A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem dois requisitos específicos para sites que processam dados para publicidade segmentada ou vendem dados pessoais.

O primeiro é imediato: um link claro e conspícuo no site para uma página de opt-out.

O segundo entrou em vigor em 1º de janeiro de 2025: a obrigação de honrar sinais de opt-out enviados por plataformas, tecnologias ou mecanismos com o consentimento do consumidor, como o Global Privacy Control (GPC).

Este artigo foca exclusivamente no que a CTDPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento e o opt-out devem funcionar, e o que as exigências específicas da lei implicam para cada rastreador do seu site.

O banner de cookies é a interface visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio aviso de consentimento.

A Seção 6(a)(1) exige que o controlador limite a coleta ao que é adequado, relevante e razoavelmente necessário em relação às finalidades declaradas. E a Seção 6(c)(2) exige que a finalidade esteja no aviso de privacidade.

Para cookies, cada categoria de rastreador precisa de descrição de finalidade específica e não genérica.

O que não funciona: "cookies para melhorar sua experiência".

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos nem usados para publicidade segmentada."

"Cookies de publicidade: coletam identificadores comportamentais que são compartilhados com plataformas de anúncios para publicidade segmentada em sites não afiliados. Incluem pixels de Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link de opt-out nesta página."

A Política precisa listar as categorias de rastreadores que operam no site:

Cookies necessários: essenciais para funcionamento básico. Não configuram publicidade segmentada ou venda. Precisam ser documentados, mas não exigem opt-out.

Cookies de analytics: dependem da configuração. Se os dados ficam apenas nos sistemas da empresa, geralmente não configuram publicidade segmentada. Se são enviados a terceiros para targeting em outros sites, podem configurar.

Cookies de publicidade: quase sempre configuram "publicidade segmentada" sob a CTDPA, que a define como anúncios baseados em dados "obtidos ou inferidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (Seção 1(28)).

Cookies funcionais: lembram preferências. Geralmente não configuram publicidade segmentada ou venda.

Cookies de terceiros: disparados por serviços externos. A categorização correta de tags é o que permite documentar cada um com precisão.

A CTDPA define publicidade segmentada (Seção 1(28)) como anúncios baseados em dados obtidos ou inferidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados.

O que não configura publicidade segmentada:

Anúncios baseados em atividades dentro dos próprios sites ou aplicações do controlador.

Anúncios baseados no contexto da busca ou visita atual.

Anúncios em resposta a pedido de informação do consumidor.

Processamento de dados apenas para medir ou reportar desempenho, alcance ou frequência de anúncios.

Portanto, campanhas de retargeting que usam dados de comportamento do usuário em outros sites quase sempre configuram publicidade segmentada sob a CTDPA.

A CTDPA define venda (Seção 1(26)) como a troca de dados pessoais por contrapartida monetária ou outro valor valioso a terceiros.

Não configura venda: divulgação a operadores, divulgação para produto ou serviço solicitado pelo consumidor, divulgação a afiliados, divulgação dirigida pelo consumidor, informações tornadas publicamente disponíveis pelo consumidor, e transferências em fusões e aquisições.

Se o site compartilha dados com parceiros em troca de serviços ou outros benefícios econômicos, pode configurar venda mesmo sem pagamento direto em dinheiro.

A Política precisa identificar as categorias de terceiros que recebem dados via cookies (Seção 6(c)(5)).

Isso inclui plataformas de anúncios digitais, ferramentas de analytics, redes de publicidade programática, plataformas de e-mail marketing que recebem dados comportamentais, e qualquer outro parceiro que receba identificadores ou comportamentos do usuário coletados via cookie.

A obrigação de limitar a coleta ao necessário (Seção 6(a)(1)) implica que os dados também devem ser retidos apenas pelo tempo necessário. A Política de Cookies deve documentar por quanto tempo cada categoria de cookie fica ativa e por quanto tempo os dados são retidos nos sistemas.

A Seção 6(e)(1)(A)(i) exige um link claro e conspícuo no site do controlador para uma página que permita ao consumidor ou a um agente exercer o opt-out de publicidade segmentada ou venda de dados pessoais.

Esse link precisa estar visível na página, não em locais obscuros. A Política de Cookies deve identificar esse link e descrever como o opt-out funciona.

A Seção 6(e)(1)(A)(ii) exige que a partir de 1º de janeiro de 2025, o controlador permita opt-out via sinal enviado por plataforma, tecnologia ou mecanismo com consentimento do consumidor.

Na prática para cookies: quando um usuário acessa o site com o GPC ativado em seu navegador, o site deve interpretar esse sinal como opt-out de publicidade segmentada e venda de dados, e bloquear automaticamente os rastreadores correspondentes.

O mecanismo precisa atender a requisitos específicos da CTDPA (Seção 6(e)(1)(A)(ii)):

Não pode criar desvantagem injusta para outro controlador.

Não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca.

Deve ser amigável e fácil para o consumidor médio.

Deve ser consistente com mecanismos similares exigidos por outras leis.

Deve permitir que o controlador verifique se o consumidor é residente do Connecticut.

Quando o sinal de opt-out conflita com configuração específica ou participação em programa de fidelidade, o controlador deve cumprir o sinal, mas pode notificar o consumidor e oferecer a opção de confirmar a preferência anterior.

A Política de Cookies deve descrever como o site processa esses sinais.

