos que a CTDPA garante sobre os próprios dados.

Conforme a Seção 4(b), o consumidor exerce seus direitos por meios seguros e confiáveis estabelecidos pelo controlador e descritos no aviso de privacidade.

Se você já conhece o portal do titular da LGPD, a estrutura é familiar. A CTDPA adiciona regras específicas sobre autenticação de opt-outs e o papel dos agentes autorizados via tecnologia.

Conforme a Seção 4(a), os residentes do Connecticut têm cinco direitos:

O consumidor pode confirmar se o controlador processa seus dados e acessar os dados pessoais (Seção 4(a)(1)).

Uma limitação específica da CTDPA: se a confirmação ou o acesso exigirem que o controlador revele segredo comercial, o controlador não é obrigado a fazê-lo. Isso é diferente de outras leis que não mencionam segredos comerciais no contexto do direito de acesso.

O consumidor pode solicitar correção de imprecisões nos dados pessoais, levando em conta a natureza dos dados e os propósitos do processamento (Seção 4(a)(2)).

O consumidor pode solicitar a exclusão de dados pessoais fornecidos por ele ou obtidos sobre ele (Seção 4(a)(3)).

Para dados obtidos de terceiros (não do próprio consumidor), o controlador pode cumprir retendo apenas o registro da solicitação de exclusão e o mínimo necessário para garantir que os dados permaneçam excluídos (sem usar esses dados para outra finalidade), ou optando o consumidor para fora do processamento desses dados (Seção 4(c)(5)).

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável para transmissão a outro controlador sem obstáculos, onde o processamento é realizado por meios automatizados (Seção 4(a)(4)).

O controlador não é obrigado a revelar segredos comerciais para atender à solicitação de portabilidade.

O consumidor pode recusar o processamento de dados para três finalidades (Seção 4(a)(5)):

Publicidade segmentada.

Venda de dados pessoais (exceto como previsto na Seção 6(b) sobre programas de fidelidade).

Perfilamento em apoio a decisões exclusivamente automatizadas que produzem efeitos legais ou igualmente significativos sobre o consumidor.

O terceiro ponto é a diferença mais importante da CTDPA em relação a outras leis: o opt-out de perfilamento se aplica apenas a decisões exclusivamente automatizadas. Se houver qualquer revisão humana na decisão final, esse opt-out pode não se aplicar.

Conforme a Seção 4(c)(1):

45 dias para responder a partir do recebimento da solicitação.

Extensão de +45 dias quando razoavelmente necessário, considerando complexidade e número de solicitações, com notificação dentro do prazo inicial.

Gratuito uma vez por consumidor durante qualquer período de 12 meses (Seção 4(c)(3)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas: pode cobrar taxa razoável ou recusar, com ônus da prova do caráter excessivo recaindo sobre o controlador.

A CTDPA tem uma peculiaridade: o prazo para resposta à apelação é de 60 dias, não 45 como o prazo inicial (Seção 4(d)).

O processo de apelação precisa ser:

Conspicuamente disponível e similar ao processo de submissão de solicitações.

Acionável dentro de período razoável após o consumidor receber a decisão.

A resposta deve incluir qualquer ação tomada ou não tomada, junto com explicação escrita dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online, se disponível, ou outro método pelo qual o consumidor pode contatar o Attorney General para submeter reclamação.

A CTDPA tem uma regra de autenticação diferente para opt-outs (Seção 4(c)(4)):

Para exercício dos direitos de acesso, correção, exclusão e portabilidade: se o controlador não conseguir autenticar usando esforços comercialmente razoáveis, não é obrigado a cumprir. Deve notificar o consumidor que não conseguiu autenticar e que precisa de informação adicional.

Para solicitações de opt-out: o controlador não é obrigado a autenticar, mas pode negar se tiver crença de boa-fé, razoável e documentada de que a solicitação é fraudulenta. Se negar, deve enviar notificação ao solicitante explicando que acredita que é fraudulenta, por quê acredita nisso, e que não cumprirá.

Essa distinção é importante para o Portal do Titular: o mecanismo de opt-out precisa funcionar sem exigir autenticação, mas o controlador pode ter um processo de verificação de fraude.

