Kentucky
¿Qué es la KCDPA? Privacidad de Datos del Consumidor de Kentucky
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 9 de agosto de 2026. · 9 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La Ley de Protección de Datos del Consumidor de Kentucky (KCDPA), codificada en a 367.3629, es la ley integral de privacidad de datos del consumidor de Kentucky. Fue promulgada como el Proyecto de Ley 15 de la Cámara durante la sesión de 2024, firmada por el Gobernador Andy Beshear el 4 de abril de 2024, y entra en vigor el 1 de enero de 2026, otorgando a los residentes de Kentucky el derecho a acceder, corregir, eliminar y transferir sus datos personales, y a optar por no participar en su venta, la publicidad dirigida y ciertos perfilados.
A partir de 2026, el Fiscal General de Kentucky tiene autoridad de cumplimiento exclusiva y puede solicitar sanciones civiles de hasta $7,500 por infracción conforme a . La KCDPA está modelada de cerca según la Ley de Protección de Datos del Consumidor de Virginia, por lo que las empresas ya alineadas con el marco de Virginia encontrarán familiares las obligaciones de Kentucky.
Alcance jurisdiccional: Esto cubre la Ley de Protección de Datos del Consumidor de Kentucky ( a 367.3629). Es información legal general, no asesoría legal.
Qué es la KCDPA: Estatuto, Promulgación y Fecha de Vigencia
La Ley de Protección de Datos del Consumidor de Kentucky es la primera ley integral de privacidad de datos del consumidor de Kentucky. Está codificada en las Secciones 367.3611 a 367.3629 de los Estatutos Revisados de Kentucky, dentro del capítulo más amplio de protección al consumidor del estado. La Asamblea General la aprobó como el Proyecto de Ley 15 de la Cámara durante la sesión ordinaria de 2024.
El Gobernador Andy Beshear firmó el proyecto de ley el 4 de abril de 2024. La legislatura incorporó un largo período de transición: la ley no entra en vigor hasta el 1 de enero de 2026. A partir de 2026, esa fecha ya llegó, por lo que toda empresa cubierta está ahora plenamente sujeta a la KCDPA.
La ley se nombra a sí misma expresamente. La Sección 11 del HB 15 establece que la ley "puede citarse como la Ley de Protección de Datos del Consumidor de Kentucky", y la Sección 12 establece la fecha de vigencia del 1 de enero de 2026. La Asamblea General de 2025 posteriormente enmendó la ley mediante el Proyecto de Ley 473 de la Cámara (Capítulo 13), que ajustó las exenciones y los plazos, pero el marco central de derechos y cumplimiento se mantuvo intacto.
Para conocer en detalle las obligaciones del controlador y el procesador, las reglas del aviso de privacidad y los requisitos de evaluación de protección de datos, consulte la página principal de Leyes de Privacidad de Datos de Kentucky.
A Quién Cubre la KCDPA: los Umbrales
La prueba de aplicabilidad de la KCDPA se encuentra en . La ley se aplica a una persona que realiza actividades comerciales en Kentucky, o que produce productos o servicios dirigidos a residentes de Kentucky, y que durante un año calendario cumple con uno de dos criterios de volumen de datos.
El primer criterio es controlar o procesar los datos personales de al menos 100,000 consumidores. El segundo es controlar o procesar los datos de al menos 25,000 consumidores mientras se obtiene más del 50 por ciento de los ingresos brutos de la venta de datos personales.
No existe un umbral de ingresos independiente. A diferencia de leyes como la de California, que pueden incluir a una empresa únicamente por sus ingresos anuales, la KCDPA se basa exclusivamente en el volumen de consumidores y la proporción de ingresos por venta de datos. Una empresa pequeña que nunca supera los 100,000 consumidores y que no obtiene la mayor parte de sus ingresos de la venta de datos permanece fuera de la ley.
Un "consumidor" bajo KRS 367.3611 es una persona física que es residente de Kentucky y que actúa únicamente en un contexto individual. La definición excluye expresamente a una persona que actúa en un contexto comercial o laboral, por lo que los datos de la fuerza laboral y los de negocio a negocio quedan fuera de los derechos orientados al consumidor.
Las Exenciones de la KCDPA: Amplias Exclusiones a Nivel de Entidad
La KCDPA exime categorías completas de organizaciones a nivel de entidad conforme a (2), una estructura que excluye a muchas empresas independientemente de la cantidad de datos que posean. Varias de estas exenciones son amplias.
