Apri lo spazio

Guida · Legge statale degli USA

CTDPA: la legge del Connecticut spiegata a chi ha annunci

Il Connecticut ha riscritto la sua legge sulla privacy nel 2025 e le modifiche valgono dal 1° luglio 2026. La soglia di visitatori è scesa molto, gli adolescenti hanno ottenuto piena protezione dalla pubblicità mirata e l'informativa sulla privacy è diventata più esigente. Scopri cosa significa per un sito con annunci.

Controlla il mio sito per il ConnecticutLeggi la guida
  • ✓Basato sulla legge e sulle pagine del procuratore generale del Connecticut
  • ✓Esempi pensati per siti con AdSense e Ad Manager
  • ✓Audit in sola lettura, senza modificare il sito
35 milaconsumatori del Connecticut all'anno: la nuova soglia in vigore da luglio 2026
18età sotto la quale vendita e pubblicità mirata sono vietate per gli adolescenti dai 13 anni in su, anche con il consenso
5.000 USDsanzione civile massima per violazione secondo la legge statale sulle pratiche commerciali sleali
85.000 USDimporto dell'accordo di TicketNetwork con il procuratore generale, annunciato a luglio 2025

Che cos'è

Una legge nata simile a quella della Virginia e diventata più dura

La Connecticut Data Privacy Act, o CTDPA, è stata firmata il 10 maggio 2022 ed è entrata in vigore il 1° luglio 2023. Segue il modello della Virginia e del Colorado: diritti del consumatore, opt-out dalla pubblicità mirata, consenso per i dati sensibili e valutazioni della protezione dei dati.

Da allora la legge è stata modificata più volte. Nel 2023 ha ottenuto regole per i dati sanitari dei consumatori e per i servizi online offerti ai minori. Nel 2025, una grande revisione approvata come SB 1295 ha abbassato le soglie di applicazione, ampliato i dati sensibili e inasprito le regole per i minori. Questa revisione vale dal 1° luglio 2026.

Per un sito con annunci, i punti centrali sono tre: il visitatore può rifiutare la pubblicità mirata e la vendita dei dati, dal 2025 il sito deve rispettare il segnale automatico di rifiuto del browser e gli adolescenti da 13 a 17 anni non possono ricevere annunci mirati.

Per gli adulti la legge funziona con l'opt-out. Non richiede il permesso prima di mostrare annunci personalizzati, ma il rifiuto deve essere facile, visibile e funzionare davvero.

Checklist

Cosa devi rispettare

Valgono per chi rientra nei criteri della legge del Connecticut. Verifica con il tuo ufficio legale se il tuo sito ne fa parte.

  1. Offri un link facile da trovare

    Chi fa pubblicità mirata o vende dati deve avere nel sito un link facile da raggiungere per permettere al visitatore di rifiutare.

    Esempio

    Footer: Do Not Sell or Share My Personal Information

  2. Rispetta i segnali di rifiuto del browser

    Dal 1º gennaio 2025, ogni titolare coperto deve rispettare segnali come il GPC. Il segnale deve permettere di capire se la persona vive in Connecticut.

  3. Spiega tutto nell'informativa sulla privacy

    L'informativa dice quali dati tratti, per cosa, se li condividi con terzi e come il visitatore esercita i diritti.

    Esempio

    Condividiamo dati di navigazione con partner pubblicitari per la pubblicità mirata. Puoi rifiutare dal link nel footer.

  4. Chiedi il consenso per i dati sensibili

    Prima di trattare dati sensibili, come salute o posizione precisa, il sito ha bisogno del consenso del visitatore.

  5. Proteggi i minorenni

    Per i minori di 16 anni, vendita e pubblicità mirata richiedono il consenso preventivo. Nei servizi online per minori di 18 anni, la legge vieta la pubblicità mirata e la vendita di dati.

  6. Rispondi entro i termini

    Le richieste hanno risposta entro 45 giorni, con una possibile proroga di altri 45. Il ricorso ha risposta scritta entro 60 giorni.

  7. Documenta una valutazione del rischio

    Pubblicità mirata, vendita di dati, profilazione e dati sensibili richiedono una valutazione della protezione dei dati prima di iniziare.

  8. Porta il rifiuto a Google

    Nella sezione Connecticut della stringa GPP, il rifiuto di vendita o di pubblicità mirata attiva l'RDP. Nel tag di AdSense, l'RDP può essere attivato anche per chi ha rifiutato.

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata per il Connecticut. Usa il messaggio per gli stati USA di Google o una CMP che legga il GPC e generi GPP. Questi sono i link ufficiali.

A chi si applica

Le soglie sono scese molto nel 2026

La legge vale per chi fa affari nel Connecticut o rivolge prodotti e servizi ai residenti dello stato. Dal 1° luglio 2026, basta rispettare uno dei criteri seguenti nell'anno precedente.

35 mila consumatori

Controllare o trattare dati di almeno 35.000 consumatori del Connecticut, esclusi i dati usati solo per completare un pagamento. Prima la soglia era di 100.000.

Qualsiasi dato sensibile

Controllare o trattare dati sensibili dei consumatori, in qualsiasi volume, porta comunque l'azienda sotto la legge.

Qualsiasi vendita di dati

Offrire dati personali in vendita, in qualsiasi volume, porta comunque l'azienda sotto la legge. Prima servivano 25.000 consumatori e oltre il 25% dei ricavi dalla vendita.

Solo il consumatore persona fisica

La legge protegge i residenti del Connecticut che agiscono come consumatori, e non in contesto lavorativo.

Definizioni

I termini che contano per chi vende annunci

Il Connecticut ha uno degli elenchi di dati sensibili più lunghi tra gli stati americani.

Dato personale

Informazione collegata o ragionevolmente collegabile a una persona identificata o identificabile. I dati anonimizzati e pubblici restano esclusi.

Dato sensibile

Origine razziale, religione, salute, disabilità, orientamento sessuale, identità transgender o non binaria, status migratorio, documenti, credenziali di conti finanziari, dati neurali, genetici, biometrici, dati di minori e posizione precisa entro un raggio di 1.750 piedi.

Vendita

Scambio di dati personali con una terza parte in cambio di denaro o di altro valore. Cedere dati a un partner pubblicitario in cambio di un servizio può rientrare in questa definizione.

Pubblicità mirata

Annuncio scelto in base a dati sulle attività della persona nel tempo su siti e app di altre aziende. L'annuncio contestuale non rientra.

Diritti e opt-out

Diritti del visitatore, link di rifiuto e GPC dal 2025

Il visitatore del Connecticut può accedere ai propri dati, comprese le conclusioni tratte da essi, correggerli, cancellarli, portarne una copia, chiedere l'elenco dei terzi che hanno acquistato i suoi dati e rifiutare la pubblicità mirata, la vendita e le profilazioni a rischio. Dal 2026 può anche contestare decisioni basate su profilazioni. L'azienda ha 45 giorni per rispondere e 60 giorni per rispondere a un ricorso.

Chi fa pubblicità mirata o vende dati ha bisogno di un link chiaro e visibile nel sito che permetta di rifiutare. La legge non definisce il testo esatto, ma il link deve portare a un percorso semplice, senza creare un nuovo account.

Dal 1° gennaio 2025, il sito deve anche accettare i segnali automatici di rifiuto, come il Global Privacy Control, il GPC. La legge dice che il segnale deve riflettere una scelta attiva del consumatore, e non un'impostazione già attiva di fabbrica, e deve permettere all'azienda di sapere se la persona risiede nel Connecticut.

Se il segnale è in conflitto con un'impostazione che il visitatore ha scelto prima nel sito, vale il segnale. Il sito può avvisare del conflitto e offrire l'opzione di mantenere la scelta precedente. In pratica, la CMP deve rilevare il GPC e trasmettere il rifiuto ai partner pubblicitari prima della prima richiesta.

Informativa, minori e valutazioni

L'informativa sulla privacy è diventata più dettagliata nel 2026

Con la revisione del 2025, l'informativa sulla privacy richiede un link con la parola privacy nella home page, la data di aggiornamento con mese e anno, le categorie di dati venduti a terzi e una spiegazione chiara su pubblicità mirata e vendita. Deve anche dire se i dati vengono usati per addestrare grandi modelli linguistici.

I dati sensibili possono essere trattati solo con il consenso. Per i minori di 13 anni vale il consenso dei genitori nel formato della legge federale COPPA.

Per gli adolescenti da 13 a 17 anni, la revisione del 2025 vieta la vendita di dati e la pubblicità mirata, anche con il consenso. Per i servizi online offerti ai minori, la legge limita anche le profilazioni e la raccolta della posizione precisa.

Pubblicità mirata, vendita di dati, dati sensibili e profilazioni a rischio richiedono una valutazione documentata della protezione dei dati. Per le profilazioni usate in decisioni importanti, la revisione del 2025 richiede anche una valutazione d'impatto per le attività avviate dal 1° agosto 2026.

Cronologia

Le date della legge del Connecticut

Date confermate nel testo della legge e nelle pagine del procuratore generale del Connecticut.

  1. 10 maggio 2022

    Legge firmata

    La CTDPA viene firmata come Senate Bill 6.

  2. 1° luglio 2023

    Entrata in vigore

    Entrano in vigore i diritti, l'opt-out e il termine obbligatorio di 60 giorni per la correzione.

  3. 1° gennaio 2025

    GPC obbligatorio e fine della correzione obbligatoria

    Il sito deve accettare i segnali universali di rifiuto. La possibilità di correggere prima dell'azione diventa una decisione del procuratore generale.

  4. 8 luglio 2025

    Accordo con TicketNetwork

    TicketNetwork paga 85.000 USD per un'informativa sulla privacy illeggibile e meccanismi di richiesta che non funzionavano.

  5. 1° luglio 2026

    Revisione SB 1295 in vigore

    Nuove soglie, più dati sensibili, divieto di annunci mirati per gli adolescenti da 13 a 17 anni e informativa sulla privacy più completa.

Controlli e sanzioni

Procuratore generale, relazioni pubbliche e sanzione per violazione

Il procuratore generale del Connecticut ha competenza esclusiva per far rispettare la legge. Il cittadino non può citare in giudizio l'azienda sulla base della CTDPA.

Tra luglio 2023 e dicembre 2024, quando la violazione poteva essere corretta, il procuratore generale doveva avvisare e concedere 60 giorni per la correzione. Dal 1° gennaio 2025, questa possibilità è diventata una sua decisione, che tiene conto del numero di violazioni, delle dimensioni dell'azienda, della sensibilità dei dati e del fatto che l'errore sia umano o tecnico.

Una violazione della CTDPA è trattata come pratica commerciale sleale. La sanzione civile arriva a 5.000 USD per violazione e il procuratore generale può anche chiedere un ordine del tribunale, restituzioni e la restituzione dei guadagni.

L'ufficio pubblica relazioni annuali sui controlli. Nell'accordo annunciato l'8 luglio 2025, TicketNetwork ha pagato 85.000 USD perché l'informativa sulla privacy era difficile da leggere e i percorsi per esercitare i diritti non funzionavano, anche dopo gli avvisi.

AdSense e Ad Manager

Come Google tratta il visitatore del Connecticut

AdSense e Ad Manager leggono la stringa GPP, il formato dell'IAB Tech Lab per i segnali di privacy. Per il Connecticut, Google accetta la sezione specifica dello stato e la sezione US National. Quando la stringa indica il rifiuto di vendita o di pubblicità mirata, Google attiva il trattamento limitato dei dati, l'RDP, e inizia a mostrare solo annunci non personalizzati.

Nella sezione del Connecticut, Google legge anche i campi dei minori. Senza consenso alla vendita o alla pubblicità mirata per i giovani da 13 a 15 anni, attiva l'RDP. Per i dati sensibili di un minore noto, applica il trattamento per minori. Con le regole del 2026, la CMP deve riflettere che gli adolescenti da 13 a 17 anni non possono ricevere annunci mirati.

Il messaggio sulla privacy per gli stati USA, in AdSense e in Ad Manager, include il Connecticut. Mostra il link di rifiuto e registra la scelta nel GPP. Google ricorda che la responsabilità legale è del sito.

Anche header bidding, video, pixel e widget di altre aziende devono ricevere il rifiuto. Disattivare solo Google non basta.

In pratica

Cosa è consentito e cosa no nel Connecticut

Esempi quotidiani di un sito con annunci e visitatori del Connecticut.

Consentito

  • Mostrare annunci personalizzati agli adulti, con un link di rifiuto visibile
  • Trattare il GPC come rifiuto e avvisare il visitatore se è in conflitto con una scelta precedente
  • Mostrare annunci contestuali ai minori e a chi ha rifiutato
  • Mettere nel footer della home page un link con la parola privacy
  • Datare l'informativa con mese e anno dell'ultima revisione

Non consentito

  • Mostrare annunci mirati a un utente che sai avere tra 13 e 17 anni
  • Ignorare il GPC perché il visitatore non ha cliccato sul banner
  • Lasciare l'informativa senza indicare quali categorie di dati vengono vendute
  • Mantenere moduli per i diritti che danno errore o non arrivano a nessuno
  • Trattare dati sanitari o di posizione precisa senza consenso

Errori comuni

Errori che il procuratore generale ha già segnalato

Le relazioni e l'accordo con TicketNetwork mostrano che le basi continuano a mancare in molti siti.

Informativa illeggibile

Informativa lunga, confusa e senza i diritti del consumatore del Connecticut, come nel caso TicketNetwork.

Modulo rotto

Il link per la richiesta dei diritti porta a un modulo che non invia o a un'e-mail che nessuno legge.

Vecchie soglie

L'azienda pensava di essere fuori perché aveva meno di 100.000 visitatori, ma la soglia è scesa a 35.000 a luglio 2026.

GPC senza effetto

Il banner riconosce il GPC, ma la stringa GPP inviata agli annunci continua a non contenere il rifiuto.

In ConsentMode

Cosa controlla l'audit sulla CTDPA

  • Apre il sito come visitatore del Connecticut con il GPC disattivato e attivato e confronta le richieste di annuncio.
  • Legge la stringa GPP e mostra se la sezione del Connecticut o la US National indicano il rifiuto.
  • Cerca nella home page un link con la parola privacy e un link di rifiuto visibile.
  • Legge l'informativa e segnala se mancano data di aggiornamento, categorie vendute, pubblicità mirata e uso per addestrare modelli linguistici.
  • Identifica la CMP e verifica se i tag degli annunci aspettano la sua risposta.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla legge del Connecticut

Il mio sito ha 40.000 visitatori del Connecticut all'anno. La legge si applica?

Dal 1° luglio 2026, sì, se controlli o tratti i dati di questi visitatori, come cookie e identificatori pubblicitari. La soglia è scesa da 100.000 a 35.000 consumatori.

Mi serve un banner di consenso per il Connecticut?

Per gli adulti, la legge richiede l'opt-out, non il permesso preventivo. Il consenso è richiesto per i dati sensibili e per gli adolescenti da 13 a 17 anni la pubblicità mirata è vietata.

Come faccio a sapere se il visitatore è minorenne?

La legge guarda a ciò che l'azienda sa sull'età del visitatore. Se il sito chiede l'età in un'iscrizione o ha contenuti rivolti agli adolescenti, questo va considerato nella configurazione degli annunci.

Esiste ancora un termine per correggere prima della sanzione?

Non è più obbligatorio dal 1° gennaio 2025. Il procuratore generale può offrire questa possibilità, ma decide caso per caso.

ConsentMode aggiorna la mia informativa?

No. ConsentMode non modifica il sito. Legge l'informativa e i segnali inviati e consegna un report con ciò che manca e come correggere.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Controlla il tuo sito con le regole del 2026

L'audit apre il sito come visitatore del Connecticut e mostra cosa correggere nell'informativa e nei segnali, senza modificare nulla.

Avvia l'audit