Abrir workspace

Guia · Lei estadual dos EUA

CTDPA: a lei de Connecticut explicada para quem tem anúncios

Connecticut reescreveu a sua lei de privacidade em 2025 e as mudanças valem desde 1º de julho de 2026. O limite de visitantes caiu muito, os adolescentes ganharam proteção total contra publicidade direcionada e o aviso de privacidade ficou mais exigente. Veja o que isso significa para um site com anúncios.

Auditar meu site para ConnecticutLer o guia
  • ✓Baseado na lei e nas páginas do procurador-geral de Connecticut
  • ✓Exemplos pensados para sites com AdSense e Ad Manager
  • ✓Auditoria somente leitura, sem alterar o site
35 milconsumidores de Connecticut por ano: o novo limite em vigor desde julho de 2026
18idade abaixo da qual venda e publicidade direcionada ficam proibidas para adolescentes de 13 anos ou mais, mesmo com consentimento
US$ 5.000multa civil máxima por violação pela lei de práticas comerciais desleais do estado
US$ 85.000valor do acordo da TicketNetwork com o procurador-geral, anunciado em julho de 2025

O que é

Uma lei que começou parecida com a da Virgínia e foi ficando mais dura

A Connecticut Data Privacy Act, ou CTDPA, foi assinada em 10 de maio de 2022 e passou a valer em 1º de julho de 2023. Ela segue o modelo da Virgínia e do Colorado: direitos do consumidor, opt-out de publicidade direcionada, consentimento para dados sensíveis e avaliações de proteção de dados.

Desde então, a lei foi alterada várias vezes. Em 2023 ganhou regras para dados de saúde do consumidor e para serviços online oferecidos a menores. Em 2025, uma grande revisão aprovada como SB 1295 baixou os limites de aplicação, ampliou os dados sensíveis e endureceu as regras para menores. Essa revisão vale desde 1º de julho de 2026.

Para um site com anúncios, os pontos centrais são três: o visitante pode recusar publicidade direcionada e venda de dados, o site precisa respeitar o sinal automático de recusa do navegador desde 2025, e adolescentes de 13 a 17 anos não podem receber anúncios direcionados.

A lei funciona por opt-out para adultos. Não exige permissão antes de mostrar anúncios personalizados, mas a recusa precisa ser fácil, visível e funcionar de verdade.

Checklist

O que você precisa cumprir

Valem para quem entra nos critérios da lei de Connecticut. Confira com seu jurídico se o seu site entra.

  1. Ofereça um link fácil de achar

    Quem faz publicidade direcionada ou vende dados precisa de um link fácil de acessar no site para o visitante recusar.

    Exemplo

    Rodapé: Do Not Sell or Share My Personal Information

  2. Respeite os sinais de recusa do navegador

    Desde 1º de janeiro de 2025, todo controlador coberto precisa respeitar sinais como o GPC. O sinal deve permitir saber se a pessoa mora em Connecticut.

  3. Explique tudo no aviso de privacidade

    O aviso diz quais dados você trata, para quê, se compartilha com terceiros e como o visitante exerce os direitos.

    Exemplo

    Compartilhamos dados de navegação com parceiros de anúncios para publicidade direcionada. Você pode recusar pelo link no rodapé.

  4. Peça consentimento para dados sensíveis

    Antes de tratar dados sensíveis, como saúde ou localização precisa, o site precisa do consentimento do visitante.

  5. Proteja os menores de idade

    Para menores de 16 anos, venda e publicidade direcionada exigem consentimento prévio. Em serviços online para menores de 18 anos, a lei proíbe publicidade direcionada e venda de dados.

  6. Responda no prazo

    Os pedidos têm resposta em até 45 dias, com prorrogação possível de mais 45. O recurso tem resposta por escrito em até 60 dias.

  7. Documente uma avaliação de risco

    Publicidade direcionada, venda de dados, perfis e dados sensíveis exigem uma avaliação de proteção de dados antes de começar.

  8. Leve a recusa ao Google

    Na seção de Connecticut da string GPP, a recusa de venda ou de publicidade direcionada liga o RDP. Na tag do AdSense, o RDP também pode ser ligado para quem recusou.

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada para Connecticut. Use a mensagem de estados dos EUA do Google ou uma CMP que leia o GPC e gere GPP. Estes são os links oficiais.

A quem se aplica

Os limites ficaram bem mais baixos em 2026

A lei vale para quem faz negócios em Connecticut ou direciona produtos e serviços a moradores do estado. Desde 1º de julho de 2026, basta atender a um dos critérios abaixo no ano anterior.

35 mil consumidores

Controlar ou processar dados de pelo menos 35 mil consumidores de Connecticut, sem contar dados usados só para concluir um pagamento. Antes, o limite era de 100 mil.

Qualquer dado sensível

Controlar ou processar dados sensíveis de consumidores, em qualquer volume, também coloca a empresa dentro da lei.

Qualquer venda de dados

Oferecer dados pessoais à venda, em qualquer volume, também coloca a empresa dentro da lei. Antes, era preciso ter 25 mil consumidores e mais de 25% da receita vindo de venda.

