¿Qué es la Ley de Privacidad de Colorado (CPA)?

La Ley de Privacidad de Colorado (CPA), codificada en C.R.S. secciones 6-1-1301 a 6-1-1313, entró en vigor el 1 de julio de 2023, convirtiendo a Colorado en el tercer estado del país en promulgar una ley integral de privacidad de datos del consumidor. Lo que la distingue no es solo el estatuto en sí, sino las detalladas reglas de implementación (4 CCR 904-3) que adoptó la Fiscalía General junto con él, incluyendo un requisito pionero a nivel nacional de que las empresas cubiertas respeten la señal del navegador Global Privacy Control como una exclusión voluntaria legalmente reconocida.

A partir de 2026, la Fiscalía General de Colorado hace cumplir activamente la CPA. El periodo obligatorio de subsanación de 60 días que protegía a las empresas del cumplimiento inmediato expiró el 1 de enero de 2025, lo que significa que la Fiscalía General y los fiscales de distrito ahora pueden iniciar acciones de cumplimiento sin emitir primero un aviso de subsanación.

Qué es la Ley de Privacidad de Colorado: estatuto, promulgación y contexto

La Ley de Privacidad de Colorado es el estatuto integral de privacidad de datos del consumidor de Colorado, codificado en C.R.S. secciones 6-1-1301 a 6-1-1313 como la Parte 13 de la Ley de Protección al Consumidor de Colorado (Título 6, Artículo 1). El gobernador Jared Polis firmó el Proyecto de Ley del Senado 21-190 el 7 de julio de 2021, dándole a las empresas casi dos años para prepararse antes de que la ley entrara en vigor el 1 de julio de 2023. Eso convirtió a Colorado en el tercer estado, después de California y Virginia, en promulgar un régimen amplio de privacidad de datos del consumidor.

La CPA rige como las empresas cubiertas deben recopilar, usar, compartir y proteger los datos personales de los residentes de Colorado. Al igual que la VCDPA de Virginia, su arquitectura toma prestado significativamente del Reglamento General de Protección de Datos de la UE (GDPR): usa un marco de controlador-encargado, exige evaluaciones de protección de datos para actividades de procesamiento de alto riesgo, y requiere consentimiento afirmativo de inclusión voluntaria para datos sensibles en lugar de un simple mecanismo de exclusión voluntaria. Sin embargo, a diferencia de Virginia, Colorado fue más lejos al ordenar a la Fiscalía General promulgar reglas de implementación detalladas y mantener una lista pública de Mecanismos Universales de Exclusión Voluntaria (UOOM) aprobados que las empresas deben respetar.

Las regulaciones complementarias, las Reglas de la Ley de Privacidad de Colorado (4 CCR 904-3), entraron en vigor el 1 de julio de 2023, junto con el estatuto. La Fiscalía General presentó esas reglas finales el 15 de marzo de 2023, convirtiendo a Colorado en uno de los pocos estados donde las regulaciones de implementación y el estatuto de privacidad se lanzaron juntos. Esas reglas agregan especificidad a los estándares de consentimiento, los requisitos de contenido de las evaluaciones de protección de datos y el marco UOOM que el estatuto por sí solo no proporciona.

Para el marco de cumplimiento completo que cubre las obligaciones del controlador, los contratos con encargados, los requisitos de aviso de privacidad y el historial de cumplimiento, consulte la página principal de leyes de privacidad de datos de Colorado.

A quién cubre la Ley de Privacidad de Colorado: umbrales, exenciones y la distinción de organizaciones sin fines de lucro

La CPA alcanza a cualquier persona, incluyendo corporaciones, individuos y organizaciones sin fines de lucro, que haga negocios en Colorado o produzca o entregue productos o servicios comerciales dirigidos intencionalmente a residentes de Colorado, y que cumpla con cualquiera de los dos umbrales establecidos en C.R.S. sección 6-1-1304(1).

