Rhode Island
Leyes de Privacidad Biométrica de Rhode Island: Recopilación, Consentimiento y Sanciones (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 10 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Rhode Island no cuenta con un estatuto independiente de privacidad biométrica. En cambio, la Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island (RIDTPPA), Capítulo 6-48.1 de R.I. Gen. Laws, clasifica los datos biométricos como datos sensibles y exige consentimiento previo antes de que las empresas los procesen con fines de identificación.
Rhode Island no cuenta con un estatuto independiente de privacidad biométrica como la BIPA de Illinois o la CUBI de Texas. En cambio, las protecciones de datos biométricos en el estado provienen de la Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island (RIDTPPA), una ley integral de privacidad del consumidor que clasifica los identificadores biométricos como datos sensibles que requieren consentimiento afirmativo antes de su procesamiento.
El gobernador Daniel McKee firmó el Proyecto de Ley de la Cámara 7787 como ley el 29 de junio de 2024, lo que convirtió a Rhode Island en uno de los primeros 20 estados en promulgar una ley integral de privacidad de datos del consumidor. La RIDTPPA entró en vigor el 1 de enero de 2026.
Para obtener una visión general del marco de privacidad más amplio de Rhode Island, consulte la guía principal de Leyes de Privacidad de Datos de Rhode Island.
Cómo Define la RIDTPPA los Datos Biométricos
La RIDTPPA define los datos biométricos según R.I. Gen. Laws 6-48.1-2 como datos generados por mediciones automáticas de las características biológicas de una persona que se usan para identificar a una persona específica. El estatuto enumera estos ejemplos:
- Huellas dactilares
- Huellas de voz
- Retinas oculares
- Iris
- Otros patrones o características biológicas únicas
La ley traza un límite claro en torno a lo que no califica. Una fotografía física o digital, una videograbación o una grabación de audio no son datos biométricos a menos que dichos datos se procesen específicamente para identificar a una persona en particular.
Esta definición sigue el enfoque usado en Connecticut, Kentucky y varias otras leyes de privacidad estatales integrales. La lista de identificadores es en sí misma abierta, y cierra con «otros patrones o características biológicas únicas», mientras que la BIPA de Illinois define «identificador biométrico» como una lista fija de cinco elementos (un escaneo de retina o iris, huella dactilar, huella de voz, o escaneo de geometría de mano o rostro) seguida de una larga lista de exclusiones expresas. Lo que limita a la RIDTPPA se encuentra en otra parte: los datos cuentan solo cuando se generan para identificar a una persona específica, la ley protege a los clientes en lugar de a los empleados, y solo alcanza a las empresas que cumplen con los umbrales de aplicabilidad descritos a continuación.
Clasificación como Dato Sensible y Requisitos de Consentimiento
Según la RIDTPPA, los datos biométricos procesados con el propósito de identificar de manera única a una persona califican como "datos sensibles". Esta es la categoría de protección más alta en la ley.
Otras categorías de datos sensibles según R.I. Gen. Laws 6-48.1-2 incluyen:
- Datos que revelan origen racial o étnico
- Creencias religiosas
- Condiciones o diagnósticos de salud mental o física
- Orientación sexual
- Vida sexual
- Condición de ciudadanía o inmigración
- Datos genéticos procesados para identificación
- Datos de geolocalización precisa (dentro de 1,750 pies)
- Datos personales recopilados de un menor conocido de menos de 13 años
Requisito de consentimiento. Los controladores deben obtener el consentimiento previo del cliente antes de procesar datos sensibles, incluidos los datos biométricos. Según R.I. Gen. Laws 6-48.1-4, una empresa no puede recopilar su huella dactilar, huella facial o escaneo de iris con fines de identificación sin obtener primero su acuerdo afirmativo.
Este consentimiento debe ser un "acto claro y afirmativo" que se otorgue libremente, sea específico, informado e inequívoco. Una cláusula oculta en un acuerdo de términos de servicio no califica. El estatuto prohíbe específicamente el uso de patrones oscuros para obtener el consentimiento.
