mcpField
C
connecticut-ctdpa

connecticut-ctdpa

github.com/mukul975安全32338 次安装32 周前更新
代码仓库

关于 connecticut-ctdpa

面向隐私与合规从业者的 Connecticut Data Privacy Act (CTDPA) 参考技能，梳理适用范围、消费者权利及控制者义务。重点涵盖暗黑模式禁令、忠诚计划豁免和通用退出机制。

主要功能

  1. 01CTDPA 适用范围与豁免
  2. 02消费者权利和响应时限
  3. 03暗黑模式与同意要求
  4. 04忠诚计划豁免条件
  5. 05通用退出机制要求
  6. 06敏感数据处理义务

适用场景

  1. 01评估组织是否受 CTDPA 约束
  2. 02审核消费者同意界面
  3. 03设计忠诚计划数据用途
  4. 04规划消费者权利请求流程

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/privacy-data-protection-skills --skill connecticut-ctdpa

安装后在 Claude Code 中输入/connecticut-ctdpa确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

assets/
template.md
references/
standards.md
workflows.md
scripts/
process.py

详细介绍

康涅狄格州数据隐私法（CTDPA）

概述

《康涅狄格州数据隐私法》（CTDPA）编入《康涅狄格州普通法规》第 42-515 至 §42-525 条，于 2022 年 5 月 10 日（SB 6）签署成为法律，并于 2023 年 7 月 1 日生效。康涅狄格州是第五个颁布全面消费者隐私立法的州。CTDPA 的显著特点包括：明确禁止通过暗黑模式获取同意、为真实的忠诚度计划提供豁免，以及要求承认通用退出机制（自 2025 年 1 月 1 日起生效）。

适用范围（§42-516）

CTDPA 适用于在康涅狄格州开展业务，或面向康涅狄格州居民提供产品或服务的主体，且在前一个日历年度内：

  1. 控制或处理至少 100,000 名康涅狄格州消费者的个人数据（仅为支付交易而处理的数据除外）；或
  2. 控制或处理至少 25,000 名康涅狄格州消费者的个人数据，且从出售个人数据中获得的总收入超过 25%。

**注意：**25% 的收入门槛低于弗吉尼亚州的 50%，而科罗拉多州没有规定特定的百分比。

**豁免情形：**州／地方政府、受 GLBA 约束的机构（实体层面）、受 HIPAA 约束的实体／业务伙伴（实体层面）、非营利组织、高等教育机构，以及受某些联邦法规管辖的数据。

Liberty Commerce Inc. 评估： Liberty Commerce Inc. 处理约 87,000 名康涅狄格州消费者的个人数据。其来自数据销售活动的广告收入占 12%，因此未达到门槛（2）。但是，若排除仅用于支付交易的数据，按保守解读，消费者人数超过门槛。Liberty Commerce Inc. 认为自身受 CTDPA 约束。

消费者权利（§42-520）

六项消费者权利
  1. 访问权（§42-520(a)(1)）：确认是否正在处理个人数据并访问个人数据
  2. 更正权（§42-520(a)(2)）：更正不准确的数据
  3. 删除权（§42-520(a)(3)）：删除个人数据
  4. 可携权（§42-520(a)(4)）：以可移植且易于使用的格式获取数据
  5. 退出权（§42-520(a)(5)）：退出以下活动：
    • 定向广告
    • 出售个人数据
    • 为促成产生法律或类似重大影响的决定而进行的画像分析
  6. 申诉权（§42-520(f)）：对拒绝任何权利请求提出申诉
响应要求（§42-520(b)-(e)）
  • 收到请求后 45 天内答复
  • 可延期：经通知，最多额外延长 45 天
  • 每项权利每 12 个月至少提供一次免费答复
  • 申诉：控制者必须在 60 天内答复

禁止暗黑模式（§42-515(8)，§42-518(a)(5)）

CTDPA 明确界定并禁止在获取消费者同意时使用暗黑模式。“暗黑模式”的定义如下：

“一种用户界面，其设计或操纵会实质性地破坏或削弱用户的自主权、决策能力或选择权，包括但不限于联邦贸易委员会称为‘暗黑模式’的任何做法。”

