Lista de Verificación de Cumplimiento de la KCDPA: Ley de Privacidad de Kentucky

Cumplir con la Ley de Protección de Datos del Consumidor de Kentucky (KCDPA), KRS 367.3611 a 367.3629, significa confirmar si está cubierto, publicar un aviso de privacidad conforme, obtener el consentimiento expreso (opt-in) antes de procesar datos sensibles, construir flujos de trabajo de derechos del consumidor y exclusión, realizar evaluaciones de protección de datos, y firmar contratos con procesadores conformes a la KCDPA. La ley entró en vigor el 1 de enero de 2026, por lo que las empresas cubiertas ya están obligadas.

A partir de 2026, el Fiscal General de Kentucky hace cumplir la KCDPA de forma exclusiva conforme a KRS 367.3627, con un período de subsanación permanente de 30 días y sanciones civiles de hasta $7,500 por cada infracción continua, depositadas en un fondo de privacidad del consumidor. No existe un derecho de acción privado, y debido a que la ley de Kentucky refleja de cerca la de Virginia, un programa ya preparado para Virginia necesita solo ajustes modestos.

Alcance jurisdiccional: Esto cubre la Ley de Protección de Datos del Consumidor de Kentucky (KRS 367.3611 a 367.3629). Es información legal general, no asesoría legal.

Paso 1: Determine si Está Cubierto

La primera tarea es el análisis de aplicabilidad en KRS 367.3613. La KCDPA alcanza a una persona que realiza actividades comerciales en Kentucky o se dirige a residentes de Kentucky y que, en un año calendario, controla o procesa los datos personales de al menos 100,000 consumidores, o de al menos 25,000 consumidores mientras obtiene más del 50 por ciento de sus ingresos brutos de la venta de datos personales.

Cuente únicamente a los "consumidores", que KRS 367.3611 define como residentes de Kentucky que actúan en un contexto individual. Los contactos de empleados y las relaciones comerciales entre empresas no cuentan para el umbral, por lo que una empresa debe limitar su conteo a los datos orientados al consumidor.

Luego, aplique el filtro de exenciones conforme a KRS 367.3613(2) y (3). Las exenciones a nivel de entidad cubren categorías como los organismos gubernamentales, las instituciones financieras cubiertas por la GLBA, las entidades cubiertas por HIPAA y sus asociados comerciales, las organizaciones sin fines de lucro (incluidas las dedicadas a la investigación de fraude de seguros), ciertas empresas pequeñas de servicios telefónicos y municipales, y las instituciones de educación superior están exentas a nivel de entidad, y conjuntos de datos específicos como los de la FCRA, la FERPA y los datos de empleo están exentos a nivel de datos. Una empresa puede quedar total o parcialmente fuera de la ley, por lo que debe documentar el análisis antes de construir los controles.

Paso 2: Publique un Aviso de Privacidad Conforme

Si está cubierto, el aviso de privacidad es la obligación más visible. KRS 367.3617(3) exige un aviso de privacidad razonablemente accesible, claro y significativo con contenidos específicos.

El aviso debe enumerar las categorías de datos personales que procesa el controlador, el propósito del procesamiento y cómo los consumidores pueden ejercer sus derechos conforme a KRS 367.3615, incluido cómo apelar una decisión. También debe indicar las categorías de datos personales compartidos con terceros y las categorías de esos terceros que reciben los datos.

Existe una divulgación adicional para la venta de datos y la publicidad dirigida. Conforme a KRS 367.3617(4), si un controlador vende datos personales o los procesa para publicidad dirigida, debe divulgar esa actividad de manera clara y visible, así como la forma en que un consumidor puede optar por no participar.

Paso 3: Obtenga el Consentimiento Expreso para los Datos Sensibles

Los datos sensibles activan la regla más estricta de la ley. Conforme a KRS 367.3617(1)(e), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor.

Los datos sensibles conforme a KRS 367.3611 incluyen los datos que revelan el origen racial o étnico, las creencias religiosas, un diagnóstico de salud mental o física, la orientación sexual, o el estatus de ciudadanía o inmigración, además de los datos genéticos o biométricos utilizados para identificar a una persona, los datos de un menor conocido y los datos de geolocalización precisa. Mapee dónde reside cada categoría en sus sistemas antes del lanzamiento.

El consentimiento debe ser un acto afirmativo claro que sea otorgado libremente, específico, informado e inequívoco. Para los datos recopilados de un menor conocido, el controlador debe cumplir en cambio con la ley federal Children's Online Privacy Protection Act, y KRS 367.3613(4) considera que el consentimiento parental conforme a COPPA es suficiente para las obligaciones de consentimiento parental de la ley.

Existe un deber de consentimiento adicional que ya está promulgado pero aún no está vigente, así que prepárese desde ahora. 2026 Ky. Acts cap. 118 (Proyecto de Ley de la Cámara 692), firmado el 13 de abril de 2026, agrega KRS 367.3617(1)(f), que prohíbe a un controlador recopilar datos de reconocimiento automático de contenido sin el consentimiento del consumidor, y agrega las definiciones de respaldo de "datos de reconocimiento automático de contenido" y "monitor inteligente" a KRS 367.3611.

