Indiana Consumer Data Protection Act: Primo sguardo e sintesi

Indiana’s Consumer Data Protection Act, or Indiana CDPA, was signed into law on May 1, 2023 and it entered into force in 2026.

La legge è simile alla maggior parte delle altre leggi statali, ma introduce alcuni requisiti chiave di cui i proprietari di aziende devono essere consapevoli.

Di seguito, illustro tutto ciò che le aziende devono sapere sul CDPA dell'Indiana, compresi i requisiti che esso delinea, le sanzioni in caso di violazione della legge e altro ancora.

Che cos'è la legge sulla protezione dei dati dei consumatori dell'Indiana (Indiana CDPA)?

La legge sulla protezione dei dati dei consumatori dell'Indiana (Indiana Consumer Data Protection Act, o Indiana CDPA) è una legge sulla privacy dei dati che protegge le informazioni personali dei consumatori o dei residenti dell'Indiana.

Descrive i diritti alla privacy di cui godono queste persone in relazione alle modalità di raccolta, elaborazione e utilizzo delle loro informazioni da parte di vari enti.

Descrive inoltre gli obblighi e i requisiti legali che gli enti devono rispettare per elaborare le informazioni dei residenti dell'Indiana e delinea le sanzioni in caso di violazione di qualsiasi parte della legge.

Quando entra in vigore il CDPA dell'Indiana?

The Indiana Consumer Data Protection Act entered into force on Jan. 1, 2026.

Il documento istituisce un nuovo articolo nel Codice dell'Indiana, che contiene la codifica di tutte le leggi attualmente in vigore nello Stato.

Termini e definizioni chiave del CDPA Indiana

Di seguito sono riportati alcuni termini importanti delineati nel Capitolo 2 del CDPA dell'Indiana che è necessario comprendere per conformarsi a questa nuova legge.

• Dati biometrici: Dati generati da misurazioni automatiche delle caratteristiche biologiche di un individuo, come impronte digitali, impronte vocali, immagini della retina o dell'iride o altri modelli o caratteristiche biologiche uniche.
  • Non comprende una fotografia fisica o digitale, o i dati generati da una fotografia fisica o digitale; una registrazione video o audio, o i dati generati da una registrazione video o audio; o le informazioni raccolte, utilizzate o conservate per il trattamento, il pagamento o le operazioni sanitarie ai sensi dell'HIPAA.
• Consumatore: Un individuo residente nell'Indiana che agisce solo per scopi personali, familiari o domestici.
  • Non comprende gli individui che agiscono in un contesto commerciale o lavorativo.
• Consenso: Un chiaro atto affermativo che indica il consenso libero, specifico, informato e inequivocabile del consumatore al trattamento dei dati personali che lo riguardano.
• Responsabile del trattamento dei dati: Persona che, da sola o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.
• Incaricato del trattamento: Persona che tratta i dati personali per conto di un responsabile del trattamento.
• Dati personali: Informazioni collegate o ragionevolmente collegabili a un individuo identificato o identificabile.
  • Non include dati de-identificati, dati aggregati o informazioni disponibili al pubblico.
• Dati pseudonimi: Dati personali che non possono essere attribuiti a un individuo specifico perché le informazioni aggiuntive che consentirebbero di attribuire i dati a un individuo specifico sono conservate separatamente e soggette a misure tecniche e organizzative adeguate per garantire che i dati personali non siano attribuiti a un individuo identificato o identificabile.
• Trattamento: Con riferimento ai dati personali, si intende qualsiasi operazione o insieme di operazioni eseguite, con mezzi manuali o automatizzati, su dati personali o su insiemi di dati personali, quali la raccolta, l'uso, la conservazione, la divulgazione, l'analisi, la cancellazione o la modifica di dati personali.
• Dati sensibili: Una categoria di dati personali che comprende uno dei seguenti: dati personali che rivelano l'origine razziale o etnica, le convinzioni religiose, una diagnosi di salute mentale o fisica fatta da un operatore sanitario, l'orientamento sessuale, la cittadinanza o lo stato di immigrazione. Dati genetici o biometrici, dati personali raccolti da un bambino noto e dati precisi di geolocalizzazione.

Cosa prevede la legge sulla protezione dei dati dei consumatori dell'Indiana?

