Если в прошлом году ваш сайт посетили 35 000 жителей Коннектикута, вы могли проснуться 1 июля 2026 года уже как регулируемый бизнес в соответствии с одним из самых строгих законов штата о конфиденциальности в стране — не изменив ни одной детали в своей работе.
Таков практический эффект пересмотра Закона о защите данных Коннектикута в 2026 году. Штат сократил порог применимости почти на две трети, добавил два триггера, не имеющих числового порога, расширил определение чувствительных данных, устранил гарантированный льготный период для первичных нарушений и добавил вторую волну требований, вступающих в силу с 1 октября. Если вы продаете онлайн, запускаете таргетированную рекламу, передаете данные клиентов поставщикам аналитики или рекламных технологий или собираете данные, относящиеся к чувствительным, это руководство подробно объясняет, что именно изменилось, и предлагает конкретные шаги для обеспечения соответствия.
Что изменилось 1 июля 2026 года
Оригинальный закон Коннектикута о конфиденциальности, действующий с 2023 года, применялся в основном к более крупным организациям: тем, кто обрабатывает персональные данные не менее 100 000 жителей Коннектикута или не менее 25 000 жителей, если более четверти валового дохода поступало от продажи персональных данных. Большинство малых и средних предприятий могли обоснованно полагать, что закон к ним не относится.
Поправки, принятые через SB 1295, заменяют эту структуру тремя альтернативными триггерами. Соответствие хотя бы одному из них в течение предыдущего календарного года означает попадание под действие закона:
- Вы контролировали или обрабатывали персональные данные не менее 35 000 потребителей из Коннектикута. Данные, обрабатываемые исключительно для завершения платежной транзакции, не учитываются в этом числе, но почти все остальное учитывается — веб-аналитика, списки рассылки, история заказов, тикеты поддержки, программы лояльности.
- Вы контролировали или обрабатывали чувствительные данные любого потребителя из Коннектикута. Минимального объема нет. Одной записи может быть достаточно.
- Вы предлагали персональные данные любого потребителя из Коннектикута на продажу. Опять же, минимума нет. Под "продажей" здесь понимается обмен персональными данными на денежное или иное ценное вознаграждение — что может включать передачу данных рекламным сетям, брокерам данных или аналитическим провайдерам способами, которые многие предприятия не считают продажей.
Старый триггер, основанный на 25% дохода, полностью устранен. Направление движения очевидно: если исходный закон спрашивал «достаточно ли вы крупны для регулирования», то измененный закон спрашивает «коснулись ли вы неправильного типа данных или делились ли данными вообще».
Почему планку в 35 000 легче достичь, чем кажется
Тридцать пять тысяч жителей Коннектикута — это примерно 1% населения штата. Региональный интернет-магазин, SaaS-продукт с несколькими тысячами платных аккаунтов, контентный сайт с умеренным трафиком или сервисный бизнес с большой базой электронных писем могут пересечь эту линию, даже не нацеливаясь специально на Коннектикут — закон охватывает любой бизнес, который работает в штате или нацеливает товары или услуги на его жителей. Если ваш сайт доступен покупателям из Коннектикута, и ваша аналитика показывает пятизначное количество годовых уникальных посетителей из штата, лучше исходить из необходимости тщательного подсчета, а не из предположения, что вы вне зоны действия.
Ловушка чувствительных данных: без порога, более широкое определение
Наиболее значимым изменением для малого бизнеса является не снижение числового порога — а сочетание триггера чувствительных данных с нулевым порогом и значительно расширенного определения того, что считается чувствительными данными.
В соответствии с измененным законом, категория чувствительных данных теперь включает данные, раскрывающие психические или физические нарушения или лечение, небинарный статус или трансгендерность, информацию, полученную из биометрических и генетических данных, нейроданные, информацию о финансовых счетах и идентификационные номера, выданные государством, наряду с ранее охваченными категориями, такими как точная геолокация, расовое или этническое происхождение, религиозные убеждения, сексуальная жизнь или сексуальная ориентация, гражданство и данные детей.
Обработка любых из этих данных — даже для одного жителя Коннектикута — подводит вас под действие закона. А как только вы попадаете в зону действия, на чувствительные данные накладываются два дополнительных обязательства:
- Ограничьте обработку тем, что разумно необходимо для целей, которые вы раскрыли, и
- Получите согласие потребителя перед обработкой — включая, в явной форме, перед продажей.
