Derechos del Consumidor de la CTDPA: Ejerza sus Derechos de Privacidad en Connecticut

Bajo Conn. Gen. Stat. sección 42-518, los residentes de Connecticut tienen cinco derechos de privacidad exigibles contra las empresas que recopilan sus datos. Esta página explica cada derecho, los pasos exactos para ejercerlo, cómo usar Global Privacy Control, y cómo escalar si una empresa ignora o niega su solicitud.

La Ley de Privacidad de Datos de Connecticut aplica a cualquier controlador cubierto que procese sus datos personales. Si desea una visión más amplia de cómo funciona la ley y a quién cubre, comience con qué es la CTDPA y a quién cubre. Para el centro principal de la Ley de Privacidad de Datos de Connecticut (CTDPA), consulte la página principal.

Sus Cinco Derechos de Privacidad de la CTDPA de un Vistazo

La Ley de Privacidad de Datos de Connecticut otorga a los residentes cinco derechos enumerados bajo Conn. Gen. Stat. sección 42-518(a). Todo controlador cubierto debe respetar estos derechos cuando se le solicite.

1. Derecho de acceso y confirmación del procesamiento. Usted puede pedirle a cualquier empresa cubierta que confirme si posee datos personales sobre usted y, de ser así, que le proporcione una copia. Esto cubre tanto la confirmación (¿tiene la empresa mis datos?) como el derecho de acceso (muéstreme lo que tiene).

2. Derecho de corrección. Usted puede exigir que una empresa corrija inexactitudes en los datos personales que posee sobre usted, teniendo en cuenta la naturaleza de los datos y los propósitos del procesamiento. Esto importa más para los perfiles financieros, los registros relacionados con la salud, y la información de contacto usada para tomar decisiones.

3. Derecho de eliminación. Usted puede exigir la eliminación de los datos personales que la empresa recopiló de usted u obtuvo sobre usted de terceros. Este es el derecho de borrado más amplio que proporciona la CTDPA. La eliminación no es absoluta; las empresas pueden retener datos para completar una transacción, cumplir con una obligación legal, o llevar a cabo ciertas funciones de seguridad o investigación, y deben decirle que excepción aplica si se niegan.

4. Derecho a la portabilidad de datos. Usted puede recibir una copia de sus datos personales en un formato portátil y fácilmente utilizable que le permita transmitirlos a otro servicio cuando sea técnicamente viable.

5. Derecho de exclusión voluntaria. Usted puede excluirse de tres usos distintos de sus datos: (a) la venta de sus datos personales a terceros; (b) el procesamiento para publicidad dirigida, es decir, anuncios seleccionados para usted según su actividad en sitios web, aplicaciones o servicios no relacionados; y (c) el perfilamiento en apoyo de decisiones que producen efectos legales o similarmente significativos sobre usted, como decisiones que afectan el crédito, el seguro, el empleo, la vivienda, o el acceso a servicios esenciales.

Estos derechos aplican solo contra los controladores que cumplen con los umbrales de tamaño de la CTDPA bajo Conn. Gen. Stat. sección 42-516. Una empresa debe procesar los datos personales de al menos 100,000 consumidores de Connecticut por año, o procesar los datos personales de al menos 25,000 consumidores mientras obtiene más del 25 por ciento de los ingresos brutos de la venta de datos personales. Las empresas más pequeñas por debajo de ambos umbrales no están sujetas a los requisitos de derechos del consumidor de la CTDPA.

Cómo Presentar una Solicitud de Derechos de la CTDPA

Todo controlador cubierto está obligado por Conn. Gen. Stat. sección 42-520(b) a mantener un aviso de privacidad que describa claramente cómo los consumidores pueden ejercer sus derechos y a proporcionar al menos un canal de presentación seguro y confiable. En la práctica, la mayoría de las empresas ofrecen un portal de privacidad en línea, una dirección de correo electrónico dedicada, o un número gratuito.

