Colorado Privacy Act: GPC, mindreåriges data, og hvad din hjemmeside skal gøre

Gælder CPA for din organisation?

De generelle regler omfatter dataansvarlige, der driver forretning i Colorado eller bevidst målretter sig mod delstatens indbyggere, og som:

• Volumen: kontrollerer eller behandler personoplysninger om 100.000 eller flere forbrugere i Colorado i et kalenderår; eller
• Datasalg: får indtægter eller rabat fra salg af personoplysninger og kontrollerer eller behandler data om 25.000 eller flere forbrugere.

Der er ingen omsætningstærskel, og Attorney Generals vejledning bekræfter, at nonprofitorganisationer er omfattet, i modsætning til i Virginia og Utah. Undtagelserne omfatter finansielle institutioner under GLBA, luftfartsselskaber, data omfattet af HIPAA og medarbejderdata.

Reglerne om mindreårige og biometri rækker videre: de gælder også for dataansvarlige under disse tærskler, som tabellen nedenfor viser.

Hvad er ændret, siden loven trådte i kraft?

Hvordan skal du håndtere GPC og andre fravalgssignaler?

Hvis du sælger personoplysninger eller bruger dem til målrettet annoncering, kræver CPA, at du accepterer fravalg, der sendes via en anerkendt universel fravalgsmekanisme. Attorney Generals liste nævner i øjeblikket én: Global Privacy Control (GPC).

Ifølge CPA Rules er GPC et gyldigt fravalg af målrettet annoncering og salg for den pågældende browser eller enhed og, hvis du kender personen, for den pågældende forbruger. Fravalget gælder, indtil vedkommende giver samtykke; et senere besøg uden signalet er ikke samtykke, og du må ikke kræve login.

Direkte fravalg er stadig vigtige: vis metoden til fravalg i din privatlivserklæring og et tilgængeligt sted uden for den, f.eks. et link i sidefoden. Erklæringen skal også forklare, hvordan du behandler fravalgssignaler.

Passiro håndterer GPC i alle abonnementer og behandler signalet som et fravalg; guiden til GPC forklarer, hvordan du tester, hvad dine tags og serverside-flows gør med det.

Hvad gælder for brugere under 18 år?

Siden 1. oktober 2025 gælder SB24-041, når du tilbyder en onlinetjeneste til en person, som du ved er under 18 år, eller når du bevidst ser bort fra, at personen er det. Du skal udvise rimelig omhu for at undgå en forhøjet risiko for skade på mindreårige.

Uden samtykke fra den mindreårige, eller fra en forælder eller værge, hvis den mindreårige er under 13 år, må du ikke:

• behandle en mindreårigs data til målrettet annoncering, salg eller profilering med betydelige virkninger;
• bruge dem ud over de formål, der blev oplyst ved indsamlingen, eller opbevare dem længere end nødvendigt;
• bruge designfunktioner til væsentligt at øge, fastholde eller forlænge en mindreårigs brug;
• indsamle præcis geolokation, medmindre det er nødvendigt for tjenesten, kun opbevares så længe som nødvendigt og hele tiden signaleres til den mindreårige.

Loven kræver ikke aldersverifikation. Hvor en funktion skaber en forhøjet risiko for skade, skal du dokumentere en vurdering og en plan for at mindske risikoen, og du må ikke bruge samtykkeanmodninger, der er designet til at undergrave en mindreårigs valg.

Hvornår skal du ellers have samtykke?

Du skal have samtykke, før du behandler eller sælger følsomme data: data, der afslører race eller etnisk oprindelse, religiøs overbevisning, en helbredstilstand eller diagnose, seksualliv eller seksuel orientering eller statsborgerskab; genetiske, biometriske, biologiske eller neurale data, der bruges til at identificere en person; data om et barn, som du ved er et barn; og præcis geolokation inden for 1.850 fod (ca. 560 meter).

Der kræves også samtykke til sekundære anvendelser, der ikke er rimeligt nødvendige for eller forenelige med de oplyste formål, og til målrettet annoncering eller salg efter et fravalg. Accept af brede vilkår eller tilslutning, der er opnået via manipulerende design (dark patterns), tæller ikke.

CPA Rules kræver, at du fornyer samtykke til følsomme data efter 24 måneder uden interaktion, medmindre forbrugeren til enhver tid kan ændre sine valg på en side med indstillinger. For biometriske identifikatorer kræves desuden en offentlig opbevaringspolitik og oplysning om formål og opbevaring før indsamlingen.

Hvordan fungerer anmodninger og klager?

Forbrugere kan fravælge, få indsigt i, berigtige og slette deres data og få en portabel kopi op til to gange pr. kalenderår. For en virksomhed, der kun er online, siger Attorney General, at en e-mailadresse er nok som metode til anmodninger.

Svar inden for 45 dage (kan forlænges med 45). Hvis du afslår, skal du oplyse hvorfor, og hvordan man klager. Klageadgangen skal være iøjnefaldende og lige så let som anmodningen; besvar klagen skriftligt inden for 45 dage (kan forlænges med 60), og fortæl forbrugeren, at vedkommende kan kontakte Attorney General.

Tjekliste for hjemmesiden

• GPC slået til: besøg hjemmesiden med GPC slået til og derefter igen uden; annonce- og salgstags bør være slået fra begge gange, uden login.
• Kendte kunder: en indlogget kunde, der har fravalgt, bør mangle i næste upload af målgrupper eller kundelister.
• Direkte fravalg: brug linket til fravalg i sidefoden som testbruger; det bør stoppe de samme aktiviteter som GPC.
• Samtykke: test formularer og forespørgsler om lokation; følsomme data, herunder præcis lokation, bør ikke overføres, før samtykke er registreret.
• Mindreårige: for brugere, som du ved er under 18 år, bør annoncering, salg og præcis lokation forblive slået fra uden samtykke.
• Anmodning og klage: afslå en testanmodning, og klag over afslaget; det skriftlige svar bør nævne Attorney General.

Ofte stillede spørgsmål