Voldoen aan de Indiana Consumer Data Protection Act (ICDPA)
Pandectes GDPR Compliance helpt Shopify-winkels aan de ICDPA van Indiana te voldoen met cookietoestemming, opt-outs van gerichte advertenties en verkoop, en de afhandeling van privacyverzoeken van consumenten.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de ICDPA?
De Indiana Consumer Data Protection Act (ICDPA) is de uitgebreide consumentenprivacywet van Indiana. De wet werd in 2023 aangenomen als Senate Enrolled Act 5 en is opgenomen in Indiana Code 24-15. Ze volgt de Virginia Consumer Data Protection Act op de voet, geeft inwoners van Indiana rechten over hun persoonsgegevens en stelt regels voor de bedrijven die die gegevens verzamelen.
Onder de ICDPA hebben consumenten in Indiana het recht om:
- Te laten bevestigen of een bedrijf hun persoonsgegevens verwerkt en een kopie of representatieve samenvatting te krijgen van de gegevens die ze hebben verstrekt
- Onjuistheden in de persoonsgegevens die ze hebben verstrekt te laten corrigeren
- Persoonsgegevens te laten verwijderen die ze hebben verstrekt of die over hen zijn verkregen
- Hun persoonsgegevens te ontvangen in een overdraagbaar, direct bruikbaar formaat
- Zich af te melden voor gerichte advertenties, de verkoop van hun persoonsgegevens en profilering die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen heeft
De wet definieert ook gevoelige gegevens, waaronder raciale of etnische afkomst, religieuze overtuigingen, medische diagnoses, seksuele geaardheid, staatsburgerschap of immigratiestatus, genetische of biometrische gegevens die worden gebruikt om iemand te identificeren, precieze geolocatie en persoonsgegevens van een bekend kind.
Voor wie geldt de ICDPA?
De ICDPA geldt voor bedrijven die in Indiana actief zijn of producten of diensten op inwoners van Indiana richten en die in een kalenderjaar ofwel de persoonsgegevens van ten minste 100.000 consumenten in Indiana verwerken, ofwel de persoonsgegevens van ten minste 25.000 consumenten in Indiana verwerken en meer dan 50% van hun bruto-omzet uit de verkoop van persoonsgegevens halen.
Overheidsinstanties, financiële instellingen, entiteiten die onder HIPAA vallen, non-profitorganisaties, instellingen voor hoger onderwijs en nutsbedrijven behoren tot de uitzonderingen.
Wat gebeurt er als ik me niet aan de ICDPA houd?
De Attorney General van Indiana is als enige bevoegd om de ICDPA te handhaven. De belangrijkste punten:
- Herstelperiode: voordat de Attorney General een zaak begint, moet hij schriftelijk melding maken en 30 dagen geven om de overtreding te herstellen en schriftelijk te bevestigen dat die niet opnieuw zal gebeuren. Deze herstelperiode is permanent en vervalt niet.
- Civiele boetes: tot $7.500 per overtreding, samen met een verbod om de overtreding voort te zetten.
- Kosten: de Attorney General kan redelijke onderzoekskosten en advocaatkosten verhalen.
- Geen individueel vorderingsrecht: consumenten kunnen een bedrijf onder de ICDPA niet rechtstreeks aanklagen. Ze kunnen wel een klacht indienen bij de Attorney General.
Wanneer is de ICDPA ingegaan?
De ICDPA is op 1 januari 2026 in werking getreden. Bedrijven die aan de drempels voldoen, moeten zich er nu aan houden.
Aan de ICDPA voldoen
Voldoet je onlinewinkel aan de drempels van de ICDPA, dan ziet het belangrijkste werk voor cookies en tracking er zo uit:
- Bied een opt-out van gerichte advertenties en verkoop. Advertentiepixels en tags die bezoekers over andere websites volgen, gelden doorgaans als gerichte advertenties. Verkoop je persoonsgegevens of gebruik je ze voor gerichte advertenties, dan moet je dat duidelijk en opvallend vermelden en uitleggen hoe consumenten zich kunnen afmelden. Een zichtbare opt-outlink en een cookiebanner met duidelijke keuzes zijn de gebruikelijke manier om dat te doen. De ICDPA verplicht bedrijven niet om universele opt-outsignalen zoals Global Privacy Control te honoreren.
- Vraag opt-in toestemming voor gevoelige gegevens. Je mag gevoelige gegevens, zoals precieze geolocatie, niet zonder toestemming van de consument verwerken. Gegevens van een bekend kind moeten worden behandeld volgens de federale Children’s Online Privacy Protection Act.
- Publiceer een duidelijke privacyverklaring. Die moet beschrijven welke categorieën persoonsgegevens je verwerkt, waarom, welke categorieën je met derden deelt en wie die derden zijn, en hoe consumenten hun rechten kunnen uitoefenen en tegen je beslissingen in beroep kunnen gaan.
- Handel verzoeken van consumenten op tijd af. Bied ten minste één veilige en betrouwbare manier om verzoeken in te dienen, zonder dat er een nieuw account nodig is. Reageer binnen 45 dagen, eenmaal te verlengen met nog eens 45 dagen als dat redelijkerwijs nodig is, en beantwoord beroepen binnen 60 dagen.
- Verzamel alleen wat je nodig hebt. Beperk persoonsgegevens tot wat toereikend, relevant en redelijkerwijs nodig is voor de doelen die je vermeldt, en bescherm ze met redelijke beveiligingsmaatregelen.
Om het jezelf makkelijker te maken, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Het is gemaakt voor Shopify-winkels en biedt een cookiebanner met opt-outopties voor Amerikaanse staten, een link “Mijn persoonsgegevens niet verkopen of delen”, automatisch scannen en indelen van cookies, een cookieverklaring, toestemmingslogs en de afhandeling van verzoeken van betrokkenen. Met bannerinstellingen per regio toon je bezoekers uit Indiana de juiste ervaring op basis van hun locatie.
Elk bedrijf is anders, dus laat je verplichtingen onder de ICDPA waar nodig door een jurist beoordelen.