Resumen ejecutivo
- ¿Qué es la CPA? La Colorado Privacy Act (CPA) es una ley de privacidad estatal integral (la tercera en el país, después de California y Virginia) que otorga a los residentes de Colorado derechos sobre sus datos personales y exige consentimiento de inclusión voluntaria para información sensible.
- ¿A quién aplica la CPA? La CPA aplica a entidades (incluidas las sin fines de lucro) que operan en Colorado o que dirigen sus productos o servicios a residentes de Colorado, y que procesan datos de más de 100,000 consumidores al año, o que obtienen ingresos de la venta de datos y procesan datos de más de 25,000 consumidores. No existe umbral de ingresos.
- ¿Qué distingue a la CPA de otras leyes estatales? Colorado fue el primer estado en exigir a las empresas que respeten mecanismos universales de exclusión voluntaria como el Global Privacy Control. También establece evaluaciones de protección de datos de forma obligatoria y cuenta con estándares de consentimiento al estilo del GDPR que rechazan los patrones de consentimiento engañosos.
- ¿Por qué importa el lado del cliente para la CPA? Bajo la CPA, el cumplimiento de la exclusión voluntaria y el manejo de datos sensibles son prioridades de aplicación. Los scripts de terceros que se ejecutan en tu sitio web representan un riesgo de privacidad y seguridad que puede derivar en incumplimiento de la CPA.
- ¿Por qué importa la CPA para las empresas? Las empresas elegibles bajo la Colorado Privacy Act que no cumplan con los requisitos pueden enfrentar sanciones económicas de hasta $20,000 o acciones legales por parte de los reguladores estatales. La CPA refleja un cambio en los consumidores hacia la valoración de la privacidad. Ignorar esta expectativa pone en riesgo la lealtad y la confianza del consumidor.
Colorado no esperó a ver cómo evolucionaría la regulación de privacidad en otros estados. En julio de 2021, se convirtió en el tercer estado de EE. UU. en promulgar una ley de privacidad integral. Y en algunos aspectos, fue más lejos que California o Virginia.
La ley obliga a las empresas a reconocer las señales universales de exclusión voluntaria, algo que ningún otro estado de EE. UU. había exigido hasta entonces. Exige un consentimiento al estilo del GDPR que prohíbe explícitamente los patrones oscuros. Y a diferencia de la mayoría de las leyes de privacidad estatales, cubre a las organizaciones sin fines de lucro.
En consecuencia, estos requisitos representan un desafío para los operadores de sitios web: tener visibilidad sobre cómo se procesan los datos cuando los usuarios visitan tu sitio.
Los scripts de terceros, los píxeles de seguimiento y las herramientas de análisis operan fuera de tu control. Sin embargo, bajo la CPA, sigues siendo responsable de lo que recopilan y de si respetan las solicitudes de exclusión voluntaria.
Esta guía cubre a quién aplica la CPA, qué exige y cómo encaja la visibilidad del lado del cliente en el cumplimiento normativo.
¿Qué es la Colorado Privacy Act?
La Colorado Privacy Act [SB 21-190] establece derechos de privacidad para los residentes de Colorado y las obligaciones correspondientes para las empresas que recopilan sus datos. El gobernador Jared Polis la promulgó el 7 de julio de 2021, aunque la mayoría de sus disposiciones entraron en vigor el 1 de julio de 2023.
La ley otorga a los consumidores cinco derechos principales:
- Acceso - Confirmar si una empresa tiene sus datos y obtener una copia
- Corrección - Rectificar datos personales inexactos
- Eliminación - Solicitar la supresión de sus datos personales
- Portabilidad - Recibir sus datos en un formato utilizable
- Exclusión voluntaria - Rechazar la publicidad dirigida, la venta de datos y ciertos tipos de elaboración de perfiles
Al igual que todos los demás marcos de privacidad, la CPA espera que las empresas demuestren transparencia, minimización de datos, limitación de finalidad y seguridad en el tratamiento de datos personales. Esto incluye mostrar avisos de privacidad claros, obtener consentimiento válido antes de procesar datos sensibles, realizar evaluaciones de riesgo para el procesamiento de datos sensibles y respetar las solicitudes de exclusión voluntaria, incluidas las que provienen de señales universales del navegador.