Proceso paso a paso:

1. Encuentre la política de privacidad de la empresa o busque un enlace en el pie de página de su sitio web etiquetado "Privacy Rights", "Consumer Request", "Do Not Sell My Data", o "Your Privacy Choices".
2. Seleccione el derecho que desea ejercer: acceso, corrección, eliminación, portabilidad, o exclusión voluntaria.
3. Proporcione suficiente información de identificación para que la empresa pueda autenticarlo. Esto normalmente significa su nombre, la dirección de correo electrónico registrada en su cuenta, y posiblemente respuestas a preguntas de seguridad.
4. Presente su solicitud y guarde la confirmación, ya sea una captura de pantalla o un correo electrónico de confirmación, para tener un registro de la fecha de presentación.
5. La ventana de respuesta de 45 días comienza desde la fecha en que la empresa recibe su solicitud autenticada.

Bajo Conn. Gen. Stat. sección 42-518(b), las empresas deben responder sin demora indebida y en todos los casos dentro de 45 días de recibida la solicitud. Si la empresa necesita más tiempo, puede extender el plazo una vez por 45 días adicionales, dando una ventana máxima de respuesta de 90 días. Cuando una empresa extiende el plazo, debe notificarle dentro de la ventana inicial de 45 días y explicar la razón de la extensión.

Su primera solicitud en cualquier periodo de 12 meses debe cumplirse sin cargo. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa administrativa razonable o negarse a actuar sobre ellas bajo la sección 42-518(b).

Si la empresa no puede autenticar su identidad usando esfuerzos comercialmente razonables, no está obligada a cumplir, pero puede solicitarle información adicional necesaria para autenticar la solicitud en lugar de simplemente negarse por completo. Usted no está obligado a proporcionar información más allá de lo razonablemente necesario para la autenticación.

Uso de Global Privacy Control (GPC) para Excluirse Automáticamente

Desde el 1 de enero de 2025, todo controlador cubierto por la CTDPA debe respetar las señales de preferencia de exclusión voluntaria enviadas por los consumidores de Connecticut bajo Conn. Gen. Stat. sección 42-519. El Global Privacy Control es la implementación líder de este requisito.

GPC es una señal a nivel de navegador que le indica automáticamente a cada sitio web que visita que usted no consiente a la venta de sus datos personales ni a su uso para publicidad dirigida. En lugar de hacer clic en un formulario de exclusión voluntaria en el sitio web de cada empresa, usted activa GPC una vez en su navegador y este transmite su preferencia a cada sitio cubierto que visite de ahí en adelante.

Cómo activar GPC:

• Use un navegador enfocado en privacidad que tenga GPC integrado, como Brave o DuckDuckGo Browser.
• Instale una extensión de navegador compatible con GPC en Chrome, Firefox, u otro navegador.
• Hay una lista de navegadores y extensiones compatibles disponible en globalprivacycontrol.org, referenciada directamente por el Fiscal General de Connecticut Tong en su aviso al consumidor del 30 de diciembre de 2024.

Una vez activada, los controladores cubiertos deben tratar una señal válida de GPC como una solicitud para excluirse tanto de la venta de sus datos personales como del procesamiento para publicidad dirigida. Es fundamental que las empresas deben respetar una señal de GPC incluso si entra en conflicto con una preferencia de inclusión voluntaria previa que usted dio o con la participación en un programa de lealtad. Si previamente optó por el intercambio de datos como parte de un programa de recompensas, una señal de GPC anula ese consentimiento previo.

A finales de 2024, más de 40 millones de usuarios en todo el mundo ya usaban GPC. Como señaló el Fiscal General Tong en su aviso: "Todos estamos familiarizados ahora con las ventanas emergentes de 'pedir al sitio que no rastree'. A partir del 1 de enero, puede instalar una simple extensión de navegador para responder esa pregunta de una vez por todas, y los sitios que visite serán responsables de conocer y seguir su preferencia."

Bajo Conn. Gen. Stat. sección 42-519, también puede designar a un agente autorizado para presentar solicitudes de exclusión voluntaria en su nombre. La autorización puede realizarse a través de una configuración del navegador, una extensión del navegador, una configuración global del dispositivo, u otra tecnología. El controlador debe cumplir si puede verificar su identidad y la autoridad del agente usando un esfuerzo comercialmente razonable.

Apelar una Denegación y Presentar una Queja ante la Fiscalía General de Connecticut

Si un controlador se niega a actuar sobre su solicitud de derechos, la ley de Connecticut le da dos pasos de escalamiento.