Для обычных малых предприятий чувствительные данные встречаются в неожиданных местах: форма медицинского осмотра, указывающая на состояние здоровья, заявление о приеме на работу с номером водительских прав, программа лояльности, хранящая платежные данные вместе с историей покупок, фитнес- или функция доступности, генерирующая биометрически близкие измерения. Ни для одного из этих случаев не требуется злого умысла для создания риска. Составьте карту того, где такие данные попадают в ваши системы, прежде чем предполагать, что вы их не храните.
Новые права потребителей, которые вы должны быть готовы соблюдать
Поправки предоставляют жителям Коннектикута несколько новых прав, которые напрямую трансформируются в операционную работу для вашего бизнеса:
- Список конкретных третьих лиц, которым были проданы их персональные данные. Общее раскрытие «мы делимся данными с партнерами» больше не подходит — вам нужно знать, покупатель за покупателем, куда ушли данные.
- Объяснения решений по профилированию с юридическими или аналогично значимыми последствиями, включая обоснование решения и использованные данные. В решениях, касающихся жилья, потребители могут исправить неточные данные и потребовать повторной оценки решения.
- Расширенные права доступа, которые прямо включают выводы и информацию о профилировании. Обратите внимание на ограничение в обратную сторону: для категорий повышенного риска, таких как номера социального страхования, определенные финансовые данные и биометрические элементы, вы должны подтвердить, что храните данные, а не передавать их фактические значения в ответ на запрос.
- Более строгие механизмы отказа от таргетированной рекламы, продажи данных и значимого профилирования, включая через уполномоченных агентов.
Кроме того, ваше уведомление о конфиденциальности теперь должно раскрывать, собираете ли вы, используете или продаете персональные данные для обучения больших языковых моделей — требование, которое Коннектикут разделяет с Вермонтом и которое важно для любого бизнеса, использующего контент клиентов или разговоры поддержки в качестве материала для обучения моделей.
Также появились новые меры защиты несовершеннолетних: контролеры не могут продавать или обрабатывать для таргетированной рекламы персональные данные потребителей в возрасте от 13 до 17 лет.
У правоприменения теперь есть реальные зубы
В соответствии с исходным законом предприятия пользовались гарантированным 60-дневным льготным периодом — правом исправить нарушение до применения штрафов. Эта страховка устранена. Генеральный прокурор сохраняет право предлагать исправление, но ничто не гарантирует его.
Штрафы применяются в рамках структуры штата о недобросовестной торговой практике: до 5 000 долларов за каждое умышленное нарушение и до 2 500 долларов за неумышленное. Умноженные на список рассылки или базу клиентов, эти суммы за нарушение быстро растут. Офис генерального прокурора уже опубликовал руководство для бизнеса по расширенной сфере действия и подал ежегодный отчет о правоприменении, описывающий активные меры — период ожидания для серьезного отношения к этому закону закончился со вступлением его в силу.
Еще одно изменение сферы действия с тихим укусом: старая освобождающая финансовые учреждения отраслевая льгота в соответствии с Законом Грэмма-Лича-Блили заменена более узкой льготой на уровне данных. Если вы небольшой кредитор, брокер, страховщик или бизнес в сфере финтеха, который полагал, что имеет полное освобождение, перепроверьте, какие именно данные и виды деятельности фактически исключены, а не полагайтесь на отраслевой ярлык.
Вторая волна наступает 1 октября: геолокация, брокеры данных и другое
Сопутствующий пакет, SB 4 с поправками от HB 5222, вступает в силу 1 октября 2026 года и добавляет ограничения, к которым стоит готовиться уже сейчас:
- Продажа точной геолокации полностью запрещена. Не требует согласия — запрещена.
- Согласие на новые цели ужесточается. Ранее требовалось согласие перед обработкой для материально иной новой цели; квалификатор материальности удален, поэтому любая новая цель, которая не является разумно необходимой или совместимой с изначально раскрытой целью, требует нового согласия.
- Регистрация брокеров данных начинается 1 января 2027 года с поэтапным внедрением до 2031 года. Предприятия, которые сознательно продают или передают по лицензии персональные данные потребителей, с которыми у них нет прямых отношений, должны зарегистрироваться в штате и предоставить единый механизм запросов на удаление, охватывающий всех зарегистрированных брокеров.
- Наблюдательное ценообразование — использование персональных данных для установления индивидуальных цен — сталкивается с новыми ограничениями, наряду с новыми требованиями к раскрытию и согласию для распознавания лиц на месте и новыми правилами для компаний, проводящих генетическое тестирование напрямую потребителям.
Если ваши практики ценообразования, персонализации или данных о местоположении касаются любой из этих областей, июльский проект по соблюдению требований и октябрьский — на самом деле одна программа с двумя сроками.