El primer umbral: la empresa controla o procesa datos personales de 100,000 o más consumidores de Colorado por año calendario. El segundo umbral: la empresa obtiene ingresos o recibe un descuento en el precio de bienes o servicios por la venta de datos personales y controla o procesa los datos personales de 25,000 o más consumidores. Ese segundo criterio contiene una distinción crítica respecto a la VCDPA de Virginia: Colorado solo requiere que una empresa obtenga cualquier ingreso por la venta de datos personales, no que las ventas de datos representen más del 50% de los ingresos brutos. Una empresa que obtiene una pequeña fracción de sus ingresos de la venta de datos mientras procesa los datos de 25,000 consumidores de Colorado está cubierta en Colorado pero puede no estarlo en Virginia.

La CPA también cubre a las organizaciones sin fines de lucro que cumplen con esos umbrales, lo cual es otro contraste significativo con Virginia y Texas. Tanto la VCDPA como la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) eximen por completo a las organizaciones sin fines de lucro. Colorado no lo hace.

Varias categorías de entidades y datos están exentas bajo C.R.S. sección 6-1-1304(2) a (4):

• Organismos gubernamentales estatales y locales
• Datos personales usados con fines puramente no comerciales por instituciones estatales de educación superior
• Entidades cubiertas por HIPAA y asociados comerciales, para datos regulados por HIPAA
• Instituciones financieras y datos regidos por la Ley Gramm-Leach-Bliley (GLBA)
• Aerolíneas bajo la ley federal de aviación
• Datos regulados por la Ley de Informe Justo de Crédito (FCRA), la Ley de Derechos Educativos y Privacidad Familiar (FERPA), la Ley de Protección de la Privacidad Infantil en Línea (COPPA), la Ley de Protección de la Privacidad del Conductor (DPPA) y la Ley de Crédito Agrícola

Estas exenciones significan que los sistemas de salud que procesan datos regulados por HIPAA, los bancos y cooperativas de crédito regulados por GLBA, y las universidades estatales que operan con fines educativos están en gran medida fuera del alcance de la CPA incluso cuando manejan grandes volúmenes de datos de residentes.

Los cinco derechos del consumidor de Colorado bajo la CPA

La CPA otorga a los residentes de Colorado cinco derechos enumerados contra los controladores cubiertos bajo C.R.S. sección 6-1-1306(1):

1. Derecho de acceso. Un consumidor puede confirmar si un controlador está procesando sus datos personales y solicitar una copia de esos datos en un formato fácilmente utilizable.
2. Derecho de corrección. Un consumidor puede exigir que un controlador corrija datos personales inexactos, teniendo en cuenta la naturaleza y los propósitos del procesamiento.
3. Derecho de eliminación. Un consumidor puede solicitar la eliminación de los datos personales que el controlador tiene sobre él, ya sea que el consumidor los haya proporcionado o que el controlador los haya recopilado de otras fuentes.
4. Derecho de portabilidad. Un consumidor puede obtener sus datos personales en un formato portátil y fácilmente utilizable que permita la transferencia a otro controlador, siempre que la solicitud sea técnicamente viable.
5. Derecho de exclusión voluntaria. Un consumidor puede excluirse del procesamiento para tres propósitos específicos: publicidad dirigida, la venta de datos personales, y el perfilamiento en apoyo de decisiones que producen efectos legales o similarmente significativos sobre el consumidor.

Los controladores deben responder a las solicitudes de derechos autenticadas dentro de 45 días de recibidas. Bajo C.R.S. sección 6-1-1306(3), el periodo de respuesta puede extenderse una vez por 45 días adicionales cuando sea razonablemente necesario, pero solo si el controlador notifica al consumidor dentro de la ventana inicial de 45 días y explica las razones del retraso. El plazo máximo de respuesta es, por lo tanto, de 90 días con la notificación adecuada.

Los controladores que nieguen una solicitud de derechos deben informar al consumidor sobre la negativa y explicar cómo el consumidor puede apelar. Las reglas de la CPA exigen que los controladores mantengan un proceso interno de apelación. Si la apelación también es denegada, el controlador debe proporcionar información sobre cómo el consumidor puede comunicarse con la Fiscalía General.