A Seção 1(6) define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O que não é consentimento válido:

Aceitar termos gerais com descrições de processamento misturadas a outras informações.

Passar o mouse sobre, silenciar, pausar ou fechar um conteúdo.

Qualquer concordância obtida por dark patterns.

Dark patterns são definidos na Seção 1(11) como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, tomada de decisão ou escolha do usuário, incluindo qualquer prática que a FTC classifique como dark pattern.

O padrão correto para cookies: não essenciais desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

Se o usuário concedeu consentimento para cookies não essenciais e depois decide revogar, a Seção 6(a)(6) exige que o controlador:

Forneça mecanismo de revogação pelo menos tão fácil quanto o de fornecimento.

Cesse o processamento no máximo em 15 dias após receber a revogação.

Esse prazo de 15 dias é exclusivo da CTDPA e significa que a plataforma de gestão de consentimentos precisa estar configurada para processar revogações de forma ágil, não apenas registrá-las.

A Seção 6(a)(7) proíbe processar dados de consumidores de 13 a 15 anos para publicidade segmentada ou venda sem consentimento quando o controlador tem conhecimento real dessa faixa etária.

Se o site pode ter usuários nessa faixa, a Política de Cookies deve descrever como cookies de publicidade são bloqueados para esse público e como o consentimento é obtido quando necessário.

A CTDPA não especifica uma frequência mínima de atualização do aviso de privacidade como a CCPA/CPRA. Mas a Seção 6(a)(2) proíbe processar dados para finalidades não declaradas sem consentimento, e a Seção 6(a)(1) exige limitar a coleta ao necessário para as finalidades declaradas.

Na prática, situações que exigem atualização da Política de Cookies:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O mapeamento de dados contínuo é o que mantém o inventário de cookies sincronizado com o documento.

As violações são tratadas como práticas comerciais desleais pelo Attorney General do Connecticut. Não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode agir sem garantia de prazo prévio de correção.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de opt-out, detecta e honra o GPC a partir de janeiro de 2025, processa revogações dentro de 15 dias, e documenta cada interação.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a CTDPA? Fale com a nossa equipe.

Link visível no rodapé e no banner de cookies.

Listagem de categorias de cookies com descrição do que cada uma faz.

Finalidade específica para cada categoria, sem descrições vagas (Seção 6(c)(2)).

Identificação se cookies configuram publicidade segmentada ou venda (Seção 6(d)).

Categorias de terceiros que recebem dados via cookies (Seção 6(c)(5)).

Link claro e conspícuo para opt-out de publicidade segmentada/venda no site (Seção 6(e)(1)(A)(i)).

Opt-out preference signal: descrição de como o GPC é honrado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

Revogação em 15 dias: mecanismo e prazo descritos (Seção 6(a)(6)).

Cookies não essenciais desativados por padrão, sem dark patterns (Seção 1(11)).

Proteção para adolescentes de 13 a 15 anos descrita quando aplicável (Seção 6(a)(7)).

Período de retenção de cada categoria de cookie.

E-mail ativo ou mecanismo online para contato com o controlador (Seção 6(c)(6)).

Idioma acessível, sem juridiquês.

Ausência de cookie wall.

1. O link de opt-out na CTDPA é diferente do "Do Not Sell" da CCPA?
São similares na função mas diferentes na exigência. A CCPA exige os links "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information" com textos específicos. A CTDPA exige apenas um link claro e conspícuo para uma página de opt-out de publicidade segmentada ou venda, sem texto específico obrigatório. Empresas que já têm o link da CCPA provavelmente atendem à CTDPA também, dependendo do escopo do link.

2. O opt-out preference signal da CTDPA é o mesmo que o GPC?
O GPC é o mecanismo mais conhecido que atende às especificações técnicas da CTDPA. A lei não nomeia o GPC especificamente, mas o GPC foi desenvolvido para atender exatamente a esse tipo de requisito legal. Desde que o mecanismo seja escolha afirmativa do consumidor (não padrão), não crie desvantagem injusta para o controlador, e permita verificar que é residente do Connecticut, ele atende à Seção 6(e)(1)(A)(ii).

3. O prazo de 15 dias para revogação de consentimento se aplica a todos os cookies?
Aplica-se quando o consentimento é a base para o processamento. Para cookies de publicidade segmentada onde o consumidor deu consentimento e depois revoga, a Seção 6(a)(6) exige cessação em até 15 dias. Para opt-out de publicidade segmentada ou venda (que não requer consentimento prévio mas sim opt-out), a lei não especifica o prazo de 15 dias, mas exige cessação "o mais rápido possível".

4. Cookies de analytics configuram publicidade segmentada sob a CTDPA?
Depende da ferramenta e configuração. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram. Se a ferramenta envia dados que são usados para segmentação em outros sites, pode configurar. A definição da CTDPA é "dados obtidos ou inferidos de atividades em sites não afiliados" (Seção 1(28)).

5. A CTDPA exige que adolescentes de 13 a 15 anos consintam antes de qualquer cookie?
A Seção 6(a)(7) é específica: proíbe processar dados de 13 a 15 anos para publicidade segmentada ou venda sem o consentimento desses consumidores. Não exige consentimento para outros tipos de processamento como analytics interno. A restrição se aplica quando o controlador tem conhecimento real da idade do usuário.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a CTDPA? Fale com a nossa equipe.