Página traducida y verificada automáticamente. Prevalece la versión en inglés. Algunas partes siguen en inglés mientras se verifica su traducción. Ver en inglés · Informar un error de traducción
Regulaciones › Estados de EE. UU. › Kentucky
KCDPA
Ley de Protección de Datos del Consumidor de Kentucky
CuándoEn vigor desde el 1 de enero de 2026
Quién la aplicaFiscal General del estado
A quién se aplicaEmpresas que tratan datos personales de residentes del estado por encima de los umbrales de la ley. Los umbrales, las exenciones y las reglas sobre datos sensibles varían según el estado.
UmbralesSe aplica a empresas que controlan o tratan datos de 100,000+ consumidores de Kentucky, o de 25,000…
Exclusión voluntaria universalNo es obligatorio
Periodo de subsanaciónEl AG debe dar un aviso por escrito con 30 días de antelación
Plazo de solicitudesLos responsables deben responder en un plazo de 45 días, prorrogable una vez 45 días
Sanción máximaSanción civil de hasta $7,500 por infracción, más honorarios de abogados y costas
Acción privadaSin derecho de acción privada
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
A quién se aplica
Umbrales
1
Applies to businesses controlling or processing data of 100,000+ Kentucky consumers, or 25,000+ consumers with over 50% of gross revenue from data sales.KRS 367.3613(1) · source ↗
Enacted as 2024 Ky. Acts ch. 72 (HB 15). KRS numbers mapped from Act section order; 367.3613, 367.3617 and 367.3621 confirmed by the 2025 and 2026 amending acts.
Exenciones
0
Entity-level exemptions for GLBA financial institutions, HIPAA covered entities and business associates, nonprofits and higher education, plus data-level exemptions.KRS 367.3613(2)-(3) · source ↗
2025 Ky. Acts ch. 13 (HB 473), signed March 2025, added HIPAA provider and limited-data-set exemptions and a COPPA deemed-compliance rule, effective January 1, 2026.
Datos sensibles y menores
Datos sensibles
1
Processing sensitive data requires opt-in consent.KRS 367.3611, 367.3617(1)(e) · source ↗
2026 Ky. Acts ch. 118 (HB 692), signed April 13, 2026, requires consent to collect automatic content recognition data, effective July 1, 2027.
Menores y adolescentes
1
A child is under 13 (COPPA); a known child's data is sensitive and needs parental consent. No teen-specific protections.KRS 367.3611, 367.3615(1) · source ↗
Minimización de datos
1
Collection must be adequate, relevant and reasonably necessary to disclosed purposes.KRS 367.3617(1)(a) · source ↗
Derechos de los consumidores
Derechos
2
Confirm and access, correct, delete, portability, and opt out of targeted ads, sale and significant profiling.KRS 367.3615(2) · source ↗
Plazo de solicitudes
2
Controllers must respond within 45 days, extendable once by 45 days.KRS 367.3615(3)(a) · source ↗
Apelaciones
2
Controllers must offer an appeal, answer in writing within 60 days, and on denial give a way to contact the Attorney General.KRS 367.3615(4) · source ↗
Exclusión voluntaria universal
0
Not required; opt-out is by individual request only.KRS 367.3615(2) · source ↗
Obligaciones de las empresas
Evaluaciones
2
Assessments are required for targeted ads, sale, risky profiling, sensitive data and other heightened-risk processing; the AG may demand them.KRS 367.3621 · source ↗
As amended by 2025 Ky. Acts ch. 13; applies to processing activities created or generated on or after June 1, 2026.
Contratos con encargados
2
Contract with instructions, duration, confidentiality, return or deletion, compliance information, assessments and written subcontractor flow-down.KRS 367.3619(2) · source ↗
Aviso de privacidad
1
Notice must cover data categories, purposes, rights and appeals, and third-party sharing; sale and targeted ads must be clearly disclosed.KRS 367.3617(3)-(5) · source ↗
Programas de fidelización
1
General non-discrimination rule with a carve-out for bona fide loyalty, rewards and club card programs.KRS 367.3617(1)(d) · source ↗
Datos desidentificados
3
Deidentified data needs safeguards, a public no-reidentification commitment and contract flow-down; pseudonymous data is exempt from rights if kept separate.KRS 367.3623 · source ↗
Aplicación de la ley
Quién la aplica
1
Attorney General has exclusive enforcement authority, including investigative demands; penalties go to a consumer privacy fund.KRS 367.3627(1), 367.3629 · source ↗
Periodo de subsanación
0
The AG must give 30 days' written notice; a cure with a written statement bars the action. The cure right does not sunset.KRS 367.3627(2) · source ↗
Sanción máxima
2
Civil penalty up to $7,500 per violation, plus attorney's fees and costs.KRS 367.3627(3), (5) · source ↗
Facultad reglamentaria
0
No rulemaking authority in the Act.KRS 367.3611 to 367.3629 · source ↗
No rulemaking provision found.
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Biblioteca de regulaciones
Todas las leyes estatales de privacidad de EE. UU., en un mapa
24 estados tienen una ley integral de privacidad en la biblioteca, junto con las leyes de la UE, del Reino Unido, federales de EE. UU. y globales: 102 en total, cada una explicada en palabras sencillas con sus fuentes. Seleccione un estado para ver qué se aplica allí.
- En vigor
- Entrada en vigor
- Leyes sectoriales