Para un recorrido detallado de cómo presentar solicitudes y qué se requiere de las empresas para cada una, consulte el artículo sobre los derechos del consumidor de Colorado bajo la CPA.

Datos sensibles y el requisito de consentimiento de inclusión voluntaria

Una de las características definitorias de la CPA es su requisito de que los controladores obtengan consentimiento afirmativo de inclusión voluntaria antes de procesar cualquier dato personal sensible. Esto no es una configuración activada por defecto con una forma de excluirse después: el consentimiento debe obtenerse antes de que comience el procesamiento. Los controladores que procesan datos sensibles sin consentimiento previo están infringiendo C.R.S. sección 6-1-1308(7).

La definición actual de datos sensibles de la CPA en C.R.S. sección 6-1-1303 cubre:

• Datos personales que revelan origen racial o étnico
• Datos personales que revelan creencias religiosas
• Condición o diagnóstico de salud mental o física
• Vida sexual u orientación sexual
• Estatus de ciudadanía o inmigración
• Datos biométricos procesados para identificar de manera única a un individuo
• Datos personales recopilados de un menor conocido

A partir del 12 de agosto de 2026, cuando entre en vigor la SB 25-276, los datos de geolocalización precisa también serán clasificados como datos sensibles bajo la CPA. La SB 25-276, firmada por el gobernador Polis el 23 de mayo de 2025, modifica la definición de datos sensibles en C.R.S. sección 6-1-1303 para agregar datos de ubicación precisa, lo que significa que cualquier controlador que procese datos de geolocalización precisa necesitará consentimiento de inclusión voluntaria de los consumidores de Colorado antes de que llegue esa fecha. Las empresas que dependen de servicios basados en ubicación o rastrean ubicaciones de dispositivos deben tratar el 12 de agosto de 2026 como un plazo de cumplimiento inamovible.

El estándar de inclusión voluntaria para datos sensibles alinea a Colorado más estrechamente con el requisito de consentimiento explícito del Artículo 9 del GDPR para datos de categoría especial que con el enfoque de California. La CCPA/CPRA usa un modelo de exclusión voluntaria para información personal sensible: las empresas pueden procesarla a menos que el consumidor solicite una limitación. Colorado invierte ese valor por defecto: no hay procesamiento hasta que el consumidor diga que sí.

Las reglas de la Fiscalía General de Colorado (4 CCR 904-3) y el Mecanismo Universal de Exclusión Voluntaria

Colorado se destaca de la mayoría de las leyes estatales de privacidad de EE. UU. por la especificidad de sus regulaciones de implementación. La Fiscalía General presentó las Reglas finales de la Ley de Privacidad de Colorado (4 CCR 904-3) el 15 de marzo de 2023, y entraron en vigor el 1 de julio de 2023, junto con el estatuto. Mientras que muchos estados han promulgado leyes de privacidad de datos sin reglas detalladas de agencia, las reglas de Colorado cubren los estándares de consentimiento (4 CCR 904-3-7.02), los requisitos de contenido de las evaluaciones de protección de datos (4 CCR 904-3-8.02 a 8.05), las obligaciones del controlador para la transparencia del procesamiento, y todo el marco del Mecanismo Universal de Exclusión Voluntaria (4 CCR 904-3-5.03).

El marco UOOM es el requisito operativo más distintivo de Colorado. C.R.S. sección 6-1-1313(2) ordena a la Fiscalía General mantener una lista pública de Mecanismos Universales de Exclusión Voluntaria reconocidos, que son señales de navegador o dispositivo técnicamente especificadas que los controladores cubiertos deben respetar como la exclusión voluntaria de un consumidor de la publicidad dirigida y la venta de datos. La Fiscalía General debía publicar la lista inicial de UOOM antes del 1 de enero de 2024, y actualizarla periódicamente.

El Global Privacy Control (GPC) es el primer y actualmente el único mecanismo que la Fiscalía General de Colorado ha reconocido como un UOOM válido. La Fiscalía General publicó el reconocimiento de GPC en su página de Mecanismos Universales de Exclusión Voluntaria. A partir del 1 de julio de 2024, los controladores cubiertos han estado obligados a respetar las señales de GPC de los consumidores de Colorado como exclusiones voluntarias válidas de la publicidad dirigida y la venta de datos personales. Esto no es aspiracional: es una obligación de cumplimiento actual. Un consumidor de Colorado que tiene GPC activado en su navegador no necesita navegar por la configuración de privacidad de un sitio web ni presentar una solicitud de exclusión voluntaria separada. La señal es legalmente suficiente por sí sola.

La implicación práctica es significativa. Las empresas que ejecutan programas de publicidad conductual o venden datos a corredores de datos externos deben detectar y respetar las señales de GPC a nivel del navegador, no solo a través de un formulario de exclusión voluntaria dedicado en una página de preferencias de privacidad. Las reglas 4 CCR 904-3 especifican cómo debe implementarse técnicamente un UOOM, qué divulgaciones deben proporcionar los controladores cuando reconocen un UOOM, y qué registros deben mantenerse.

Evaluaciones de protección de datos: cuándo y por qué los controladores deben realizarlas

La CPA exige que los controladores cubiertos completen una evaluación de protección de datos antes de comenzar cualquier actividad de procesamiento que presente un riesgo elevado de daño a un consumidor. C.R.S. sección 6-1-1309 identifica cuatro categorías de procesamiento que requieren una evaluación:

1. Procesamiento de datos personales para publicidad dirigida
2. Venta de datos personales
3. Procesamiento de datos personales para perfilamiento que presenta un riesgo razonablemente previsible de trato injusto o engañoso, impacto dispar ilegal, lesión financiera, física o de reputación, intrusión en la soledad, u otro daño sustancial a los consumidores
4. Procesamiento de datos sensibles

Los controladores deben documentar cada evaluación. Las reglas 4 CCR 904-3 (específicamente las Reglas 8.02 a 8.05) especifican trece componentes mínimos que las evaluaciones deben incluir: las categorías de datos personales procesados, el propósito del procesamiento, el interés legítimo del controlador en el procesamiento, las categorías de terceros que pueden recibir los datos, los beneficios esperados para el controlador y los consumidores, los riesgos para los derechos e intereses del consumidor, y las salvaguardas que el controlador implementará para mitigar esos riesgos, entre otros. Los requisitos de Colorado son más detallados que la mayoría de las leyes estatales comparables.

La Fiscalía General puede solicitar revisar las evaluaciones de protección de datos durante una investigación. Una evaluación exhaustiva y bien mantenida no es solo un requisito de cumplimiento: es una línea de defensa primaria si la Fiscalía General comienza a examinar las prácticas de un controlador. Un controlador que no puede producir una evaluación creíble para una actividad de procesamiento cubierta no tiene una respuesta efectiva ante una investigación de cumplimiento.

Cumplimiento de la CPA: Fiscalía General y fiscales de distrito, hasta $20,000 por infracción, fin del periodo de subsanación

La CPA es aplicada exclusivamente por la Fiscalía General de Colorado y los fiscales de distrito. No existe un derecho de acción privado para los consumidores: un residente individual de Colorado no puede demandar directamente a una empresa cubierta por infracciones de la CPA, sin importar cuán clara sea la violación de sus derechos. Toda la autoridad de cumplimiento pasa por la oficina de la Fiscalía General y los fiscales de distrito del estado.

Las infracciones de la CPA se clasifican como prácticas comerciales engañosas bajo la Ley de Protección al Consumidor de Colorado (C.R.S. sección 6-1-105). Esa clasificación conlleva sanciones civiles de hasta $20,000 por infracción bajo C.R.S. sección 6-1-112. Ese límite por infracción es notablemente más alto que el de la VCDPA de Virginia ($7,500 por infracción) o el de la TDPSA de Texas ($7,500 por infracción, hasta $25,000 por una serie relacionada). Una empresa que niega indebidamente miles de solicitudes de derechos del consumidor o no respeta las señales de GPC a gran escala enfrenta una exposición sustancial bajo la ley de Colorado.

