35 mil consumidores
Controlar o procesar datos de al menos 35 mil consumidores de Connecticut, sin contar los datos usados solo para completar un pago. Antes, el límite era de 100 mil.
Guía · Ley estatal de EE. UU.
CTDPA: la ley de Connecticut explicada para quienes tienen anuncios
Connecticut reescribió su ley de privacidad en 2025 y los cambios rigen desde el 1 de julio de 2026. El límite de visitantes bajó mucho, los adolescentes ganaron protección total contra la publicidad dirigida y el aviso de privacidad se volvió más exigente. Mira qué significa esto para un sitio con anuncios.
- ✓Basado en la ley y en las páginas del fiscal general de Connecticut
- ✓Ejemplos pensados para sitios con AdSense y Ad Manager
- ✓Auditoría de solo lectura, sin modificar el sitio
35 milconsumidores de Connecticut por año: el nuevo límite en vigor desde julio de 2026
18edad por debajo de la cual la venta y la publicidad dirigida quedan prohibidas para adolescentes de 13 años o más, incluso con consentimiento
US$ 5.000multa civil máxima por infracción según la ley de prácticas comerciales desleales del estado
US$ 85.000valor del acuerdo de TicketNetwork con el fiscal general, anunciado en julio de 2025
Qué es
Una ley que empezó parecida a la de Virginia y se fue volviendo más dura
La Connecticut Data Privacy Act, o CTDPA, se firmó el 10 de mayo de 2022 y empezó a regir el 1 de julio de 2023. Sigue el modelo de Virginia y Colorado: derechos del consumidor, opt-out de la publicidad dirigida, consentimiento para datos sensibles y evaluaciones de protección de datos.
Desde entonces, la ley se modificó varias veces. En 2023 recibió reglas para los datos de salud del consumidor y para los servicios en línea ofrecidos a menores. En 2025, una gran revisión aprobada como SB 1295 bajó los límites de aplicación, amplió los datos sensibles y endureció las reglas para menores. Esa revisión rige desde el 1 de julio de 2026.
Para un sitio con anuncios, los puntos centrales son tres: el visitante puede rechazar la publicidad dirigida y la venta de datos, el sitio debe respetar la señal automática de rechazo del navegador desde 2025, y los adolescentes de 13 a 17 años no pueden recibir anuncios dirigidos.
La ley funciona por opt-out para los adultos. No exige permiso antes de mostrar anuncios personalizados, pero el rechazo debe ser fácil, visible y funcionar de verdad.
Lista de verificación
Lo que debes cumplir
Valen para quien cumple los criterios de la ley de Connecticut. Consulta con tu asesor legal si tu sitio entra.
Ofrece un enlace fácil de encontrar
Quien hace publicidad dirigida o vende datos necesita un enlace fácil de acceder en el sitio para que el visitante rechace.
EjemploPie de página: Do Not Sell or Share My Personal Information
Respeta las señales de rechazo del navegador
Desde el 1 de enero de 2025, todo responsable cubierto tiene que respetar señales como el GPC. La señal debe permitir saber si la persona vive en Connecticut.
Explica todo en el aviso de privacidad
El aviso dice qué datos tratas, para qué, si los compartes con terceros y cómo el visitante ejerce sus derechos.
EjemploCompartimos datos de navegación con socios de anuncios para publicidad dirigida. Puedes rechazarlo con el enlace del pie de página.
Pide consentimiento para datos sensibles
Antes de tratar datos sensibles, como salud o ubicación precisa, el sitio necesita el consentimiento del visitante.
Protege a los menores de edad
Para menores de 16 años, la venta y la publicidad dirigida exigen consentimiento previo. En servicios en línea para menores de 18 años, la ley prohíbe la publicidad dirigida y la venta de datos.
Responde dentro del plazo
Las solicitudes se responden en un máximo de 45 días, con una prórroga posible de otros 45. El recurso se responde por escrito en un máximo de 60 días.
Documenta una evaluación de riesgo
La publicidad dirigida, la venta de datos, los perfiles y los datos sensibles exigen una evaluación de protección de datos antes de empezar.
Lleva el rechazo a Google
En la sección de Connecticut de la string GPP, el rechazo de venta o de publicidad dirigida activa el RDP. En la etiqueta de AdSense, el RDP también se puede activar para quien rechazó.