Il CDPA dell'Indiana riguarda solo i residenti dello Stato dell'Indiana che agiscono per scopi personali, familiari o domestici, come descritto nella Sezione 8 (a) del Capitolo 2 della legge.

Non copre chiunque in Indiana agisca in un contesto commerciale o lavorativo.

Requisiti della legge sulla protezione dei dati dei consumatori dell'Indiana

Il CDPA dell'Indiana delinea una serie di requisiti che le aziende devono rispettare e che sono illustrati in dettaglio nella prossima sezione.

Tenete presente che la legge stabilisce obblighi sia per i responsabili del trattamento che per gli incaricati del trattamento, per cui tratteremo i loro obblighi separatamente.

Obblighi dei responsabili del trattamento dei dati

Ai sensi del CDPA dell'Indiana, i responsabili del trattamento dei dati hanno le seguenti responsabilità, come indicato nel capitolo 4 della legge:

• In qualità di responsabile del trattamento, dovete limitare la raccolta di informazioni personali a ciò che è "adeguato, pertinente e ragionevolmente necessario" per le finalità per cui trattate i dati, come comunicato al consumatore.
• Non dovrete trattare le informazioni personali per scopi che non sono né ragionevolmente necessari né compatibili con gli scopi divulgati, a meno che non otteniate il consenso dei consumatori.
• Dovete stabilire, implementare e mantenere ragionevoli pratiche di sicurezza tecnica, amministrativa e fisica dei dati per proteggere adeguatamente l'integrità e la riservatezza dei dati in base al volume e alla natura dei dati raccolti.
• Non potete trattare i dati personali in violazione delle leggi statali o federali che vietano la discriminazione illegale dei consumatori.
• Non è possibile trattare i dati personali sensibili senza ottenere il consenso.
• Tutti i contratti o le clausole che rinunciano o limitano i diritti dei consumatori in qualsiasi modo, come indicato dal CDPA dell'Indiana, sono nulli e inapplicabili.

Obblighi di consenso

Come già menzionato, i responsabili del trattamento possono trattare le informazioni per scopi che non sono "ragionevolmente necessari" o "compatibili con le finalità divulgate" se ottengono il consenso del consumatore.

Affinché il consenso sia considerato legalmente ottenuto ai sensi dell'ICDPA, l'utente deve compiere un'azione chiara e affermativa. Ad esempio, si può chiedere all'utente di fare clic su una casella di controllo non contrassegnata o di selezionare un pulsante "Accetto" chiaramente etichettato.

Il consenso ai sensi di questa legge deve essere libero, specifico, informato e inequivocabile.

In altre parole, l'utente deve sapere esattamente cosa sta accettando e non può essere forzato o costretto a dare il proprio consenso.

Obblighi contrattuali tra responsabili e incaricati del trattamento

Ai sensi del CDPA dell'Indiana, i responsabili e gli incaricati del trattamento dei dati devono utilizzare contratti con clausole specifiche, talvolta denominati accordi di trattamento dei dati(DPA), come descritto nel capitolo 5, sezione 2 della legge.

Tali disposizioni prevedono che l'incaricato del trattamento sia tenuto a rispettare tutti i seguenti requisiti:

• Garantire che ogni persona coinvolta nel trattamento dei dati personali sia soggetta all'obbligo di riservatezza sui dati stessi.
• Cancellare i dati personali o restituirli tutti su indicazione del responsabile del trattamento, a meno che la legge non imponga di conservarli.
• Mettere a disposizione del responsabile del trattamento tutte le informazioni in suo possesso per dimostrare la propria conformità al CDPA dell'Indiana su ragionevole richiesta del responsabile del trattamento.
• Collaborare con il valutatore designato dal controllore e consentirgli di effettuare valutazioni ragionevoli o permettere a un valutatore indipendente di eseguire la procedura di valutazione.
• Richiedere ai subappaltatori dell'incaricato del trattamento di firmare un contratto scritto che preveda gli stessi obblighi delineati dal CDPA dell'Indiana.

Valutazioni d'impatto sulla protezione dei dati

l'iCDPA richiede agli enti di effettuare valutazioni d'impatto sulla protezione dei dati (DPIA) per svolgere determinate attività di trattamento dei dati, come descritto nel capitolo 6 della legge.