La CPA originalmente proporcionó una válvula de seguridad: desde la fecha de vigencia de la ley del 1 de julio de 2023 hasta el 1 de enero de 2025, la Fiscalía General y los fiscales de distrito debían proporcionar a las empresas cubiertas un aviso escrito de subsanación de 60 días antes de iniciar una acción de cumplimiento, siempre que la infracción pudiera remediarse. Ese periodo obligatorio de subsanación expiró el 1 de enero de 2025, bajo C.R.S. sección 6-1-1311. A partir de esa fecha, la Fiscalía General puede iniciar una acción de cumplimiento de inmediato al identificar una infracción, sin darle primero a la empresa la oportunidad de corregir el problema. Las empresas que contaban con recibir un aviso de subsanación antes de enfrentar consecuencias ya no tienen ese colchón.

La Fiscalía General también puede buscar medidas cautelares y, como parte de cualquier acción de cumplimiento, puede recuperar los costos razonables de investigación. La Fiscalía General mantiene un centro público de recursos sobre la CPA en coag.gov/resources/colorado-privacy-act/, que incluye orientación sobre cumplimiento y actualizaciones normativas.

Para la lista completa de verificación de cumplimiento del controlador que cubre avisos de privacidad, acuerdos de procesamiento de datos, flujos de trabajo de respuesta al consumidor y pasos de implementación de UOOM, consulte la lista de verificación de cumplimiento de la CPA.

Reformas recientes de la CPA: biometría, menores y geolocalización (2024 a 2026)

La CPA ha sido reformada tres veces desde su lanzamiento en 2023, cada vez agregando nuevas obligaciones en áreas de mayor preocupación pública.

HB 24-1130 (vigente desde el 1 de julio de 2025): protecciones de identificadores biométricos. El gobernador Polis firmó este proyecto de ley el 31 de mayo de 2024. La reforma agrega obligaciones específicas para los controladores que procesan identificadores biométricos (huellas dactilares, geometría facial, escaneos de iris y datos similares) más allá del requisito general de consentimiento de datos sensibles ya presente en la CPA. Bajo la HB 24-1130, los controladores cubiertos deben: adoptar y poner a disposición del público un cronograma escrito de retención y destrucción de identificadores biométricos; obtener una divulgación al consumidor y consentimiento por escrito antes de recopilar, comprar u obtener de otro modo datos biométricos; desarrollar protocolos de respuesta para violaciones de seguridad que involucren datos biométricos; y abstenerse de exigir el consentimiento del empleado para recopilar identificadores biométricos como condición de empleo. Esta reforma es ley vigente.

SB 24-041 (vigente desde el 1 de octubre de 2025): protecciones de datos en línea de menores. También firmada el 31 de mayo de 2024, la SB 24-041 agregó C.R.S. sección 6-1-1309.5, imponiendo obligaciones elevadas cuando un controlador sabe o ignora deliberadamente que un usuario es menor de edad. Cuando se cumple ese umbral de conocimiento, el controlador debe: ejercer un cuidado razonable para evitar un daño elevado al menor; realizar evaluaciones de protección de datos de cualquier procesamiento que pueda afectar a menores; y obtener consentimiento antes de realizar publicidad dirigida a menores, vender los datos personales de menores, perfilar a menores, o usar características de diseño destinadas a extender significativamente el uso del servicio por parte de menores. Es importante destacar que los controladores no están obligados a implementar sistemas de verificación de edad bajo la SB 24-041. Esta reforma es ley vigente desde el 1 de octubre de 2025.

