A Connecticut Data Privacy Act (CTDPA, Public Act No. 22-15) tem um requisito específico para o aviso de privacidade que não aparece com essa clareza em outras leis estaduais americanas: o aviso deve incluir um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador.

Parece simples. Mas é uma exigência explícita que muitas empresas ignoram ao estruturar suas políticas de privacidade para conformidade com outras legislações.

Este artigo foca exclusivamente no que a CTDPA exige da Política de Privacidade, com base no texto oficial da lei.

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com elementos de conteúdo específicos da CTDPA.

A Seção 6(c) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível, claro e significativo".

O aviso deve listar as categorias de dados pessoais processados pelo controlador (Seção 6(c)(1)).

As categorias precisam ser descritas com clareza suficiente para que o consumidor entenda quais tipos de dados estão sendo coletados. Isso inclui identificadores, dados comportamentais, dados de geolocalização, dados de comunicação, e, especialmente, se houver dados sensíveis na lista.

Dados sensíveis sob a CTDPA (Seção 1(27)) incluem: origem racial ou étnica, crenças religiosas, saúde física ou mental, vida sexual, orientação sexual, cidadania ou status de imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e dados de geolocalização precisa. Se qualquer uma dessas categorias é coletada, precisa estar explicitamente listada.

O aviso deve explicar para quê os dados são utilizados (Seção 6(c)(2)).

A finalidade precisa ser específica o suficiente para que o consumidor entenda o propósito real. A CTDPA proíbe o processamento para finalidades incompatíveis com as declaradas, salvo com consentimento (Seção 6(a)(2)).

Se os dados forem usados para publicidade segmentada ou venda, a Seção 6(d) exige divulgação clara e conspícua específica sobre esse uso, junto com o método de opt-out. Isso pode estar integrado ao aviso de privacidade ou ser complementado por uma seção específica.

O aviso deve descrever como os consumidores podem exercer os cinco direitos garantidos pela CTDPA, incluindo como apelar de uma decisão do controlador (Seção 6(c)(3)).

Os cinco direitos cobertos são: acesso e confirmação, correção, exclusão, portabilidade, e opt-out de publicidade segmentada, venda de dados, e perfilamento exclusivamente automatizado.

Para o exercício dos direitos, a Seção 6(e)(1) exige que o controlador estabeleça um ou mais meios seguros e confiáveis, descritos no aviso de privacidade, que levem em conta:

As formas como os consumidores normalmente interagem com o controlador.

A necessidade de comunicação segura e confiável das solicitações.

A capacidade do controlador de verificar a identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta, mas pode exigir uso de conta existente.

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros (Seção 6(c)(4)).

Isso inclui plataformas de analytics, ferramentas de publicidade, CRMs, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários. "Terceiro" na CTDPA (Seção 1(29)) exclui o próprio consumidor, o controlador, o operador, e os afiliados do controlador ou do operador.

Além das categorias de dados, o aviso deve identificar as categorias de terceiros que os recebem (Seção 6(c)(5)).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "CRMs de marketing" e "processadores de pagamento" são exemplos válidos. As categorias precisam ser identificáveis o suficiente para o consumidor entender quem acessa os dados.

O aviso deve incluir um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador (Seção 6(c)(6)).

Essa exigência é explícita e específica da CTDPA. O consumidor precisa ter um meio de contato direto com o controlador disponível no próprio aviso de privacidade. Não basta listar direitos e processos se não há como o consumidor entrar em contato de forma prática.

Se o controlador vende dados pessoais a terceiros ou os processa para publicidade segmentada, a Seção 6(d) exige divulgação clara e conspícua dessa prática, junto com o método para exercer o opt-out.

Publicidade segmentada na CTDPA (Seção 1(28)) são anúncios baseados em dados de atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados. Anúncios contextuais, anúncios baseados no próprio site, e anúncios em resposta a pedido do consumidor não configuram publicidade segmentada.

Além do aviso de privacidade, a Seção 6(e)(1)(A)(i) exige que o controlador disponibilize um link claro e conspícuo no seu site para uma página que permita ao consumidor exercer o opt-out de publicidade segmentada ou venda de dados.

Esse link precisa ser visível na página, não enterrado em menus ou rodapés obscuros.

A Seção 6(e)(1)(A)(ii) exige que a partir de 1º de janeiro de 2025, o controlador que processa para publicidade segmentada ou vende dados permita opt-out via sinal de opt-out enviado com o consentimento do consumidor.

O mecanismo não pode ser configuração padrão: deve representar escolha afirmativa, livre e inequívoca do consumidor. O Global Privacy Control (GPC) é o mecanismo mais conhecido que atende a esses critérios.

A Política de Privacidade deve informar se o site respeita esses sinais e como funcionam.

Dados sensíveis precisam de consentimento antes do processamento. A Política deve identificar explicitamente:

Se alguma categoria de dados sensíveis é coletada.

Para que finalidade específica esses dados sensíveis são usados.

Como o consentimento é obtido e pode ser revogado.

O mecanismo de revogação deve ser pelo menos tão fácil quanto o de fornecimento. E após a revogação, o processamento deve cessar em no máximo 15 dias.