<!-- AdSense: RDP no bloco de anúncio de quem recusou --> <ins class="adsbygoogle" data-ad-client="ca-pub-XXXXXXXXXXXXXXXX" data-ad-slot="1234567890" data-restrict-data-processing="1"></ins>
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoEl sitio no tiene enlace, o el enlace lleva a una página rota. ✓CorrectoEl pie de página tiene un enlace de rechazo que funciona en todas las páginas. ✕IncorrectoEl sitio lee el GPC, pero los anuncios siguen personalizados. ✓CorrectoEl sitio detecta el GPC y pasa el rechazo a los socios antes del primer anuncio. ✕IncorrectoEl sitio usa la ubicación precisa para anuncios sin pedir nada. ✓CorrectoEl sitio pide consentimiento antes de usar la ubicación precisa del visitante. ✕IncorrectoUn servicio para adolescentes de 15 años muestra anuncios dirigidos. ✓CorrectoUn servicio para adolescentes muestra solo anuncios sin publicidad dirigida.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
Google no exige una CMP certificada para Connecticut. Usa el mensaje de estados de EE. UU. de Google o una CMP que lea el GPC y genere GPP. Estos son los enlaces oficiales.
- Fiscalía General de Connecticut: The Connecticut Data Privacy ActPágina oficial con las obligaciones, el GPC, los plazos y los informes de fiscalización.portal.ct.gov/ag/sections/privacy/the-connecticut-data-privacy-act
- Google AdSense: crear un mensaje de regulaciones de estados de EE. UU.Paso a paso para activar, en Privacidad y mensajes, el mensaje con el enlace Do Not Sell or Share My Personal Information.support.google.com/adsense/answer/10960771
- Google AdSense: compatibilidad con IAB GPPMuestra qué secciones de la string GPP lee Google y qué rechazos activan el procesamiento restringido de datos.support.google.com/adsense/answer/14126816
- IAB Tech Lab: GPPPágina oficial del formato que la CMP usa para pasar la elección del visitante a los socios de anuncios, con las secciones de EE. UU.iabtechlab.com/gpp
- Global Privacy Control: sitio oficialExplica la señal que el sitio tiene que respetar y lista los navegadores y las extensiones que la envían.globalprivacycontrol.org
A quién se aplica
Los límites quedaron mucho más bajos en 2026
La ley rige para quienes hacen negocios en Connecticut o dirigen productos y servicios a residentes del estado. Desde el 1 de julio de 2026, basta cumplir uno de los criterios siguientes en el año anterior.
Cualquier dato sensible
Controlar o procesar datos sensibles de consumidores, en cualquier volumen, también coloca a la empresa dentro de la ley.
Cualquier venta de datos
Ofrecer datos personales a la venta, en cualquier volumen, también coloca a la empresa dentro de la ley. Antes, había que tener 25 mil consumidores y más del 25% de los ingresos provenientes de la venta.
Solo el consumidor persona física
La ley protege a los residentes de Connecticut que actúan como consumidores, y no en un contexto laboral.
Definiciones
Los términos que importan para quien vende anuncios
Connecticut tiene una de las listas de datos sensibles más largas entre los estados de EE. UU.
Dato personal
Información vinculada o que pueda vincularse razonablemente a una persona identificada o identificable. Los datos anonimizados y públicos quedan fuera.
Dato sensible
Origen racial, religión, salud, discapacidad, orientación sexual, identidad trans o no binaria, situación migratoria, documentos, inicio de sesión en cuentas financieras, datos neurales, genéticos, biométricos, de niños y ubicación precisa en un radio de 1.750 pies.
Venta
Intercambio de datos personales por dinero o por otro valor con un tercero. Transferir datos a un socio de anuncios a cambio de un servicio puede entrar en esta definición.
Publicidad dirigida
Anuncio elegido con base en datos de las actividades de la persona a lo largo del tiempo en sitios y apps de otras empresas. El anuncio contextual no entra.
Derechos y opt-out
Derechos del visitante, enlace de rechazo y GPC desde 2025
El visitante de Connecticut puede acceder a sus datos, incluidas las conclusiones sacadas de ellos, corregirlos, eliminarlos, llevarse una copia, pedir la lista de terceros que compraron sus datos y rechazar la publicidad dirigida, la venta y los perfiles de riesgo. Desde 2026, también puede impugnar decisiones basadas en perfiles. La empresa tiene 45 días para responder y 60 días para responder a una apelación.
Quien hace publicidad dirigida o vende datos necesita un enlace claro y visible en el sitio que permita rechazar. La ley no define el texto exacto, pero el enlace debe llevar a un camino simple, sin crear una cuenta nueva.
Desde el 1 de enero de 2025, el sitio también debe aceptar señales automáticas de rechazo, como el Global Privacy Control, el GPC. La ley dice que la señal debe reflejar una elección activa del consumidor, y no una configuración que ya viene activada de fábrica, y debe permitir que la empresa sepa si la persona vive en Connecticut.
Si la señal entra en conflicto con una configuración que el visitante eligió antes en el sitio, vale la señal. El sitio puede avisar del conflicto y ofrecer la opción de mantener la elección anterior. En la práctica, la CMP debe detectar el GPC y transmitir el rechazo a los socios de anuncios antes de la primera solicitud.
Aviso, menores y evaluaciones
El aviso de privacidad se volvió más detallado en 2026
Con la revisión de 2025, el aviso de privacidad necesita un enlace con la palabra privacidad en la página de inicio, la fecha de actualización con mes y año, las categorías de datos vendidos a terceros y una explicación clara sobre la publicidad dirigida y la venta. También debe decir si los datos se usan para entrenar grandes modelos de lenguaje.
Los datos sensibles solo pueden tratarse con consentimiento. Para los niños menores de 13 años, rige el consentimiento de los padres en el formato de la ley federal COPPA.
Para los adolescentes de 13 a 17 años, la revisión de 2025 prohíbe la venta de datos y la publicidad dirigida, incluso con consentimiento. Para los servicios en línea ofrecidos a menores, la ley también limita los perfiles y la recopilación de ubicación precisa.
La publicidad dirigida, la venta de datos, los datos sensibles y los perfiles de riesgo exigen una evaluación de protección de datos documentada. Para los perfiles usados en decisiones importantes, la revisión de 2025 exige además una evaluación de impacto en las actividades iniciadas a partir del 1 de agosto de 2026.
Cronología
Las fechas de la ley de Connecticut
Fechas confirmadas en el texto de la ley y en las páginas del fiscal general de Connecticut.
- 10 de mayo de 2022
Ley firmada
La CTDPA se sanciona como Senate Bill 6.
- 1 de julio de 2023
Entrada en vigor
Pasan a regir los derechos, el opt-out y el plazo obligatorio de 60 días para la corrección.
- 1 de enero de 2025
GPC obligatorio y fin de la corrección obligatoria
El sitio debe aceptar señales universales de rechazo. La oportunidad de corregir antes de la acción pasa a ser una decisión del fiscal general.
- 8 de julio de 2025
Acuerdo con TicketNetwork
TicketNetwork paga US$ 85.000 por un aviso de privacidad ilegible y mecanismos de solicitud que no funcionaban.
- 1 de julio de 2026
Revisión SB 1295 en vigor
Nuevos límites, más datos sensibles, prohibición de anuncios dirigidos para adolescentes de 13 a 17 años y un aviso de privacidad más completo.
Supervisión y multas
Fiscal general, informes públicos y multa por infracción
El fiscal general de Connecticut tiene competencia exclusiva para aplicar la ley. Los ciudadanos no pueden demandar a la empresa con base en la CTDPA.
Entre julio de 2023 y diciembre de 2024, cuando la falla se podía corregir, el fiscal general debía avisar y dar 60 días para la corrección. Desde el 1 de enero de 2025, esa oportunidad pasó a ser una decisión suya, que tiene en cuenta el número de infracciones, el tamaño de la empresa, la sensibilidad de los datos y si el error fue humano o técnico.
Una infracción de la CTDPA se trata como una práctica comercial desleal. La multa civil llega a US$ 5.000 por infracción, y el fiscal general también puede pedir una orden judicial, restitución y la devolución de las ganancias.
La oficina publica informes anuales de fiscalización. En el acuerdo anunciado el 8 de julio de 2025, TicketNetwork pagó US$ 85.000 porque el aviso de privacidad era difícil de leer y los caminos para ejercer los derechos estaban rotos, incluso después de varios avisos.
AdSense y Ad Manager
Cómo trata Google al visitante de Connecticut
AdSense y Ad Manager leen la cadena GPP, el formato de IAB Tech Lab para señales de privacidad. Para Connecticut, Google acepta la sección propia del estado y la sección US National. Cuando la cadena indica rechazo de la venta o de la publicidad dirigida, Google activa el procesamiento restringido de datos, el RDP, y pasa a mostrar solo anuncios no personalizados.
En la sección de Connecticut, Google también lee los campos de menores. Sin consentimiento para la venta o la publicidad dirigida de jóvenes de 13 a 15 años, activa el RDP. Para los datos sensibles de un niño conocido, aplica el tratamiento para niños. Con las reglas de 2026, la CMP debe reflejar que los adolescentes de 13 a 17 años no pueden recibir anuncios dirigidos.
El Mensaje de privacidad para estados de EE. UU., en AdSense y en Ad Manager, incluye Connecticut. Muestra el enlace de rechazo y guarda la elección en la GPP. Google recuerda que la responsabilidad legal es del sitio.
