Resumo: requisitos da CTDPA para scripts de terceiros
- Os banners não bastam: Os banners de cookies captam preferências, não conformidade com a CTDPA; a lei exige aplicação ao nível do script mais salvaguardas de segurança razoáveis contra os ataques que mais frequentemente originam processos judiciais de privacidade.
- A quem se aplica: A CTDPA aplica-se a partir do momento em que processa dados de 100 000 residentes do Connecticut ou de 25 000 residentes mais 25% de receita proveniente da venda de dados. O cside Privacy Watch revela o comportamento real, em tempo de execução, de cada script de terceiros, e não apenas a lista de domínios que a sua CMP já conhece.
- A prova exigida: Se a sua prova de conformidade se limita a uma captura de ecrã do banner de consentimento, um auditor vai perguntar o que os seus scripts fizeram efetivamente quando o consentimento foi negado. Se conseguir apresentar um registo comportamental em tempo real por script, tem a prova que a CTDPA exige.
Sem tempo? Veja o cside Privacy Watch. Cobre tudo o que se segue numa única implementação.
Neste artigo:
- A CTDPA aplica-se à minha organização?
- Onde ocorrem as falhas de conformidade com a CTDPA
- Como garantir que os scripts de terceiros estão em conformidade com a CTDPA
- Cronologia da CTDPA
Existe uma lacuna crescente entre o que as empresas pensam estar a fazer para proteger os dados dos utilizadores e o que leis de privacidade como a CTDPA (Connecticut Data Privacy Act) realmente exigem. O navegador é o local onde os dados pessoais são cada vez mais recolhidos, mas é também onde quase ninguém está a vigiar. É exatamente essa lacuna que os reguladores estão a visar.
Sem monitorização, scripts mal configurados ou maliciosos podem aceder a campos sensíveis, sobrepor-se às escolhas de consentimento ou transmitir dados sem que isso seja divulgado. Se questionadas com "Os scripts de terceiros no seu site comportam-se conforme a sua política de privacidade afirma?", a maioria das organizações não consegue dar uma resposta sustentada em evidências.
Este artigo detalha os requisitos da CTDPA e mostra como colocar a camada do navegador em conformidade antes de ocorrer uma violação.
A CTDPA aplica-se à minha organização?
A CTDPA segue o modelo de aplicabilidade "ao estilo Virginia/Colorado". Aplica-se em função do volume de dados pessoais processados. Abaixo estão os 2 principais critérios que pode usar como checklist simples. TODOS estes pontos têm de ser verdadeiros para que a sua empresa esteja sujeita às regras da CTDPA.
1. Critério da CTDPA: exerce atividade no Connecticut OU visa residentes do CT
Isto inclui empresas que:
- Vendem a consumidores do Connecticut, fazem marketing ou publicidade dirigida a residentes do CT, operam um website ou aplicação que serve clientes do CT, têm utilizadores, subscritores ou clientes no CT.
Isto aplica-se mesmo que a empresa não esteja fisicamente localizada no Connecticut. "Visar" não exige uma abordagem intencional. Se residentes do Connecticut conseguirem aceder ao seu website, receber os seus anúncios ou optar por se registar, ainda pode ser considerado que a empresa exerce atividade no estado.
2. Critério da CTDPA: processa um volume significativo de dados de residentes do Connecticut
A CTDPA aplica-se se, no ano civil anterior, tiver processado:
2 A) Dados pessoais de 100 000 ou mais residentes do Connecticut
OU
2 B) Dados pessoais de 25 000 ou mais residentes E obtém 25% ou mais da receita com a venda de dados pessoais
Vamos detalhar melhor estes limiares:
2 A) (Expandido) Dados pessoais de 100 000 ou mais residentes do Connecticut
Dados pessoais = qualquer dado ligado ou passível de ser ligado a um indivíduo (incluindo endereços IP). Isto é relevante porque um visitante não precisa de preencher um formulário nem de "fornecer" informação de forma explícita para ficar sujeito à CTDPA. A maioria das ferramentas de análise, publicidade e rastreamento recolhe identificadores baseados em IP de forma automática.
Este limiar exclui:
- Dados pessoais processados exclusivamente para concluir uma transação de pagamento
2 B) (Expandido): dados pessoais de 25 000 ou mais residentes E obtém 25% ou mais da receita com a venda de dados pessoais
Isto afeta sobretudo:
- Corretores de dados, revendedores de leads e aplicações ou websites de consumo que monetizam informação pessoal
Quem está excluído dos requisitos da CTDPA:
- Agências governamentais, organizações sem fins lucrativos (isentas), instituições de ensino superior, dados já regulados pela FCRA, FERPA ou frameworks semelhantes
No entanto: mesmo as organizações isentas devem seguir práticas de "segurança razoável". A exposição de dados no lado do cliente pode continuar a constituir uma responsabilidade sob outras exigências, como a PCI DSS.