Só o consumidor pessoa física

A lei protege moradores de Connecticut agindo como consumidores, e não em contexto de trabalho.

Definições

Os termos que importam para quem vende anúncios

Connecticut tem uma das listas de dados sensíveis mais longas entre os estados americanos.

Dado pessoal

Informação ligada ou que possa ser razoavelmente ligada a uma pessoa identificada ou identificável. Dados anonimizados e públicos ficam de fora.

Dado sensível

Origem racial, religião, saúde, deficiência, orientação sexual, identidade trans ou não binária, situação migratória, documentos, login de contas financeiras, dados neurais, genéticos, biométricos, de criança e localização precisa num raio de 1.750 pés.

Venda

Troca de dados pessoais por dinheiro ou por outro valor com um terceiro. Repassar dados a um parceiro de anúncios em troca de um serviço pode entrar nessa definição.

Publicidade direcionada

Anúncio escolhido com base em dados das atividades da pessoa ao longo do tempo em sites e apps de outras empresas. Anúncio contextual não entra.

Direitos e opt-out

Direitos do visitante, link de recusa e GPC desde 2025

O visitante de Connecticut pode acessar seus dados, inclusive as conclusões tiradas deles, corrigir, excluir, levar uma cópia, pedir a lista de terceiros que compraram seus dados e recusar publicidade direcionada, venda e perfis de risco. Desde 2026, também pode contestar decisões baseadas em perfis. A empresa tem 45 dias para responder e 60 dias para responder a um recurso.

Quem faz publicidade direcionada ou vende dados precisa de um link claro e visível no site que permita recusar. A lei não define o texto exato, mas o link deve levar a um caminho simples, sem criar conta nova.

Desde 1º de janeiro de 2025, o site também precisa aceitar sinais automáticos de recusa, como o Global Privacy Control, o GPC. A lei diz que o sinal deve refletir uma escolha ativa do consumidor, e não uma configuração que já vem ligada de fábrica, e precisa permitir que a empresa saiba se a pessoa mora em Connecticut.

Se o sinal entrar em conflito com uma configuração que o visitante escolheu antes no site, vale o sinal. O site pode avisar sobre o conflito e oferecer a opção de manter a escolha anterior. Na prática, a CMP deve detectar o GPC e repassar a recusa aos parceiros de anúncios antes do primeiro pedido.

Aviso, menores e avaliações

O aviso de privacidade ficou mais detalhado em 2026

Com a revisão de 2025, o aviso de privacidade precisa de um link com a palavra privacidade na página inicial, a data de atualização com mês e ano, as categorias de dados vendidos a terceiros e uma explicação clara sobre publicidade direcionada e venda. Também deve dizer se os dados são usados para treinar grandes modelos de linguagem.

Dados sensíveis só podem ser tratados com consentimento. Para crianças menores de 13 anos, vale o consentimento dos pais no formato da lei federal COPPA.

Para adolescentes de 13 a 17 anos, a revisão de 2025 proíbe a venda de dados e a publicidade direcionada, mesmo com consentimento. Para serviços online oferecidos a menores, a lei também limita perfis e a coleta de localização precisa.

Publicidade direcionada, venda de dados, dados sensíveis e perfis de risco exigem uma avaliação de proteção de dados documentada. Para perfis usados em decisões importantes, a revisão de 2025 exige ainda uma avaliação de impacto nas atividades iniciadas a partir de 1º de agosto de 2026.

Linha do tempo

As datas da lei de Connecticut

Datas confirmadas no texto da lei e nas páginas do procurador-geral de Connecticut.

  1. 10 de maio de 2022

    Lei assinada

    A CTDPA é sancionada como Senate Bill 6.

  2. 1º de julho de 2023

    Entrada em vigor

    Passam a valer os direitos, o opt-out e o prazo obrigatório de 60 dias para correção.

  3. 1º de janeiro de 2025

    GPC obrigatório e fim da correção obrigatória

    O site precisa aceitar sinais universais de recusa. A chance de corrigir antes da ação passa a ser decisão do procurador-geral.

  4. 8 de julho de 2025

    Acordo com a TicketNetwork

    A TicketNetwork paga US$ 85.000 por um aviso de privacidade ilegível e mecanismos de pedido que não funcionavam.

  5. 1º de julho de 2026

    Revisão SB 1295 em vigor

    Novos limites, mais dados sensíveis, proibição de anúncios direcionados para adolescentes de 13 a 17 anos e aviso de privacidade mais completo.

Fiscalização e multas

Procurador-geral, relatórios públicos e multa por violação

O procurador-geral de Connecticut tem competência exclusiva para aplicar a lei. O cidadão não pode processar a empresa com base na CTDPA.

Entre julho de 2023 e dezembro de 2024, quando a falha podia ser corrigida, o procurador-geral precisava avisar e dar 60 dias para a correção. Desde 1º de janeiro de 2025, essa chance virou uma decisão dele, que leva em conta o número de violações, o tamanho da empresa, a sensibilidade dos dados e se o erro foi humano ou técnico.