I responsabili del trattamento devono eseguire e documentare le DPIA per qualsiasi attività di trattamento di seguito elencata:

• Trattamento dei dati personali per pubblicità mirata
• Vendita di dati personali
• Il trattamento dei dati personali ai fini della profilazione se presenta un rischio ragionevolmente prevedibile per l'individuo.
• Trattamento di informazioni personali sensibili
• Qualsiasi attività di trattamento che presenti un rischio elevato di danno per i consumatori.

La DPIA deve soppesare i rischi e i benefici che possono derivare direttamente o indirettamente dal trattamento dei dati e il suo impatto sul responsabile del trattamento, sul consumatore, su altre parti interessate e sul pubblico, e deve considerare tutte le misure di salvaguardia in atto.

Per conformarsi a questa parte della legge, le entità possono utilizzare un'unica DPIA per tenere conto di più attività di trattamento dei dati.

Le linee guida della DPIA si applicano a tutte le attività di trattamento dopo il 31 dicembre 2025 e non si applicano retroattivamente ai dati generati prima del 1° gennaio 2026.

Dati relativi ai bambini conosciuti

Se la vostra azienda raccoglie informazioni personali da bambini conosciuti e rientra nel CDPA dell'Indiana, potete farlo solo se rispettate anche il Children›s Online Privacy Protection Act(COPPA) federale.

Secondo il CDPA dell'Indiana, per "bambino" si intende chiunque abbia meno di 13 anni.

La legge sulla privacy dell'Indiana considera qualsiasi informazione su bambini conosciuti come rientrante nella categoria dei dati personali sensibili.

Dovete fornire ai tutori legali un modo per agire per conto dei loro figli e far valere i diritti alla privacy dei dati garantiti da questa legge.

Obblighi che i responsabili del trattamento dei dati devono rispettare

l'indiana Consumer Data Protection Act richiede specificamente che gli incaricati del trattamento dei dati assistano i responsabili del trattamento dei dati nell'adempimento dei loro doveri al fine di:

• Consentire al titolare del trattamento di soddisfare l'obbligo di rispondere alle richieste degli interessati.
• Consentire al titolare del trattamento di adempiere agli obblighi relativi alla sicurezza dei dati personali, alla conduzione di DPIA e alla notifica delle violazioni dei dati.

La legge dell'Indiana e le leggi sulla privacy degli altri Stati: Somiglianze e differenze

La legge sulla privacy dei dati dell'Indiana è una delle numerose leggi statali approvate di recente per proteggere i diritti alla privacy dei consumatori. Tra queste vi sono le leggi:

• California Consumer Protection Act (CCPA), as amended by the California Privacy Rights Act (CPRA)
• Legge sulla privacy del Colorado (CPA)
• Legge sulla privacy dei dati del Connecticut (CTDPA)
• Legge sulla privacy dei dati personali del Delaware (DPDPA)
• Carta dei diritti digitali della Florida (FDBR)
• Legge sulla protezione dei dati dei consumatori dell'Iowa (Iowa CDPA)
• Legge sulla protezione dei dati dei consumatori del Kentucky (KCDPA)
• Legge sulla privacy dei dati dei consumatori del Minnesota (MCDPA)
• Legge sulla privacy dei dati online del Maryland (MODPA)
• Legge sulla privacy dei dati dei consumatori del Montana (MCDPA)
• Legge sulla privacy dei dati del Nebraska (NDPA)
• Legge sulla privacy dei dati del New Hampshire (NHDPL)
• Legge sulla privacy dei dati del New Jersey (NJDPA)
• Legge sulla privacy dei consumatori dell'Oregon (OCPA)
• Legge sulla protezione delle informazioni del Tennessee (TIPA)
• Legge sulla privacy e la sicurezza dei dati del Texas (TDPSA)
• Legge sulla privacy dei consumatori dello Utah (UCPA)
• Legge sulla protezione dei dati dei consumatori della Virginia (VCDPA)

Sebbene le leggi presentino alcune somiglianze, presentano anche molte differenze significative che le aziende devono riconoscere e comprendere, soprattutto per ottenere la conformità legale.