O que é a Connecticut Data Privacy Act?
A Connecticut Data Privacy Act (CTDPA) é uma lei estadual de privacidade aprovada para dar aos residentes maior controlo sobre a forma como as empresas recolhem, utilizam e partilham os seus dados pessoais. Tal como o RGPD e a CCPA, o objetivo da CTDPA é conferir aos consumidores um controlo real sobre os seus dados pessoais. A lei estabelece obrigações para as organizações que recolhem, utilizam ou partilham dados pessoais.
A superfície de risco de privacidade no lado do cliente
Leis de privacidade modernas como a CTDPA aplicam-se a todo o ciclo de vida dos dados, mas a área de maior risco é o próprio website. É nesta camada que os utilizadores interagem pela primeira vez com a empresa e onde os dados pessoais são inicialmente recolhidos, quer através de campos de formulário, quer automaticamente por scripts de terceiros que a empresa não controla totalmente.
Infelizmente, o lado do cliente (o código que a empresa entrega aos utilizadores quando estes interagem com o website) é a camada menos protegida na maioria das pilhas de defesa das empresas. Os servidores estão bloqueados, os colaboradores são formados em processos de tratamento de dados, mas o código executado no navegador do utilizador não é monitorizado.
Os scripts de terceiros são um risco de conformidade em matéria de privacidade:
Os elementos do website interagem com dados dos utilizadores, e a maioria das equipas não tem qualquer governação sobre:
- Scripts de rastreamento de marketing que disparam antes do consentimento
- Pixels que recolhem endereços IP e identificadores sem opção de opt-out
- Widgets de chat que processam documentos e dados de conta
- Ferramentas de testes A/B que recolhem metadados de sessão
- Ferramentas de marketing que inferem geolocalização a partir de sinais do dispositivo
Os ataques no lado do cliente são um risco de violação de dados pessoais:
Nem todas as violações de dados resultam de alguém a invadir o cofre. Cada vez mais, o comprometimento ocorre no navegador: os atacantes injetam algumas linhas de código malicioso num script de confiança do website.
De repente, credenciais de acesso, digitalizações de documentos de identificação e números de cartão de crédito estão a ser recolhidos diretamente de páginas como checkouts, formulários de onboarding, chatbots ou processos de KYC.
Um exemplo bem conhecido deste tipo de ataque é a violação da British Airways em 2018, que resultou numa multa de 20 milhões de libras. Analisamos esse incidente em detalhe, juntamente com os exemplos mais recentes, no nosso artigo aprofundado sobre os maiores ataques Magecart.
Uma plataforma de segurança do lado do cliente deteta e previne estes ataques.
Os banners de cookies são suficientes para a conformidade com a CTDPA?
Os banners de cookies captam as preferências dos utilizadores, mas nem sempre as aplicam por completo. Na prática, há vários pontos em que os banners ficam a dever:
- Integrações incorretas ou incompletas entre banners de cookies e gestores de tags como o Google Tag Manager
- Banners que bloqueiam acidentalmente scripts essenciais, como formulários ou ferramentas de chat de suporte
- Scripts mal configurados ou maliciosos que ignoram as escolhas de consentimento do utilizador
Alguns fornecedores de banners de cookies tentam resolver estes desafios, mas a má configuração continua a ser comum. E mesmo quando implementados corretamente, os banners de cookies não foram concebidos para prevenir ataques do lado do cliente. Essa lacuna resulta na ausência de "salvaguardas de segurança razoáveis", que tem sido a alegação mais citada em processos judiciais de privacidade ao abrigo de leis semelhantes, como a CCPA.
Onde ocorrem as falhas de conformidade com a CTDPA
1. Falha em respeitar os direitos do consumidor (acesso/eliminação/opt-out)
O opt-out deveria interromper todo o processamento dos dados pessoais do utilizador. Na prática, a escolha do utilizador precisa de ser respeitada em várias camadas:
- Scripts do lado do cliente, ferramentas de análise, serviços de gravação de sessão, gestores de tags e plataformas de publicidade
No lado do cliente, isto falha frequentemente. As empresas acreditam ter respeitado o opt-out, mas:
- O utilizador faz opt-out no banner de cookies, mas os scripts continuam a disparar
- As ferramentas de análise de "gravação de sessão" continuam a captar informação sensível
- Os "cookies" são bloqueados, mas os scripts continuam a ser executados
- Os gestores de tags sobrepõem-se às definições de consentimento de cookies
Respeitar os direitos previstos na CTDPA exige garantir que os scripts do lado do cliente deixam efetivamente de recolher ou partilhar dados. Isto só é possível com ferramentas capazes de observar e fazer cumprir o comportamento dos scripts diretamente no navegador.