Uma violação da CTDPA é tratada como prática comercial desleal. A multa civil chega a US$ 5.000 por violação, e o procurador-geral ainda pode pedir ordem judicial, restituição e devolução de ganhos.

O escritório publica relatórios anuais de fiscalização. No acordo anunciado em 8 de julho de 2025, a TicketNetwork pagou US$ 85.000 porque o aviso de privacidade era difícil de ler e os caminhos para exercer direitos estavam quebrados, mesmo depois de avisos.

AdSense e Ad Manager

Como o Google trata o visitante de Connecticut

O AdSense e o Ad Manager leem a string GPP, o formato do IAB Tech Lab para sinais de privacidade. Para Connecticut, o Google aceita a seção própria do estado e a seção US National. Quando a string indica recusa de venda ou de publicidade direcionada, o Google ativa o processamento restrito de dados, o RDP, e passa a mostrar só anúncios não personalizados.

Na seção de Connecticut, o Google também lê os campos de menores. Sem consentimento para venda ou publicidade direcionada de jovens de 13 a 15 anos, ativa o RDP. Para dados sensíveis de criança conhecida, aplica o tratamento para crianças. Com as regras de 2026, a CMP precisa refletir que adolescentes de 13 a 17 anos não podem receber anúncios direcionados.

A Mensagem de privacidade para estados dos EUA, no AdSense e no Ad Manager, inclui Connecticut. Ela exibe o link de recusa e grava a escolha em GPP. O Google lembra que a responsabilidade legal é do site.

Header bidding, vídeo, pixels e widgets de outras empresas também precisam receber a recusa. Desligar só o Google não resolve.

Na prática

O que pode e o que não pode em Connecticut

Exemplos do dia a dia de um site com anúncios e visitantes de Connecticut.

Pode

  • Mostrar anúncios personalizados a adultos, com um link de recusa visível
  • Tratar o GPC como recusa e avisar o visitante se ele conflita com uma escolha anterior
  • Mostrar anúncios contextuais a menores e a quem recusou
  • Colocar no rodapé da página inicial um link com a palavra privacidade
  • Datar a política com mês e ano da última revisão

Não pode

  • Mostrar anúncios direcionados a um usuário que você sabe ter entre 13 e 17 anos
  • Ignorar o GPC porque o visitante não clicou no banner
  • Deixar a política sem dizer quais categorias de dados são vendidas
  • Manter formulários de direitos que dão erro ou não chegam a ninguém
  • Tratar dados de saúde ou localização precisa sem consentimento

Erros comuns

Falhas que o procurador-geral já apontou

Os relatórios e o acordo com a TicketNetwork mostram que o básico ainda falha em muitos sites.

Aviso ilegível

Política longa, confusa e sem os direitos do consumidor de Connecticut, como no caso TicketNetwork.

Formulário quebrado

O link de pedido de direitos leva a um formulário que não envia ou a um e-mail que ninguém lê.

Limites antigos

A empresa achou que estava fora porque tinha menos de 100 mil visitantes, mas o limite caiu para 35 mil em julho de 2026.

GPC sem efeito

O banner reconhece o GPC, mas a string GPP enviada aos anúncios continua sem a recusa.

No ConsentMode

O que a auditoria confere sobre a CTDPA

  • Abre o site como visitante de Connecticut com o GPC desligado e ligado e compara os pedidos de anúncio.
  • Lê a string GPP e mostra se a seção de Connecticut ou a US National indicam a recusa.
  • Procura na página inicial um link com a palavra privacidade e um link de recusa visível.
  • Lê a política e aponta se faltam data de atualização, categorias vendidas, publicidade direcionada e o uso para treinar modelos de linguagem.
  • Identifica a CMP e confere se as tags de anúncios esperam a resposta dela.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre a lei de Connecticut

Meu site tem 40 mil visitantes de Connecticut por ano. A lei vale?

Desde 1º de julho de 2026, sim, se você controla ou processa dados desses visitantes, como cookies e identificadores de anúncios. O limite caiu de 100 mil para 35 mil consumidores.

Preciso de banner de consentimento para Connecticut?

Para adultos, a lei pede opt-out, não permissão prévia. O consentimento é exigido para dados sensíveis, e para adolescentes de 13 a 17 anos a publicidade direcionada é proibida.

Como vou saber se o visitante é menor?

A lei olha para o que a empresa sabe sobre a idade do visitante. Se o site pede idade em cadastro ou tem conteúdo voltado a adolescentes, isso precisa ser levado em conta na configuração dos anúncios.

Ainda existe prazo para corrigir antes da multa?

Não é mais obrigatório desde 1º de janeiro de 2025. O procurador-geral pode oferecer essa chance, mas decide caso a caso.

O ConsentMode atualiza minha política?

Não. O ConsentMode não altera o site. Ele lê a política e os sinais enviados e entrega um relatório com o que falta e como corrigir.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Confira o seu site com as regras de 2026

A auditoria abre o site como visitante de Connecticut e mostra o que corrigir no aviso e nos sinais, sem alterar nada.

Começar a auditoria