Conformità al Kentucky Consumer Data Protection Act (KCDPA)
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti del KCDPA del Kentucky gestendo il consenso ai cookie, l'opt-out dalla pubblicità mirata e dalla vendita e le richieste dei consumatori sulla privacy.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è il KCDPA?
Il Kentucky Consumer Data Protection Act (KCDPA) è la legge organica del Kentucky sulla privacy dei consumatori. È stato approvato nel 2024 come House Bill 15 e inserito nel capitolo 367 dei Kentucky Revised Statutes. Segue da vicino il Virginia Consumer Data Protection Act, riconoscendo ai residenti in Kentucky diritti sui propri dati personali e stabilendo regole per le aziende che li raccolgono.
Ai sensi del KCDPA, i consumatori del Kentucky hanno il diritto di:
- Sapere se un’azienda tratta i loro dati personali e accedervi
- Rettificare le inesattezze nei propri dati personali
- Cancellare i dati personali forniti da loro o ottenuti su di loro
- Ottenere una copia portabile dei dati personali che hanno fornito
- Opporsi (opt-out) alla pubblicità mirata, alla vendita dei propri dati personali e alla profilazione che produce effetti giuridici o effetti analogamente significativi
La legge definisce anche i dati sensibili, tra cui l’origine razziale o etnica, le convinzioni religiose, le diagnosi sanitarie, l’orientamento sessuale, la cittadinanza o lo status di immigrazione, i dati genetici o biometrici usati per identificare una persona, la geolocalizzazione precisa e i dati personali raccolti da un minore noto come tale.
A chi si applica il KCDPA?
Il KCDPA si applica alle aziende che operano in Kentucky o che rivolgono prodotti o servizi ai residenti in Kentucky e che, in un anno solare, trattano i dati personali di almeno 100.000 consumatori, oppure trattano i dati personali di almeno 25.000 consumatori e ricavano oltre il 50% del fatturato lordo dalla vendita di dati personali.
Tra i soggetti esenti figurano enti pubblici, istituti finanziari soggetti al Gramm-Leach-Bliley Act, soggetti coperti dalla HIPAA e relativi business associate, organizzazioni senza scopo di lucro e istituti di istruzione superiore.
Cosa succede se non rispetto il KCDPA?
L’Attorney General del Kentucky ha la competenza esclusiva per far rispettare il KCDPA. I punti principali sono:
- Periodo per porre rimedio: prima di avviare un’azione, l’Attorney General deve inviare una notifica scritta e concedere 30 giorni per porre rimedio alla violazione e confermare per iscritto che non si ripeterà. Questo periodo è permanente e non scade.
- Sanzioni: se la violazione prosegue dopo il periodo per porre rimedio, o se la dichiarazione scritta non viene rispettata, l’Attorney General può chiedere fino a 7.500 $ per ogni violazione continuata.
- Spese: l’Attorney General può recuperare le spese ragionevoli di indagine, le spese processuali e le spese legali.
- Nessun diritto di azione privata: i consumatori non possono fare causa direttamente a un’azienda ai sensi del KCDPA. Possono presentare un reclamo all’Attorney General.
Quando è entrato in vigore il KCDPA?
Il KCDPA è entrato in vigore il 1° gennaio 2026. Le aziende che superano le sue soglie devono già rispettarlo.
Come rispettare il KCDPA
Se il Suo negozio online supera le soglie del KCDPA, il lavoro più importante per cookie e tracciamento è questo:
- Offra un opt-out dalla pubblicità mirata e dalla vendita. I pixel e i tag pubblicitari che seguono i visitatori su altri siti web rientrano di norma nella pubblicità mirata. Se vende dati personali o li usa per la pubblicità mirata, deve indicarlo in modo chiaro e ben visibile e spiegare come i consumatori possono esercitare l’opt-out. Un link di opt-out visibile e un banner dei cookie con scelte chiare sono il modo più comune per farlo. Il KCDPA non obbliga le aziende a rispettare i segnali universali di opt-out come Global Privacy Control.
- Ottenga il consenso opt-in per i dati sensibili. Non può trattare dati sensibili, come la geolocalizzazione precisa, senza il consenso del consumatore. I dati raccolti da un minore noto come tale devono essere trattati in base alla legge federale Children’s Online Privacy Protection Act.
- Pubblichi un’informativa sulla privacy chiara. Deve descrivere le categorie di dati personali che tratta, perché li tratta, le categorie che condivide con terzi e chi sono questi terzi, e come i consumatori possono esercitare i propri diritti e impugnare le Sue decisioni.
- Gestisca in tempo le richieste dei consumatori. Offra almeno un modo sicuro e affidabile per presentare le richieste, senza obbligare a creare un nuovo account. Risponda entro 45 giorni, prorogabili una sola volta di altri 45 giorni quando ragionevolmente necessario, e risponda ai ricorsi entro 60 giorni.
- Raccolga solo ciò che serve. Limiti i dati personali a quanto adeguato, pertinente e ragionevolmente necessario per le finalità dichiarate, e li protegga con pratiche di sicurezza ragionevoli.
Per semplificare il lavoro, valuti una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance. È pensata per i negozi Shopify e offre un banner dei cookie con opzioni di opt-out per gli Stati USA, un link “Non vendere né condividere le mie informazioni personali”, la scansione e la classificazione automatiche dei cookie, una dichiarazione dei cookie, i registri del consenso e la gestione delle richieste degli interessati. Le impostazioni del banner per regione Le permettono di mostrare ai visitatori del Kentucky l’esperienza giusta in base alla loro posizione.
Ogni azienda è diversa, quindi verifichi i Suoi obblighi ai sensi del KCDPA con un consulente legale quando opportuno.