Conformità all'Indiana Consumer Data Protection Act (ICDPA)
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti dell'ICDPA dell'Indiana gestendo il consenso ai cookie, l'opt-out dalla pubblicità mirata e dalla vendita e le richieste dei consumatori sulla privacy.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è l’ICDPA?
L’Indiana Consumer Data Protection Act (ICDPA) è la legge organica dell’Indiana sulla privacy dei consumatori. È stata approvata nel 2023 come Senate Enrolled Act 5 ed è codificata nel titolo 24-15 dell’Indiana Code. Segue da vicino il Virginia Consumer Data Protection Act, riconoscendo ai residenti in Indiana diritti sui propri dati personali e stabilendo regole per le aziende che li raccolgono.
Ai sensi dell’ICDPA, i consumatori dell’Indiana hanno il diritto di:
- Sapere se un’azienda tratta i loro dati personali e ottenere una copia o una sintesi rappresentativa dei dati che hanno fornito
- Rettificare le inesattezze nei dati personali che hanno fornito
- Cancellare i dati personali forniti da loro o ottenuti su di loro
- Ricevere i propri dati personali in un formato portabile e facilmente utilizzabile
- Opporsi (opt-out) alla pubblicità mirata, alla vendita dei propri dati personali e alla profilazione che produce effetti giuridici o effetti analogamente significativi
La legge definisce anche i dati sensibili, tra cui l’origine razziale o etnica, le convinzioni religiose, le diagnosi sanitarie, l’orientamento sessuale, la cittadinanza o lo status di immigrazione, i dati genetici o biometrici usati per identificare una persona, la geolocalizzazione precisa e i dati personali di un minore noto come tale.
A chi si applica l’ICDPA?
L’ICDPA si applica alle aziende che operano in Indiana o che rivolgono prodotti o servizi ai residenti in Indiana e che, in un anno solare, trattano i dati personali di almeno 100.000 consumatori dell’Indiana, oppure trattano i dati personali di almeno 25.000 consumatori dell’Indiana e ricavano oltre il 50% del fatturato lordo dalla vendita di dati personali.
Tra i soggetti esenti figurano enti pubblici, istituti finanziari, soggetti coperti dalla HIPAA, organizzazioni senza scopo di lucro, istituti di istruzione superiore e aziende di servizi pubblici.
Cosa succede se non rispetto l’ICDPA?
L’Attorney General dell’Indiana ha la competenza esclusiva per far rispettare l’ICDPA. I punti principali sono:
- Periodo per porre rimedio: prima di avviare un’azione, l’Attorney General deve inviare una notifica scritta e concedere 30 giorni per porre rimedio alla violazione e confermare per iscritto che non si ripeterà. Questo periodo è permanente e non scade.
- Sanzioni civili: fino a 7.500 $ per ogni violazione, insieme a un’ingiunzione per far cessare la violazione.
- Spese: l’Attorney General può recuperare le spese ragionevoli di indagine e le spese legali.
- Nessun diritto di azione privata: i consumatori non possono fare causa direttamente a un’azienda ai sensi dell’ICDPA. Possono presentare un reclamo all’Attorney General.
Quando è entrato in vigore l’ICDPA?
L’ICDPA è entrato in vigore il 1° gennaio 2026. Le aziende che superano le sue soglie devono già rispettarlo.
Come rispettare l’ICDPA
Se il Suo negozio online supera le soglie dell’ICDPA, il lavoro più importante per cookie e tracciamento è questo:
- Offra un opt-out dalla pubblicità mirata e dalla vendita. I pixel e i tag pubblicitari che seguono i visitatori su altri siti web rientrano di norma nella pubblicità mirata. Se vende dati personali o li usa per la pubblicità mirata, deve indicarlo in modo chiaro e ben visibile e spiegare come i consumatori possono esercitare l’opt-out. Un link di opt-out visibile e un banner dei cookie con scelte chiare sono il modo più comune per farlo. L’ICDPA non obbliga le aziende a rispettare i segnali universali di opt-out come Global Privacy Control.
- Ottenga il consenso opt-in per i dati sensibili. Non può trattare dati sensibili, come la geolocalizzazione precisa, senza il consenso del consumatore. I dati di un minore noto come tale devono essere trattati in base alla legge federale Children’s Online Privacy Protection Act.
- Pubblichi un’informativa sulla privacy chiara. Deve descrivere le categorie di dati personali che tratta, perché li tratta, le categorie che condivide con terzi e chi sono questi terzi, e come i consumatori possono esercitare i propri diritti e impugnare le Sue decisioni.
- Gestisca in tempo le richieste dei consumatori. Offra almeno un modo sicuro e affidabile per presentare le richieste, senza obbligare a creare un nuovo account. Risponda entro 45 giorni, prorogabili una sola volta di altri 45 giorni quando ragionevolmente necessario, e risponda ai ricorsi entro 60 giorni.
- Raccolga solo ciò che serve. Limiti i dati personali a quanto adeguato, pertinente e ragionevolmente necessario per le finalità dichiarate, e li protegga con pratiche di sicurezza ragionevoli.
Per semplificare il lavoro, valuti una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance. È pensata per i negozi Shopify e offre un banner dei cookie con opzioni di opt-out per gli Stati USA, un link “Non vendere né condividere le mie informazioni personali”, la scansione e la classificazione automatiche dei cookie, una dichiarazione dei cookie, i registri del consenso e la gestione delle richieste degli interessati. Le impostazioni del banner per regione Le permettono di mostrare ai visitatori dell’Indiana l’esperienza giusta in base alla loro posizione.
Ogni azienda è diversa, quindi verifichi i Suoi obblighi ai sensi dell’ICDPA con un consulente legale quando opportuno.