Revocación del consentimiento. Los clientes tienen derecho a revocar su consentimiento en cualquier momento. Una vez que un cliente retira el consentimiento, el controlador debe dejar de procesar los datos biométricos tan pronto como sea posible y a más tardar 15 días después de recibir la solicitud de revocación.
Quién Debe Cumplir con la RIDTPPA
La RIDTPPA se aplica a las entidades con fines de lucro que realizan negocios en Rhode Island o producen productos o servicios dirigidos a residentes de Rhode Island y cumplen con uno de estos umbrales:
- Procesar datos personales de 35,000 o más clientes de Rhode Island durante un año calendario (excluyendo los datos procesados únicamente para transacciones de pago), o
- Procesar datos personales de 10,000 o más clientes de Rhode Island y obtener más del 20% de los ingresos brutos de la venta de datos personales
El umbral de 35,000 clientes coloca a Rhode Island en el extremo inferior en comparación con estados como Virginia y Colorado, que establecen sus umbrales en 100,000 consumidores. Esto significa que la RIDTPPA abarca una gama más amplia de empresas que operan en el estado.
Exenciones Clave
La RIDTPPA excluye varias categorías de entidades y tipos de datos de su cobertura:
Exenciones de entidades:
- Organizaciones sin fines de lucro
- Agencias gubernamentales y subdivisiones políticas
- Entidades cubiertas por la HIPAA y sus asociados comerciales
- Instituciones financieras sujetas a la Ley Gramm-Leach-Bliley (GLBA)
- Instituciones de educación superior
Exenciones de datos:
- Información de salud regulada según la HIPAA
- Datos financieros regidos por la GLBA
- Datos cubiertos por la Ley de Informes Crediticios Justos (FCRA)
- Datos según la Ley de Derechos Educativos y Privacidad Familiar (FERPA)
- Datos regulados según la Ley de Protección de la Privacidad del Conductor (DPPA)
Los datos relacionados con el empleo no están en esta lista porque no son una exención de datos enumerada. En su lugar, R.I. Gen. Laws 6-48.1-2(10) define cliente de manera que excluye a cualquier persona que actúe en un contexto comercial o laboral, o como empleado, propietario, director, funcionario o contratista. Debido a que la RIDTPPA solo protege a los clientes, las personas en un contexto laboral quedan completamente fuera del alcance de la ley.
Esta distinción es importante para la privacidad biométrica en el trabajo. Si su empleador recopila huellas dactilares para el control de horarios o usa reconocimiento facial para el acceso a edificios, la RIDTPPA no regula esa actividad, no porque los datos de los empleados sean un tipo de dato exento, sino porque un empleado no es un cliente según el estatuto.
Derechos del Cliente Sobre los Datos Biométricos
La RIDTPPA otorga a los clientes de Rhode Island varios derechos con respecto a sus datos personales, incluidos los datos biométricos. Según R.I. Gen. Laws 6-48.1-5, usted tiene derecho a:
- Confirmar y acceder a si un controlador está procesando sus datos biométricos
- Corregir inexactitudes en sus datos personales
- Eliminar sus datos personales, incluidos los identificadores biométricos
- Obtener una copia portátil de sus datos en un formato fácilmente utilizable
- Excluirse del procesamiento de datos personales para publicidad dirigida, venta de datos o perfilamiento
Los controladores deben responder a estas solicitudes sin demora injustificada. La ley también prohíbe la discriminación contra los clientes que ejerzan sus derechos.
Evaluaciones de Protección de Datos para el Procesamiento Biométrico
Los controladores deben realizar y documentar evaluaciones de protección de datos para las actividades de procesamiento que presenten un riesgo elevado de daño a los clientes. Según R.I. Gen. Laws 6-48.1-7, esto incluye:
- Procesamiento de datos sensibles (que incluye los datos biométricos)
- Procesamiento de datos personales para publicidad dirigida
- Venta de datos personales
- Ciertos tipos de perfilamiento que crean riesgos previsibles de trato injusto o daño sustancial al cliente
La ley no proporciona orientación detallada sobre qué factores debe considerar un controlador durante estas evaluaciones. Las evaluaciones de protección de datos realizadas según otras leyes aplicables (como el RGPD u otras leyes de privacidad estatales) satisfacen el requisito de la RIDTPPA si son razonablemente similares en alcance.
Esta obligación se aplica únicamente a las actividades de procesamiento que comiencen a partir del 1 de enero de 2026. No es retroactiva.
Requisitos de Transparencia y Divulgación
La RIDTPPA impone obligaciones específicas de transparencia a los controladores. Según R.I. Gen. Laws 6-48.1-3, las empresas deben:
- Identificar todas las categorías de datos personales recopilados, incluidos los datos biométricos
- Divulgar a todos los terceros que reciben datos personales
- Divulgar de manera clara y visible cuando los datos personales se venden o se usan para publicidad dirigida
- Proporcionar mecanismos de contacto para las consultas de los clientes
- Poner esta información disponible en su acuerdo con el cliente u otro lugar visible de su sitio web
Una característica notable y atípica de la RIDTPPA es el requisito de identificar a los terceros a quienes se ha vendido o se puede vender información de identificación personal. La mayoría de las leyes de privacidad estatales solo exigen la divulgación de categorías de terceros, no de entidades específicas.
Aplicación y Sanciones
El Fiscal General de Rhode Island tiene la autoridad exclusiva de aplicación según R.I. Gen. Laws 6-48.1-8. Los detalles clave de aplicación incluyen:
- Práctica comercial engañosa. Una infracción de la RIDTPPA se trata como una práctica comercial engañosa según el Capítulo 6-13.1 de R.I. Gen. Laws
- $100 a $500 por cada divulgación cuando una persona o entidad divulga intencionalmente datos personales en infracción del capítulo
- Sin derecho de acción privado. Los consumidores individuales no pueden presentar demandas según la RIDTPPA
- Sin período de subsanación obligatorio. A diferencia de muchas otras leyes de privacidad estatales, la RIDTPPA no le da a las empresas la oportunidad de corregir infracciones antes de que se apliquen sanciones
La ausencia de un período de subsanación es una desviación significativa del enfoque adoptado por estados como Virginia e Indiana, que otorgan ventanas de 30 o 60 días para que las empresas corrijan las infracciones. El enfoque de Rhode Island le da al Fiscal General más flexibilidad para iniciar acciones de aplicación de inmediato.
Para presentar una queja sobre posibles infracciones de datos biométricos, contacte a la Oficina del Fiscal General de Rhode Island.
Notificación de Violación: Dónde Encajan los Datos Biométricos en la Ley de Protección contra el Robo de Identidad
Separada de la RIDTPPA, la Ley de Protección contra el Robo de Identidad de Rhode Island (R.I. Gen. Laws 11-49.3) exige notificación cuando una violación de seguridad compromete información personal no encriptada. Según R.I. Gen. Laws 11-49.3-3, información personal se define como un nombre combinado con un número de Seguro Social, número de licencia de conducir o de identificación de Rhode Island, número de cuenta financiera o de tarjeta más un código de acceso, información médica o de seguro de salud, o una dirección de correo electrónico más un código de acceso. Los identificadores biométricos, como huellas dactilares, huellas de voz, retinas e iris, no están en esa lista, por lo que una violación que exponga únicamente datos biométricos no activa, por sí sola, las obligaciones de notificación de este estatuto. Los datos biométricos siguen protegidos por separado, mediante los requisitos de consentimiento y seguridad para datos sensibles de la RIDTPPA descritos anteriormente.
Plazos de notificación:
- Entidades privadas: A más tardar 45 días calendario después de la confirmación de la violación
- Agencias estatales y municipales: A más tardar 30 días calendario después de la confirmación de la violación
- Notificación al Fiscal General: Requerida cuando se ven afectados más de 500 residentes de Rhode Island
- Reporte a las fuerzas del orden: Las agencias estatales y municipales deben reportar los incidentes de ciberseguridad a la Policía Estatal de Rhode Island dentro de 24 horas
Estándar de encriptación. La ley define la encriptación como la transformación de datos mediante el uso de un proceso algorítmico de 128 bits o superior, en una forma con baja probabilidad de asignar significado sin el uso de un proceso o clave confidencial. Los datos protegidos por encriptación de 128 bits o superior no se consideran "no encriptados" y no activan las obligaciones de notificación si la clave de encriptación tampoco fue comprometida.