SB 25-276 (vigente desde el 12 de agosto de 2026): geolocalización precisa como dato sensible. El gobernador Polis firmó la SB 25-276 el 23 de mayo de 2025. Cuando esta reforma entre en vigor el 12 de agosto de 2026, los datos de geolocalización precisa se agregarán a la definición de datos sensibles de la CPA en C.R.S. sección 6-1-1303. Los controladores que procesen datos de ubicación precisa de consumidores de Colorado necesitarán obtener consentimiento de inclusión voluntaria antes de hacerlo. La SB 25-276 también restringe de manera más amplia la venta de datos sensibles sin el consentimiento del consumidor. A la fecha de este artículo, la SB 25-276 aún no está vigente. Las empresas que usan datos de geolocalización precisa (incluyendo aplicaciones de mapas, plataformas de entrega, sistemas de gestión de flotas o cualquier servicio que rastree la ubicación de un dispositivo) deben comenzar a prepararse para este requisito ahora. El 12 de agosto de 2026 es el plazo de cumplimiento.

Ley de Privacidad de Colorado vs. CCPA: tres diferencias clave

La CPA y la CCPA de California son las dos leyes estatales de privacidad de EE. UU. más discutidas, y comparten un marco común, pero difieren en tres formas que importan en la práctica. Nuestra página de comparación de leyes estatales de privacidad de datos cubre el panorama completo de múltiples estados, pero aquí están las distinciones más marcadas:

Estándar de consentimiento para datos sensibles. La CPA exige consentimiento afirmativo de inclusión voluntaria antes de que un controlador pueda procesar datos personales sensibles (C.R.S. sección 6-1-1308(7)). La CCPA/CPRA usa un modelo de exclusión voluntaria: las empresas pueden procesar información personal sensible bajo la ley de California a menos y hasta que el consumidor presente una solicitud de "Limitar el Uso de Mi Información Personal Sensible" bajo Cal. Civ. Code sección 1798.121. En términos prácticos, inclusión voluntaria significa que no hay procesamiento sin un sí previo; exclusión voluntaria significa que el procesamiento continúa a menos que el consumidor se oponga.

Mecanismo Universal de Exclusión Voluntaria. Colorado exige que los controladores cubiertos respeten las señales de navegador GPC como una exclusión voluntaria válida del consumidor de la publicidad dirigida y las ventas de datos, con cumplimiento requerido desde el 1 de julio de 2024. California tiene un requisito similar bajo las regulaciones de la CPRA para "señales de preferencia de exclusión voluntaria", pero el requisito de Colorado está codificado tanto en el estatuto como en reglas detalladas de la Fiscalía General, con un registro público de mecanismos reconocidos que proporciona más especificidad operativa.

Umbral de aplicabilidad. El segundo criterio de cobertura de la CPA solo requiere que una empresa obtenga cualquier ingreso por la venta de datos personales mientras procesa datos de 25,000 o más consumidores de Colorado. La CCPA aplica a empresas que cumplen al menos uno de tres umbrales separados, uno de los cuales es ingresos brutos anuales que superan los $25 millones. Una pequeña empresa sin ingresos significativos pero con un gran volumen de procesamiento de datos puede estar cubierta en Colorado pero no en California.

Más Leyes de Colorado

• Leyes de grabación de reuniones con IA en Colorado
• Leyes de pensión alimenticia en Colorado
• Leyes de empleo a voluntad en Colorado
• Leyes de accidentes automovilísticos en Colorado
• Leyes de asientos de seguridad para niños en Colorado
• Leyes de custodia de menores en Colorado
• Leyes de manutención infantil en Colorado
• Leyes de matrimonio de hecho en Colorado
• Leyes sobre deepfakes en Colorado
• Leyes de divorcio en Colorado
• Leyes sobre mordeduras de perro en Colorado
• Leyes de emancipación en Colorado
• Leyes de eliminación de antecedentes penales en Colorado
• Leyes sobre atropello y fuga en Colorado
• Leyes de propietarios e inquilinos en Colorado
• Leyes del limón en Colorado

Guías relacionadas

• Derechos del Consumidor de la Ley de Privacidad de Colorado y Como Usarlos
• Lista de Verificación de Cumplimiento de la Ley de Privacidad de Colorado (2026)
• Leyes de Privacidad de Datos de Colorado: Guía de Derechos del Consumidor de la CPA (2026)
• Leyes de Privacidad Biométrica de Colorado: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)