Kentucky
Lista de Verificación de Cumplimiento de la KCDPA: Ley de Privacidad de Kentucky
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 9 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Cumplir con la Ley de Protección de Datos del Consumidor de Kentucky (KCDPA), a 367.3629, significa confirmar si está cubierto, publicar un aviso de privacidad conforme, obtener el consentimiento expreso (opt-in) antes de procesar datos sensibles, construir flujos de trabajo de derechos del consumidor y exclusión, realizar evaluaciones de protección de datos, y firmar contratos con procesadores conformes a la KCDPA. La ley entró en vigor el 1 de enero de 2026, por lo que las empresas cubiertas ya están obligadas.
A partir de 2026, el Fiscal General de Kentucky hace cumplir la KCDPA de forma exclusiva conforme a , con un período de subsanación permanente de 30 días y sanciones civiles de hasta $7,500 por cada infracción continua, depositadas en un fondo de privacidad del consumidor. No existe un derecho de acción privado, y debido a que la ley de Kentucky refleja de cerca la de Virginia, un programa ya preparado para Virginia necesita solo ajustes modestos.
Alcance jurisdiccional: Esto cubre la Ley de Protección de Datos del Consumidor de Kentucky ( a 367.3629). Es información legal general, no asesoría legal.
Paso 1: Determine si Está Cubierto
La primera tarea es el análisis de aplicabilidad en . La KCDPA alcanza a una persona que realiza actividades comerciales en Kentucky o se dirige a residentes de Kentucky y que, en un año calendario, controla o procesa los datos personales de al menos 100,000 consumidores, o de al menos 25,000 consumidores mientras obtiene más del 50 por ciento de sus ingresos brutos de la venta de datos personales.
Cuente únicamente a los "consumidores", que KRS 367.3611 define como residentes de Kentucky que actúan en un contexto individual. Los contactos de empleados y las relaciones comerciales entre empresas no cuentan para el umbral, por lo que una empresa debe limitar su conteo a los datos orientados al consumidor.
Luego, aplique el filtro de exenciones conforme a (2) y (3). Las exenciones a nivel de entidad cubren categorías como los organismos gubernamentales, las instituciones financieras cubiertas por la GLBA, las entidades cubiertas por HIPAA y sus asociados comerciales, las organizaciones sin fines de lucro (incluidas las dedicadas a la investigación de fraude de seguros), ciertas empresas pequeñas de servicios telefónicos y municipales, y las instituciones de educación superior están exentas a nivel de entidad, y conjuntos de datos específicos como los de la FCRA, la FERPA y los datos de empleo están exentos a nivel de datos. Una empresa puede quedar total o parcialmente fuera de la ley, por lo que debe documentar el análisis antes de construir los controles.
Paso 2: Publique un Aviso de Privacidad Conforme
Si está cubierto, el aviso de privacidad es la obligación más visible. (3) exige un aviso de privacidad razonablemente accesible, claro y significativo con contenidos específicos.
El aviso debe enumerar las categorías de datos personales que procesa el controlador, el propósito del procesamiento y cómo los consumidores pueden ejercer sus derechos conforme a , incluido cómo apelar una decisión. También debe indicar las categorías de datos personales compartidos con terceros y las categorías de esos terceros que reciben los datos.
Existe una divulgación adicional para la venta de datos y la publicidad dirigida. Conforme a (4), si un controlador vende datos personales o los procesa para publicidad dirigida, debe divulgar esa actividad de manera clara y visible, así como la forma en que un consumidor puede optar por no participar.
Paso 3: Obtenga el Consentimiento Expreso para los Datos Sensibles
Los datos sensibles activan la regla más estricta de la ley. Conforme a KRS 367.3617(1)(e), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor.