A Seção 5 permite que o consumidor designe outra pessoa como agente autorizado para exercer o opt-out em seu nome. Isso inclui via tecnologia, como link de Internet, configuração de navegador, extensão de navegador ou configuração global de dispositivo.

O controlador deve cumprir o opt-out recebido de agente autorizado se conseguir verificar, com esforço comercialmente razoável, a identidade do consumidor e a autoridade do agente.

A partir de 1º de janeiro de 2025, o controlador que processa para publicidade segmentada ou vende dados deve aceitar opt-outs via sinal enviado por plataforma ou mecanismo com o consentimento do consumidor (Seção 6(e)(1)(A)(ii)). Isso inclui o Global Privacy Control (GPC).

A Seção 6(e)(1) exige que o controlador estabeleça e descreva no aviso de privacidade um ou mais meios seguros e confiáveis para submissão de solicitações. Os meios devem levar em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável.

A capacidade de verificar a identidade do consumidor.

O controlador não pode exigir criação de nova conta. Pode exigir uso de conta existente.

Além disso, a Seção 6(e)(1)(A)(i) exige especificamente um link claro e conspícuo no site para uma página de opt-out de publicidade segmentada e venda de dados.

Receba e autentique a identidade do titular com esforços comercialmente razoáveis.

Localize todos os dados pessoais do consumidor nos sistemas.

Verifique se a confirmação ou acesso revelaria segredos comerciais: se sim, pode negar nessa parte específica.

Prepare resposta em formato acessível dentro de 45 dias.

Receba e autentique.

Identifique o dado impreciso.

Corrija nos sistemas principais.

Confirme ao consumidor dentro de 45 dias.

Receba e autentique.

Verifique se há exceção legal.

Para dados obtidos de terceiros: escolha entre excluir ou optar o consumidor para fora do processamento.

Confirme ao consumidor.

Receba e autentique.

Gere arquivo com dados do consumidor em formato portátil, sem revelar segredos comerciais.

Entregue de forma segura dentro de 45 dias.

Receba a solicitação (via Portal, link no site, ou sinal de opt-out como o GPC).

Não é necessário autenticar para processar, mas monitore sinais de fraude.

Se houver suspeita razoável e documentada de fraude: notifique o solicitante.

Caso contrário: cesse o processamento para as finalidades indicadas.

Atenção especial: se o sinal de opt-out conflita com configuração específica ou programa de fidelidade do consumidor, cumpra o opt-out mas pode notificar o conflito.

Receba via Portal.

Avalie se o perfilamento em questão é exclusivamente automatizado (sem revisão humana). Se houver revisão humana significativa, o opt-out pode não se aplicar.

Se for exclusivamente automatizado: cesse o uso dos dados para essas decisões.

Informe o consumidor do resultado.

Conforme a Seção 4(c)(2), o controlador que não tomar ação deve informar o consumidor sem demora indevida, mas não mais tarde que 45 dias, com:

A justificativa para não tomar ação.

Instruções sobre como apelar da decisão.

Se o consumidor havia consentido com processamento de dados sensíveis ou outros processamentos baseados em consentimento e decide revogar, a Seção 6(a)(6) exige:

Mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cessação do processamento no máximo em 15 dias após o recebimento da revogação.

Esse prazo de 15 dias precisa ser considerado nos sistemas de gestão de consentimento e nos processos operacionais do Portal do Titular.

Para crianças conhecidas (menores de 13 anos sob a COPPA): os pais ou responsáveis legais podem exercer os direitos em nome da criança (Seção 4(b)).

Para consumidores sob tutela, curatela ou outro arranjo de proteção: o tutor ou curador pode exercer os direitos em nome do consumidor (Seção 4(b)).

Para adolescentes de 13 a 15 anos: o controlador não pode processar dados para publicidade segmentada ou venda sem o consentimento desses consumidores (Seção 6(a)(7)).

A Seção 6(a) proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam.

A Seção 11(a) confere ao Attorney General do Connecticut autoridade exclusiva para fiscalizar a CTDPA. Não há District Attorneys envolvidos (diferente do Colorado) e não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode considerar múltiplos fatores antes de agir ou não.