Se o site pode ter usuários com idades entre 13 e 15 anos, a Política de Privacidade deve descrever como a empresa obtém consentimento antes de processar dados para publicidade segmentada ou venda (Seção 6(a)(7)).

O controlador que tem conhecimento real e deliberadamente desconsidera que um usuário está nessa faixa etária está sujeito às sanções da lei.

A CTDPA tem uma cláusula específica para portabilidade (Seção 4(a)(4)): o controlador não é obrigado a revelar segredos comerciais ao fornecer dados em formato portátil. A Política pode mencionar essa limitação para definir expectativas do consumidor.

O prazo de resposta à apelação na CTDPA é de 60 dias (Seção 4(d)), não 45 como o prazo inicial para solicitações. A Política de Privacidade deve descrever esse processo de apelação com o prazo correto.

Se a apelação for negada, o controlador deve fornecer ao consumidor mecanismo online ou outro método para contatar o Attorney General e registrar reclamação.

A Seção 6(a) proíbe expressamente que o controlador discrimine consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium, descontos ou cartão de clube onde o consumidor voluntariamente participa.

As violações da CTDPA são tratadas como práticas comerciais desleais pelo Attorney General do Connecticut. Não há direito de ação privada.

A partir de janeiro de 2025, o cure period é discricionário. O AG pode ou não conceder prazo de correção antes de agir.

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A plataforma de gestão de consentimentos garante que o mecanismo de consentimento e opt-out funciona conforme descrito, que o GPC é honrado a partir de janeiro de 2025, e que a revogação de consentimento é processada dentro de 15 dias.

O registro de cada interação fica documentado. Se o AG pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a CTDPA? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site.

Categorias de dados pessoais processados, incluindo dados sensíveis se coletados (Seção 6(c)(1)).

Finalidade para o processamento de cada categoria (Seção 6(c)(2)).

Como exercer todos os 5 direitos garantidos pela CTDPA, com processos e prazos (Seção 6(c)(3)).

Processo de apelação com prazo de 60 dias (não 45) (Seção 4(d)).

Categorias de dados compartilhados com terceiros (Seção 6(c)(4)).

Categorias de terceiros que recebem dados (Seção 6(c)(5)).

Endereço de e-mail ativo ou mecanismo online de contato com o controlador (Seção 6(c)(6)).

Divulgação de publicidade segmentada ou venda com opt-out acessível (Seção 6(d)).

Link claro e conspícuo para opt-out de publicidade segmentada/venda no site (Seção 6(e)(1)(A)(i)).

Opt-out preference signal: declaração de como o GPC é processado a partir de janeiro de 2025 (Seção 6(e)(1)(A)(ii)).

Tratamento de dados sensíveis com como o consentimento é obtido e revogado.

Prazo de 15 dias para honrar revogação de consentimento mencionado (Seção 6(a)(6)).

Proteção para adolescentes de 13 a 15 anos descrita (Seção 6(a)(7)).

Política de não discriminação para consumidores que exercem direitos (Seção 6(a)).

1. Por que a CTDPA exige e-mail ativo ou mecanismo online na Política de Privacidade?
A Seção 6(c)(6) exige especificamente que o aviso de privacidade inclua um endereço de e-mail ativo ou outro mecanismo online que o consumidor pode usar para contatar o controlador. Isso garante que o consumidor tenha um canal de comunicação direta disponível no próprio documento de privacidade, não apenas processos abstratos de exercício de direitos.

2. Qual é a diferença entre o prazo de resposta a solicitações e a apelações na CTDPA?
Para solicitações iniciais: 45 dias, extensível por mais 45 (Seção 4(c)(1)). Para apelações: 60 dias, sem extensão mencionada (Seção 4(d)). A Política de Privacidade deve descrever os dois prazos corretamente, pois a maioria das leis usa o mesmo prazo para os dois.

3. A Política de Privacidade precisa mencionar o prazo de 15 dias para revogação de consentimento?
Sim. A Seção 6(a)(6) exige que o controlador cesse o processamento no máximo em 15 dias após a revogação do consentimento. Como isso é único entre as leis estaduais americanas, é importante mencionar explicitamente esse prazo na Política para que o consumidor saiba o que esperar.

4. O que é o opt-out preference signal e quando a CTDPA o exige?
É um sinal enviado por navegador, extensão ou dispositivo (como o GPC) comunicando a preferência de opt-out. A Seção 6(e)(1)(A)(ii) torna obrigatório que o controlador honre esses sinais a partir de 1º de janeiro de 2025. A Política de Privacidade deve descrever como esses sinais são processados.

5. A Política de Privacidade precisa mencionar a proteção para adolescentes de 13 a 15 anos?
Sim, se o site pode ter usuários nessa faixa etária. A Seção 6(a)(7) proíbe o processamento de dados para publicidade segmentada ou venda de consumidores de 13 a 15 anos sem o consentimento deles quando o controlador tem conhecimento real. A Política deve descrever como esse consentimento é obtido para esse grupo específico.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CTDPA? Fale com a nossa equipe.