Los datos sensibles conforme a KRS 367.3611 incluyen los datos que revelan el origen racial o étnico, las creencias religiosas, un diagnóstico de salud mental o física, la orientación sexual, o el estatus de ciudadanía o inmigración, además de los datos genéticos o biométricos utilizados para identificar a una persona, los datos de un menor conocido y los datos de geolocalización precisa. Mapee dónde reside cada categoría en sus sistemas antes del lanzamiento.
El consentimiento debe ser un acto afirmativo claro que sea otorgado libremente, específico, informado e inequívoco. Para los datos recopilados de un menor conocido, el controlador debe cumplir en cambio con la ley federal Children's Online Privacy Protection Act, y KRS 367.3613(4) considera que el consentimiento parental conforme a COPPA es suficiente para las obligaciones de consentimiento parental de la ley.
Paso 4: Construya Flujos de Trabajo de Derechos del Consumidor y Exclusión
Los controladores cubiertos necesitan un proceso operativo para gestionar los derechos en . Los consumidores pueden confirmar y acceder, corregir, eliminar, obtener una copia portable, y optar por no participar en la publicidad dirigida, la venta de datos y el perfilado.
Establezca el plazo en 45 días. KRS 367.3615(3) exige una respuesta sin demora indebida y dentro de 45 días, con una extensión permitida de 45 días adicionales si notifica al consumidor a tiempo. Las respuestas son gratuitas hasta dos veces al año por consumidor, y solo puede cobrar o rechazar las solicitudes excesivas, repetitivas, técnicamente inviables o manifiestamente infundadas, con la carga de la prueba sobre usted.
Establezca un proceso de apelación visible conforme a KRS 367.3615(4) con un plazo de respuesta de 60 días, y proporcione una vía para contactar al Fiscal General si niega una apelación. Conforme a KRS 367.3617(5), no puede obligar a un consumidor a crear una nueva cuenta para ejercer sus derechos. Tenga en cuenta que la KCDPA no exige respetar una señal de exclusión universal como el Control Global de Privacidad, por lo que sus propios métodos de exclusión claramente divulgados satisfacen la ley, aunque un programa multiestatal puede optar por respetar las señales de forma voluntaria. La guía de derechos del consumidor bajo la KCDPA detalla la mecánica de las solicitudes.
Paso 5: Realice Evaluaciones de Protección de Datos
La KCDPA exige evaluaciones de riesgo documentadas para el procesamiento de mayor riesgo. (1) enumera las actividades que activan una evaluación de impacto de protección de datos.
Esas actividades son la publicidad dirigida, la venta de datos personales, el procesamiento de datos sensibles, el perfilado que presente un riesgo razonablemente previsible de trato injusto o daño sustancial, y cualquier procesamiento que presente un riesgo elevado de daño. Cada evaluación debe sopesar los beneficios del procesamiento frente a los riesgos para los consumidores, mitigados por las salvaguardas.
El momento importa: (8) establece que el requisito de evaluación se aplica a las actividades de procesamiento creadas o generadas a partir del 1 de junio de 2026. El Fiscal General puede exigir una evaluación relevante para una investigación conforme a KRS 367.3621(3), y las evaluaciones son confidenciales conforme a la exención de registros abiertos en KRS 367.3621(4). Una sola evaluación puede cubrir un conjunto comparable de operaciones de procesamiento similares.
Paso 6: Establezca Contratos con Procesadores Conformes a la KCDPA
Si un procesador maneja datos personales en su nombre, exige un contrato por escrito que regule el procesamiento. El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos, la duración, y los derechos y obligaciones de ambas partes.
El contrato también debe exigir que el procesador mantenga a su personal bajo un deber de confidencialidad, elimine o devuelva todos los datos personales al finalizar los servicios según las instrucciones del controlador, y ponga a disposición la información necesaria para demostrar el cumplimiento. El procesador debe permitir evaluaciones razonables, o arreglar una evaluación independiente, y debe transferir estas obligaciones a cualquier subcontratista mediante un contrato por escrito.
Ambas partes mantienen su propia responsabilidad. KRS 367.3619(3) establece que el contrato no exime al controlador ni al procesador de los deberes vinculados a su rol, y determinar si una parte es controlador o procesador depende de los hechos.
Paso 7: Comprenda el Cumplimiento, la Subsanación y las Sanciones
La KCDPA es aplicada únicamente por el Fiscal General. KRS 367.3627(1) otorga al Fiscal General la autoridad exclusiva de investigar e iniciar acciones, y KRS 367.3627(4) deja claro que no existe un derecho de acción privado.
Antes de demandar, el Fiscal General debe otorgar un aviso por escrito de 30 días que identifique las presuntas infracciones. Si el controlador o procesador subsana la infracción dentro de esos 30 días y proporciona una declaración por escrito de que la infracción ha sido subsanada y no volverá a ocurrir, no procede ninguna acción de daños conforme a KRS 367.3627(2). Este período de subsanación de 30 días es permanente, sin fecha de vencimiento, lo que distingue a Kentucky de los estados que permiten que sus plazos de subsanación venzan.
Si la infracción no se subsana, el Fiscal General puede solicitar sanciones civiles de hasta $7,500 por cada infracción continua conforme a KRS 367.3627(3), además de los costos de investigación y honorarios conforme a KRS 367.3627(5). Las sanciones se depositan en el fondo de privacidad del consumidor creado por KRS 367.3629, una cuenta administrada por el Fiscal General utilizada para financiar el cumplimiento. Para el trasfondo legal y el enfoque de "clon de Virginia", consulte la guía ¿Qué es la KCDPA?.
| Área de cumplimiento | Sección de la KCDPA | Requisito clave |
|---|---|---|
| Aplicabilidad | KRS 367.3613 | 100,000 consumidores, o 25,000 más el 50% de ingresos por venta de datos |
| Aviso de privacidad | KRS 367.3617(3) | Divulgar categorías de datos, propósitos, derechos, compartición |
| Datos sensibles | KRS 367.3617(1)(e) | Consentimiento expreso antes del procesamiento |
| Solicitudes del consumidor | KRS 367.3615 | Respuesta de 45 días; apelación de 60 días |
| Evaluaciones | KRS 367.3621 | Documentar el riesgo para el procesamiento de alto riesgo (a partir del 1 de junio de 2026) |
| Contratos con procesadores | KRS 367.3619 | Confidencialidad, eliminación, auditorías, transferencia de obligaciones |
| Cumplimiento | KRS 367.3627 | Exclusivo del Fiscal General; subsanación de 30 días; hasta $7,500 por infracción |
Guías relacionadas
Preguntas frecuentes
¿Cómo sé si mi empresa debe cumplir con la KCDPA?
Conforme a KRS 367.3613, está cubierto si realiza actividades comerciales en Kentucky o se dirige a sus residentes y, en un año calendario, controla o procesa los datos personales de al menos 100,000 consumidores de Kentucky, o de al menos 25,000 consumidores mientras obtiene más del 50 por ciento de sus ingresos brutos de la venta de datos personales. Cuente únicamente a los consumidores que actúan en un contexto individual, luego aplique las exenciones de entidad y de datos.
¿Qué debe incluir un aviso de privacidad de la KCDPA?
Conforme a KRS 367.3617(3), el aviso de privacidad debe indicar las categorías de datos personales procesados, los propósitos del procesamiento, cómo los consumidores ejercen y apelan sus derechos, las categorías de datos compartidos con terceros y las categorías de esos terceros. Si vende datos o realiza publicidad dirigida, KRS 367.3617(4) exige una divulgación clara y visible, y un método de exclusión.
¿La KCDPA exige consentimiento para los datos sensibles?
Sí. KRS 367.3617(1)(e) exige el consentimiento expreso antes de procesar datos sensibles, los cuales, conforme a KRS 367.3611, incluyen el origen racial o étnico, las creencias religiosas, los diagnósticos de salud, la orientación sexual, el estatus migratorio, los identificadores genéticos o biométricos, los datos de un menor conocido y la geolocalización precisa. Para un menor conocido, debe seguir la ley federal Children's Online Privacy Protection Act.
¿La KCDPA exige respetar las señales de exclusión universal?
No. La KCDPA no exige el reconocimiento de un mecanismo de exclusión universal como el Control Global de Privacidad. Conforme a KRS 367.3617, debe proporcionar y divulgar sus propios métodos de exclusión para la publicidad dirigida, la venta de datos y el perfilado, pero no existe un deber legal de respetar una señal universal del navegador, lo que coincide con el modelo de Virginia que Kentucky siguió.
¿Cuándo se requieren las evaluaciones de protección de datos de la KCDPA?
Conforme a KRS 367.3621, debe realizar y documentar una evaluación para la publicidad dirigida, la venta de datos, el procesamiento de datos sensibles, el perfilado de alto riesgo y cualquier procesamiento de riesgo elevado. KRS 367.3621(8) establece que el requisito de evaluación se aplica a las actividades de procesamiento creadas o generadas a partir del 1 de junio de 2026. El Fiscal General puede exigir las evaluaciones relevantes durante una investigación.
¿Qué debe incluir un contrato con un procesador de la KCDPA?
Conforme a KRS 367.3619, el contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito, el tipo de datos y la duración, y exigir que el procesador mantenga la confidencialidad, elimine o devuelva los datos al finalizar los servicios, demuestre el cumplimiento, permita evaluaciones razonables, y transfiera las mismas obligaciones a los subcontratistas mediante un contrato por escrito.
¿Cuáles son las sanciones por infringir la KCDPA?
Conforme a KRS 367.3627, el Fiscal General puede solicitar sanciones civiles de hasta $7,500 por cada infracción continua, además de los costos de investigación y honorarios, tras un período de subsanación de 30 días que es permanente. Las sanciones se destinan al fondo de privacidad del consumidor conforme a KRS 367.3629. No existe un derecho de acción privado, por lo que solo el Fiscal General puede hacer cumplir la ley.
¿Existe un período de subsanación bajo la KCDPA?
Sí, y no vence. Conforme a KRS 367.3627(2), el Fiscal General debe otorgar un aviso por escrito de 30 días antes de demandar, y si la empresa subsana la infracción y proporciona una declaración por escrito de que ha sido subsanada y no volverá a ocurrir, no procede ninguna acción de daños. A diferencia de otros estados, el período de subsanación de 30 días de Kentucky no tiene fecha de vencimiento a partir de 2026.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 8 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Kentucky Revised Statutes, Chapter 367: CONSUMER PROTECTION
§ 367.3611Definitions for KRS 367.3611 to 367.3629. (Effective until July 1, 2027)Vigentecitada en 6 de nuestros artículos
As used in KRS 367.3611 to 367.3629: (1) "Affiliate" means a legal entity that controls, is controlled by, or is under common control with another legal entity or shares common branding with another legal entity. For the purposes of this definition, "control" or "controlled" means: (a) Ownership of, or the power to vote, more than fifty percent (50%) of the outstanding shares of any class of voting security of a company; (b) Control in any manner over the election of a majority of the directors or of individuals exercising similar functions; or (c) The power to exercise controlling influence over the management of a company; (2) "Authenticate" means verifying through reasonable means that the consumer entitled to exercise his or her consumer rights in KRS 367.3615 is the same consumer exercising such consumer rights with respect to the personal data at issue; (3) "Biometric data" means data generated by automatic measurements of an individual's biological characteristics, such as a fingerprint, voiceprint, eye retinas, irises, or other unique biological patterns or characteristics that are used to identify a specific individual.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3613Application -- Limitations -- Information and data exemptions -- Compliance with federal children's online privacy lawsVigentecitada en 3 de nuestros artículos