Ваш контрольный список по соблюдению требований из 6 шагов
Вам не нужен бюджет юридической фирмы, чтобы добиться значимого прогресса. Действуйте в этом порядке:
1. Определите, попадаете ли вы в зону действия
Соберите данные за полный 2025 год и с начала 2026 года: уникальные посетители и клиенты из Коннектикута, любые хранения чувствительных данных и любая передача данных, которая может считаться продажей — включая пиксели рекламных технологий, загрузку списков аудиторий и соглашения об аналитике. Поскольку два из трех триггеров не имеют нижнего предела по объему, по умолчанию предполагайте охват, пока ваша инвентаризация не докажет обратное.
2. Составьте карту потоков данных
Создайте простую инвентаризацию: какие персональные и чувствительные данные вы собираете, где они поступают (формы, оформление заказа, пиксели, импорты), для чего вы их используете, где они хранятся и каждую третью сторону, которая их получает. Уделите особое внимание трекинговым пикселям, обмену списками и «бесплатным» инструментам аналитики, оплачиваемых доступом к данным. Эта карта — основа всего дальнейшего: уведомлений, согласий, выполнения прав и контрактов с поставщиками.
3. Обновите уведомления и процессы согласия
Обновите ваше уведомление о конфиденциальности, чтобы охватить новые обязательные раскрытия — профилирование, таргетированную рекламу, использование для обучения LLM, продажу данных с деталями по покупателям — и убедитесь, что уведомления заметны и доступны. Ограничьте сбор чувствительных данных и любую продажу чувствительных данных четким согласием (opt-in) и убедитесь, что ваши процессы фиксируют и сохраняют отметку времени этого согласия.
4. Создайте процессы выполнения прав
Настройте воспроизводимый процесс для запросов на доступ, исправление, удаление, отказ, список покупателей и объяснение профилирования: канал приема, проверку личности, пропорциональную чувствительности данных, 45-дневный срок ответа с обработкой продлений и путь обжалования. Протестируйте его на пробном запуске до поступления реального запроса.
5. Пересмотрите поставщиков и системы профилирования
Пересмотрите соглашения с поставщиками, чтобы отразить измененные обязательства — инструкции по обработке, ограничения на продажу, прозрачность субпроцессоров и сотрудничество по запросам потребителей. Для любого профилирования, ведущего к значимым решениям, подготовьте новое обязательное заключение о воздействии, охватывающее цель, анализ рисков, категории данных, показатели эффективности, меры прозрачности и постразвертывающий мониторинг. Обязанность по оценке применяется к деятельности, созданной или порожденной 1 августа 2026 года или позже, и генеральный прокурор может запросить ее для ознакомления.
6. Ужесточите защиту данных несовершеннолетних и геолокации
Подавите таргетированную рекламу и продажу данных для лиц 13–17 лет, удалите функции дизайна, максимизирующие вовлеченность, направленные на несовершеннолетних, и прекратите любую продажу или передачу точных геолокационных данных до запрета 1 октября.
Где бухгалтерия встречается с соблюдением конфиденциальности
Соблюдение конфиденциальности — это проблема бухгалтерского учета не меньше, чем юридическая. Ваша карта данных, отметки времени согласий, списки покупателей, контракты с поставщиками и заключения о воздействии — это записи, а записи требуют той же дисциплины, что и ваши финансовые данные: полнота, отметки времени, сверяемость и доступность по запросу.
Именно здесь также возникают затраты. Подписки на инструменты согласия, переписывание уведомлений, пересмотр контрактов с поставщиками и время сотрудников на выполнение прав — это реальные расходы на соблюдение требований. Учитывайте их в отдельной категории расходов на соответствие, а не растворяйте в общих расходах на ПО или юридические услуги. Когда наступит сезон продлений — или если генеральный прокурор когда-либо спросит, что вы делали и когда, — чистая бухгалтерская книга, показывающая, на что вы потратили, каких поставщиков вы оплачиваете за обработку данных и когда каждый контроль вступил в силу, стоит гораздо больше, чем папка скриншотов. Разделение расходов на соответствие также делает их видимыми в налоговый сезон вместо того, чтобы они были погребены в накладных расходах.
Упростите управление финансами
Пока вы занимаетесь соблюдением конфиденциальности наряду со всем остальным, требующим вашего внимания, ведение четких финансовых записей сохраняет весь процесс проверяемым. Beancount.io предоставляет бухгалтерию в виде простого текста, которая дает вам полную прозрачность и контроль над вашими финансовыми данными — без черных ящиков и привязки к поставщику. Начните бесплатно и узнайте, почему разработчики и финансовые специалисты переходят на бухгалтерию в виде простого текста.