Los municipios, las agencias estatales y las subdivisiones políticas del estado están exentos. También lo están las instituciones financieras, sus afiliadas y los datos sujetos al Título V de la Ley federal Gramm-Leach-Bliley. Las entidades y los datos regidos por HIPAA están excluidos, al igual que las organizaciones sin fines de lucro y las instituciones de educación superior.
La ley también exime a ciertas empresas de servicios públicos, incluidas las pequeñas empresas telefónicas y algunas empresas de servicios públicos de propiedad municipal que no venden ni comparten datos personales con un procesador externo. Más allá de las exenciones a nivel de entidad, KRS 367.3613(3) excluye conjuntos de datos específicos, incluida la información de salud protegida, los datos regulados por la Ley federal de Informes Crediticios Justos, los registros educativos regidos por FERPA, y los datos de empleo y de solicitantes.
El efecto práctico es que la población cubierta por la KCDPA es más reducida de lo que sugieren únicamente los umbrales de volumen de consumidores. Una empresa debe evaluar su estatus conforme a KRS 367.3613 en lugar de asumir que está cubierta, ya que las exenciones se estructuran en torno a regímenes federales específicos y roles con licencia.
La Regla de Consentimiento Expreso para Datos Sensibles
Los datos sensibles conllevan una regla más estricta que los datos personales ordinarios. Conforme a (1)(e), un controlador no puede procesar datos sensibles relacionados con un consumidor sin obtener primero el consentimiento del consumidor. Este es un modelo de consentimiento expreso (opt-in): el estado predeterminado es la ausencia de procesamiento hasta que el consumidor otorgue su acuerdo afirmativo.
Los datos sensibles se definen en KRS 367.3611. Incluyen los datos personales que revelan el origen racial o étnico, las creencias religiosas, un diagnóstico de salud mental o física, la orientación sexual, o el estatus de ciudadanía o inmigración. También incluyen los datos genéticos o biométricos procesados para identificar de manera única a una persona, los datos personales recopilados de un menor conocido y los datos de geolocalización precisa.
El "consentimiento" bajo la KCDPA no es una casilla oculta. KRS 367.3611 lo define como un acto afirmativo claro que significa el acuerdo libremente otorgado, específico, informado e inequívoco de un consumidor para procesar datos personales. Para los datos sensibles recopilados de un menor conocido, el controlador debe seguir en cambio la ley federal Children's Online Privacy Protection Act. Debido a que la barrera de consentimiento se ubica frente a una categoría completa de datos, definir correctamente qué son los datos sensibles es una prioridad operativa para las empresas cubiertas.
El Clon de Virginia: Por Qué la KCDPA Resulta Familiar
La característica distintiva de la KCDPA no es una disposición novedosa, sino su semejanza casi idéntica con la Ley de Protección de Datos del Consumidor de Virginia, la primera de las leyes estatales modernas de privacidad. La legislatura de Kentucky copió de cerca la estructura de Virginia, desde las definiciones en KRS 367.3611 hasta el conjunto de derechos en y el modelo de cumplimiento en .
Ese linaje importa para las empresas multiestatales. Una empresa que construyó su programa en torno a la ley de Virginia reconocerá el criterio de 100,000 consumidores de Kentucky, su regla de consentimiento expreso para datos sensibles, su plazo de respuesta de 45 días, sus deberes de evaluación de protección de datos, y su cumplimiento exclusivo del Fiscal General con un período de subsanación. La terminología de "controlador", "procesador", "consumidor" y "datos sensibles" es la misma.
Una consecuencia del modelo de Virginia es lo que la KCDPA deja fuera. La ley no exige que los controladores respeten un mecanismo de exclusión universal como la señal del navegador Control Global de Privacidad. exige que los controladores divulguen y proporcionen sus propios métodos de exclusión, pero el estatuto no contiene ningún requisito de reconocer una señal global, una característica que varias leyes estatales más recientes añadieron, pero que Virginia y Kentucky no incluyeron.
Para conocer los derechos en sí y cómo invocarlos, consulte la guía de derechos del consumidor bajo la KCDPA.