Las infracciones pueden ser sancionadas como prácticas comerciales engañosas bajo la ley de Colorado. Las sanciones alcanzan hasta $20,000 por infracción, y pueden ser mucho mayores si el caso incluye una serie de infracciones.
¿Cómo sé si la CPA aplica a mi organización?
La CPA aplica a cualquier entidad (con o sin fines de lucro) que cumpla ambas condiciones siguientes:
1) Vínculo con Colorado
Realizas actividades comerciales en Colorado o produces o entregas productos o servicios comerciales dirigidos intencionalmente a residentes de Colorado.
2) Umbral de volumen de datos (cumple cualquiera de los dos)
- Procesas datos personales de 100,000 o más consumidores de Colorado por año
- Obtienes ingresos (o descuentos) de la venta de datos personales y procesas datos de 25,000 o más consumidores
Algunos puntos a tener en cuenta:
- No existe umbral de ingresos. A diferencia de la CCPA de California, que exime a empresas con ingresos anuales inferiores a $25 millones, la CPA no tiene ese piso. Una empresa pequeña que procese suficientes datos de consumidores entra dentro del ámbito de aplicación.
- Las organizaciones sin fines de lucro están cubiertas. La mayoría de las leyes de privacidad estatales eximen a las organizaciones sin fines de lucro; Colorado no lo hace.
- El término Consumidor tiene una definición acotada. La CPA protege a los residentes de Colorado que actúan en capacidad personal o doméstica; no a empleados, candidatos a empleo ni contactos B2B.
Exenciones a la CPA
- Agencias gubernamentales o instituciones de educación superior como universidades
- Entidades ya reguladas bajo la GLBA (instituciones financieras), HIPAA (salud) o la Fair Credit Reporting Act
- Aerolíneas sujetas a regulación de la FAA
- Datos ya regulados por COPPA, FERPA o ciertas protecciones federales de investigación
Las exenciones aplican a nivel de datos. Si tu organización maneja datos bajo múltiples regímenes regulatorios, es posible que aún tengas obligaciones bajo la CPA para los datos de consumidores que no estén cubiertos por otros marcos regulatorios.
¿Cuáles son los requisitos clave de la CPA?
1. Avisos de privacidad claros e informativos
La CPA exige un aviso de privacidad "razonablemente accesible, claro y significativo". El lenguaje genérico no será suficiente.
Tu aviso debe incluir:
- Categorías de datos personales que recopilas
- Finalidades del tratamiento
- Cómo los consumidores pueden ejercer sus derechos (y apelar denegaciones)
- Categorías de datos compartidos con terceros
- Quiénes son esos terceros, por categoría
Debes revelar claramente si vendes datos o los utilizas para publicidad dirigida, así como explicar cómo los consumidores pueden excluirse.
2. Consentimiento explícito para recopilar datos sensibles
Antes de procesar datos sensibles, necesitas consentimiento de inclusión voluntaria. La CPA considera que los datos son "sensibles" si revelan:
- Origen racial o étnico,
- Creencias religiosas,
- Condiciones de salud mental o física,
- Vida sexual u orientación sexual,
- Estatus de ciudadanía o inmigración,
- Datos genéticos,
- Identificadores biométricos para identificación, y
- Datos de menores de 13 años.
El consentimiento bajo la CPA debe ser "libre, específico, informado e inequívoco". Este lenguaje está tomado del GDPR.
Aceptar los términos generales de servicio no constituye consentimiento. Tampoco lo hace pasar el cursor por encima, silenciar o cerrar contenido.
Esto es más estricto que la mayoría de las leyes estatales de EE. UU. Bajo la CPA, las casillas premarcadas, las interfaces confusas o las divulgaciones enterradas en el texto no proporcionarán una base legal para procesar información sensible.
3. Sistemas universales de exclusión voluntaria
Desde el 1 de julio de 2024, los responsables del tratamiento deben respetar las señales universales de exclusión voluntaria como el Global Privacy Control (GPC).
