Voldoen aan de Kentucky Consumer Data Protection Act (KCDPA)
Pandectes GDPR Compliance helpt Shopify-winkels aan de KCDPA van Kentucky te voldoen met cookietoestemming, opt-outs van gerichte advertenties en verkoop, en de afhandeling van privacyverzoeken van consumenten.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de KCDPA?
De Kentucky Consumer Data Protection Act (KCDPA) is de uitgebreide consumentenprivacywet van Kentucky. De wet werd in 2024 aangenomen als House Bill 15 en toegevoegd aan hoofdstuk 367 van de Kentucky Revised Statutes. Ze volgt de Virginia Consumer Data Protection Act op de voet, geeft inwoners van Kentucky rechten over hun persoonsgegevens en stelt regels voor de bedrijven die die gegevens verzamelen.
Onder de KCDPA hebben consumenten in Kentucky het recht om:
- Te laten bevestigen of een bedrijf hun persoonsgegevens verwerkt en die gegevens in te zien
- Onjuistheden in hun persoonsgegevens te laten corrigeren
- Persoonsgegevens te laten verwijderen die ze hebben verstrekt of die over hen zijn verkregen
- Een overdraagbare kopie te krijgen van de persoonsgegevens die ze hebben verstrekt
- Zich af te melden voor gerichte advertenties, de verkoop van hun persoonsgegevens en profilering die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen heeft
De wet definieert ook gevoelige gegevens, waaronder raciale of etnische afkomst, religieuze overtuigingen, medische diagnoses, seksuele geaardheid, staatsburgerschap of immigratiestatus, genetische of biometrische gegevens die worden gebruikt om iemand te identificeren, precieze geolocatie en persoonsgegevens die van een bekend kind zijn verzameld.
Voor wie geldt de KCDPA?
De KCDPA geldt voor bedrijven die in Kentucky actief zijn of producten of diensten op inwoners van Kentucky richten en die in een kalenderjaar ofwel de persoonsgegevens van ten minste 100.000 consumenten verwerken, ofwel de persoonsgegevens van ten minste 25.000 consumenten verwerken en meer dan 50% van hun bruto-omzet uit de verkoop van persoonsgegevens halen.
Overheidsinstanties, financiële instellingen die onder de Gramm-Leach-Bliley Act vallen, entiteiten en zakelijke partners die onder HIPAA vallen, non-profitorganisaties en instellingen voor hoger onderwijs behoren tot de uitzonderingen.
Wat gebeurt er als ik me niet aan de KCDPA houd?
De Attorney General van Kentucky is als enige bevoegd om de KCDPA te handhaven. De belangrijkste punten:
- Herstelperiode: voordat de Attorney General een zaak begint, moet hij schriftelijk melding maken en 30 dagen geven om de overtreding te herstellen en schriftelijk te bevestigen dat die niet opnieuw zal gebeuren. Deze herstelperiode is permanent en vervalt niet.
- Sancties: gaat de overtreding na de herstelperiode door, of wordt de schriftelijke verklaring geschonden, dan kan de Attorney General tot $7.500 eisen per voortdurende overtreding.
- Kosten: de Attorney General kan redelijke onderzoekskosten, proceskosten en advocaatkosten verhalen.
- Geen individueel vorderingsrecht: consumenten kunnen een bedrijf onder de KCDPA niet rechtstreeks aanklagen. Ze kunnen wel een klacht indienen bij de Attorney General.
Wanneer is de KCDPA ingegaan?
De KCDPA is op 1 januari 2026 in werking getreden. Bedrijven die aan de drempels voldoen, moeten zich er nu aan houden.
Aan de KCDPA voldoen
Voldoet je onlinewinkel aan de drempels van de KCDPA, dan ziet het belangrijkste werk voor cookies en tracking er zo uit:
- Bied een opt-out van gerichte advertenties en verkoop. Advertentiepixels en tags die bezoekers over andere websites volgen, gelden doorgaans als gerichte advertenties. Verkoop je persoonsgegevens of gebruik je ze voor gerichte advertenties, dan moet je dat duidelijk en opvallend vermelden en uitleggen hoe consumenten zich kunnen afmelden. Een zichtbare opt-outlink en een cookiebanner met duidelijke keuzes zijn de gebruikelijke manier om dat te doen. De KCDPA verplicht bedrijven niet om universele opt-outsignalen zoals Global Privacy Control te honoreren.
- Vraag opt-in toestemming voor gevoelige gegevens. Je mag gevoelige gegevens, zoals precieze geolocatie, niet zonder toestemming van de consument verwerken. Gegevens die van een bekend kind zijn verzameld, moeten worden behandeld volgens de federale Children’s Online Privacy Protection Act.
- Publiceer een duidelijke privacyverklaring. Die moet beschrijven welke categorieën persoonsgegevens je verwerkt, waarom, welke categorieën je met derden deelt en wie die derden zijn, en hoe consumenten hun rechten kunnen uitoefenen en tegen je beslissingen in beroep kunnen gaan.
- Handel verzoeken van consumenten op tijd af. Bied ten minste één veilige en betrouwbare manier om verzoeken in te dienen, zonder dat er een nieuw account nodig is. Reageer binnen 45 dagen, eenmaal te verlengen met nog eens 45 dagen als dat redelijkerwijs nodig is, en beantwoord beroepen binnen 60 dagen.
- Verzamel alleen wat je nodig hebt. Beperk persoonsgegevens tot wat toereikend, relevant en redelijkerwijs nodig is voor de doelen die je vermeldt, en bescherm ze met redelijke beveiligingsmaatregelen.
Om het jezelf makkelijker te maken, kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Het is gemaakt voor Shopify-winkels en biedt een cookiebanner met opt-outopties voor Amerikaanse staten, een link “Mijn persoonsgegevens niet verkopen of delen”, automatisch scannen en indelen van cookies, een cookieverklaring, toestemmingslogs en de afhandeling van verzoeken van betrokkenen. Met bannerinstellingen per regio toon je bezoekers uit Kentucky de juiste ervaring op basis van hun locatie.
Elk bedrijf is anders, dus laat je verplichtingen onder de KCDPA waar nodig door een jurist beoordelen.