Paso 1: Apelación interna. Bajo Conn. Gen. Stat. sección 42-518(c), todo controlador cubierto debe establecer un proceso visible para que los consumidores apelen las negativas. Presente su apelación a través del canal que designe la empresa, típicamente el mismo portal de privacidad usado para su solicitud inicial o un correo electrónico de apelación dedicado. No hay un formulario requerido; indique claramente que está apelando la denegación, identifique su solicitud original por tipo y fecha, y explique por qué cree que la negativa fue indebida.

La empresa tiene 60 días después de recibir su apelación para responderle por escrito, indicando la acción que tomó o las razones por las que se negó a actuar. Note los diferentes plazos: 45 días para las solicitudes iniciales, 60 días para las apelaciones.

Paso 2: Queja ante la Fiscalía General de Connecticut. Si la empresa niega su apelación, la ley exige que le proporcione información que describa cómo comunicarse con la Fiscalía General de Connecticut para presentar una queja. Presente su queja de la CTDPA en portal.ct.gov/ag/common/complaint-form-landing-page. Seleccione "Consumer Data Privacy" en el menú desplegable de asunto en el formulario de queja electrónica de la Fiscalía General.

Al presentar la queja, incluya el nombre de la empresa, la fecha en que presentó su solicitud original, la fecha en que recibió la denegación, la fecha en que presentó su apelación, la fecha en que recibió la denegación de la apelación, y copias de cualquier correspondencia escrita. Mientras más documentación proporcione, más sólido será su expediente de queja.

La Fiscalía General de Connecticut tiene autoridad exclusiva de cumplimiento sobre la CTDPA bajo Conn. Gen. Stat. sección 42-524. No existe un derecho de acción privado, lo que significa que usted no puede demandar directamente a una empresa por una infracción de la CTDPA. La CTDPA original incluía un periodo de derecho a subsanar de 60 días que permitía a la Fiscalía General darle a los controladores la oportunidad de corregir infracciones antes de presentar una demanda, pero ese periodo de subsanación expiró el 31 de diciembre de 2024. Para las infracciones que ocurran después de esa fecha, la Fiscalía General puede iniciar una acción civil sin ofrecer primero una ventana de subsanación.

La postura de cumplimiento de la Fiscalía General es seria. En la primera acción de cumplimiento de la CTDPA, anunciada el 8 de julio de 2025, TicketNetwork, Inc. pagó $85,000 y aceptó un decreto de consentimiento después de que la Fiscalía General determinara que su aviso de privacidad era "en gran parte ilegible, sin derechos de datos clave, y con mecanismos de derechos mal configurados o inoperables". La Fiscalía General había emitido un aviso de subsanación de 60 días en noviembre de 2023; TicketNetwork no subsanó dentro del plazo.

Consentimiento de Inclusión Voluntaria para Datos Sensibles y Protecciones para Menores

Para ciertas categorías de datos y ciertos consumidores, el valor por defecto de la CTDPA cambia de exclusión voluntaria a inclusión voluntaria. La empresa debe obtener su consentimiento afirmativo antes de que el procesamiento pueda comenzar.

Categorías de datos sensibles que requieren consentimiento de inclusión voluntaria. Bajo Conn. Gen. Stat. sección 42-520(a)(4), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor. Las categorías de datos sensibles bajo la CTDPA incluyen:

• Datos que revelan origen racial o étnico
• Creencias religiosas
• Condiciones o diagnósticos de salud mental o física
• Orientación sexual o actividad sexual
• Estatus de ciudadanía o inmigración
• Datos de salud del consumidor según se define en la ley de Connecticut
• Datos genéticos
• Datos biométricos procesados para identificar de manera única a una persona (para más información sobre esta categoría, consulte las protecciones de datos biométricos en Connecticut)
• Datos de geolocalización precisa
• Datos personales de un menor conocido menor de 13 años

Para los datos personales de un menor conocido menor de 13 años, el controlador debe cumplir con el requisito de consentimiento parental verificable de la Ley de Protección de la Privacidad Infantil en Línea (COPPA) en lugar del mecanismo estándar de consentimiento del consumidor de la CTDPA. Los padres pueden presentar solicitudes de derechos en nombre de sus hijos menores.