Esto cubre los datos sobre el historial de visualización de contenido de un consumidor recopilados a través de un televisor o monitor inteligente que identifica el contenido específico en tiempo real mediante el análisis de huellas digitales de audio o video, ya sea que el contenido llegue por transmisión, cable, satélite, streaming o una entrada externa. La definición excluye las interacciones con el contenido que el propio controlador proporciona, los datos generados al ofrecer una función que el consumidor solicitó, y los datos recopilados para hacer cumplir los términos de servicio. La Sección 3 de la ley establece la fecha de entrada en vigor el 1 de julio de 2027, así que inventaríe cualquier dato de visualización de televisor o monitor inteligente antes de esa fecha y agregue un control de consentimiento antes de que llegue.

Paso 4: Construya Flujos de Trabajo de Derechos del Consumidor y Exclusión

Los controladores cubiertos necesitan un proceso operativo para gestionar los derechos en KRS 367.3615. Los consumidores pueden confirmar y acceder, corregir, eliminar, obtener una copia portable, y optar por no participar en la publicidad dirigida, la venta de datos y el perfilado.

Establezca el plazo en 45 días. KRS 367.3615(3) exige una respuesta sin demora indebida y dentro de 45 días, con una extensión permitida de 45 días adicionales si notifica al consumidor a tiempo. Las respuestas son gratuitas hasta dos veces al año por consumidor, y solo puede cobrar o rechazar las solicitudes excesivas, repetitivas, técnicamente inviables o manifiestamente infundadas, con la carga de la prueba sobre usted.

Establezca un proceso de apelación visible conforme a KRS 367.3615(4) con un plazo de respuesta de 60 días, y proporcione una vía para contactar al Fiscal General si niega una apelación. Conforme a KRS 367.3617(5), no puede obligar a un consumidor a crear una nueva cuenta para ejercer sus derechos. Tenga en cuenta que la KCDPA no exige respetar una señal de exclusión universal como el Control Global de Privacidad, por lo que sus propios métodos de exclusión claramente divulgados satisfacen la ley, aunque un programa multiestatal puede optar por respetar las señales de forma voluntaria. La guía de derechos del consumidor bajo la KCDPA detalla la mecánica de las solicitudes.

Paso 5: Realice Evaluaciones de Protección de Datos

La KCDPA exige evaluaciones de riesgo documentadas para el procesamiento de mayor riesgo. KRS 367.3621(1) enumera las actividades que activan una evaluación de impacto de protección de datos.

Esas actividades son la publicidad dirigida, la venta de datos personales, el procesamiento de datos sensibles, el perfilado que presente un riesgo razonablemente previsible de trato injusto o daño sustancial, y cualquier procesamiento que presente un riesgo elevado de daño. Cada evaluación debe sopesar los beneficios del procesamiento frente a los riesgos para los consumidores, mitigados por las salvaguardas.

El momento importa: KRS 367.3621(8) establece que el requisito de evaluación se aplica a las actividades de procesamiento creadas o generadas a partir del 1 de junio de 2026. El Fiscal General puede exigir una evaluación relevante para una investigación conforme a KRS 367.3621(3), y las evaluaciones son confidenciales conforme a la exención de registros abiertos en KRS 367.3621(4). Una sola evaluación puede cubrir un conjunto comparable de operaciones de procesamiento similares.

Paso 6: Establezca Contratos con Procesadores Conformes a la KCDPA

Si un procesador maneja datos personales en su nombre, KRS 367.3619 exige un contrato por escrito que regule el procesamiento. El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos, la duración, y los derechos y obligaciones de ambas partes.

El contrato también debe exigir que el procesador mantenga a su personal bajo un deber de confidencialidad, elimine o devuelva todos los datos personales al finalizar los servicios según las instrucciones del controlador, y ponga a disposición la información necesaria para demostrar el cumplimiento. El procesador debe permitir evaluaciones razonables, o arreglar una evaluación independiente, y debe transferir estas obligaciones a cualquier subcontratista mediante un contrato por escrito.

Ambas partes mantienen su propia responsabilidad. KRS 367.3619(3) establece que el contrato no exime al controlador ni al procesador de los deberes vinculados a su rol, y determinar si una parte es controlador o procesador depende de los hechos.

Paso 7: Comprenda el Cumplimiento, la Subsanación y las Sanciones

La KCDPA es aplicada únicamente por el Fiscal General. KRS 367.3627(1) otorga al Fiscal General la autoridad exclusiva de investigar e iniciar acciones, y KRS 367.3627(4) deja claro que no existe un derecho de acción privado.

Antes de demandar, el Fiscal General debe otorgar un aviso por escrito de 30 días que identifique las presuntas infracciones. Si el controlador o procesador subsana la infracción dentro de esos 30 días y proporciona una declaración por escrito de que la infracción ha sido subsanada y no volverá a ocurrir, no procede ninguna acción de daños conforme a KRS 367.3627(2). Este período de subsanación de 30 días es permanente, sin fecha de vencimiento, lo que distingue a Kentucky de los estados que permiten que sus plazos de subsanación venzan.