(1) KRS 367.3611 to 367.3629 apply to persons that conduct business in the Commonwealth or produce products or services that are targeted to residents of the Commonwealth and that during a calendar year control or process personal data of at least: (a) One hundred thousand (100,000) consumers; or (b) Twenty-five thousand (25,000) consumers and derive over fifty percent (50%) of gross revenue from the sale of personal data. (2) KRS 367.3611 to 367.3629 shall not apply to any: (a) City, state agency, or any political subdivision of the state; (b) Financial institutions, their affiliates, or data subject to Title V of the federal Gramm-Leach-Bliley Act, 15 U.S.C. sec. 6801 et seq.; (c) Covered entity or business associate governed by the privacy, security, and breach notification rules issued by the United States Department of Health and Human Services, 45 C.F.R. pts. 160 and 164 established pursuant to HIPAA; (d) Nonprofit organization; (e) Institution of higher education; (f) Organization that: 1. Does not provide net earnings to, or operate in any manner that inures to the benefit of, any officer, employee, or shareholder of the entity; and 2.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3615Consumer rights request -- Controller compliance -- Requirements -- Appeal processVigentecitada en 5 de nuestros artículos
(1) A consumer may invoke the consumer rights authorized pursuant to this section at any time by submitting a request to a controller, via the means specified by the controller pursuant to KRS 367.3617, specifying the consumer rights the consumer wishes to invoke. A child's parent or legal guardian may invoke such consumer rights on behalf of the child regarding processing personal data belonging to the child. (2) A controller shall comply with an authenticated consumer request to exercise the right to: (a) Confirm whether or not a controller is processing the consumer's personal data and to access the personal data, unless the confirmation and access would require the controller to reveal a trade secret; (b) Correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of processing the data; (c) Delete personal data provided by or obtained about the consumer; (d) Obtain a copy of the consumer's personal data that the consumer previously provided to the controller in a portable and, to the extent technically practicable, readily usable format that allows the consumer to transmit the data to another controller…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3617Limitations on the collection and use of personal data by a controller --Vigentecitada en 4 de nuestros artículos
Waiver of consumer rights contrary to public policy -- Privacy notice -- Notice for sale of personal data to third party -- Process for consumers to exercise consumer rights requirement. (Effective until July 1, 2027) (1) A controller shall: (a) Limit the collection of personal data to what is adequate, relevant, and reasonably necessary in relation to the purposes for which the data is processed as disclosed to the consumer; (b) Except as otherwise provided in this section, not process personal data for purposes that are neither reasonably necessary to nor compatible with the disclosed purposes for which the personal data is processed as disclosed to the consumer, unless the controller obtains the consumer's consent; (c) Establish, implement, and maintain reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data. The data security practices shall be appropriate to the volume and nature of the personal data at issue; (d) Not process personal data in violation of state and federal laws that prohibit unlawful discrimination against consumers.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3619Data processing responsibilities to controller -- Contract requirements between controller and processorVigentecitada en 2 de nuestros artículos
(1) A processor shall adhere to the instructions of a controller and shall assist the controller in meeting its obligations under KRS 367.3611 to 367.3629. Such assistance shall include: (a) Taking into account the nature of processing and the information available to the processor, by appropriate technical and organizational measures, insofar as this is reasonably practicable, to fulfill the controller's obligation to respond to consumer rights requests pursuant to KRS 367.3615; (b) Taking into account the nature of processing and the information available to the processor, by assisting the controller in meeting the controller's obligations in relation to the security of processing the personal data and in relation to the notification of a breach of the security of the system of the processor pursuant to KRS 365.732; and (c) Providing necessary information to enable the controller to conduct and document data protection assessments pursuant to KRS 367.3621. (2) A contract between a controller and a processor shall govern the processor's data processing procedures with respect to processing performed on behalf of the controller.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3621Data protection impact assessment -- Requirements -- Disclosure to Attorney General -- Confidentiality and exceptions -- ApplicationVigentecitada en 2 de nuestros artículos
