Connecticut Reduz Limite da Lei de Privacidade para 35.000: Seu Site Agora é Afetado
A partir de meados de 2026, a lei de privacidade de Connecticut expande drasticamente seu alcance de 100.000 para 35.000 clientes, além de novas restrições à venda de dados de menores. Sites menores que pensavam estar isentos agora podem precisar cumprir.
Connecticut Reduz Limite da Lei de Privacidade para 35.000: Seu Site Agora é Afetado
Imagine gerenciar um pequeno site de e-commerce que atende a um público específico no Nordeste, confiante de que sua base de usuários abaixo de 100.000 o mantém fora do alcance das leis estaduais de privacidade. Agora imagine 1º de julho de 2026: esse mesmo site subitamente cai sob a Lei de Privacidade de Dados de Connecticut (CDPA) revisada porque você atingiu 35.000 residentes de Connecticut — ou até mesmo processou uma única peça de dados sensíveis. Isso não é um cenário hipotético distante; é a nova realidade para milhares de empresas, à medida que o Projeto de Lei do Senado 1295 reduz drasticamente os limiares de aplicabilidade e aperta as regras sobre dados de menores.1 2 3
Essas mudanças, sancionadas em 24 de junho de 2025, expandem dramaticamente o alcance da CDPA, puxando para dentro sites menores, aplicativos e serviços online que anteriormente passavam despercebidos.1 4 Se suas operações tocam consumidores de Connecticut — mesmo que indiretamente — é hora de auditar sua conformidade. Este post detalha as principais mudanças, quem elas afetam e passos práticos para se preparar antes que a aplicação comece.
O que Mudou? Uma Análise das Atualizações Principais do SB 1295
A legislatura de Connecticut aprovou o SB 1295 para abordar lacunas na CDPA original, efetivo em 1º de julho de 2026 (com algumas regras de profiling começando em 1º de agosto).1 2 A mudança mais disruptiva? Reduzir a barreira para quem deve cumprir.
Limiares de Aplicabilidade Reduzidos
Anteriormente, a CDPA visava os grandes players:
- Empresas que processam dados pessoais de 100.000 ou mais consumidores de Connecticut (excluindo dados apenas de pagamento), ou
- Aquelas que processam dados de 25.000 ou mais consumidores e derivam >25% da receita da venda de dados.2 5
A partir de 1º de julho de 2026:
- Cai para 35.000 consumidores de Connecticut — sem vínculo com receita.1 2 3 4 5 6
- Limite zero se você processa qualquer dado sensível (por exemplo, geolocalização precisa, informações de saúde, credenciais financeiras).2 3 5
- Limite zero se você vende qualquer dado pessoal de residentes de Connecticut.2 4 5
Dados de transações de pagamento continuam isentos das contagens, mas tudo o mais — como cookies de rastreamento ou perfis de usuário — conta.5 6 Isso inclui lojas de pequeno porte, ferramentas SaaS locais e sites de afiliados que escaparam das regras antigas.3
Categorias de Dados Sensíveis Expandidos
Dados sensíveis agora acionam a conformidade independentemente do volume. Novas adições incluem:
- Deficiências ou tratamentos de saúde mental
- Status não binário ou transgênero
- Dados genéticos/biométricos derivados
- Dados neurais
- Números de conta financeira, detalhes de cartão ou credenciais de login (com informações de acesso)7
Processar dados sensíveis requer consentimento, e deve ser "razoavelmente necessário e proporcional" aos propósitos declarados — mais rigoroso que o padrão antigo de "adequado, relevante".1 5 Vender dados sensíveis exige consentimento separado.4
Proteções Aumentadas para Menores
Sem mais espaço para manobras aqui:
- Proibição total de vender dados pessoais de menores de 18 anos (acima dos 16; sem exceção de consentimento para 13-17).3 4 5
- Publicidade direcionada proibida para menores, com ou sem consentimento.3 5
- Proibição de características de design que engajam menores (por exemplo, rolagem infinita que aumenta o engajamento).5
- Regras de profiling mais rigorosas para menores, além de avaliações de impacto obrigatórias.5
Essas refletem leis de privacidade de crianças como COPPA, mas se integram diretamente às obrigações da CDPA.
Outras Mudanças Principais
- Direitos de profiling expandem: Consumidores podem optar por sair de qualquer profiling vinculado a decisões automatizadas com "efeitos legais ou similares significativos" — incluindo decisões de terceiros.5
- Avisos de privacidade devem divulgar: Categorias de venda de dados, processamento de anúncios direcionados, uso de treinamento de LLM, compradores de terceiros e data da última atualização. Mudanças materiais exigem opções de retirada de consentimento.4
- Opções universais de opt-out reconhecidas a partir de janeiro de 2026 (por exemplo, Global Privacy Control).3
- Sem período de cura para violações pós-mudanças — direto para aplicação.2
Isso Afeta Seu Site ou Negócio?
Se você "conduz negócios em Connecticut ou produz produtos/serviços direcionados aos seus residentes," você está no escopo.2 Direcionamento inclui marketing localizado, envio específico do estado ou personalização baseada em IP — comum para sites de e-commerce.
Lista de verificação rápida de autoavaliação:
- Você rastreia >35.000 usuários de CT via cookies, logs ou formulários? (Sim = cumprir.)
- Processa qualquer dado sensível (por exemplo, questionários de saúde, serviços de localização)? (Sim = cumprir.)
- Vende dados (por exemplo, para redes de anúncios)? Mesmo um registro de CT aciona isso.2 4
- Atende a menores (conscientemente ou via lacunas de verificação de idade)? Novas proibições se aplicam universalmente.5
Sites pequenos com 40.000 usuários em todo o país podem processar 5.000 apenas de CT — agora acima da linha. Organizações sem fins lucrativos, ferramentas B2B e processadores de pagamento não estão automaticamente isentos; verifique limiares excluindo pagamentos.5 6
Compare com pares:
| Lei Estadual | Limite Antigo | Novo/Limite Mais Recente | Gatilho de Dados Sensíveis? |
|---|---|---|---|
| Connecticut (CDPA) | 100k consumidores | 35k consumidores (2026) | Sim, qualquer quantidade 1 2 |
| Califórnia (CCPA/CPRA) | 100k consumidores ou 50k dispositivos | Sem mudança | Parcial (opt-out para sensíveis) |
| Colorado (CPA) | 100k consumidores | Sem mudança | Sim, mas barras mais altas |
| Virgínia (VCDPA) | 100k consumidores | Sem mudança | Limitado |
A queda de CT é uma das mais íngremes, rivalizando com expansões em Montana ou Oregon.3
Passos Ações: Cumprir Antes de 1º de Julho de 2026
Não entre em pânico — muitas atualizações se alinham com as melhores práticas de GDPR/CCPA. Comece agora para uma implementação suave.
1. Audite Seus Fluxos de Dados (2-4 Semanas)
- Mapeie o processamento de dados pessoais: Quem, o quê, onde? Use ferramentas como diagramas de fluxo de dados.
- Conte consumidores de CT: Revise análises (GA4, logs de servidor) para tráfego específico do estado. Exclua pagamentos puros.2
- Sinalize dados sensíveis/de menores: Verifique formulários, rastreadores para conteúdo de saúde, localização ou direcionado a crianças.7
Dica profissional: Se abaixo de 35k mas vendendo dados, você está dentro — audite pixels de anúncios (por exemplo, o Facebook Pixel frequentemente "vende" via compartilhamento).4
2. Atualize Políticas e Avisos (1-2 Semanas)
- Revise a política de privacidade com divulgações do SB 1295: Categorias de vendas, processamento de anúncios, uso de LLM, datas de atualização.4
- Adicione proibições de menores e retirada de consentimento para mudanças.
- Implemente bandeiras de cookies honrando GPC/opt-out universal.3
Linguagem de divulgação de amostra:
"Vendemos dados pessoais para redes de anúncios para publicidade direcionada. Última atualização: [Data]."
3. Implemente Direitos e Controles do Consumidor
- Construa/aprimore portais para acesso, exclusão, opt-out (profiling, vendas, anúncios direcionados).
- Para dados sensíveis: Controle com toggles de consentimento granular.
- Menores: Portais de idade + auditorias de design para evitar engajamento.5
Plano de implementação numerado:
- Integre botões de opt-out em todo o site (por exemplo, "Não Vender/Direcionar").
- Teste blocos de profiling para decisões automatizadas.
- Treine equipes em coleta "proporcional" — corte rastreadores desnecessários.1
4. Realize Avaliações Obrigatórias
- Avaliações de proteção de dados para processamento de alto risco (vendas, profiling, sensíveis).5
- Avaliações de impacto para menores/profiling (a partir de agosto de 2026).2 5
- Documente tudo — os aplicadores adoram trilhas de auditoria.
5. Verificação de Tecnologia e Fornecedores
- Verifique terceiros: Eles vendem dados de CT? Atualize DPAs.
- Consentimento de cookies: Certifique-se de que cobre novas categorias sensíveis; ferramentas como OneTrust ajudam.
- Monitore para dados neurais/genéticos (por exemplo, aplicativos de fitness de IA).7
Orçamento de 3-6 meses se começar do zero. Operadores multistaduais: Harmonize com CCPA (direitos similares), mas note a barra mais baixa de CT.3
Armadilhas Potenciais e Riscos de Aplicação
Sem período de cura significa multas desde o primeiro dia — até $7.500 por violação via AG de CT.2 Pioneiros como Utah viram acordos rápidos; espere que CT siga.
Cuidado com:
- Subestimar usuários de CT: Geofencing de IP perde VPNs; use correspondência probabilística.
- Armadilhas de tecnologia de anúncios: "Vender" inclui compartilhar para anúncios — problema comum de Pixel.4
- Sobreposições globais: Se compatível com GDPR (processamento sensível do Art. 9), você está à frente; alinhe consentimentos.5
Principais Conclusões
- Redução de limiar: 100k → 35k consumidores de CT; zero para sensíveis/vendas.1 2
- Menores bloqueados: Sem vendas/anúncios para menores de 18 anos, nunca.3 4
- Aja agora: Audite dados, atualize avisos, construa opt-outs — 1º de julho se aproxima.
- Sites menores: Este é seu alerta. Conformidade supera multas.
Com passos proativos, você transforma isso em um construtor de confiança. Mantenha-se vigilante — as leis de privacidade evoluem rapidamente.3