Conformité au Kentucky Consumer Data Protection Act (KCDPA)
Pandectes GDPR Compliance aide les boutiques Shopify à respecter les exigences du KCDPA du Kentucky en gérant le consentement aux cookies, l'opt-out de la publicité ciblée et de la vente, et les demandes des consommateurs relatives à leurs données.
Commencer gratuitement
L'application de consentement aux cookies n° 1 sur Shopify, adoptée par 185k boutiques
Qu’est-ce que le KCDPA ?
Le Kentucky Consumer Data Protection Act (KCDPA) est la loi complète du Kentucky sur la protection de la vie privée des consommateurs. Adopté en 2024 sous le nom de House Bill 15, il a été intégré au chapitre 367 des Kentucky Revised Statutes. Il suit de près le Virginia Consumer Data Protection Act : il donne aux résidents du Kentucky des droits sur leurs données personnelles et fixe des règles aux entreprises qui les collectent.
En vertu du KCDPA, les consommateurs du Kentucky ont le droit de :
- Savoir si une entreprise traite leurs données personnelles et y accéder
- Faire corriger les inexactitudes dans leurs données personnelles
- Faire supprimer les données personnelles qu’ils ont fournies ou qui ont été obtenues à leur sujet
- Obtenir une copie portable des données personnelles qu’ils ont fournies
- S’opposer (opt-out) à la publicité ciblée, à la vente de leurs données personnelles et au profilage produisant des effets juridiques ou des effets significatifs similaires
La loi définit aussi les données sensibles, qui comprennent l’origine raciale ou ethnique, les convictions religieuses, les diagnostics médicaux, l’orientation sexuelle, la citoyenneté ou le statut migratoire, les données génétiques ou biométriques utilisées pour identifier une personne, la géolocalisation précise et les données personnelles collectées auprès d’un enfant identifié comme tel.
À qui s’applique le KCDPA ?
Le KCDPA s’applique aux entreprises qui exercent une activité dans le Kentucky ou qui destinent des produits ou services aux résidents du Kentucky et qui, au cours d’une année civile, traitent les données personnelles d’au moins 100 000 consommateurs, ou traitent les données personnelles d’au moins 25 000 consommateurs et tirent plus de 50 % de leur chiffre d’affaires brut de la vente de données personnelles.
Les organismes publics, les institutions financières soumises au Gramm-Leach-Bliley Act, les entités couvertes par la HIPAA et leurs sous-traitants (business associates), les organisations à but non lucratif et les établissements d’enseignement supérieur figurent parmi les entités exemptées.
Que se passe-t-il si je ne respecte pas le KCDPA ?
L’Attorney General du Kentucky est seul compétent pour faire appliquer le KCDPA. Les points essentiels sont les suivants :
- Délai de régularisation : avant d’engager une action, l’Attorney General doit adresser un avis écrit et accorder 30 jours pour remédier à l’infraction et confirmer par écrit qu’elle ne se reproduira pas. Ce délai de régularisation est permanent et n’expire pas.
- Sanctions : si l’infraction se poursuit après le délai de régularisation, ou si l’engagement écrit n’est pas respecté, l’Attorney General peut réclamer jusqu’à 7 500 $ pour chaque infraction persistante.
- Frais : l’Attorney General peut obtenir le remboursement des frais d’enquête raisonnables, des frais de justice et des honoraires d’avocat.
- Pas de droit d’action privé : les consommateurs ne peuvent pas poursuivre directement une entreprise sur le fondement du KCDPA. Ils peuvent déposer une plainte auprès de l’Attorney General.
Quand le KCDPA est-il entré en vigueur ?
Le KCDPA est entré en vigueur le 1er janvier 2026. Les entreprises qui atteignent ses seuils doivent s’y conformer dès maintenant.
Se conformer au KCDPA
Si votre boutique en ligne atteint les seuils du KCDPA, voici les tâches les plus importantes pour les cookies et le suivi :
- Proposez un opt-out de la publicité ciblée et de la vente. Les pixels et balises publicitaires qui suivent les visiteurs sur d’autres sites web relèvent généralement de la publicité ciblée. Si vous vendez des données personnelles ou les utilisez pour de la publicité ciblée, vous devez l’indiquer de manière claire et visible et expliquer comment les consommateurs peuvent exercer leur opt-out. Un lien d’opt-out bien visible et une bannière de cookies proposant des choix clairs sont le moyen habituel d’y parvenir. Le KCDPA n’oblige pas les entreprises à respecter les signaux d’opt-out universels comme Global Privacy Control.
- Obtenez un consentement opt-in pour les données sensibles. Vous ne devez pas traiter de données sensibles, comme la géolocalisation précise, sans le consentement du consommateur. Les données collectées auprès d’un enfant identifié comme tel doivent être traitées conformément au Children’s Online Privacy Protection Act fédéral.
- Publiez une politique de confidentialité claire. Elle doit décrire les catégories de données personnelles que vous traitez, les raisons de ce traitement, les catégories que vous partagez avec des tiers et l’identité de ces tiers, ainsi que la manière dont les consommateurs peuvent exercer leurs droits et contester vos décisions.
- Traitez les demandes des consommateurs dans les délais. Proposez au moins un moyen sûr et fiable de soumettre une demande, sans exiger la création d’un compte. Répondez dans un délai de 45 jours, prolongeable une fois de 45 jours supplémentaires lorsque c’est raisonnablement nécessaire, et répondez aux recours dans un délai de 60 jours.
- Limitez la collecte au nécessaire. Limitez les données personnelles à ce qui est adéquat, pertinent et raisonnablement nécessaire aux finalités que vous annoncez, et protégez-les par des pratiques de sécurité raisonnables.
Pour vous faciliter la tâche, pensez à une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Conçue pour les boutiques Shopify, elle fournit une bannière de cookies avec des options d’opt-out pour les États américains, un lien « Ne pas vendre ni partager mes informations personnelles », le scan et la classification automatiques des cookies, une déclaration de cookies, des registres de consentement et le traitement des demandes des personnes concernées. Les paramètres de bannière propres à chaque région vous permettent de proposer aux visiteurs du Kentucky l’expérience adaptée à leur localisation.
Chaque entreprise est différente : faites vérifier vos obligations au titre du KCDPA par un conseiller juridique si nécessaire.