Cuando el navegador de un usuario envía una señal GPC, debes tratarla como una solicitud válida de exclusión voluntaria para la publicidad dirigida o la venta de datos personales.
El Departamento de Derecho de Colorado mantiene una lista de mecanismos de exclusión voluntaria reconocidos. Las empresas están obligadas a explicar cómo gestionan estas señales en su aviso de privacidad.
4. Evaluaciones de protección de datos
Debes realizar y documentar una evaluación de protección de datos para las actividades de tratamiento consideradas de alto riesgo. La evaluación debe realizarse antes de que comience cualquier tratamiento.
La evaluación debe sopesar los beneficios frente a los posibles daños y documentar las salvaguardas implementadas. Estos registros deben conservarse y pueden ser solicitados por el Fiscal General durante una investigación.
5. Contratos con encargados del tratamiento
La mayoría de los sitios web modernos utilizan proveedores (encargados del tratamiento) para gestionar datos personales. Estos incluyen chatbots, herramientas de análisis, herramientas publicitarias e incluso bibliotecas de desarrollo que los desarrolladores añaden a un sitio web. Para estos encargados necesitas contratos escritos que especifiquen:
- La naturaleza y finalidad del tratamiento
- El tipo de datos involucrados
- La duración del tratamiento
- Obligaciones de confidencialidad, seguridad y gestión de subencargados
La mayoría de las herramientas web (Meta, Google Analytics, Cloudflare) tienen "DPAs" o Acuerdos de Procesamiento de Datos estandarizados a los que puedes acceder sin necesidad de crear contratos individuales para cada uno. Sigue siendo tu responsabilidad asegurarte de que esas herramientas web se comporten realmente como afirman, lo cual no siempre es el caso debido a inyecciones de código malicioso o configuraciones incorrectas.
El lado del cliente es una superficie de riesgo moderna para la CPA
El lado del cliente es una superficie de riesgo principal para las infracciones de la Colorado Privacy Act (CPA), ya que la mayor parte de la recopilación de datos personales ocurre directamente en el navegador del usuario, fuera del alcance del software tradicional de gestión de privacidad.
Los scripts de terceros son un riesgo de cumplimiento de privacidad bajo la CPA:
Bajo la CPA, tú eres el Responsable del Tratamiento de los scripts en tu sitio. Esto te hace responsable de todas las herramientas que añades a tu sitio web. Se espera que demuestres comprensión y control sobre cómo estos scripts interactúan con los datos personales.
- Los sitios web modernos sirven varios scripts de terceros a sus usuarios: chatbots, herramientas de análisis, bibliotecas de desarrollo que se cargan en los navegadores, y más.
- Estos scripts generalmente se ejecutan sin ninguna revisión de privacidad o seguridad, recopilando direcciones IP, identificadores, entradas de formularios o señales de comportamiento que cuentan como datos personales.
- Bajo la CPA, la organización es el "responsable del tratamiento" porque decide utilizar esos scripts y se beneficia de ellos.
- Si los scripts recopilan datos más allá de lo divulgado en el aviso de privacidad, tu organización está infringiendo las reglas de limitación de finalidad y transparencia de la CPA, incluyendo "publicidad dirigida" o "venta de datos" no intencionadas.
Los ataques del lado del cliente son un riesgo de brecha de datos bajo la CPA
- Los ataques del lado del cliente (como Magecart o la inyección de código JavaScript) amenazan directamente el cumplimiento de la CPA al robar datos personales.
- La CPA exige explícitamente "prácticas razonables de seguridad de datos administrativas, técnicas y físicas". No monitorear el lado del cliente incumple este requisito legal.
- Grandes multas por infracciones de privacidad, como la multa de £20 millones del GDPR a British Airways, se impusieron como resultado de una brecha de datos en un sitio web.
- La seguridad de tu servidor, el cifrado y los controles de acceso internos no te protegen de los ataques del lado del cliente. Este vector de ataque implica la inyección de código en tu sitio web que exfiltra datos hacia servidores del atacante sin que las herramientas de seguridad tradicionales lo detecten.
¿Son suficientes los banners de cookies para cumplir con la Colorado Privacy Act?