Header bidding, video, píxeles y widgets de otras empresas también deben recibir el rechazo. Desactivar solo Google no lo resuelve.
En la práctica
Qué se puede y qué no se puede en Connecticut
Ejemplos del día a día de un sitio con anuncios y visitantes de Connecticut.
Sí se puede
- Mostrar anuncios personalizados a adultos, con un enlace de rechazo visible
- Tratar el GPC como rechazo y avisar al visitante si entra en conflicto con una elección anterior
- Mostrar anuncios contextuales a menores y a quien rechazó
- Poner en el pie de la página de inicio un enlace con la palabra privacidad
- Fechar la política con el mes y el año de la última revisión
No se puede
- Mostrar anuncios dirigidos a un usuario que sabes que tiene entre 13 y 17 años
- Ignorar el GPC porque el visitante no hizo clic en el banner
- Dejar la política sin decir qué categorías de datos se venden
- Mantener formularios de derechos que dan error o no llegan a nadie
- Tratar datos de salud o ubicación precisa sin consentimiento
Errores comunes
Fallas que el fiscal general ya señaló
Los informes y el acuerdo con TicketNetwork muestran que lo básico todavía falla en muchos sitios.
Aviso ilegible
Política larga, confusa y sin los derechos del consumidor de Connecticut, como en el caso TicketNetwork.
Formulario roto
El enlace de solicitud de derechos lleva a un formulario que no envía o a un correo que nadie lee.
Límites antiguos
La empresa creyó que estaba fuera porque tenía menos de 100 mil visitantes, pero el límite bajó a 35 mil en julio de 2026.
GPC sin efecto
El banner reconoce el GPC, pero la cadena GPP enviada a los anuncios sigue sin el rechazo.
En ConsentMode
Qué revisa la auditoría sobre la CTDPA
- Abre el sitio como visitante de Connecticut con el GPC desactivado y activado y compara las solicitudes de anuncio.
- Lee la cadena GPP y muestra si la sección de Connecticut o la US National indican el rechazo.
- Busca en la página de inicio un enlace con la palabra privacidad y un enlace de rechazo visible.
- Lee la política y señala si faltan la fecha de actualización, las categorías vendidas, la publicidad dirigida y el uso para entrenar modelos de lenguaje.
- Identifica la CMP y comprueba si las etiquetas de anuncios esperan su respuesta.
Preguntas frecuentes sobre la ley de Connecticut
Mi sitio tiene 40 mil visitantes de Connecticut por año. ¿Me afecta la ley?
Desde el 1 de julio de 2026, sí, si controlas o procesas datos de esos visitantes, como cookies e identificadores de anuncios. El límite bajó de 100 mil a 35 mil consumidores.
¿Necesito un banner de consentimiento para Connecticut?
Para los adultos, la ley pide opt-out, no un permiso previo. El consentimiento se exige para los datos sensibles, y para los adolescentes de 13 a 17 años la publicidad dirigida está prohibida.
¿Cómo sabré si el visitante es menor?
La ley mira lo que la empresa sabe sobre la edad del visitante. Si el sitio pide la edad en un registro o tiene contenido dirigido a adolescentes, eso debe tenerse en cuenta en la configuración de los anuncios.
¿Todavía existe un plazo para corregir antes de la multa?
Ya no es obligatorio desde el 1 de enero de 2025. El fiscal general puede ofrecer esa oportunidad, pero decide caso por caso.
¿ConsentMode actualiza mi política?
No. ConsentMode no modifica el sitio. Lee la política y las señales enviadas y entrega un informe con lo que falta y cómo corregirlo.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- Fiscal general de Connecticut: The Connecticut Data Privacy Actportal.ct.gov/ag/sections/privacy/the-connecticut-data-privacy-act
- Asamblea General de Connecticut: capítulo 743jj de los Estatutos Generaleswww.cga.ct.gov/current/pub/chap_743jj.htm
- Asamblea General de Connecticut: Public Act 25-113 (SB 1295)www.cga.ct.gov/2025/ACT/PA/PDF/2025PA-00113-R00SB-01295-PA.PDF
- Fiscal general de Connecticut: acuerdo con TicketNetworkportal.ct.gov/ag/press-releases/2025-press-releases/attorney-general-tong-announces-settlement-with-ticketnetwork
- Google AdSense: compatibilidad con IAB GPPsupport.google.com/adsense/answer/14126816
- Google AdSense: crear un mensaje de regulaciones de estados de EE. UU.support.google.com/adsense/answer/10960771
Revisa tu sitio con las reglas de 2026
La auditoría abre el sitio como visitante de Connecticut y muestra qué corregir en el aviso y en las señales, sin cambiar nada.