2. Recolha não monitorizada
Uma das maiores lacunas de conformidade ocorre quando as organizações não sabem, de facto, que dados estão a ser recolhidos no seu website. Os scripts aparecem e desaparecem, enquanto os fornecedores atualizam o código sem aviso. A maioria das organizações não conseguiria listar todos os scripts atualmente em execução no seu website, muito menos explicar a que dados acedem.
3. Falha em implementar "salvaguardas de segurança razoáveis"
Fonte: CCPA Litigation Tracker, Perkins Coie
De acordo com o CCPA Litigation Tracker da Perkins Coie, que analisa todos os processos judiciais publicamente registados ao abrigo da CCPA (um enquadramento de privacidade semelhante que está em vigor há muito mais tempo), a grande maioria dos processos decorre de uma única questão:
"uma alegação de suposta falha em implementar salvaguardas de segurança razoáveis, resultando numa violação de dados"
O lado do cliente tornou-se a superfície de ataque mais visada, com grandes organizações a sofrer violações causadas por scripts maliciosos (veja: ataques à Ticketmaster e à British Airways). Em muitos destes incidentes, as empresas acreditavam estar "protegidas" por ferramentas de conformidade que apenas gerem banners ou políticas, e não a segurança real do navegador.
Uma proteção efetiva do lado do cliente tem de detetar e prevenir ataques como:
- Formjacking, sequestro de sessão e e-skimming
Estes ataques recolhem dados de consumidores diretamente do navegador, o que significa que os atacantes nunca precisam de invadir o ambiente interno da empresa.
4. Divulgações de privacidade inexatas ou incompletas
A CTDPA exige que as organizações divulguem claramente que dados pessoais recolhem, por que motivo os recolhem e a que terceiros essa informação é fornecida.
Na prática, muitas divulgações de privacidade são incompletas simplesmente porque as equipas não têm visibilidade total sobre todos os scripts, formulários ou ferramentas externas em funcionamento no website.
Realizar um inventário de scripts (por exemplo, através de uma análise gratuita por crawler) pode ajudar a estabelecer uma imagem de base dos scripts que precisam de ser divulgados.
Requisitos-chave da CTDPA (Connecticut Data Privacy Act)
Direitos do consumidor
As organizações devem dar aos utilizadores a possibilidade de:
- Fazer opt-out
- Aceder aos seus dados pessoais
- Corrigir inexatidões nos dados pessoais
- Eliminar dados pessoais
- Solicitar uma cópia portátil dos seus dados
Avisos de privacidade e transparência
As organizações devem fornecer um aviso de privacidade claro que explique que dados pessoais são recolhidos, por que motivo são recolhidos e como os utilizadores podem exercer os seus direitos. Esta lista deve também indicar quais os terceiros que recebem a sua informação. As divulgações têm de ser mantidas atualizadas sempre que as práticas de tratamento de dados mudarem.
Consentimento para dados sensíveis
A CTDPA exige consentimento afirmativo de opt-in antes de processar dados pessoais sensíveis, incluindo: informação de saúde, identificadores biométricos, geolocalização precisa ou dados de crianças.
Minimização de dados
Nos termos da CTDPA, as empresas devem limitar a recolha de dados pessoais ao que é genuinamente necessário para a finalidade declarada. Não podem recolher informação excessiva, nem utilizar os dados para finalidades novas ou não relacionadas sem obter novo consentimento.
Para uma lista exaustiva de requisitos, visite a nossa secção de recursos oficiais, que o direcionará para a documentação oficial da lei de privacidade.
Recursos oficiais e ligações governamentais
Connecticut Data Privacy Act (Gabinete do Procurador-Geral):
https://portal.ct.gov/ag/sections/privacy/the-connecticut-data-privacy-act
Esta é a página da CTDPA publicada pelo Procurador-Geral do Connecticut, a principal autoridade responsável pela aplicação da lei. Fornece orientação oficial, atualizações e recursos emitidos pelo estado.
Projeto de lei oficial do Senado - Public Act No. 22-15 (2022)
Este é o texto integral da Connecticut Data Privacy Act, tal como promulgada pela legislatura estadual em 2022.