影响
  • 通过暗黑模式获取的同意，在 CTDPA 下不构成有效同意
  • 适用于敏感数据处理的同意（§42-518(a)(5)）
  • 适用于处理儿童数据的同意
  • 使用令人困惑的措辞、隐藏选项、视觉操纵或其他欺骗性做法的任何同意机制均属无效
暗黑模式示例（依据 FTC 指南和 CTDPA 立法历史）
模式描述CTDPA 影响
确认羞辱在选择退出选项中使用引发内疚的措辞同意无效
隐藏选项在视觉上弱化拒绝选项同意无效
强制操作要求用户同意才能访问无关功能同意无效
陷阱问题使用双重否定或令人困惑的措辞同意无效
误导通过视觉设计引导用户同意同意无效
反复骚扰消费者拒绝后仍反复提示同意无效

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 已对所有同意界面进行暗黑模式审计。同意按钮的视觉权重相同（尺寸、字体和颜色显著程度相同）。“接受”和“拒绝”选项并排显示。措辞积极明确，不使用确认羞辱式语言。

真正的忠诚度计划豁免（§42-517(c)）

CTDPA 对真正的忠诚度、奖励、会员、折扣或俱乐部卡计划提供豁免。作为此类计划的一部分收集的个人数据，若符合以下条件，则不受出售退出权的约束：

  1. 该计划是真正的忠诚度计划（向消费者提供真实价值）
  2. 消费者自愿参与
  3. 控制者在忠诚度计划条款中明确披露数据收集情况
  4. 数据仅用于忠诚度计划的目的

Liberty Commerce Inc. 的实施方式： Liberty Commerce Inc. 运营“Liberty Rewards”计划。计划条款明确说明，购买历史和偏好数据仅用于计算奖励、在计划内提供个性化优惠以及提供会员权益。此类数据不会被出售，也不会在忠诚度计划范围之外用于跨场景行为广告。

通用退出机制（§42-520(a)(6)）

自 2025 年 1 月 1 日起，控制者必须认可通用退出机制。相关要求与 Colorado 的框架类似：

  • 必须认可并处理通用退出信号（包括 GPC）
  • 信号适用于定向广告和个人数据出售
  • 无需对消费者进行额外验证
  • 不得弹出质疑该信号的窗口或插页
  • 对未经身份验证的用户，在浏览器／设备层级应用；对已验证身份的用户，在账户层级应用

敏感数据（§42-518(a)(5)）

类别

与 Virginia VCDPA 相同：

  1. 种族或族裔出身
  2. 宗教信仰
  3. 心理或身体健康状况或诊断
  4. 性取向
  5. 公民身份或移民身份
  6. 用于身份识别的遗传或生物特征数据
  7. 已知儿童的个人数据
  8. 精确地理位置数据
同意要求

处理此类数据必须取得主动选择加入的同意，且不得通过暗黑模式获取。

控制者义务（§42-518）

  1. 目的限制：将处理范围限制在充分、相关且合理必要的程度内
  2. 数据最小化：收集的数据不得超过合理必要的范围
  3. 数据安全：采取适当的技术和组织措施
  4. 非歧视：不得进行违反反歧视法律的处理
  5. 敏感数据同意：处理前取得同意（不得通过暗黑模式获取）
  6. 隐私声明：应便于合理访问，且内容清晰
  7. DPIA：针对定向广告、出售、画像、敏感数据和高风险处理开展评估

执法（§42-524，§42-525）

  • 仅由 AG 执法——无私人诉权
  • 60 天整改期，截至 2024 年 12 月 31 日
  • 2025 年 1 月 1 日之后：AG 可酌情决定是否给予整改期
  • 处罚：依据《Conn. Gen. Stat. §42-110b》（CUTPA）作为不公平贸易行为处理
  • 民事处罚：根据 CUTPA，每次故意违规最高罚款 $5,000

主要法规参考

  • 《康涅狄格州一般法规》第 42-515 至 42-525 条（CTDPA）
  • 《康涅狄格州一般法规》第 42-110b 条（《康涅狄格州不公平贸易行为法》——执法）
  • FTC《暗黑模式报告》（2022 年 9 月）——CTDPA 定义中引用
  • Global Privacy Control Specification v1.0——获认可的通用退出机制

评论

支持 Markdown