Cumplimiento de la Kentucky Consumer Data Protection Act (KCDPA)
Pandectes GDPR Compliance ayuda a las tiendas Shopify a cumplir la KCDPA de Kentucky gestionando el consentimiento de cookies, la exclusión de la publicidad dirigida y de la venta de datos, y las solicitudes de privacidad de los consumidores.
Empiece gratis
La app de consentimiento de cookies n.º 1 para Shopify, con la confianza de 185k tiendas
¿Qué es la KCDPA?
La Kentucky Consumer Data Protection Act (KCDPA), o Ley de Protección de Datos del Consumidor de Kentucky, es la ley integral de privacidad del consumidor de Kentucky. Se aprobó en 2024 como House Bill 15 y se incorporó al capítulo 367 de los Kentucky Revised Statutes. Sigue de cerca la Consumer Data Protection Act de Virginia: otorga a los residentes de Kentucky derechos sobre sus datos personales y fija normas para las empresas que los recogen.
Según la KCDPA, los consumidores de Kentucky tienen derecho a:
- Confirmar si una empresa trata sus datos personales y acceder a ellos
- Rectificar las inexactitudes de sus datos personales
- Suprimir los datos personales que han facilitado o que se han obtenido sobre ellos
- Obtener una copia portable de los datos personales que han facilitado
- Oponerse a la publicidad dirigida, a la venta de sus datos personales y a la elaboración de perfiles que produzca efectos jurídicos o de importancia similar
La ley también define los datos sensibles, que incluyen el origen racial o étnico, las creencias religiosas, los diagnósticos de salud, la orientación sexual, la ciudadanía o la situación migratoria, los datos genéticos o biométricos utilizados para identificar a una persona, la geolocalización precisa y los datos personales recogidos de un menor cuya edad se conoce.
¿A quién se aplica la KCDPA?
La KCDPA se aplica a las empresas que operan en Kentucky o que dirigen productos o servicios a residentes de Kentucky y que, en un año natural, tratan datos personales de al menos 100.000 consumidores, o tratan datos personales de al menos 25.000 consumidores y obtienen más del 50 % de sus ingresos brutos de la venta de datos personales.
Entre las entidades exentas figuran los organismos públicos, las entidades financieras sujetas a la Gramm-Leach-Bliley Act, las entidades sujetas a la HIPAA y sus socios comerciales, las organizaciones sin ánimo de lucro y las instituciones de educación superior.
¿Qué ocurre si no cumplo la KCDPA?
El Fiscal General de Kentucky tiene competencia exclusiva para hacer cumplir la KCDPA. Los puntos principales son:
- Plazo de subsanación: antes de emprender una acción, el Fiscal General debe enviar una notificación por escrito y conceder 30 días para subsanar la infracción y confirmar por escrito que no volverá a producirse. Este plazo de subsanación es permanente y no caduca.
- Sanciones: si la infracción continúa tras el plazo de subsanación, o se incumple la declaración escrita, el Fiscal General puede reclamar hasta 7.500 $ por cada infracción continuada.
- Costas: el Fiscal General puede recuperar los gastos razonables de investigación, las costas judiciales y los honorarios de abogados.
- Sin derecho de acción privado: los consumidores no pueden demandar directamente a una empresa en virtud de la KCDPA. Pueden presentar una reclamación ante el Fiscal General.
¿Cuándo entró en vigor la KCDPA?
La KCDPA entró en vigor el 1 de enero de 2026. Las empresas que superan sus umbrales deben cumplirla ya.
Cómo cumplir la KCDPA
Si su tienda online supera los umbrales de la KCDPA, el trabajo más importante en materia de cookies y rastreo es el siguiente:
- Ofrezca la exclusión de la publicidad dirigida y de la venta. Los píxeles y etiquetas publicitarios que rastrean a los visitantes en otros sitios web suelen constituir publicidad dirigida. Si vende datos personales o los usa para publicidad dirigida, debe indicarlo de forma clara y visible y explicar cómo pueden excluirse los consumidores. Lo habitual es un enlace de exclusión visible y un banner de cookies con opciones claras. La KCDPA no obliga a las empresas a respetar las señales universales de exclusión, como Global Privacy Control.
- Obtenga el consentimiento previo para los datos sensibles. No debe tratar datos sensibles, como la geolocalización precisa, sin el consentimiento del consumidor. Los datos recogidos de un menor cuya edad se conoce deben tratarse conforme a la ley federal Children’s Online Privacy Protection Act.
- Publique un aviso de privacidad claro. Debe describir las categorías de datos personales que trata, por qué los trata, las categorías que comparte con terceros y quiénes son esos terceros, y cómo pueden los consumidores ejercer sus derechos y recurrir sus decisiones.
- Atienda a tiempo las solicitudes de los consumidores. Ofrezca al menos una vía segura y fiable para presentar solicitudes, sin exigir la creación de una cuenta nueva. Responda en un plazo de 45 días, prorrogable una vez por otros 45 días cuando sea razonablemente necesario, y resuelva los recursos en un plazo de 60 días.
- Recoja solo lo que necesita. Limite los datos personales a lo adecuado, pertinente y razonablemente necesario para las finalidades que indique, y protéjalos con prácticas de seguridad razonables.
Para facilitar este trabajo, considere una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance. Está diseñada para tiendas Shopify y ofrece un banner de cookies con opciones de exclusión para los estados de EE. UU., un enlace “No vender ni compartir mi información personal”, análisis y clasificación automáticos de cookies, una declaración de cookies, registros de consentimiento y gestión de las solicitudes de los interesados. La configuración del banner por región le permite mostrar a los visitantes de Kentucky la experiencia adecuada según su ubicación.
Cada empresa es diferente, así que revise sus obligaciones según la KCDPA con un asesor legal cuando proceda.