打开空间

指南 · 美国州法律

CTDPA：为有广告的人讲解康涅狄格州法律

康涅狄格州在 2025 年重写了其隐私法，变更自 2026 年 7 月 1 日起生效。访客数量的门槛大幅下降，青少年获得了针对定向广告的全面保护，隐私通知的要求也更严格了。下面介绍这对有广告的网站意味着什么。

针对康涅狄格州审核我的网站阅读指南
  • ✓基于该法律和康涅狄格州总检察长的页面
  • ✓为使用 AdSense 和 Ad Manager 的网站设计的示例
  • ✓只读审核，不修改网站
3.5 万每年的康涅狄格州消费者数量：自 2026 年 7 月起生效的新门槛
18年龄界限：低于该年龄的 13 岁及以上青少年，即使取得同意，也禁止向其出售数据和投放定向广告
5,000 美元该州不公平商业行为法规定的每次违规最高民事罚款
85,000 美元TicketNetwork 与总检察长达成的和解金额，于 2025 年 7 月公布

是什么

一部起初与弗吉尼亚州相似、后来越来越严格的法律

Connecticut Data Privacy Act，即 CTDPA，于 2022 年 5 月 10 日签署，2023 年 7 月 1 日生效。它遵循弗吉尼亚州和科罗拉多州的模式：消费者权利、定向广告的选择退出、敏感数据的同意以及数据保护评估。

此后，该法律经过多次修改。2023 年，增加了针对消费者健康数据和面向未成年人的在线服务的规则。2025 年，以 SB 1295 通过的一次大修订降低了适用门槛、扩大了敏感数据范围，并收紧了有关未成年人的规则。该修订自 2026 年 7 月 1 日起生效。

对有广告的网站来说，核心要点有三个：访客可以拒绝定向广告和数据出售，网站自 2025 年起必须尊重浏览器的自动拒绝信号，13 至 17 岁的青少年不得收到定向广告。

该法律对成年人采用选择退出模式。它不要求在展示个性化广告之前先取得许可，但拒绝必须简单、可见，并且真正有效。

清单

你需要做到的事项

适用于符合康涅狄格州法律标准的企业。请向您的法务确认您的网站是否适用。

  1. 提供容易找到的链接

    做定向广告或出售数据的一方，需要在网站上提供一个容易访问的链接，供访客选择退出。

    示例

    页脚：Do Not Sell or Share My Personal Information

  2. 尊重浏览器的退出信号

    自 2025 年 1 月 1 日起，所有适用的控制者都必须尊重 GPC 等信号。该信号应能让对方判断此人是否居住在康涅狄格州。

  3. 在隐私通知中说明一切

    通知要说明您处理哪些数据、用途、是否与第三方共享，以及访客如何行使权利。

    示例

    我们会与广告合作伙伴共享浏览数据，用于定向广告。您可以通过页脚中的链接选择退出。

  4. 对敏感数据要求同意

    在处理健康或精确位置等敏感数据之前，网站需要获得访客的同意。

  5. 保护未成年人

    对 16 岁以下的未成年人，出售和定向广告需要事先同意。对于面向 18 岁以下未成年人的在线服务，该法禁止定向广告和出售数据。

  6. 按期答复

    请求须在 45 天内答复，可再延长 45 天。申诉须在 60 天内以书面形式答复。

  7. 记录风险评估

    定向广告、出售数据、画像和敏感数据，在开始之前都需要进行数据保护评估。

  8. 把退出请求传给 Google

    在 GPP 字符串的康涅狄格部分，如果选择了拒绝出售或拒绝定向广告，就会开启 RDP。在 AdSense 标签中，也可以对选择退出的访客开启 RDP。

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对康涅狄格没有要求使用认证 CMP。请使用 Google 的美国各州消息，或使用能读取 GPC 并生成 GPP 的 CMP。以下是官方链接。

适用对象

2026 年门槛大幅降低

该法律适用于在康涅狄格州开展业务、或向该州居民提供产品和服务的人。自 2026 年 7 月 1 日起，只要在上一年度满足以下任一标准即可。

3.5 万名消费者

控制或处理至少 3.5 万名康涅狄格州消费者的数据，不包括仅用于完成付款的数据。此前的门槛是 10 万。

任何敏感数据

无论数量多少，只要控制或处理消费者的敏感数据，企业也属于该法律的适用范围。

任何数据出售

无论数量多少，只要提供个人数据用于出售，企业也属于该法律的适用范围。此前需要有 2.5 万名消费者，且超过 25% 的收入来自出售。

仅限自然人消费者

该法律保护以消费者身份行事的康涅狄格州居民，而不是工作场景下的居民。

定义

对卖广告的人重要的术语

康涅狄格州是美国各州中敏感数据清单最长的州之一。

个人数据

与已识别或可识别的个人相关，或可合理地与其关联的信息。匿名化数据和公开数据不包括在内。

敏感数据

种族出身、宗教、健康、残障、性取向、跨性别或非二元性别身份、移民身份、证件、金融账户登录信息、神经数据、基因数据、生物识别数据、儿童数据，以及半径 1,750 英尺内的精确位置。