Si la infracción no se subsana, el Fiscal General puede solicitar sanciones civiles de hasta $7,500 por cada infracción continua conforme a KRS 367.3627(3), además de los costos de investigación y honorarios conforme a KRS 367.3627(5). Las sanciones se depositan en el fondo de privacidad del consumidor creado por KRS 367.3629, una cuenta administrada por el Fiscal General utilizada para financiar el cumplimiento. Para el trasfondo legal y el enfoque de "clon de Virginia", consulte la guía ¿Qué es la KCDPA?.

Guías relacionadas

• Leyes de privacidad de datos de Kentucky (centro principal)
• ¿Qué es la KCDPA?
• Derechos del consumidor bajo la KCDPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Cómo sé si mi empresa debe cumplir con la KCDPA?

Conforme a KRS 367.3613, está cubierto si realiza actividades comerciales en Kentucky o se dirige a sus residentes y, en un año calendario, controla o procesa los datos personales de al menos 100,000 consumidores de Kentucky, o de al menos 25,000 consumidores mientras obtiene más del 50 por ciento de sus ingresos brutos de la venta de datos personales. Cuente únicamente a los consumidores que actúan en un contexto individual, luego aplique las exenciones de entidad y de datos.

¿Qué debe incluir un aviso de privacidad de la KCDPA?

Conforme a KRS 367.3617(3), el aviso de privacidad debe indicar las categorías de datos personales procesados, los propósitos del procesamiento, cómo los consumidores ejercen y apelan sus derechos, las categorías de datos compartidos con terceros y las categorías de esos terceros. Si vende datos o realiza publicidad dirigida, KRS 367.3617(4) exige una divulgación clara y visible, y un método de exclusión.

¿La KCDPA exige consentimiento para los datos sensibles?

Sí. KRS 367.3617(1)(e) exige el consentimiento expreso antes de procesar datos sensibles, los cuales, conforme a KRS 367.3611, incluyen el origen racial o étnico, las creencias religiosas, los diagnósticos de salud, la orientación sexual, el estatus migratorio, los identificadores genéticos o biométricos, los datos de un menor conocido y la geolocalización precisa. Para un menor conocido, debe seguir la ley federal Children's Online Privacy Protection Act. Ya existe un segundo deber de consentimiento promulgado pero aún no vigente: 2026 Ky. Acts cap. 118 agrega KRS 367.3617(1)(f), que a partir del 1 de julio de 2027 prohíbe recopilar datos de reconocimiento automático de contenido de un televisor o monitor inteligente sin el consentimiento del consumidor.

¿La KCDPA exige respetar las señales de exclusión universal?

No. La KCDPA no exige el reconocimiento de un mecanismo de exclusión universal como el Control Global de Privacidad. Conforme a KRS 367.3617, debe proporcionar y divulgar sus propios métodos de exclusión para la publicidad dirigida, la venta de datos y el perfilado, pero no existe un deber legal de respetar una señal universal del navegador, lo que coincide con el modelo de Virginia que Kentucky siguió.

¿Cuándo se requieren las evaluaciones de protección de datos de la KCDPA?

Conforme a KRS 367.3621, debe realizar y documentar una evaluación para la publicidad dirigida, la venta de datos, el procesamiento de datos sensibles, el perfilado de alto riesgo y cualquier procesamiento de riesgo elevado. KRS 367.3621(8) establece que el requisito de evaluación se aplica a las actividades de procesamiento creadas o generadas a partir del 1 de junio de 2026. El Fiscal General puede exigir las evaluaciones relevantes durante una investigación.

¿Qué debe incluir un contrato con un procesador de la KCDPA?

Conforme a KRS 367.3619, el contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito, el tipo de datos y la duración, y exigir que el procesador mantenga la confidencialidad, elimine o devuelva los datos al finalizar los servicios, demuestre el cumplimiento, permita evaluaciones razonables, y transfiera las mismas obligaciones a los subcontratistas mediante un contrato por escrito.

¿Cuáles son las sanciones por infringir la KCDPA?

Conforme a KRS 367.3627, el Fiscal General puede solicitar sanciones civiles de hasta $7,500 por cada infracción continua, además de los costos de investigación y honorarios, tras un período de subsanación de 30 días que es permanente. Las sanciones se destinan al fondo de privacidad del consumidor conforme a KRS 367.3629. No existe un derecho de acción privado, por lo que solo el Fiscal General puede hacer cumplir la ley.

¿Existe un período de subsanación bajo la KCDPA?

Sí, y no vence. Conforme a KRS 367.3627(2), el Fiscal General debe otorgar un aviso por escrito de 30 días antes de demandar, y si la empresa subsana la infracción y proporciona una declaración por escrito de que ha sido subsanada y no volverá a ocurrir, no procede ninguna acción de daños. A diferencia de otros estados, el período de subsanación de 30 días de Kentucky no tiene fecha de vencimiento a partir de 2026.