Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › États américains › Indiana
ICDPA
Indiana Consumer Data Protection Act
QuandEn vigueur depuis le 1er janvier 2026
Qui en assure l’applicationProcureur général de l’État
À qui elle s’appliqueEntreprises qui traitent des données personnelles des résidents de l’État au-delà des seuils fixés par la loi. Les seuils, les exemptions et les règles relatives aux données sensibles varient d’un État à l’autre.
SeuilsS’applique aux entreprises effectuant un traitement des données de 100,000+ consommateurs de l’Indiana, ou de 25,000+ consommateurs avec…
Opposition universelleNon requis
Période de régularisationLe AG doit adresser un avis écrit de 30 jours et aucune action ne peut être engagée si la violation est corrigée
Délai de réponse aux demandesLes responsables du traitement doivent répondre dans un délai de 45 jours, prolongeable une fois de 45 jours
Sanction maximaleSanction civile jusqu’à $7,500 par violation, plus injonctions et frais d’enquête
Action privéeAucun droit d’action privé
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Champ d'application
Seuils
1
Applies to businesses processing data of 100,000+ Indiana consumers, or 25,000+ consumers with over 50% of gross revenue from data sales.Ind. Code § 24-15-1-1(a) · source ↗
Enrolled text of SEA 5 (2023), P.L. 94-2023, read from a copy hosted by Troutman. No amendments enacted in 2025 or 2026 found; AG issued a Consumer Data Protection Bill of Rights in Nov. 2025.
Exemptions
0
Entity-level exemptions for GLBA financial institutions, HIPAA covered entities and business associates, nonprofits, higher education and certain utilities.Ind. Code §§ 24-15-1-1(b), 24-15-1-2 · source ↗
Données sensibles et mineurs
Données sensibles
1
Processing sensitive data requires opt-in consent.Ind. Code §§ 24-15-2-28, 24-15-4-1(5) · source ↗
Enfants et adolescents
1
A child is under 13; a known child's data is sensitive and needs COPPA parental consent. No teen-specific protections.Ind. Code §§ 24-15-2-6, 24-15-1-3 · source ↗
Minimisation des données
1
Collection must be adequate, relevant and reasonably necessary to disclosed purposes; incompatible secondary use needs consent.Ind. Code § 24-15-4-1(1)-(2) · source ↗
Droits des consommateurs
Droits
2
Confirm and access, correct, delete, obtain a portable copy or summary, and opt out of targeted ads, sale and significant profiling.Ind. Code § 24-15-3-1(b) · source ↗
Délai de réponse aux demandes
2
Controllers must respond within 45 days, extendable once by 45 days.Ind. Code § 24-15-3-1(c) · source ↗
Recours
2
Controllers must offer an appeal, answer within 60 days, and on denial give a way to contact the Attorney General.Ind. Code § 24-15-3-1(d) · source ↗
Opposition universelle
0
Not required; no universal opt-out mechanism provision.Ind. Code § 24-15-3-1 · source ↗
Obligations des entreprises
Évaluations
2
Assessments are required for targeted ads, sale, risky profiling, sensitive data and other heightened-risk processing; the AG may request them.Ind. Code §§ 24-15-6-1, 24-15-6-2 · source ↗
Applies to processing activities created or generated after December 31, 2025.
Contrats de sous-traitance
2
Contract with instructions, data types, duration, confidentiality, return or deletion, compliance information, assessments and written subcontractor flow-down.Ind. Code § 24-15-5-2 · source ↗
Politique de confidentialité
1
Notice must cover data categories, purposes, rights and appeals, and data shared with third parties; sale and targeted ads must be clearly disclosed.Ind. Code §§ 24-15-4-3, 24-15-4-4 · source ↗
Programmes de fidélité
1
General non-discrimination rule with a carve-out for bona fide loyalty, rewards and club card programs.Ind. Code § 24-15-4-1(4)(B) · source ↗
Données désidentifiées
3
Deidentified data needs safeguards, a public no-reidentification commitment and contract flow-down; pseudonymous data is exempt from certain rights if kept separate.Ind. Code §§ 24-15-2-12, 24-15-7-1, 24-15-7-2 · source ↗
Application
Autorité de contrôle
1
Attorney General has exclusive enforcement authority, including civil investigative demands.Ind. Code §§ 24-15-9-1, 24-15-10-1 · source ↗
Période de régularisation
0
The AG must give 30 days' written notice and no action may proceed if the violation is cured; the cure right does not sunset.Ind. Code § 24-15-10-3 · source ↗
Sanction maximale
2
Civil penalty up to $7,500 per violation, plus injunctions and investigation costs.Ind. Code § 24-15-10-2(a) · source ↗
Pouvoir réglementaire
0
No rulemaking authority; the AG may only publish a resource list for controllers.Ind. Code § 24-15-4-6 · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles