Мой кабинет

Руководство · Закон штата США

CTDPA: закон Коннектикута простыми словами для тех, у кого есть реклама

Коннектикут переписал свой закон о конфиденциальности в 2025 году, и изменения действуют с 1 июля 2026 года. Порог посетителей сильно снизился, подростки получили полную защиту от таргетированной рекламы, а уведомление о конфиденциальности стало строже. Здесь описано, что это значит для сайта с рекламой.

Проверить мой сайт для КоннектикутаЧитать руководство
  • ✓Основано на законе и страницах генерального прокурора Коннектикута
  • ✓Примеры для сайтов с AdSense и Ad Manager
  • ✓Проверка только для чтения, без изменения сайта
35 тысячпотребителей Коннектикута в год: новый порог, действующий с июля 2026 года
18возраст, до которого продажа и таргетированная реклама запрещены для подростков от 13 лет, даже с согласием
5 000 долларов СШАмаксимальный гражданский штраф за нарушение по закону штата о недобросовестной коммерческой практике
85 000 долларов СШАсумма соглашения TicketNetwork с генеральным прокурором, объявленного в июле 2025 года

Что это

Закон, который начинался похожим на закон Вирджинии и становился всё жёстче

Connecticut Data Privacy Act, или CTDPA, был подписан 10 мая 2022 года и начал действовать 1 июля 2023 года. Он следует модели Вирджинии и Колорадо: права потребителя, opt-out от таргетированной рекламы, согласие на конфиденциальные данные и оценки защиты данных.

С тех пор закон менялся несколько раз. В 2023 году он получил правила для данных о здоровье потребителя и для онлайн-сервисов, предлагаемых несовершеннолетним. В 2025 году большая ревизия, принятая как SB 1295, снизила пороги применения, расширила конфиденциальные данные и ужесточила правила для несовершеннолетних. Эта ревизия действует с 1 июля 2026 года.

Для сайта с рекламой главных моментов три: посетитель может отказаться от таргетированной рекламы и продажи данных, сайт с 2025 года должен уважать автоматический сигнал отказа браузера, а подростки 13 - 17 лет не могут получать таргетированную рекламу.

Для взрослых закон работает по принципу opt-out. Он не требует разрешения до показа персонализированной рекламы, но отказ должен быть простым, заметным и действительно работать.

Чек-лист

Что нужно выполнить

Действуют для тех, кто подпадает под критерии закона Коннектикута. Уточните у юриста, подпадает ли ваш сайт.

  1. Предложите легко находимую ссылку

    Тот, кто показывает таргетированную рекламу или продаёт данные, должен разместить на сайте легко доступную ссылку, чтобы посетитель мог отказаться.

    Пример

    Подвал: Do Not Sell or Share My Personal Information

  2. Соблюдайте сигналы отказа от браузера

    С 1 января 2025 года каждый контролёр, на которого распространяется закон, обязан соблюдать сигналы вроде GPC. По сигналу должно быть можно понять, живёт ли человек в Коннектикуте.

  3. Всё объясните в уведомлении о конфиденциальности

    В уведомлении указано, какие данные вы обрабатываете, для чего, передаёте ли третьим лицам и как посетитель реализует свои права.

    Пример

    Мы делимся данными о просмотрах с рекламными партнёрами для таргетированной рекламы. Отказаться можно по ссылке в подвале.

  4. Запрашивайте согласие на чувствительные данные

    Прежде чем обрабатывать чувствительные данные, например о здоровье или точном местоположении, сайту нужно согласие посетителя.

  5. Защитите несовершеннолетних

    Для лиц младше 16 лет продажа и таргетированная реклама требуют предварительного согласия. В онлайн-сервисах для лиц младше 18 лет закон запрещает таргетированную рекламу и продажу данных.

  6. Отвечайте в срок

    На запросы отвечают в течение 45 дней, возможно продление ещё на 45. Ответ на апелляцию дают письменно в течение 60 дней.

  7. Задокументируйте оценку рисков

    Таргетированная реклама, продажа данных, профилирование и чувствительные данные требуют оценки защиты данных до начала.

  8. Передайте отказ в Google

    В разделе Коннектикута строки GPP отказ от продажи или таргетированной рекламы включает RDP. В теге AdSense RDP также можно включить для тех, кто отказался.

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP для Коннектикута. Используйте сообщение Google для штатов США или CMP, которая читает GPC и создаёт GPP. Вот официальные ссылки.

К кому относится

Пороги стали намного ниже в 2026 году

Закон действует для тех, кто ведёт бизнес в Коннектикуте или нацеливает товары и услуги на жителей штата. С 1 июля 2026 года достаточно соответствовать одному из критериев ниже в предыдущем году.

35 тысяч потребителей

Контролировать или обрабатывать данные не менее 35 тысяч потребителей Коннектикута, не считая данных, используемых только для завершения платежа. Раньше порог составлял 100 тысяч.

Любые конфиденциальные данные

Контроль или обработка конфиденциальных данных потребителей в любом объёме также ставит компанию под действие закона.

Любая продажа данных

Предложение персональных данных на продажу в любом объёме также ставит компанию под действие закона. Раньше нужно было иметь 25 тысяч потребителей и более 25% выручки от продажи.

Только потребитель-физическое лицо

Закон защищает жителей Коннектикута, действующих как потребители, а не в трудовом контексте.

Определения

Термины, важные для тех, кто продает рекламу

У Коннектикута один из самых длинных списков конфиденциальных данных среди американских штатов.

Персональные данные

Информация, связанная или разумно способная быть связанной с идентифицированным или идентифицируемым лицом. Анонимизированные и общедоступные данные не входят.

Чувствительные данные

Расовое происхождение, религия, здоровье, инвалидность, сексуальная ориентация, трансгендерная или небинарная идентичность, миграционный статус, документы, логины финансовых счетов, нейронные, генетические, биометрические данные, данные ребёнка и точная геолокация в радиусе 1750 футов.

Продажа

Обмен персональных данных на деньги или иную ценность с третьей стороной. Передача данных рекламному партнёру в обмен на услугу может подпасть под это определение.

Таргетированная реклама

Реклама, выбранная на основе данных о действиях человека с течением времени на сайтах и в приложениях других компаний. Контекстная реклама не входит.

Права и opt-out

Права посетителя, ссылка для отказа и GPC с 2025 года

Посетитель из Коннектикута может получить доступ к своим данным, в том числе к выводам, сделанным из них, исправить, удалить, получить копию, запросить список третьих сторон, купивших его данные, и отказаться от таргетированной рекламы, продажи и профилей риска. С 2026 года он также может оспаривать решения на основе профилей. У компании есть 45 дней на ответ и 60 дней на ответ на апелляцию.

Тот, кто делает таргетированную рекламу или продаёт данные, должен иметь на сайте чёткую и заметную ссылку, позволяющую отказаться. Закон не определяет точный текст, но ссылка должна вести на простой путь, без создания нового аккаунта.

С 1 января 2025 года сайт также должен принимать автоматические сигналы отказа, такие как Global Privacy Control, GPC. Закон говорит, что сигнал должен отражать активный выбор потребителя, а не настройку, включённую с завода, и должен позволять компании узнать, живёт ли человек в Коннектикуте.

Если сигнал конфликтует с настройкой, которую посетитель выбрал раньше на сайте, действует сигнал. Сайт может предупредить о конфликте и предложить сохранить прежний выбор. На практике CMP должна обнаруживать GPC и передавать отказ рекламным партнёрам до первого запроса.

Уведомление, несовершеннолетние и оценки

Уведомление о конфиденциальности стало подробнее в 2026 году

После ревизии 2025 года уведомление о конфиденциальности должно содержать ссылку со словом «конфиденциальность» на главной странице, дату обновления с месяцем и годом, категории данных, продаваемых третьим лицам, и чёткое объяснение таргетированной рекламы и продажи. Оно также должно сказать, используются ли данные для обучения больших языковых моделей.

Конфиденциальные данные можно обрабатывать только с согласия. Для детей младше 13 лет действует согласие родителей в формате федерального закона COPPA.

Для подростков 13 - 17 лет ревизия 2025 года запрещает продажу данных и таргетированную рекламу, даже с согласием. Для онлайн-сервисов, предлагаемых несовершеннолетним, закон также ограничивает профили и сбор точной геолокации.

Таргетированная реклама, продажа данных, конфиденциальные данные и профили риска требуют документированной оценки защиты данных. Для профилей, используемых в важных решениях, ревизия 2025 года требует ещё и оценки воздействия на деятельность, начатую с 1 августа 2026 года.

Хронология

Даты закона Коннектикута

Даты подтверждены текстом закона и страницами генерального прокурора Коннектикута.

  1. 10 мая 2022 года

    Закон подписан

    CTDPA подписывается как Senate Bill 6.

  2. 1 июля 2023 года

    Вступление в силу

    Начинают действовать права, opt-out и обязательный срок в 60 дней на исправление.

  3. 1 января 2025 года

    GPC обязателен, обязательное исправление отменяется

    Сайт должен принимать универсальные сигналы отказа. Возможность исправить до действий органа становится решением генерального прокурора.

  4. 8 июля 2025 года

    Соглашение с TicketNetwork

    TicketNetwork платит 85 000 долларов США за нечитаемое уведомление о конфиденциальности и не работавшие механизмы запросов.

  5. 1 июля 2026 года

    Ревизия SB 1295 вступает в силу

    Новые пороги, больше конфиденциальных данных, запрет таргетированной рекламы для подростков 13 - 17 лет и более полное уведомление о конфиденциальности.

Контроль и штрафы

Генеральный прокурор, публичные отчёты и штраф за нарушение

Генеральный прокурор Коннектикута обладает исключительной компетенцией по применению закона. Гражданин не может подать иск против компании на основании CTDPA.

Между июлем 2023 года и декабрём 2024 года, когда недостаток можно было исправить, генеральный прокурор обязан был уведомить и дать 60 дней на исправление. С 1 января 2025 года эта возможность стала его решением, в котором учитывается число нарушений, размер компании, чувствительность данных и то, была ли ошибка человеческой или технической.

Нарушение CTDPA считается недобросовестной коммерческой практикой. Гражданский штраф достигает 5 000 долларов США за нарушение, а генеральный прокурор также может требовать судебного приказа, реституции и возврата полученных выгод.

Офис публикует ежегодные отчёты о контроле. В соглашении, объявленном 8 июля 2025 года, TicketNetwork заплатила 85 000 долларов США, потому что уведомление о конфиденциальности было трудно читать, а пути реализации прав были неработающими, даже после предупреждений.

AdSense и Ad Manager

Как Google обращается с посетителем из Коннектикута

AdSense и Ad Manager читают строку GPP, формат IAB Tech Lab для сигналов конфиденциальности. Для Коннектикута Google принимает собственный раздел штата и раздел US National. Когда строка указывает на отказ от продажи или таргетированной рекламы, Google включает ограниченную обработку данных, RDP, и начинает показывать только неперсонализированную рекламу.

В разделе Коннектикута Google также читает поля несовершеннолетних. Без согласия на продажу или таргетированную рекламу для молодых людей 13 - 15 лет он включает RDP. Для конфиденциальных данных известного ребёнка применяет детский режим. С правилами 2026 года CMP должна отражать, что подростки 13 - 17 лет не могут получать таргетированную рекламу.

Сообщение о конфиденциальности для штатов США в AdSense и Ad Manager включает Коннектикут. Оно показывает ссылку для отказа и записывает выбор в GPP. Google напоминает, что юридическая ответственность лежит на сайте.

