Privacywetten in Indiana, Kentucky en Rhode Island van kracht in 2026: Wat kleine bedrijven moeten weten

Als uw bedrijf klant-e-mails verzamelt voor een nieuwsbrief, gerichte advertenties op Instagram plaatst of ordergeschiedenis opslaat in een CRM, denkt u misschien dat privacywetten van staten een probleem zijn voor kuststaten — Californië, misschien Colorado, maar zeker niet het Midwesten of New England. Die aanname is nu een stuk duurder geworden. Vanaf 1 januari 2026 hebben Indiana, Kentucky en Rhode Island allemaal uitgebreide privacywetten voor consumentengegevens, waardoor het totale aantal staten met dit soort wet op twintig komt. Als uw bedrijf klanten, werknemers of websitebezoekers heeft in een van deze drie staten, zijn de regels die voorheen aanvoelden als 'groot bedrijf, grote staat'-naleving nu ook op u van toepassing.

Hier is wat er daadwerkelijk is veranderd, wie eraan moet voldoen, en wat een kleine ondernemer dit kwartaal zou moeten doen.

Waarom drie staten tegelijk?​

Indiana, Kentucky en Rhode Island hebben geen gezamenlijke verrassingsaanval op het papierwerk van kleine bedrijven uitgevoerd — ze zijn de nieuwste golf in een patroon dat zich opbouwt sinds Virginia in 2021 de eerste 'tweede generatie' privacywet aannam. Elke nieuwe staatswet leunt zwaar op een eerdere (voornamelijk die van Virginia), met kleine aanpassingen aan drempels, handhaving en consumentenrechten. Dat is goed nieuws voor bedrijven die in meerdere staten actief zijn: als u een van deze wetten begrijpt, zijn de andere twee voor 80% bekend.

Het slechte nieuws is de resterende 20%. Kleine verschillen in toepassingsdrempels, herstelperiodes en opt-out-vereisten betekenen dat u niet zomaar een privacybeleid dat voldoet aan de Virginia-wet kunt kopiëren en het in alle drie de staten als 'klaar' kunt beschouwen. Elk heeft zijn eigen bijzonderheden.

Indiana Consumer Data Protection Act (ICDPA)​

De wet van Indiana is de meest bedrijfsvriendelijke van de drie, en het is de moeite waard om te begrijpen waarom.

Wie het dekt: Winstgerichte bedrijven die zaken doen in Indiana of goederen/diensten richten op inwoners van Indiana, en die gedurende een kalenderjaar:

• Persoonsgegevens van ten minste 100.000 inwoners van Indiana beheren of verwerken, of
• Persoonsgegevens van ten minste 25.000 inwoners van Indiana beheren of verwerken en meer dan 50% van de bruto-omzet halen uit de verkoop van persoonsgegevens

Die tweede drempel is degene die stilletjes kleinere operaties te pakken heeft — een databroker of ad-tech-bedrijf met een bescheiden klantenaantal maar een op dataverkoop gericht verdienmodel kan deze grens overschrijden lang voordat het 'klanten' in de zes cijfers heeft.

Wat het bedrijfsvriendelijk maakt:

• Een permanente herstelperiode van 30 dagen — geen vervaldatum, in tegenstelling tot sommige staten waar de respijtperiode om een overtreding te herstellen voor handhaving na een paar jaar vervalt
• Geen vereiste om universele opt-out-mechanismen zoals het Global Privacy Control-signaal te herkennen (meer over waarom dit hieronder van belang is)
• Exclusieve handhaving door de procureur-generaal van Indiana — geen privaatrechtelijk vorderingsrecht, dus individuele consumenten kunnen u niet rechtstreeks aanklagen wegens een overtreding
• Standaardvrijstellingen voor HIPAA-gedekte entiteiten, non-profitorganisaties, instellingen voor hoger onderwijs en bepaalde financiële instellingen

Als uw bedrijf al voldoet aan de privacywet van Virginia of Colorado, is naleving in Indiana grotendeels een kwestie van het bijwerken van uw privacyverklaring om naar de nieuwe wet te verwijzen en bevestigen dat uw bestaande opt-out- en verzoekprocessen voor betrokkenen ook inwoners van Indiana dekken.