出售

以个人数据换取金钱或与第三方交换的其他价值。为换取某项服务而向广告合作伙伴提供数据，也可能属于这一定义。

定向广告

根据个人在其他公司的网站和应用上长期活动的数据选择的广告。上下文广告不包括在内。

权利与选择退出

访客权利、拒绝链接和自 2025 年起的 GPC

康涅狄格州的访客可以访问自己的数据（包括由数据得出的推断）、更正、删除、获取副本、索取购买其数据的第三方清单，并拒绝定向广告、数据出售和高风险画像。自 2026 年起，还可以对基于画像的决定提出异议。企业有 45 天的时间答复，对申诉的答复期限为 60 天。

进行定向广告或出售数据的人，需要在网站上提供清晰、可见的链接以供拒绝。法律没有规定确切的文字，但该链接必须通往一条简单的途径，无需创建新账号。

自 2025 年 1 月 1 日起，网站还必须接受自动拒绝信号，例如 Global Privacy Control，即 GPC。法律规定，该信号必须体现消费者的主动选择，而不是出厂就已开启的设置，并且必须让企业能够知道该人是否居住在康涅狄格州。

如果该信号与访客先前在网站上做出的选择相冲突，以该信号为准。网站可以提示这一冲突，并提供保留先前选择的选项。在实践中，CMP 应检测 GPC，并在第一次请求之前就把拒绝传递给广告合作伙伴。

通知、未成年人与评估

2026 年隐私通知的要求更详细了

根据 2025 年的修订，隐私通知需要在首页上有一个带有“隐私”字样的链接、带有月份和年份的更新日期、出售给第三方的数据类别，以及对定向广告和数据出售的清晰说明。通知还必须说明数据是否用于训练大型语言模型。

敏感数据只有在取得同意时才能处理。对于 13 岁以下的儿童，适用联邦法律 COPPA 格式的家长同意。

对于 13 至 17 岁的青少年，2025 年的修订禁止出售数据和投放定向广告，即使取得同意也不行。对于面向未成年人的在线服务，该法律还限制画像和精确位置的收集。

定向广告、数据出售、敏感数据和高风险画像，需要有书面记录的数据保护评估。对于用于重要决定的画像，2025 年的修订还要求对 2026 年 8 月 1 日之后开始的活动进行影响评估。

时间线

康涅狄格州法律的重要日期

日期已在法律文本和康涅狄格州总检察长的页面中得到确认。

  1. 2022 年 5 月 10 日

    法律签署

    CTDPA 作为 Senate Bill 6 签署。

  2. 2023 年 7 月 1 日

    生效

    权利、选择退出和强制性的 60 天整改期开始生效。

  3. 2025 年 1 月 1 日

    GPC 成为强制要求，强制整改期结束

    网站必须接受通用拒绝信号。采取行动之前是否给予整改机会，改由总检察长决定。

  4. 2025 年 7 月 8 日

    与 TicketNetwork 的和解

    TicketNetwork 因难以阅读的隐私通知和无法使用的请求机制，支付了 85,000 美元。

  5. 2026 年 7 月 1 日

    SB 1295 修订生效

    新的门槛、更多的敏感数据、禁止向 13 至 17 岁青少年投放定向广告，以及更完整的隐私通知。

执法和罚款

总检察长、公开报告与每次违规的罚款

康涅狄格州总检察长拥有执行该法律的专属权限。公民不能依据 CTDPA 起诉企业。

2023 年 7 月至 2024 年 12 月期间，对于可以整改的缺陷，总检察长必须发出通知并给予 60 天整改期。自 2025 年 1 月 1 日起，这一机会变成了由他决定，他会考虑违规的数量、企业的规模、数据的敏感程度，以及错误是人为的还是技术性的。

