colorado-cpa-compliance

科罗拉多州隐私法案（CPA）合规

概述

科罗拉多州隐私法案（CPA）编入 C.R.S. §6-1-1301 至 §6-1-1313，于 2021 年 7 月 7 日签署成为法律（SB 21-190），并于 2023 年 7 月 1 日生效。科罗拉多州是第三个颁布全面消费者隐私立法的州。CPA 的显著特点是科罗拉多州总检察长制定了全面的规则，形成了 4 CCR 904-3 中详细的实施条例；此外，它也是第一个要求认可通用退出机制的州（与康涅狄格州同时）。

科罗拉多州总检察长公布的最终规则于 2024 年 3 月 1 日生效，通用退出机制要求则于 2024 年 7 月 1 日生效。

适用范围（§6-1-1304）

CPA 适用于在科罗拉多州开展业务，或有意面向科罗拉多州居民提供产品或服务的控制者，并且满足以下条件：

1. 每个日历年控制或处理 100,000 名或以上科罗拉多州消费者的个人数据；或
2. 控制或处理 25,000 名或以上科罗拉多州消费者的个人数据，并从个人数据销售中获取收入或获得商品或服务价格折扣。

**注意：**门槛（2）不要求达到特定收入比例（不同于弗吉尼亚州的 50% 门槛）。

豁免情形（§6-1-1304(2)）：

• 州和地方政府实体
• 根据 15 U.S.C. §78o-3 注册的全国性证券协会
• 受 GLBA 约束的金融机构及其关联方（实体级豁免）
• HIPAA 涵盖实体和业务伙伴（实体级豁免）
• 非营利组织
• 高等教育机构
• 受 GLBA、HIPAA、FERPA、FCRA、DPPA、COPPA、《农业信贷法》及某些其他联邦法规管辖的数据

Liberty Commerce Inc. 评估： Liberty Commerce Inc. 处理约 98,000 名科罗拉多州消费者的数据，并从与数据相关的活动中获得广告收入。该公司达到门槛（2），因此受 CPA 约束。

消费者权利（§6-1-1306）

1. 访问权（§6-1-1306(1)(a)）

确认控制者是否正在处理其个人数据，并访问这些数据。

2. 更正权（§6-1-1306(1)(b)）

更正个人数据中的不准确之处，同时考虑数据的性质和处理目的。

3. 删除权（§6-1-1306(1)(c)）

删除由消费者提供或通过其他方式获取的关于消费者的个人数据。

4. 数据可携带权（§6-1-1306(1)(d)）

以可携带且在技术可行范围内易于使用的格式获取个人数据。

5. 退出权（§6-1-1306(1)(e)）

退出将个人数据用于以下目的的处理：

• 定向广告
• 销售个人数据
• 用于促成产生法律效力或类似重大影响决策的用户画像

Liberty Commerce Inc. 的实施方式： 五项权利均可通过隐私门户 privacy.libertycommerce.com/colorado 行使。退出权也可通过通用退出机制（GPC）以及带有科罗拉多州批准的退出图标、专门设置的“您的隐私选择”链接行使。

通用退出机制（4 CCR 904-3，规则 5.11）

CPA 是第一部强制要求控制者认可通用退出机制的州法律（与康涅狄格州同时）。该要求于 2024 年 7 月 1 日生效。

要求

控制者必须：

1. 认可并处理通过通用退出机制发送的退出信号
2. 将信号视为有效退出个人数据销售和定向广告的请求
3. 不得要求消费者通过额外验证才能处理该信号
4. 不得显示弹出窗口、插页式内容或其他机制，要求消费者验证或修改该信号
5. 对未通过身份验证的消费者，在浏览器／设备级别应用该信号
6. 对已通过身份验证的消费者，在账户级别应用该信号
7. 解决冲突时，以最近表达的偏好为准

技术标准（4 CCR 904-3，规则 5.11）

AG 规则规定，通用选择退出机制必须：

• 是平台、技术或机制的一项设置或扩展
• 不是默认设置（必须由消费者主动选择）
• 向消费者清楚说明该设置的含义
• 便于消费者使用且易于操作
• 向控制者发送明确信号，传达消费者的选择

Global Privacy Control（GPC） 被认可为符合要求的通用选择退出机制。

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 通过 Sec-GPC: 1 HTTP 标头和 navigator.globalPrivacyControl JavaScript API 检测 GPC。检测到后：

• 未经身份验证：应用会话级定向广告和出售选择退出
• 已通过身份验证：永久设置账户级选择退出偏好
• 禁用所有第三方广告标签，以及用于跨情境行为广告的数据共享
• 根据处理者协议允许第一方分析

敏感数据（§6-1-1304(26)，§6-1-1308(7)）

类别

1. 揭示种族或族裔来源的个人数据
2. 宗教信仰
3. 心理或身体健康状况或诊断
4. 性生活或性取向
5. 公民身份或公民身份状态
6. 为唯一识别个人而处理的遗传或生物识别数据
7. 已知儿童的个人数据

同意要求

处理敏感数据需要消费者的主动选择同意。同意必须：

• 是自由给予的、具体的、知情的且明确无误的
• 通过明确的肯定行为作出（不得预先勾选选框）
• 针对每个敏感数据类别和处理目的分别取得

退出画像分析（§6-1-1306(1)(e)(III)）

消费者可以选择退出为作出具有法律效力或类似重大影响的决定而进行的画像分析。此规定比大多数州的法律范围更广，包括：

• 关于提供或拒绝提供金融或贷款服务的决定
• 关于提供或拒绝提供住房的决定
• 关于提供或拒绝提供保险的决定
• 关于提供或拒绝提供教育入学机会或教育机会的决定
• 关于提供或拒绝提供就业机会的决定
• 关于提供或拒绝提供医疗保健服务的决定
• 关于基本生活必需品（食物、水、住所、能源、交通）获取权的决定

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 会为其先买后付功能（信用评分）进行画像分析。科罗拉多州消费者可使用专门机制选择退出此画像分析活动，并会收到有关所涉逻辑、决定的重要性及预期后果的披露信息。

控制者义务（§6-1-1308）

隐私声明（§6-1-1308(1)）

必须包括：

• 收集或处理的个人数据类别
• 处理目的
• 消费者权利及行使方式
• 与第三方共享的个人数据类别
• 数据共享对象的第三方类别
• 联系信息（电子邮件或在线机制）
• 是否出售个人数据或将其用于定向广告
• 是否进行画像分析及相关退出信息

数据最小化（§6-1-1308(3)）

收集的数据必须充分、相关，并仅限于与所述目的相关且合理必要的范围。

目的限制（§6-1-1308(4)）

处理范围不得超出实现所述目的所合理必要的范围，也不得与所述目的不相容。

数据安全（§6-1-1308(5)）

应根据数据的数量、范围和性质，采取合理的行政、技术和实体安全措施。

非歧视（§6-1-1308(6)）

不得以违反州和联邦反歧视法律的方式处理个人数据。

DPIA 要求（§6-1-1309）

控制者必须针对以下活动开展 DPIA：

• 定向广告处理
• 出售个人数据
• 某些类型的画像分析
• 敏感数据处理
• 任何会带来较高伤害风险的处理活动

应 AG 要求，必须向其提供 DPIA。

执法（§6-1-1311、§6-1-1312）

总检察长的权限

• 根据《科罗拉多州消费者保护法》（§6-1-101 等）享有专属执法权
• 可以发出民事调查要求
• 可以寻求禁令救济、返还和民事罚款

补救期

• 2025 年 1 月 1 日前，可享有 60 天补救期
• 2025 年 1 月 1 日后：不再有自动补救期；总检察长可酌情考虑善意努力

处罚

• 根据 §6-1-105，视为欺骗性贸易行为
• 根据《科罗拉多州消费者保护法》，每项违规最高可处 20,000 美元民事罚款
• 禁令救济和返还

总检察长规则制定（4 CCR 904-3）

科罗拉多州总检察长发布了全面法规，涉及：

• 规则 2：定义和一般规定
• 规则 3：消费者权利程序
• 规则 4：控制者和处理者义务
• 规则 5：通用退出机制技术标准
• 规则 6：敏感数据的同意要求
• 规则 7：数据保护影响评估要求
• 规则 8：通用退出机制的两年一次审查

主要法规参考

• C.R.S. §6-1-1301 至 §6-1-1313（《科罗拉多州隐私法》）
• 4 CCR 904-3（总检察长实施条例，自 2024 年 3 月 1 日起生效）
• C.R.S. §6-1-101 等（《科罗拉多州消费者保护法》——执法框架）
• 总检察长关于通用退出机制的技术指南（2024 年 7 月）
• Global Privacy Control Specification v1.0