No. Los banners son una pieza importante en el cumplimiento de la privacidad web, pero por sí solos no satisfacen todos los requisitos. Los banners de cookies no monitorean cómo actúan los scripts de terceros en tiempo de ejecución y tienen capacidades de aplicación limitadas. Además, las herramientas de gestión del consentimiento no fueron diseñadas para defenderse de ataques del lado del cliente ni para servir como salvaguardas técnicas contra brechas de datos.
Dónde suelen producirse los fallos de cumplimiento de la CPA
Ignorar las exclusiones voluntarias basadas en el navegador
El fallo más común en marcos de privacidad como la CPA ocurre cuando los sitios web ofrecen opciones de exclusión voluntaria pero en realidad no detienen la recopilación de datos cuando esas opciones se ejercen.
Esto suele ocurrir por una mala configuración técnica más que por mala intención del propietario del sitio web.
Cuando un usuario activa el GPC, tu banner de cookies puede detectarlo y registrarlo, pero tus píxeles publicitarios y scripts de terceros siguen ejecutándose de todos modos porque no fueron configurados para respetar la señal.
Esto cuenta como una infracción bajo la CPA.
Un ejemplo ilustrativo es el acuerdo de $1.2 millones de California con Sephora en 2022, que giró precisamente en torno a este problema. Fue bajo la CPRA (una ley de California diferente), pero las expectativas legales de fondo son las mismas. Sephora informó a los usuarios que podían excluirse de la venta de datos, pero continuó compartiendo datos con socios publicitarios de todos modos. Colorado aplica el mismo principio.
Filtración de datos sensibles a través de scripts
La información de salud, los datos de ubicación y otras categorías sensibles terminan con frecuencia en lugares donde no deberían. Principalmente no porque alguien los haya compartido intencionalmente, sino porque un píxel de seguimiento capturó entradas de formularios o un script de terceros accedió al contenido de la página sin estar autorizado para ello.
Las acciones de la FTC contra GoodRx y BetterHelp ilustran el patrón. Ambas empresas utilizaban píxeles publicitarios estándar en sus plataformas, pero esos píxeles capturaron información relacionada con la salud y la transmitieron a redes publicitarias. Ninguna de las dos empresas lo hizo intencionalmente, pero ambas enfrentaron acciones de cumplimiento y sanciones significativas.
Bajo la CPA, procesar datos sensibles sin consentimiento es una infracción independientemente de la intención. Eres responsable si los scripts en tu sitio están capturando información sensible.
Avisos de privacidad incompletos o engañosos
No querrás que tu aviso de privacidad diga que solo recopilas datos para análisis necesarios mientras tu gestor de etiquetas carga decenas de scripts que rastrean a los usuarios por toda la web.
Esta discrepancia crea dos problemas:
- Tu aviso no describe con precisión tus prácticas de datos (infracción de transparencia)
- Puedes estar procesando datos para finalidades con las que los consumidores nunca estuvieron de acuerdo (infracción de limitación de finalidad)
La CPA exige que tus divulgaciones reflejen la realidad. La mayoría de los equipos de sitios web no saben qué scripts de terceros tienen acceso a los datos ni cómo se comportan entre bastidores.
Los scripts de terceros cambian su comportamiento con frecuencia a medida que los proveedores actualizan el código. Lamentablemente, no ves esos cambios directamente. El alcance del tratamiento de datos en tu sitio web puede cambiar, haciendo que tus divulgaciones de privacidad queden desactualizadas sin que tu equipo lo note.
Recursos oficiales de la CPA y enlaces gubernamentales
- Fiscal General de Colorado - Página principal de la CPA - Descripción general, preguntas frecuentes, cartas de cumplimiento y mecanismos universales de exclusión voluntaria reconocidos
- Colorado Revised Statutes § 6-1-1301 et seq. - Texto legal completo
- Reglamento de la CPA (4 CCR 904-3) - Reglamentos de aplicación con especificaciones técnicas
Lista de mecanismos universales de exclusión voluntaria - Mecanismos reconocidos que los responsables del tratamiento deben respetar
Cómo cside ayuda a las organizaciones a cumplir con la Colorado Privacy Act
cside Privacy Watch supervisa una superficie de riesgo que el software tradicional de gestión de privacidad pasa por alto: lo que realmente se ejecuta en el navegador del usuario. La recopilación de datos por parte de proveedores externos se monitorea de cerca y tu equipo recibe alertas en el momento en que se produce un cambio que podría derivar en una infracción de privacidad o en una exposición por brecha de datos.