Per facilitarvi il compito, di seguito trovate una tabella che mette a confronto le leggi degli Stati Uniti attualmente in vigore o che entreranno in vigore nei prossimi anni.

How Does the Indiana CDPA Impact Consumers?

Il CDPA dell'Indiana ha un impatto sui consumatori dell'Indiana, concedendo loro nuovi diritti sulle modalità di raccolta, trattamento e utilizzo dei loro dati personali da parte degli enti.

In particolare, il capitolo 3 della legge spiega che hanno il diritto di:

• Confermare se un responsabile del trattamento sta trattando i loro dati personali
• Correggere le inesattezze dei propri dati personali
• Richiesta di cancellazione dei propri dati personali
• Ottenere una copia o una sintesi rappresentativa dei propri dati personali
• Opporsi al trattamento dei propri dati per la pubblicità mirata, la vendita dei propri dati o la profilazione.

I consumatori hanno anche il diritto di ricorrere contro la decisione del responsabile del trattamento basata sulle loro richieste iniziali.

Chi protegge il CDPA dell'Indiana?

Il CDPA dell'Indiana si applica alle informazioni personali di qualsiasi residente dell'Indiana che agisce in un contesto personale o domestico.

Tuttavia, il CDPA dell'Indiana esclude alcune categorie di dati personali dal suo ambito di applicazione.

Questi includono, ma non si limitano a:

• Informazioni sanitarie protette che rientrano nell'ambito di applicazione dell'HIPAA
• Dati personali trattati in conformità alla COPPA

How Are Businesses Impacted by the Indiana CDPA?

Il CDPA dell'Indiana ha un impatto sulle aziende in diversi modi. Oltre alle DPIA richieste, ai contratti con gli elaboratori di terze parti e agli obblighi di consenso precedentemente trattati, influisce anche sulle politiche sulla privacy e sui cookie.

Le sezioni seguenti illustrano esattamente l'impatto della nuova legge su queste politiche.

How Does the Indiana CDPA Affect My Privacy Policy?

Ai sensi della Sezione 3 del CDPA dell'Indiana, le entità devono presentare ai consumatori un "avviso sulla privacy ragionevolmente accessibile, chiaro e significativo".

Deve includere tutti i seguenti dettagli:

• Le categorie di dati personali raccolti
• Lo scopo del trattamento dei dati personali
• Come i consumatori possono esercitare i loro diritti e come possono impugnare la decisione del responsabile del trattamento in merito alla loro richiesta
• Le categorie di dati che condividete con terze parti, se esistenti
• Le categorie di terzi con cui condividete i dati, se esistenti

Inoltre, le sezioni 4 e 5 della legge riguardano anche gli elementi che le aziende devono includere nella loro informativa sulla privacy.

Analogamente ai requisiti in materia di privacy previsti dalla legge sulla privacy dei consumatori della California (CCPA), è necessario comunicare in modo chiaro e visibile ai consumatori se si vendono dati personali a terzi o se si utilizzano i loro dati per pubblicità mirate.

l'informativa deve anche spiegare come un consumatore può rinunciare a entrambi i tipi di trattamento dei dati.

Dovete anche descrivere uno o più modi sicuri e affidabili per i consumatori di presentare richieste di intervento sui loro diritti alla privacy.

La legge prevede che si debbano prendere in considerazione tutti i seguenti elementi:

• I modi in cui i consumatori interagiscono normalmente con la vostra azienda
• La necessità di una comunicazione sicura e affidabile
• La capacità del controllore di autenticare l'identità dell'utente che presenta la richiesta.

How Does the Indiana CDPA Affect My Cookie Policy?

La legge sulla privacy dei consumatori dell'Indiana può influire sulla vostra politica sui cookie e sull'uso dei cookie su Internet in generale se raccogliete e trattate dati personali, definiti come informazioni collegate o ragionevolmente collegabili a un individuo identificato o identificabile.

In base a questa legge, i consumatori hanno il diritto di rinunciare all'utilizzo delle loro informazioni personali per la pubblicità mirata o per la vendita di dati personali. Hanno anche il diritto di scegliere di non essere trattati con i loro dati personali sensibili.