(1) Controllers shall conduct and document a data protection impact assessment of each of the following processing activities involving personal data: (a) The processing of personal data for the purposes of targeted advertising; (b) The processing of personal data for the purposes of selling of personal data; (c) The processing of personal data for the purposes of profiling, where the profiling presents a reasonably foreseeable risk of: 1. Unfair or deceptive treatment of consumers or unlawful, disparate impact on consumers; 2. Financial, physical, or reputational injury to consumers; 3. A physical or other intrusion upon the solitude or seclusion, or the private affairs or concerns, of consumers, where an intrusion would be offensive to a reasonable person; or 4. Other substantial injury to consumers; (d) The processing of sensitive data; and (e) Any processing of personal data that presents a heightened risk of harm to consumers.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3627Enforcement authority of Attorney General -- Written notice of violation -- Civil action -- Damages -- Recovery of expensesVigentecitada en 3 de nuestros artículos
(1) The Attorney General shall have exclusive authority to enforce violations of KRS 367.3611 to 367.3629. The Attorney General may enforce KRS 367.3611 to 367.3629 by bringing an action in the name of the Commonwealth of Kentucky or on behalf of persons residing in this Commonwealth. The Attorney General shall have all powers and duties granted to the Attorney General under KRS Chapter 15 to investigate and prosecute any violation of KRS 367.3611 to 367.3629. The Attorney General may demand any information, documentary material, or physical evidence from any controller or processor believed to be engaged in, or about to engage in, any violation of KRS 367.3611 to 367.3629. (2) Prior to initiating any action for violation of KRS 367.3611 to 367.3629, the Attorney General shall provide a controller or processor thirty (30) days' written notice identifying the specific provisions of KRS 367.3611 to 367.3629, the Attorney General alleges have been or are being violated.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3629Consumer privacy fundVigentecitada en 3 de nuestros artículos
There is hereby created a trust and agency account to be known as the consumer privacy fund. The fund shall be administered by the Office of the Attorney General. All civil penalties collected pursuant to KRS 367.3611 to 367.3629 shall be deposited into the fund. Interest earned on moneys in the fund shall accrue to the fund. Moneys in the fund shall be used by the Office of the Attorney General to enforce KRS 367.3611 to 367.3629. Notwithstanding KRS 45.229, any moneys remaining in the fund at the close of the fiscal year shall not lapse but shall be carried forward into the succeeding fiscal year to be used by the Office of the Attorney General for the purposes set forth in KRS 367.3611 to 367.3629.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
Fuentes y referencias
- Kentucky HB 15 (2024): Ley de Protección de Datos del Consumidor de Kentucky (Texto del Proyecto de Ley Promulgado)(apps.legislature.ky.gov).gov
- KRS 367.3613: Aplicación, Limitaciones y Exenciones(apps.legislature.ky.gov).gov
- KRS 367.3615: Proceso de Solicitud y Apelación de Derechos del Consumidor(apps.legislature.ky.gov).gov
- KRS 367.3617: Limitaciones del Controlador, Aviso de Privacidad y Métodos de Exclusión(apps.legislature.ky.gov).gov
- KRS 367.3619: Obligaciones del Procesador y Requisitos del Contrato Controlador-Procesador(apps.legislature.ky.gov).gov
- KRS 367.3621: Requisitos de Evaluación de Impacto de Protección de Datos(apps.legislature.ky.gov).gov
- KRS 367.3627: Cumplimiento del Fiscal General, Período de Subsanación y Sanciones Civiles(apps.legislature.ky.gov).gov
- KRS 367.3629: Fondo de Privacidad del Consumidor(apps.legislature.ky.gov).gov
- Fiscal General de Kentucky: Oficina de Privacidad de Datos y la KCDPA(ag.ky.gov).gov