Header bidding, видео, пиксели и виджеты других компаний тоже должны получать отказ. Отключить только Google недостаточно.

На практике

Что можно и что нельзя в Коннектикуте

Повседневные примеры сайта с рекламой и посетителями из Коннектикута.

Можно

  • Показывать персонализированную рекламу взрослым, с заметной ссылкой для отказа
  • Считать GPC отказом и предупреждать посетителя, если он конфликтует с прежним выбором
  • Показывать контекстную рекламу несовершеннолетним и тем, кто отказался
  • Разместить в футере главной страницы ссылку со словом «конфиденциальность»
  • Датировать политику месяцем и годом последнего пересмотра

Нельзя

  • Показывать таргетированную рекламу пользователю, который, как вы знаете, имеет возраст от 13 до 17 лет
  • Игнорировать GPC, потому что посетитель не нажал на баннер
  • Оставлять политику, не говорящую, какие категории данных продаются
  • Держать формы реализации прав, которые дают ошибку или никуда не доходят
  • Обрабатывать данные о здоровье или точной геолокации без согласия

Частые ошибки

Недостатки, на которые генеральный прокурор уже указывал

Отчёты и соглашение с TicketNetwork показывают, что базовые вещи по-прежнему не работают на многих сайтах.

Нечитаемое уведомление

Длинная, запутанная политика без прав потребителя Коннектикута, как в деле TicketNetwork.

Сломанная форма

Ссылка запроса прав ведёт на форму, которая не отправляется, или на e-mail, который никто не читает.

Старые пороги

Компания решила, что она вне закона, потому что у неё меньше 100 тысяч посетителей, но порог снизился до 35 тысяч в июле 2026 года.

GPC без эффекта

Баннер распознаёт GPC, но строка GPP, отправляемая в рекламу, по-прежнему без отказа.

В ConsentMode

Что аудит проверяет по CTDPA

  • Открывает сайт как посетитель из Коннектикута с выключенным и включённым GPC и сравнивает рекламные запросы.
  • Читает строку GPP и показывает, указывают ли на отказ раздел Коннектикута или US National.
  • Ищет на главной странице ссылку со словом «конфиденциальность» и заметную ссылку для отказа.
  • Читает политику и указывает, не хватает ли даты обновления, продаваемых категорий, таргетированной рекламы и использования для обучения языковых моделей.
  • Определяет CMP и проверяет, ждут ли рекламные теги её ответа.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о законе Коннектикута

У моего сайта 40 тысяч посетителей из Коннектикута в год. Применяется ли закон?

С 1 июля 2026 года да, если вы контролируете или обрабатываете данные этих посетителей, такие как cookie и рекламные идентификаторы. Порог снизился со 100 тысяч до 35 тысяч потребителей.

Нужен ли баннер согласия для Коннектикута?

Для взрослых закон требует opt-out, а не предварительного разрешения. Согласие требуется для конфиденциальных данных, а для подростков 13 - 17 лет таргетированная реклама запрещена.

Как мне узнать, что посетитель несовершеннолетний?

Закон смотрит на то, что компания знает о возрасте посетителя. Если сайт запрашивает возраст при регистрации или содержит контент для подростков, это нужно учитывать в настройке рекламы.

Остаётся ли срок на исправление до штрафа?

С 1 января 2025 года он больше не обязателен. Генеральный прокурор может предложить такую возможность, но решает в каждом случае отдельно.

Обновляет ли ConsentMode мою политику?

Нет. ConsentMode не меняет сайт. Он читает политику и отправляемые сигналы и выдаёт отчёт о том, чего не хватает и как исправить.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте свой сайт по правилам 2026 года

Аудит открывает сайт как посетитель из Коннектикута и показывает, что исправить в уведомлении и сигналах, ничего не меняя.

Начать аудит