Nella vostra politica sui cookie dovete anche spiegare chiaramente se utilizzate i cookie per uno di questi scopi, identificare quali cookie utilizzate, spiegare cosa fanno e descrivere come i consumatori possono esercitare i loro diritti di opt-out.

Chi deve rispettare la nuova legge sulla privacy dell'Indiana?

La vostra azienda deve conformarsi alla legge sulla privacy dell'Indiana se conduce attività commerciali nell'Indiana o produce prodotti o servizi destinati ai residenti dell'Indiana e, durante un anno solare, soddisfa una delle seguenti condizioni:

• Controlla o elabora i dati personali di almeno 100.000 residenti in Indiana
• Controlla o elabora i dati personali di almeno 25.000 residenti nell'Indiana e ricava più del 50% del proprio fatturato annuo lordo dalla vendita di dati personali.

La portata giuridica della legge sulla protezione dei dati dei consumatori dell'Indiana è illustrata nella sezione 1 della legge.

Who Is Exempt From the Indiana CDPA?

Le seguenti entità sono esenti dal CDPA dell'Indiana:

• Il governo dello Stato dell'Indiana o qualsiasi terza parte sotto contratto che agisca per conto del governo dello Stato.
• Istituzioni finanziarie e affiliate soggette al Gramm Leach Bliley Act (GBLA).
• Entità coperte o aziende regolate dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti e dall'Health Insurance Portability and Accountability Act (HIPAA).
• Organizzazioni non profit.
• Istituzioni di istruzione superiore.
• Società di servizi o di pubblica utilità.

Come possono le aziende prepararsi al CDPA dell'Indiana?

Informativa sulla privacy

Per prepararsi alla legge sulla protezione dei dati dei consumatori dell'Indiana, le aziende devono creare - o aggiornare - le loro politiche sulla privacy per soddisfare tutti i requisiti della nuova legge statale.

Gestione del consenso

È inoltre necessario utilizzare una gestione del consenso Platform che fornisce ai consumatori un banner di consenso in modo che possano esercitare il loro diritto di rinunciare alla pubblicità mirata e alla vendita dei loro dati personali.

DPIA/DPA

A seconda del tipo di dati trattati e delle modalità di utilizzo, potrebbe essere necessario effettuare una valutazione d'impatto sulla protezione dei dati (DPIA).

Se lavorate con elaboratori terzi, dovete entrambi firmare contratti adeguati, o accordi di elaborazione dati(DPA), che soddisfino tutti i requisiti espressi dal CDPA dell'Indiana.

DSAR

Infine, come ulteriore strumento per consentire agli utenti di far valere i propri diritti di consumatori, dovreste mettere a disposizione degli utenti un modulo di richiesta di accesso ai dati personali (Data Subject Access Request o DSAR ) sul vostro sito web o sulla vostra app mobile.

Come verrà applicato il CDPA dell'Indiana?

Il Procuratore generale dell'Indiana ha il diritto esclusivo di applicare il CDPA dell'Indiana, come spiegato nel capitolo 10 della legge.

Il procuratore generale invierà ai responsabili del trattamento o agli incaricati del trattamento un avviso scritto di 30 giorni che indicherà le parti del CDPA dell'Indiana violate dall'entità. I responsabili del trattamento o dell'elaborazione hanno quindi 30 giorni di tempo per porre rimedio alla violazione e fornire al procuratore generale una comunicazione scritta che lo attesti:

• l'offesa è stata curata
• Sono state intraprese azioni per garantire che non si verifichino violazioni in futuro.

Ma se il responsabile del trattamento o l'incaricato del trattamento continua a commettere la presunta violazione dopo il periodo di cura o non fornisce una dichiarazione scritta esplicita al procuratore generale, rischia di incorrere in sanzioni pecuniarie.

Multe e sanzioni ai sensi della legge sulla protezione dei dati dei consumatori dell'Indiana

I controllori o gli incaricati del trattamento che non risolvono la presunta violazione durante il periodo di recupero di 30 giorni sono soggetti a sanzioni pecuniarie fino a 7.500 dollari per ogni violazione.

Inoltre, possono anche chiedere di imporre un'ingiunzione per impedire le violazioni della legge.

Il procuratore generale può anche recuperare le spese ragionevoli sostenute durante le indagini e la preparazione del caso, comprese le parcelle degli avvocati.