KCDPA vs. CCPA: las Diferencias Clave
La KCDPA de Kentucky y la CCPA de California son frecuentemente comparadas por las empresas que operan a nivel nacional. La página de comparación de leyes estatales de privacidad de datos cubre el panorama multiestatal más amplio, pero varias diferencias entre la KCDPA y la CCPA de California destacan.
| Característica | Kentucky KCDPA | California CCPA/CPRA |
|---|---|---|
| Umbral de cobertura | 100,000 consumidores, O 25,000 consumidores más el 50% de ingresos por venta de datos | $25M de ingresos, O 100,000 consumidores, O 50% de ingresos por venta de datos |
| Criterio basado solo en ingresos | No; se basa en el volumen de consumidores y la proporción de ingresos por venta de datos | Sí; $25M de ingresos anuales por sí solos pueden incluir a una empresa |
| Modelo | Marco al estilo de Virginia (controlador y procesador) | Marco independiente de California (negocio y proveedor de servicios) |
| Datos sensibles | Se requiere consentimiento expreso (KRS 367.3617(1)(e)) | Derecho a limitar el uso; modelo de exclusión |
| Señal de exclusión universal | No exigida | Se exige respetar las señales de preferencia de exclusión |
| Derecho de acción privado | Ninguno (KRS 367.3627(4)) | Limitado, para ciertas violaciones de datos |
| Período de subsanación | Subsanación permanente de 30 días (KRS 367.3627(2)) | La disposición de subsanación se ha reducido con el tiempo |
La diferencia más significativa es la estructura de umbrales. California puede alcanzar a una empresa únicamente por sus ingresos, mientras que Kentucky se basa en el volumen de consumidores y la proporción de ingresos por venta de datos, por lo que una empresa de altos ingresos con pocos consumidores de Kentucky puede quedar fuera de la KCDPA.
La segunda diferencia importante es el modelo de exclusión. California exige que las empresas respeten las señales de preferencia de exclusión universal, mientras que Kentucky no lo hace. Una empresa cubierta por la KCDPA debe proporcionar sus propios métodos de exclusión, pero no está obligada a reconocer una señal global del navegador a partir de 2026.
Guías relacionadas
Preguntas frecuentes
¿Qué es la KCDPA?
La KCDPA, o Ley de Protección de Datos del Consumidor de Kentucky, es la ley integral de privacidad de datos del consumidor de Kentucky, codificada en KRS 367.3611 a 367.3629. Fue promulgada como el Proyecto de Ley 15 de la Cámara, firmada por el Gobernador Andy Beshear el 4 de abril de 2024, y entra en vigor el 1 de enero de 2026. Otorga a los residentes de Kentucky derechos sobre sus datos personales y exige que las empresas cubiertas sean transparentes sobre cómo los recopilan, usan y divulgan.
¿Cuándo entró en vigor la KCDPA?
La KCDPA entra en vigor el 1 de enero de 2026, más de un año y medio después de ser firmada el 4 de abril de 2024. El largo período de transición dio a las empresas cubiertas tiempo para desarrollar programas de privacidad antes de que comenzaran sus obligaciones. A partir de 2026, la fecha de vigencia ya llegó y toda empresa cubierta está plenamente sujeta a la ley.
¿Quién debe cumplir con la KCDPA?
Conforme a KRS 367.3613, la KCDPA se aplica a una empresa que realiza actividades comerciales en Kentucky o se dirige a residentes de Kentucky y que, en un año calendario, controla o procesa los datos personales de al menos 100,000 consumidores, o de al menos 25,000 consumidores mientras obtiene más del 50 por ciento de sus ingresos brutos de la venta de datos personales. No existe un criterio independiente basado únicamente en ingresos.
¿Es la KCDPA lo mismo que la ley de privacidad de Virginia?
Casi. La legislatura de Kentucky modeló la KCDPA de cerca según la Ley de Protección de Datos del Consumidor de Virginia, compartiendo las mismas definiciones, el mismo conjunto de derechos en KRS 367.3615, la misma regla de consentimiento expreso para datos sensibles, y el mismo cumplimiento exclusivo del Fiscal General con un período de subsanación. Una empresa ya alineada con el marco de Virginia encontrará familiares las obligaciones de Kentucky.
¿La KCDPA exige consentimiento para los datos sensibles?
Sí. Conforme a KRS 367.3617(1)(e), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor, un modelo de consentimiento expreso. Los datos sensibles conforme a KRS 367.3611 incluyen los datos que revelan el origen racial o étnico, las creencias religiosas, un diagnóstico de salud, la orientación sexual, o el estatus migratorio, además de los datos genéticos o biométricos utilizados para identificar a una persona, los datos de un menor conocido y la geolocalización precisa.