Cronologia da CTDPA
A CTDPA foi implementada por fases, com obrigações adicionais introduzidas ao longo do tempo através de emendas. Abaixo apresentam-se as datas-chave que a maioria das equipas deve conhecer (para a imagem completa e sempre atualizada, consulte a secção de Recursos Oficiais).
- 10 de maio de 2022 - CTDPA transformada em lei. O Connecticut aprova a sua lei de privacidade abrangente como Senate Bill 6 / Public Act 22-15.
- 1 de julho de 2023 - A lei entra em vigor. Espera-se que os controladores e processadores que cumpram os limiares estejam em conformidade a partir desta data, com o Procurador-Geral do Connecticut como autoridade de aplicação.
- 1 de julho de 2023 - 31 de dezembro de 2024 - Janela de aplicação com "direito de correção". Durante este período, o Procurador-Geral deve conceder às empresas uma oportunidade de 60 dias para corrigir uma violação antes de tomar medidas, sempre que a correção seja possível.
- 1 de outubro de 2023 - 1 de outubro de 2024 - Entrada em vigor gradual das emendas sobre saúde e menores. Novas disposições relativas a dados de saúde do consumidor, aplicações de encontros e serviços online utilizados por menores entram em vigor em várias datas no final de 2023 e em 2024.
- 1 de janeiro de 2025 - Sinais universais de opt-out (por exemplo, GPC) passam a ser respeitados. Os consumidores do Connecticut podem enviar sinais de preferência de opt-out ao nível do navegador (como o Global Privacy Control), e os controladores sujeitos à CTDPA devem respeitá-los.
- 1 de julho de 2025 - As avaliações de proteção de dados aplicam-se a novo processamento de alto risco. Os requisitos de avaliação aplicam-se a atividades de processamento criadas ou geradas a partir desta data.
- 31 de dezembro de 2025 - Expira o direito legal de correção. Após esta data, o Procurador-Geral já não é obrigado a oferecer um período de correção de 60 dias, embora possa ainda fazê-lo por sua própria discrição.
- A partir de 1 de julho de 2026 - Entram em vigor emendas adicionais. As emendas aprovadas em 2025 (SB 1295) introduzem novas alterações, incluindo limiares atualizados e requisitos de avaliação de impacto, com a maioria das alterações a entrar em vigor a partir de meados de 2026.
Como o cside ajuda as organizações a alcançar a conformidade com a CTDPA
Transparência sobre os fluxos de dados do lado do cliente
- O cside revela quais os scripts que recolhem dados pessoais, o que recolhem e para onde esses dados são enviados. As equipas de privacidade obtêm a visibilidade necessária para publicar divulgações precisas.
Minimização de dados ao nível do script
- A maioria dos websites recolhe mais dados do que pretende, simplesmente porque os scripts evoluem ao longo do tempo. O cside assinala quando um script começa a recolher mais informação do que deveria, permitindo às equipas manter a recolha rigorosamente delimitada.
Salvaguardas de segurança razoáveis
- O cside deteta scripts maliciosos ou adulterados, alterações suspeitas de código no lado do cliente e comportamentos de recolha indevida de dados (data skimming) à camada do navegador. Isto apoia o requisito da CTDPA de implementar salvaguardas de segurança razoáveis e previne potenciais violações de dados.
Validação do comportamento de terceiros
- A monitorização em tempo real garante que os processadores terceiros cumprem as obrigações de privacidade da empresa, em vez de as violarem involuntariamente em seu nome.
Registos e evidências prontos para auditoria
- O cside disponibiliza um painel e registos históricos detalhados que mostram a atividade dos scripts, juntamente com as medidas de tratamento de dados. Isto dá às equipas de privacidade as evidências forenses necessárias para demonstrar conformidade com a CTDPA durante auditorias ou investigações.
Perguntas frequentes
A CTDPA aplica-se a empresas localizadas fora do Connecticut?
Sim. A CTDPA aplica-se a qualquer organização que processe dados de residentes do Connecticut e cumpra os limiares de volume, independentemente de onde a empresa esteja fisicamente localizada.
Os banners de cookies são suficientes para satisfazer os requisitos de consentimento da CTDPA?
Na maioria dos casos, não. Os banners de cookies captam preferências e gerem cookies, mas a CTDPA exige aplicação ao nível do script e medidas de segurança razoáveis capazes de prevenir ataques que exponham dados pessoais.
O que conta como "salvaguardas de segurança razoáveis" nos termos da CTDPA?
As organizações devem proteger os dados pessoais contra acesso não autorizado, incluindo riscos no lado do cliente, como scripts mal configurados, ferramentas de terceiros não monitorizadas e ataques de skimming.