Kentucky Consumer Data Protection Act (KCDPA)​

De wet van Kentucky nam een ongebruikelijke route: de wetgevende macht nam amendementen (HB 473) aan voordat de oorspronkelijke wet zelfs maar van kracht werd, dus bedrijven voldoen vanaf dag één aan een vooraf gepatchte versie.

Wat HB 473 veranderde:

• Gezondheidsgegevens die worden beheerd door HIPAA-gedekte entiteiten en die zij al als beschermde gezondheidsinformatie beheren, zijn vrijgesteld van KCDPA-vereisten — dit sluit een gat waarbij gezondheidsgerelateerde bedrijven mogelijk te maken kregen met overlappende HIPAA- en KCDPA-verplichtingen voor dezelfde gegevens
• De vereiste om een Data Protection Impact Assessment (DPIA) uit te voeren voor profileringactiviteiten werd beperkt tot alleen gevallen met onrechtmatige ongelijke impact — wat betekent dat de profilering het potentieel heeft voor onevenredige schade aan leden van een beschermde groep, niet zomaar elke profileringactiviteit

Handhaving en boeten: De procureur-generaal van Kentucky moet een kennisgeving geven en een herstelperiode van 30 dagen toestaan voordat hij tot handhaving overgaat. Net als in Indiana heeft deze herstelperiode momenteel geen vervaldatum, wat een aanzienlijk lager risico is dan staten waar de herstelperiode na een bepaald aantal jaren verdwijnt. Als een overtreding niet wordt hersteld, kunnen civiele boeten oplopen tot $7.500 per overtreding — en 'per overtreding' betekent in de privacywetgeving meestal per getroffen consumentenrecord, niet per incident, dus dit kan snel opschalen met de omvang van een gegevensset.

Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)​

Rhode Island is de uitzondering van de drie, met de laagste toepassingsdrempel en de meest consumentvriendelijke handhavingskadering.

Wie het dekt: Entiteiten die persoonsgegevens van ten minste 35.000 consumenten beheren of verwerken, of 10.000 consumenten als meer dan 20% van de omzet afkomstig is uit de verkoop van persoonsgegevens. Die combinatie van 10.000 consumenten/20%-omzet is een werkelijk lage drempel — een kleine e-commerce onderneming met een zijstroom aan inkomsten uit de verkoop van klantenlijsten aan marketingpartners kan deze drempel overschrijden met een mailinglijst die kleiner is dan veel lokale Facebookgroepen.

Belangrijke vereisten:

• Expliciete toestemming via opt-in vereist voordat gevoelige persoonsgegevens (gezondheid, biometrie, precieze geolocatie en soortgelijke categorieën) worden verwerkt, met een mechanisme voor consumenten om die toestemming te geven en in te trekken
• Consumenten kunnen zich afmelden voor gerichte reclame, verkoop van persoonsgegevens en profilering — maar Rhode Island vereist niet dat universele opt-out-signalen zoals het Global Privacy Control worden geëerd, dus opt-outs moeten per site worden afgehandeld in plaats van via één enkel signaal op browserniveau
• Overtredingen worden behandeld als misleidende handelspraktijken, met boeten tot $10.000 per overtreding

Die kadering van 'misleidende handelspraktijken' is het vermelden waard: het knoopt privacy-overtredingen vast aan de bestaande consumentenbeschermingswet van Rhode Island, die zijn eigen handhavingspatronen en jurisprudentie kan hebben die verder gaan dan wat een speciaal gebouwde privacywet op zichzelf zou creëren.

De rode draad: risicobeoordelingen​

In alle drie staten komt één verplichting consistent terug en zorgt voor meer problemen voor kleine bedrijven dan welk individueel consumentenrecht dan ook: de vereiste om een gegevensbeschermingsbeoordeling (soms DPIA genoemd) uit te voeren voordat men zich bezighoudt met 'risicovolle' verwerkingsactiviteiten. Dit omvat doorgaans:

• Gerichte reclame
• Het verkopen of delen van persoonsgegevens met derden
• Het verwerken van gevoelige gegevencategorieën
• Profilering die kan leiden tot juridische of anderszins significante gevolgen voor een consument

Als uw bedrijf retargeting-advertenties uitvoert, klantenlijsten verkoopt of in licentie geeft, of geautomatiseerde tools gebruikt om klanten te scoren of segmenteren, heeft u waarschijnlijk een gedocumenteerde beoordeling in uw bestanden nodig — niet iets dat u reactief genereert als het kantoor van een procureur-generaal contact opneemt.