违反 CTDPA 被视为不公平商业行为。民事罚款最高为每次违规 5,000 美元，总检察长还可以请求法院命令、返还和退还所得利益。

该办公室发布年度执法报告。在 2025 年 7 月 8 日公布的和解中，TicketNetwork 支付了 85,000 美元，因为其隐私通知难以阅读，而且行使权利的途径已经失效，即使在收到通知之后也是如此。

AdSense 和 Ad Manager

Google 如何处理康涅狄格州的访客

AdSense 和 Ad Manager 会读取 GPP 字符串，这是 IAB Tech Lab 用于隐私信号的格式。对于康涅狄格州，Google 接受该州专属的部分和 US National 部分。当字符串表示拒绝出售或拒绝定向广告时，Google 会启用受限数据处理，即 RDP，并只展示非个性化广告。

在康涅狄格州部分中，Google 还会读取未成年人字段。如果没有对 13 至 15 岁青少年的出售或定向广告的同意，则启用 RDP。对于已知儿童的敏感数据，则采用儿童处理。根据 2026 年的规则，CMP 需要体现 13 至 17 岁的青少年不得收到定向广告。

AdSense 和 Ad Manager 中的美国各州隐私消息包含康涅狄格州。它会显示拒绝链接，并将选择记录在 GPP 中。Google 提醒，法律责任在网站。

Header bidding、视频、像素和其他公司的小组件也需要收到拒绝。只关闭 Google 并不能解决问题。

实际案例

在康涅狄格州的允许与不允许

有广告、有康涅狄格州访客的网站的日常示例。

可以

  • 向成年人展示个性化广告，并提供可见的拒绝链接
  • 把 GPC 视为拒绝，并在它与先前选择冲突时提示访客
  • 对未成年人和已拒绝的人展示上下文广告
  • 在首页页脚放置一个带有“隐私”字样的链接
  • 在政策上标注最近一次修订的月份和年份

不可以

  • 向您知道年龄在 13 至 17 岁之间的用户展示定向广告
  • 因为访客没有点击横幅就忽略 GPC
  • 政策中没有说明出售了哪些数据类别
  • 保留出错或无人接收的权利表单
  • 未经同意处理健康数据或精确位置

常见错误

总检察长已经指出的失误

报告和与 TicketNetwork 的和解表明，许多网站在基本事项上仍然出错。

难以阅读的通知

政策冗长、混乱，没有康涅狄格州消费者的权利，就像 TicketNetwork 案那样。

损坏的表单

权利请求链接通向一个无法提交的表单，或者一个无人阅读的邮箱。

旧的门槛

企业以为自己访客不足 10 万，所以不在适用范围，但门槛在 2026 年 7 月已降到 3.5 万。

GPC 没有效果

横幅识别了 GPC，但发送给广告的 GPP 字符串中仍然没有拒绝。

在 ConsentMode 中

审核会针对 CTDPA 检查什么

  • 分别在 GPC 关闭和开启的情况下，以康涅狄格州访客的身份打开网站，并比较广告请求。
  • 读取 GPP 字符串，并显示康涅狄格州部分或 US National 部分是否表示拒绝。
  • 在首页查找带有“隐私”字样的链接和可见的拒绝链接。
  • 阅读政策，指出是否缺少更新日期、出售的类别、定向广告，以及用于训练语言模型的用途。
  • 识别 CMP，并检查广告标签是否等待它的回应。
开始审核查看所有检查项

关于康涅狄格州法律的常见问题

我的网站每年有 4 万名来自康涅狄格州的访客。这部法律适用吗？

自 2026 年 7 月 1 日起，适用，只要您控制或处理这些访客的数据，例如 Cookie 和广告标识符。门槛已从 10 万名降到 3.5 万名消费者。

康涅狄格州需要同意横幅吗？

对成年人，该法律要求选择退出，而不是事先许可。敏感数据需要取得同意，而对 13 至 17 岁的青少年，定向广告是被禁止的。

我如何知道访客是不是未成年人？

该法律看的是企业对访客年龄的了解。如果网站在注册时询问年龄，或有面向青少年的内容，在配置广告时就需要考虑这一点。

罚款之前还有整改期吗？

自 2025 年 1 月 1 日起不再是强制的。总检察长可以给予这一机会，但会逐案决定。

ConsentMode 会更新我的政策吗？

不会。ConsentMode 不会更改网站。它读取政策和发送的信号，并提供一份报告，说明缺少什么以及如何修复。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

按 2026 年的规则检查您的网站

审核会以康涅狄格州访客的身份打开网站，并显示通知和信号方面需要修复什么，不会更改任何内容。

开始审核