¿La KCDPA exige respetar una señal de exclusión universal?
No. La KCDPA no exige que los controladores reconozcan un mecanismo de exclusión universal como la señal del navegador Control Global de Privacidad. KRS 367.3617 exige que los controladores divulguen y proporcionen sus propios métodos de exclusión, pero el estatuto no contiene ningún requisito de respetar una señal de exclusión global, lo que coincide con el modelo de Virginia en el que se basó.
¿En qué se diferencia la KCDPA de la CCPA?
La KCDPA se basa en el volumen de consumidores y la proporción de ingresos por venta de datos, en lugar de ofrecer un criterio basado únicamente en ingresos como el umbral de $25 millones de California. Utiliza un modelo de consentimiento expreso para los datos sensibles, mientras que California utiliza un derecho a limitar. No exige respetar las señales de exclusión universal, mientras que California sí lo hace. Y no tiene derecho de acción privado, mientras que California permite uno limitado para ciertas violaciones.
¿Quién hace cumplir la KCDPA?
El Fiscal General de Kentucky tiene autoridad de cumplimiento exclusiva conforme a KRS 367.3627. No existe un derecho de acción privado. Antes de demandar, el Fiscal General debe otorgar un aviso por escrito de 30 días y una oportunidad de subsanación, y ese período de subsanación es permanente, sin fecha de vencimiento. Las sanciones civiles alcanzan hasta $7,500 por infracción y se depositan en un fondo de privacidad del consumidor conforme a KRS 367.3629.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 6 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Kentucky Revised Statutes, Chapter 367: CONSUMER PROTECTION
§ 367.3611Definitions for KRS 367.3611 to 367.3629. (Effective until July 1, 2027)Vigentecitada en 6 de nuestros artículos
As used in KRS 367.3611 to 367.3629: (1) "Affiliate" means a legal entity that controls, is controlled by, or is under common control with another legal entity or shares common branding with another legal entity. For the purposes of this definition, "control" or "controlled" means: (a) Ownership of, or the power to vote, more than fifty percent (50%) of the outstanding shares of any class of voting security of a company; (b) Control in any manner over the election of a majority of the directors or of individuals exercising similar functions; or (c) The power to exercise controlling influence over the management of a company; (2) "Authenticate" means verifying through reasonable means that the consumer entitled to exercise his or her consumer rights in KRS 367.3615 is the same consumer exercising such consumer rights with respect to the personal data at issue; (3) "Biometric data" means data generated by automatic measurements of an individual's biological characteristics, such as a fingerprint, voiceprint, eye retinas, irises, or other unique biological patterns or characteristics that are used to identify a specific individual.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3613Application -- Limitations -- Information and data exemptions -- Compliance with federal children's online privacy lawsVigentecitada en 3 de nuestros artículos
(1) KRS 367.3611 to 367.3629 apply to persons that conduct business in the Commonwealth or produce products or services that are targeted to residents of the Commonwealth and that during a calendar year control or process personal data of at least: (a) One hundred thousand (100,000) consumers; or (b) Twenty-five thousand (25,000) consumers and derive over fifty percent (50%) of gross revenue from the sale of personal data. (2) KRS 367.3611 to 367.3629 shall not apply to any: (a) City, state agency, or any political subdivision of the state; (b) Financial institutions, their affiliates, or data subject to Title V of the federal Gramm-Leach-Bliley Act, 15 U.S.C. sec. 6801 et seq.; (c) Covered entity or business associate governed by the privacy, security, and breach notification rules issued by the United States Department of Health and Human Services, 45 C.F.R. pts. 160 and 164 established pursuant to HIPAA; (d) Nonprofit organization; (e) Institution of higher education; (f) Organization that: 1. Does not provide net earnings to, or operate in any manner that inures to the benefit of, any officer, employee, or shareholder of the entity; and 2.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3615Consumer rights request -- Controller compliance -- Requirements -- Appeal processVigentecitada en 5 de nuestros artículos
