Colorado Privacy Act: GPC, datos de menores y lo que debe hacer tu web

¿Se aplica la CPA a tu organización?

Las normas generales abarcan a los responsables del tratamiento que operan en Colorado o se dirigen intencionadamente a sus residentes y que:

• Volumen: controlan o tratan datos personales de 100.000 o más consumidores de Colorado en un año natural; o
• Venta de datos: obtienen ingresos o un descuento por vender datos personales y controlan o tratan datos de 25.000 o más consumidores.

No hay umbral de ingresos, y la guía del fiscal general confirma que las entidades sin ánimo de lucro están incluidas, a diferencia de lo que ocurre en Virginia y Utah. Entre las exenciones están las entidades financieras sujetas a la GLBA, las compañías aéreas, los datos regulados por la HIPAA y los datos de empleados.

Las normas sobre menores y datos biométricos llegan más lejos: también se aplican a responsables por debajo de estos umbrales, como muestra la tabla siguiente.

¿Qué ha cambiado desde que la ley entró en vigor?

¿Cómo debes gestionar GPC y otras señales de exclusión?

Si vendes datos personales o los usas para publicidad dirigida, la CPA te obliga a aceptar las exclusiones enviadas mediante un mecanismo universal de exclusión reconocido. La lista del fiscal general recoge actualmente uno: Global Privacy Control (GPC).

Según las normas de la CPA (CPA Rules), GPC es una exclusión válida de la publicidad dirigida y la venta para ese navegador o dispositivo y, si conoces a la persona, para ese consumidor. Sigue en vigor hasta que dé su consentimiento; una visita posterior sin la señal no es consentimiento, y no puedes exigir que inicie sesión.

Las exclusiones directas siguen siendo importantes: muestra el método de exclusión en tu aviso de privacidad y en un lugar accesible fuera de él, como un enlace en el pie de página. El aviso también debe explicar cómo procesas las señales de exclusión.

Passiro gestiona GPC en todos los planes y trata la señal como una exclusión; la guía de GPC explica cómo probar qué hacen con ella tus etiquetas y tus flujos del lado del servidor.

¿Qué se aplica a los usuarios menores de 18 años?

Desde el 1 de octubre de 2025, la SB24-041 se aplica cuando ofreces un servicio online a alguien que sabes que es menor de 18 años, o cuando lo ignoras deliberadamente. Debes actuar con una diligencia razonable para evitar un riesgo elevado de daño a los menores.

Sin el consentimiento del menor, o de uno de sus progenitores o tutores si el menor tiene menos de 13 años, no puedes:

• tratar los datos de un menor para publicidad dirigida, venta o elaboración de perfiles con efectos significativos;
• usarlos más allá de los fines comunicados en la recogida, ni conservarlos más tiempo del necesario;
• usar funciones de diseño para aumentar, mantener o prolongar de forma significativa el uso por parte de un menor;
• recoger la geolocalización precisa, salvo que sea necesaria para el servicio, se conserve solo el tiempo necesario y se le indique al menor durante todo ese tiempo.

La ley no exige verificar la edad. Cuando una función cree un riesgo elevado de daño, documenta una evaluación y un plan para reducir el riesgo, y no uses solicitudes de consentimiento diseñadas para socavar la decisión de un menor.

¿En qué otros casos necesitas consentimiento?

Necesitas el consentimiento antes de tratar o vender datos sensibles: datos que revelen el origen racial o étnico, las creencias religiosas, una afección o un diagnóstico de salud, la vida sexual o la orientación sexual, o la situación de ciudadanía; datos genéticos, biométricos, biológicos o neuronales usados para identificar a alguien; los datos de un niño cuando se sabe que lo es; y la geolocalización precisa con un margen de 1850 pies (unos 560 metros).

El consentimiento también es necesario para usos secundarios que no sean razonablemente necesarios para los fines comunicados ni compatibles con ellos, y para la publicidad dirigida o la venta después de una exclusión. Aceptar condiciones generales amplias, o un acuerdo obtenido mediante patrones oscuros, no cuenta.

Las normas de la CPA te obligan a renovar el consentimiento para datos sensibles tras 24 meses sin interacción, salvo que el consumidor pueda cambiar sus decisiones en cualquier momento en una página de ajustes. Los identificadores biométricos también requieren una política de conservación pública y un aviso sobre la finalidad y la conservación antes de la recogida.

¿Cómo funcionan las solicitudes y los recursos?

Los consumidores pueden oponerse, acceder a sus datos, rectificarlos y suprimirlos, y obtener una copia portátil hasta dos veces por año natural. Para una empresa que solo opera online, el fiscal general indica que una dirección de correo electrónico basta como método de solicitud.

Responde en un plazo de 45 días (prorrogable otros 45). Si rechazas una solicitud, explica por qué y cómo recurrir. El recurso debe ser visible y tan sencillo como la solicitud; respóndelo por escrito en un plazo de 45 días (prorrogable otros 60) e informa al consumidor de que puede contactar con el fiscal general.

Lista de comprobación para tu web

• GPC activado: visita la web con GPC activado y luego sin él; las etiquetas de publicidad y de venta deberían seguir desactivadas las dos veces, sin inicio de sesión.
• Clientes conocidos: un cliente excluido con sesión iniciada no debería aparecer en la siguiente carga de audiencias o de listas de clientes.
• Exclusión directa: usa el enlace de exclusión del pie de página como usuario de prueba; debería detener las mismas actividades que GPC.
• Consentimiento: prueba los formularios y las solicitudes de ubicación; los datos sensibles, incluida la ubicación precisa, no deberían transmitirse antes de que se registre el consentimiento.
• Menores: para los usuarios que se sabe que son menores de 18 años, la publicidad, la venta y la ubicación precisa deberían seguir desactivadas sin consentimiento.
• Solicitud y recurso: rechaza una solicitud de prueba y recúrrela; la respuesta por escrito debería mencionar al fiscal general.

Preguntas frecuentes