Een praktische nalevingschecklist​

U hebt geen externe adviseur nodig om de basis op orde te krijgen. Begin hier:

1. Tel uw blootstelling. Schat voor elke staat hoeveel inwoners' persoonsgegevens u jaarlijks beheert of verwerkt, en of een significant aandeel van de omzet afkomstig is uit de verkoop van gegevens. Dit bepaalt welke wetten daadwerkelijk op u van toepassing zijn.
2. Werk uw privacyverklaring bij. Voeg verwijzingen toe naar de specifieke rechten van inwoners van Indiana, Kentucky en Rhode Island (inzage, correctie, verwijdering, afmelden voor verkoop/gerichte reclame/profilering) als u gedekt bent.
3. Bouw (of bevestig) een proces voor verzoeken van betrokkenen. U hebt een manier nodig waarop consumenten verzoeken kunnen indienen — en u deze kunt vervullen — voor inzage, verwijdering en correctie binnen de wettelijke antwoordtermijn.
4. Documenteer uw risicovolle verwerking. Als u gerichte advertenties uitvoert, gegevens verkoopt of klanten profileert, leg dan vast wat u doet, waarom en welke waarborgen er zijn. Dit is uw gegevensbeschermingsbeoordeling.
5. Scheid de verwerking van gevoelige gegevens. Gezondheids-, biometrische en precieze locatiegegevens hebben expliciete opt-in-toestemming nodig in Rhode Island en over het algemeen verhoogde zorg — bundel deze toestemming niet in een algemeen selectievakje voor algemene voorwaarden.
6. Let op uw leverancierscontracten. Als een betalingsverwerker, e-mailplatform of ad-netwerk persoonsgegevens namens u verwerkt, moeten uw contracten met hen hun verplichtingen als 'verwerker' onder deze wetten weerspiegelen.

Waarom dit terugkoppelt naar uw boekhouding​

Nalevingswerk zoals dit brengt vaak een minder voor de hand liggend probleem aan het licht: de meeste kleine bedrijven hebben geen helder antwoord op 'welke leveranciers hebben toegang tot klantgegevens, en wat betalen we hen?' Dat is eigenlijk net zo goed een boekhoudkundige vraag als een juridische. Als uw rekeningschema niet netjes ad-tech-uitgaven, dataverwerkingskosten en CRM-abonnementen scheidt van algemene softwarekosten, zult u moeite hebben om zelfs maar te identificeren welke leveranciersrelaties een dataverwerkingsaddendum nodig hebben — laat staan om aan een toezichthouder te bewijzen dat u weet waar klantgegevens stromen.

Plain-text boekhouding maakt dit soort audit veel eenvoudiger dan het doorzoeken van een black-box SaaS-dashboard. Omdat elke transactie in Beancount een mensleesbare, versiebeheerde invoer is, kunt u in seconden uw grootboek doorzoeken op elke betaling aan een advertentieplatform, databroker of analyseleverancier — waardoor 'welke van onze leveranciers raken klantgegevens?' verandert van een meerdaagse zoektocht in een query van vijf minuten.

Houd uw naleving en uw boeken op dezelfde plek​

Naarmate meer staten privacywetten aannemen die steeds kleinere bedrijven bereiken, wordt het weten welke leveranciers precies klantgegevens verwerken — en wat u hen betaalt — niet langer optioneel. Beancount.io biedt u plain-text boekhouding met volledige transparantie en versiegeschiedenis, zodat het traceren van uw relaties met gegevensleveranciers door uw financiële administratie zo eenvoudig is als het doorzoeken van een tekstbestand. Begin gratis en houd uw nalevingsverhaal zo schoon als uw boeken.