Supervisión de herramientas de terceros
Muchos fallos de cumplimiento se originan en proveedores externos. cside valida que los scripts de terceros se comporten de la manera prevista dentro de tus expectativas de privacidad.
Visibilidad sobre la recopilación de datos del sitio web
- cside proporciona una visión clara de qué scripts operan en tu sitio web, a qué datos acceden y a dónde se envían esos datos. Esto ayuda a los equipos a mantener registros precisos de la recopilación de datos y respalda divulgaciones de privacidad claras y actualizadas.
Minimización de datos y limitación de finalidad
- A medida que las herramientas de terceros evolucionan, pueden comenzar a recopilar más datos de los originalmente previstos. El código del proveedor se actualiza sin que tu equipo lo note. cside detecta estos cambios, permitiéndote identificar recopilaciones de datos innecesarias.
Prueba de salvaguardas de seguridad razonables
- La CPA exige que las organizaciones implementen medidas razonables para proteger los datos personales. cside monitorea comportamientos sospechosos de scripts, cambios no autorizados y patrones de exfiltración de datos para prevenir fugas de datos provocadas por ataques del lado del cliente.
Preparación de documentación asistida por IA
- cside mantiene registros detallados de la actividad de los scripts, los cambios de configuración y el comportamiento en el manejo de datos. La IA se utiliza para reducir la documentación manual de los equipos de cumplimiento, dando forma a estos datos en formatos específicos por regulación.
Puedes comenzar con nuestro plan gratuito o reservar una demo para ver cómo la visibilidad del lado del cliente respalda tu programa de cumplimiento de la CPA.
Cómo cside ayuda a las organizaciones a cumplir con la Colorado Privacy Act
cside Privacy Watch supervisa una superficie de riesgo que el software tradicional de gestión de privacidad pasa por alto: lo que realmente se ejecuta en el navegador del usuario. La recopilación de datos por parte de proveedores externos se monitorea de cerca y tu equipo recibe alertas en el momento en que se produce un cambio que podría derivar en una infracción de privacidad o en una exposición por brecha de datos.
Supervisión de herramientas de terceros
- Muchos fallos de cumplimiento se originan en proveedores externos. cside valida que los scripts de terceros se comporten de la manera prevista dentro de tus expectativas de privacidad.
Visibilidad sobre la recopilación de datos del sitio web
- cside proporciona una visión clara de qué scripts operan en tu sitio web, a qué datos acceden y a dónde se envían esos datos. Esto ayuda a los equipos a mantener registros precisos de la recopilación de datos y respalda divulgaciones de privacidad claras y actualizadas.
Minimización de datos y limitación de finalidad
- A medida que las herramientas de terceros evolucionan, pueden comenzar a recopilar más datos de los originalmente previstos. El código del proveedor se actualiza sin que tu equipo lo note. cside detecta estos cambios, permitiéndote identificar recopilaciones de datos innecesarias.
Prueba de salvaguardas de seguridad razonables
- La CPA exige que las organizaciones implementen medidas razonables para proteger los datos personales. cside monitorea comportamientos sospechosos de scripts, cambios no autorizados y patrones de exfiltración de datos para prevenir fugas de datos provocadas por ataques del lado del cliente.
Preparación de documentación asistida por IA
- cside mantiene registros detallados de la actividad de los scripts, los cambios de configuración y el comportamiento en el manejo de datos. La IA se utiliza para reducir la documentación manual de los equipos de cumplimiento, dando forma a estos datos en formatos específicos por regulación.
Cumplimiento automatizado de privacidad web con cside
Puedes comenzar con nuestro plan gratuito o reservar una demo para ver cómo la visibilidad del lado del cliente respalda tu programa de cumplimiento de la CPA.