Protecciones actuales para adolescentes de 13 a 15 años. Bajo Conn. Gen. Stat. sección 42-520(a)(5) según enmienda por la Ley Pública 23-56 (vigente el 1 de octubre de 2024), cuando un controlador tiene conocimiento real, o ignora deliberadamente, que un consumidor tiene entre 13 y 15 años de edad, el controlador no puede procesar los datos personales de ese consumidor para publicidad dirigida ni venderlos sin obtener primero el consentimiento de inclusión voluntaria del consumidor. Este es un requisito de inclusión voluntaria, no de exclusión voluntaria: la empresa debe obtener un acuerdo afirmativo antes de procesar, no simplemente detenerse si se le solicita.

Expansión próxima vigente el 1 de julio de 2026. La Ley Publica 25-113 (SB 1295, sesión regular de 2025) amplía significativamente las protecciones para los jóvenes y entra en vigor el 1 de julio de 2026. Una vez vigente, prohibirá categóricamente el procesamiento de los datos personales de cualquier consumidor menor de 18 años para publicidad dirigida o venta de datos personales, sin excepción de consentimiento. A diferencia de la regla actual de 13 a 15 años (que puede anularse con consentimiento de inclusión voluntaria), la prohibición general para menores de 18 años será absoluta. La misma ley también prohibirá las características de diseño destinadas a aumentar, sostener o extender significativamente el uso de un servicio en línea por parte de un menor sin consentimiento y exigirá que los controladores apliquen configuraciones de privacidad predeterminadas para menores. Esta disposición aún no está vigente a partir de junio de 2026.

No Discriminación: Ejercer Derechos Sin Penalización

Bajo Conn. Gen. Stat. sección 42-520(a)(7), un controlador no debe discriminar en su contra por ejercer cualquier derecho bajo la CTDPA. La prohibición cubre tres formas específicas de represalia:

• Negar bienes o servicios porque usted presentó una solicitud de privacidad o se excluyó voluntariamente
• Cobrar precios o tarifas diferentes únicamente porque usted ejerció un derecho
• Proporcionar un nivel o calidad diferente de bienes o servicios porque usted solicitó sus datos, pidió la eliminación, o se excluyó voluntariamente de las ventas de datos

En términos prácticos: una empresa no puede negarse a venderle un producto, subirle el precio, o degradar su suscripción porque usted envió una solicitud de eliminación o activó Global Privacy Control. La protección de no discriminación de la CTDPA refleja el enfoque adoptado en los derechos de exclusión voluntaria de la CCPA en California y los derechos del consumidor de la VCDPA de Virginia.

La prohibición no impide que los controladores ofrezcan programas de lealtad voluntarios o incentivos financieros vinculados al intercambio de datos. Un minorista puede ofrecer descuentos a cambio de aceptar ciertos usos de datos, pero la participación en dichos programas debe ser genuinamente voluntaria, el trato diferencial debe ser proporcional, y debe divulgarse claramente por adelantado. Usted no puede ser penalizado por negarse a participar.

Si cree que una empresa lo ha penalizado por ejercer un derecho de la CTDPA, documente la conducta (capturas de pantalla de cambios de precios, negación de acceso, degradación del nivel de servicio) e incluyala en su queja ante la Fiscalía General.

Más Leyes de Connecticut

• Leyes de grabación de reuniones con IA en Connecticut
• Leyes de pensión alimenticia en Connecticut
• Leyes de empleo a voluntad en Connecticut
• Leyes de accidentes automovilísticos en Connecticut
• Leyes de asientos de seguridad para niños en Connecticut
• Leyes de custodia de menores en Connecticut
• Leyes de manutención infantil en Connecticut
• Leyes de matrimonio de hecho en Connecticut
• Leyes sobre deepfakes en Connecticut
• Leyes de divorcio en Connecticut
• Leyes sobre mordeduras de perro en Connecticut
• Leyes de emancipación en Connecticut
• Leyes de eliminación de antecedentes penales en Connecticut
• Leyes sobre atropello y fuga en Connecticut
• Leyes de propietarios e inquilinos en Connecticut
• Leyes del limón en Connecticut

Guías relacionadas

• ¿Qué es la CTDPA? La Ley de Privacidad de Datos de Connecticut Explicada
• Lista de Verificación de Cumplimiento de la CTDPA para Empresas (2026)
• Leyes de Privacidad de Datos de Connecticut: Guía de Derechos del Consumidor de la CTDPA (2026)
• Leyes de Privacidad Biométrica de Connecticut: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)