A AdOpt registra cada interação de consentimento, opt-out e revogação com timestamp e identificador único. Quando o consumidor exerce o opt-out via Portal ou via sinal como o GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O sistema processa revogações de consentimento e garante a cessação dentro de 15 dias. O log auditável da AdOpt serve como evidência de conformidade para o Attorney General.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.

Um ou mais canais seguros e confiáveis descritos no aviso de privacidade (Seção 6(e)(1)).

Link claro e conspícuo no site para opt-out de publicidade segmentada/venda (Seção 6(e)(1)(A)(i)).

Opt-out preference signal honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

Cobertura dos 5 direitos: acesso/confirmação, correção, exclusão, portabilidade, opt-out.

Perfilamento: apenas exclusivamente automatizado coberto pelo opt-out (Seção 4(a)(5)(C)).

Opt-out sem autenticação obrigatória: processo que aceita opt-outs sem exigir verificação (Seção 4(c)(4)).

Processo de denúncia de fraude documentado se opt-outs forem negados por suspeita de fraude.

Agentes autorizados aceitos para opt-out (Seção 5).

Prazos: 45 dias para resposta (+45 ext.); 60 dias para apelação (não 45).

Mecanismo de apelação conspicuamente disponível e similar ao processo original.

Referência ao AG fornecida quando apelação é negada (Seção 4(d)).

Gratuidade na primeira solicitação por período de 12 meses (Seção 4(c)(3)).

Revogação de consentimento honrada em 15 dias (Seção 6(a)(6)).

Pais/responsáveis podem exercer direitos por crianças (Seção 4(b)).

Tutores podem exercer direitos por consumidores sob tutela (Seção 4(b)).

Proteção para adolescentes 13-15: processo para obter consentimento antes de processar para publicidade/venda.

1. Por que o opt-out não precisa de autenticação na CTDPA?
A Seção 4(c)(4) estabelece que o controlador não é obrigado a autenticar solicitações de opt-out. A justificativa é que o opt-out é um direito básico que não deve ter barreiras desnecessárias. O controlador pode, no entanto, negar se tiver crença documentada de fraude e deve notificar o solicitante com a justificativa. Isso equilibra a facilidade de exercício do direito com a proteção contra abusos.

2. Por que a apelação tem prazo de 60 dias e não 45 como as solicitações iniciais?
A Seção 4(d) estabelece explicitamente 60 dias para resposta a apelações, enquanto as solicitações iniciais têm prazo de 45 dias (Seção 4(c)(1)). O prazo maior para apelações provavelmente reflete a necessidade de revisão mais cuidadosa de uma decisão já tomada. Não há extensão mencionada para o prazo de apelações.

3. O opt-out de perfilamento na CTDPA é mais restrito do que em outras leis?
Sim. A Seção 4(a)(5)(C) limita o opt-out de perfilamento a decisões exclusivamente automatizadas com efeitos legais ou significativos. A VCDPA da Virgínia e a CPA do Colorado cobrem decisões com esses efeitos sem o requisito de exclusividade. Na prática, se o controlador usa perfilamento automatizado mas um humano revisa e toma a decisão final, o opt-out de perfilamento da CTDPA pode não se aplicar.

4. Quem pode exercer direitos em nome de outros consumidores na CTDPA?
A Seção 4(b) permite que pais ou responsáveis legais exerçam os direitos em nome de crianças conhecidas, e que tutores ou curadores exercem direitos em nome de consumidores sob esses arranjos de proteção. Além disso, a Seção 5 permite que qualquer consumidor designe agente autorizado para exercer o opt-out, inclusive via tecnologia como extensão de navegador ou configuração de dispositivo.

5. O que acontece se o controlador negar um opt-out por suspeita de fraude?
A Seção 4(c)(4) permite a negação se houver crença de boa-fé, razoável e documentada de que o opt-out é fraudulento. Mas exige notificação ao solicitante com três informações: que o controlador acredita que a solicitação é fraudulenta, por que acredita nisso, e que não cumprirá. Sem essa notificação, a negação pode ser considerada violação da lei.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a CTDPA? Fale com a nossa equipe.