Cumplimiento de la Indiana Consumer Data Protection Act (ICDPA)
Pandectes GDPR Compliance ayuda a las tiendas Shopify a cumplir la ICDPA de Indiana gestionando el consentimiento de cookies, la exclusión de la publicidad dirigida y de la venta de datos, y las solicitudes de privacidad de los consumidores.
Empiece gratis
La app de consentimiento de cookies n.º 1 para Shopify, con la confianza de 185k tiendas
¿Qué es la ICDPA?
La Indiana Consumer Data Protection Act (ICDPA), o Ley de Protección de Datos del Consumidor de Indiana, es la ley integral de privacidad del consumidor de Indiana. Se aprobó en 2023 como Senate Enrolled Act 5 y está codificada en el título 24-15 del Indiana Code. Sigue de cerca la Consumer Data Protection Act de Virginia: otorga a los residentes de Indiana derechos sobre sus datos personales y fija normas para las empresas que los recogen.
Según la ICDPA, los consumidores de Indiana tienen derecho a:
- Confirmar si una empresa trata sus datos personales y obtener una copia o un resumen representativo de los datos que han facilitado
- Rectificar las inexactitudes de los datos personales que han facilitado
- Suprimir los datos personales que han facilitado o que se han obtenido sobre ellos
- Recibir sus datos personales en un formato portable y fácil de usar
- Oponerse a la publicidad dirigida, a la venta de sus datos personales y a la elaboración de perfiles que produzca efectos jurídicos o de importancia similar
La ley también define los datos sensibles, que incluyen el origen racial o étnico, las creencias religiosas, los diagnósticos de salud, la orientación sexual, la ciudadanía o la situación migratoria, los datos genéticos o biométricos utilizados para identificar a una persona, la geolocalización precisa y los datos personales de un menor cuya edad se conoce.
¿A quién se aplica la ICDPA?
La ICDPA se aplica a las empresas que operan en Indiana o que dirigen productos o servicios a residentes de Indiana y que, en un año natural, tratan datos personales de al menos 100.000 consumidores de Indiana, o tratan datos personales de al menos 25.000 consumidores de Indiana y obtienen más del 50 % de sus ingresos brutos de la venta de datos personales.
Entre las entidades exentas figuran los organismos públicos, las entidades financieras, las entidades sujetas a la HIPAA, las organizaciones sin ánimo de lucro, las instituciones de educación superior y las empresas de servicios públicos.
¿Qué ocurre si no cumplo la ICDPA?
El Fiscal General de Indiana tiene competencia exclusiva para hacer cumplir la ICDPA. Los puntos principales son:
- Plazo de subsanación: antes de emprender una acción, el Fiscal General debe enviar una notificación por escrito y conceder 30 días para subsanar la infracción y confirmar por escrito que no volverá a producirse. Este plazo de subsanación es permanente y no caduca.
- Sanciones civiles: hasta 7.500 $ por cada infracción, junto con una orden judicial para que cese la infracción.
- Costas: el Fiscal General puede recuperar los gastos razonables de investigación y los honorarios de abogados.
- Sin derecho de acción privado: los consumidores no pueden demandar directamente a una empresa en virtud de la ICDPA. Pueden presentar una reclamación ante el Fiscal General.
¿Cuándo entró en vigor la ICDPA?
La ICDPA entró en vigor el 1 de enero de 2026. Las empresas que superan sus umbrales deben cumplirla ya.
Cómo cumplir la ICDPA
Si su tienda online supera los umbrales de la ICDPA, el trabajo más importante en materia de cookies y rastreo es el siguiente:
- Ofrezca la exclusión de la publicidad dirigida y de la venta. Los píxeles y etiquetas publicitarios que rastrean a los visitantes en otros sitios web suelen constituir publicidad dirigida. Si vende datos personales o los usa para publicidad dirigida, debe indicarlo de forma clara y visible y explicar cómo pueden excluirse los consumidores. Lo habitual es un enlace de exclusión visible y un banner de cookies con opciones claras. La ICDPA no obliga a las empresas a respetar las señales universales de exclusión, como Global Privacy Control.
- Obtenga el consentimiento previo para los datos sensibles. No debe tratar datos sensibles, como la geolocalización precisa, sin el consentimiento del consumidor. Los datos de un menor cuya edad se conoce deben tratarse conforme a la ley federal Children’s Online Privacy Protection Act.
- Publique un aviso de privacidad claro. Debe describir las categorías de datos personales que trata, por qué los trata, las categorías que comparte con terceros y quiénes son esos terceros, y cómo pueden los consumidores ejercer sus derechos y recurrir sus decisiones.
- Atienda a tiempo las solicitudes de los consumidores. Ofrezca al menos una vía segura y fiable para presentar solicitudes, sin exigir la creación de una cuenta nueva. Responda en un plazo de 45 días, prorrogable una vez por otros 45 días cuando sea razonablemente necesario, y resuelva los recursos en un plazo de 60 días.
- Recoja solo lo que necesita. Limite los datos personales a lo adecuado, pertinente y razonablemente necesario para las finalidades que indique, y protéjalos con prácticas de seguridad razonables.
Para facilitar este trabajo, considere una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance. Está diseñada para tiendas Shopify y ofrece un banner de cookies con opciones de exclusión para los estados de EE. UU., un enlace “No vender ni compartir mi información personal”, análisis y clasificación automáticos de cookies, una declaración de cookies, registros de consentimiento y gestión de las solicitudes de los interesados. La configuración del banner por región le permite mostrar a los visitantes de Indiana la experiencia adecuada según su ubicación.
Cada empresa es diferente, así que revise sus obligaciones según la ICDPA con un asesor legal cuando proceda.