How Does Termly Help With Indiana CDPA Compliance?

Mentre la vostra azienda si prepara al CDPA dell'Indiana, potete fare affidamento sulle risorse di Termlyper rendere il processo di conformità più gestibile.

Il nostro supporto legale generatore di informativa sulla privacy presenta già le clausole necessarie richieste da questa legge e da altre, tra cui il Regolamento generale sulla protezione dei datiGDPR), il CCPA, il VCDPA e altre ancora.

È incredibilmente facile da usare e pone semplici domande sulla vostra azienda e sulle sue pratiche di raccolta dei dati.

Crea quindi un'informativa sulla privacy unica e personalizzata, basata sulle risposte fornite, che può essere inserita direttamente nel sito web o nell'app.

Di seguito è riportata un'immagine di come si presenta:

Inoltre, abbiamo una gestione del consenso Platform (CMP) che fornisce un banner di consenso configurabile.

È possibile impostarlo in modo da soddisfare i requisiti di opt-out per cose come la pubblicità mirata, come descritto da leggi come la CDPA dell'Indiana.

Qui di seguito potete vedere un'anteprima del suo aspetto:

Il nostro team legale e i nostri esperti in materia di privacy hanno controllato i nostri generatori di politiche e i nostri strumenti. Inoltre, aggiorniamo le nostre offerte per restare al passo con le nuove leggi sulla privacy, in continua evoluzione.

When we say we take the hassles out of your legal compliance, we really do mean it!

Esistono altre leggi sulla privacy in Indiana?

l'indiana Consumer Data Protection Act, nato come Senate Bill 5, è la prima legge sulla privacy approvata nello Stato.

Tuttavia, il Codice dell'Indiana e la Costituzione dello Stato contengono disposizioni relative alle violazioni dei dati e ad altri diritti legati alla privacy.

Ad esempio, la Costituzione dello Stato dell'Indiana contiene un testo che garantisce il diritto delle persone di essere "sicure nelle loro persone, case, documenti ed effetti, contro perquisizioni e sequestri irragionevoli".

Il Codice dell'Indiana descrive i requisiti legali relativi alle violazioni dei dati all'articolo 4.9.

La legge richiede a qualsiasi persona o entità che disponga di una serie di dati computerizzati che includono informazioni personali di notificare ai residenti dell'Indiana interessati una violazione o qualsiasi altra acquisizione non autorizzata.

Riassunto

La nuova legge sulla privacy dei dati dell'Indiana presenta molte analogie con altre leggi sulla privacy negli Stati Uniti. La conformità alla legge potrebbe essere relativamente semplice, soprattutto se si rispettano già gli standard richiesti da leggi come la VCDPA, la CCPA e altre.

Either way, businesses impacted by the Indiana CDPA should plan to update their privacy policy to meet all requirements outlined by the law and add opt-out options to consent banners regarding the sale of personal data, targeted advertising, and/or the collection of sensitive data.

Eseguire DPIA per specifiche attività di trattamento dei dati e utilizzare contratti conformi con qualsiasi terzo responsabile del trattamento dei dati. Infine, fornire ai consumatori meccanismi chiari per la presentazione di richieste che diano seguito ai loro nuovi diritti in materia di privacy.

Per fortuna, non dovete affrontare queste leggi sulla privacy da soli. Con Termly nella vostra cassetta degli attrezzi, possiamo aiutarvi a rendere la conformità a normative come l'imminente CDPA dell'Indiana un gioco da ragazzi.

Per saperne di più su chi scrive

Scritto da Stefani Schmidt, M.S., CIPM, CIPP-US

Stefani è una professionista della privacy, del rischio, della conformità e della gestione dei programmi con esperienza nei settori delle comunicazioni, della finanza e dell'adtech. l'esperienza precedente di Stefani comprende la collaborazione con gli stakeholder di diversi dipartimenti per portare avanti le iniziative sulla privacy in tutte le aziende, oltre alla revisione della privacy e della sicurezza delle nuove iniziative commerciali e dei fornitori. Stefani ha conseguito un master in tecnologie di sicurezza presso l'università del Minnesota - Twin Cities e una laurea in giornalismo e scienze politiche. Per saperne di più su chi scrive