(1) A consumer may invoke the consumer rights authorized pursuant to this section at any time by submitting a request to a controller, via the means specified by the controller pursuant to KRS 367.3617, specifying the consumer rights the consumer wishes to invoke. A child's parent or legal guardian may invoke such consumer rights on behalf of the child regarding processing personal data belonging to the child. (2) A controller shall comply with an authenticated consumer request to exercise the right to: (a) Confirm whether or not a controller is processing the consumer's personal data and to access the personal data, unless the confirmation and access would require the controller to reveal a trade secret; (b) Correct inaccuracies in the consumer's personal data, taking into account the nature of the personal data and the purposes of processing the data; (c) Delete personal data provided by or obtained about the consumer; (d) Obtain a copy of the consumer's personal data that the consumer previously provided to the controller in a portable and, to the extent technically practicable, readily usable format that allows the consumer to transmit the data to another controller…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3617Limitations on the collection and use of personal data by a controller --Vigentecitada en 4 de nuestros artículos
Waiver of consumer rights contrary to public policy -- Privacy notice -- Notice for sale of personal data to third party -- Process for consumers to exercise consumer rights requirement. (Effective until July 1, 2027) (1) A controller shall: (a) Limit the collection of personal data to what is adequate, relevant, and reasonably necessary in relation to the purposes for which the data is processed as disclosed to the consumer; (b) Except as otherwise provided in this section, not process personal data for purposes that are neither reasonably necessary to nor compatible with the disclosed purposes for which the personal data is processed as disclosed to the consumer, unless the controller obtains the consumer's consent; (c) Establish, implement, and maintain reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data. The data security practices shall be appropriate to the volume and nature of the personal data at issue; (d) Not process personal data in violation of state and federal laws that prohibit unlawful discrimination against consumers.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3627Enforcement authority of Attorney General -- Written notice of violation -- Civil action -- Damages -- Recovery of expensesVigentecitada en 3 de nuestros artículos
(1) The Attorney General shall have exclusive authority to enforce violations of KRS 367.3611 to 367.3629. The Attorney General may enforce KRS 367.3611 to 367.3629 by bringing an action in the name of the Commonwealth of Kentucky or on behalf of persons residing in this Commonwealth. The Attorney General shall have all powers and duties granted to the Attorney General under KRS Chapter 15 to investigate and prosecute any violation of KRS 367.3611 to 367.3629. The Attorney General may demand any information, documentary material, or physical evidence from any controller or processor believed to be engaged in, or about to engage in, any violation of KRS 367.3611 to 367.3629. (2) Prior to initiating any action for violation of KRS 367.3611 to 367.3629, the Attorney General shall provide a controller or processor thirty (30) days' written notice identifying the specific provisions of KRS 367.3611 to 367.3629, the Attorney General alleges have been or are being violated.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
§ 367.3629Consumer privacy fundVigentecitada en 3 de nuestros artículos
There is hereby created a trust and agency account to be known as the consumer privacy fund. The fund shall be administered by the Office of the Attorney General. All civil penalties collected pursuant to KRS 367.3611 to 367.3629 shall be deposited into the fund. Interest earned on moneys in the fund shall accrue to the fund. Moneys in the fund shall be used by the Office of the Attorney General to enforce KRS 367.3611 to 367.3629. Notwithstanding KRS 45.229, any moneys remaining in the fund at the close of the fiscal year shall not lapse but shall be carried forward into the succeeding fiscal year to be used by the Office of the Attorney General for the purposes set forth in KRS 367.3611 to 367.3629.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en apps.legislature.ky.gov
Fuentes y referencias
- Kentucky HB 15 (2024): Ley de Protección de Datos del Consumidor de Kentucky (Texto del Proyecto de Ley Promulgado)(apps.legislature.ky.gov).gov
- Asamblea General de Kentucky: Página del Proyecto de Ley HB 15 (Sesión Ordinaria de 2024)(apps.legislature.ky.gov).gov
- KRS 367.3611: Definiciones para KRS 367.3611 a 367.3629(apps.legislature.ky.gov).gov
- KRS 367.3613: Aplicación, Limitaciones y Exenciones(apps.legislature.ky.gov).gov
- KRS 367.3615: Proceso de Solicitud y Apelación de Derechos del Consumidor(apps.legislature.ky.gov).gov
- KRS 367.3617: Limitaciones del Controlador y Consentimiento de Datos Sensibles(apps.legislature.ky.gov).gov
- KRS 367.3627: Cumplimiento del Fiscal General, Período de Subsanación y Sanciones Civiles(apps.legislature.ky.gov).gov
- KRS 367.3629: Fondo de Privacidad del Consumidor(apps.legislature.ky.gov).gov
- Fiscal General de Kentucky: Derechos de los Habitantes de Kentucky bajo la Ley de Protección de Datos del Consumidor de Kentucky(ag.ky.gov).gov