Contenido requerido de la notificación:
- Descripción del incidente, incluida la forma en que ocurrió la violación y el número de personas afectadas
- Tipo de información comprometida
- Fecha de la violación o plazo estimado
- Fecha en que se descubrió la violación
- Descripción de los servicios de remediación ofrecidos
- Información de contacto de las agencias de crédito, el Fiscal General y los proveedores de servicios relevantes
- Información sobre cómo presentar reportes policiales y obtener congelamientos de seguridad
Servicios de remediación para violaciones gubernamentales. Cuando una agencia estatal o municipal es responsable de una violación, debe proporcionar a los adultos afectados un mínimo de cinco años de cobertura de monitoreo de crédito y protección contra el robo de identidad. Para los menores, la cobertura debe extenderse hasta los 18 años, más un mínimo de dos años adicionales.
Cómo se Compara Rhode Island con Otros Estados
Las protecciones de datos biométricos de Rhode Island se ubican en la categoría de "ley de privacidad integral" junto con estados como Connecticut, Colorado y Virginia. A continuación, se muestra cómo se compara la RIDTPPA en las disposiciones clave:
| Característica | Rhode Island | Illinois (BIPA) | Texas (CUBI) |
|---|---|---|---|
| Tipo de ley | Privacidad integral | Biométrica independiente | Biométrica independiente |
| Consentimiento requerido | Previo para datos sensibles | Consentimiento informado por escrito | Consentimiento informado |
| Derecho de acción privado | No | Sí | No |
| Período de subsanación | Ninguno | N/A | Ninguno |
| Sanciones | $100-$500 por divulgación intencional | $1,000-$5,000/infracción | Hasta $25,000/infracción |
| Aplicación | Solo Fiscal General | Privada + Fiscal General | Solo Fiscal General |
| Datos de empleados cubiertos | No | Sí | Sí |
El vacío más significativo en el marco de Rhode Island en comparación con los estados que tienen leyes biométricas independientes es la exclusión de los datos de los empleados. Tanto la BIPA de Illinois como la CUBI de Texas cubren los datos biométricos recopilados en el lugar de trabajo, mientras que la RIDTPPA exime por completo los datos del contexto laboral.
Más Leyes de Rhode Island
- Leyes de Grabación de Reuniones con IA de Rhode Island
- Leyes de Pensión Alimenticia de Rhode Island
- Leyes de Empleo a Voluntad de Rhode Island
- Leyes de Accidentes de Auto de Rhode Island
- Leyes de Asientos de Auto para Niños de Rhode Island
- Leyes de Custodia de Menores de Rhode Island
- Leyes de Manutención Infantil de Rhode Island
- Leyes de Matrimonio de Hecho de Rhode Island
- Leyes sobre Deepfakes de Rhode Island
- Leyes de Divorcio de Rhode Island
- Leyes sobre Mordeduras de Perro de Rhode Island
- Leyes de Emancipación de Rhode Island
- Leyes de Eliminación de Antecedentes Penales de Rhode Island
- Leyes sobre Choque y Fuga de Rhode Island
- Leyes de Propietarios e Inquilinos de Rhode Island
- Leyes de Vehículos Defectuosos (Ley del Limón) de Rhode Island
Fuentes y Referencias
Este artículo hace referencia a estatutos de Rhode Island y publicaciones oficiales del gobierno estatal. Para el texto completo de la RIDTPPA, visite el sitio web de la Asamblea General de Rhode Island. Para la Ley de Protección contra el Robo de Identidad, consulte el Capítulo 11-49.3 de R.I. Gen. Laws. Para obtener orientación sobre cómo presentar quejas, visite al Fiscal General de Rhode Island.
Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de Rhode Island. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de las fuentes gubernamentales oficiales de Rhode Island.
Preguntas frecuentes
¿Tiene Rhode Island una ley independiente de privacidad biométrica?
No. Rhode Island no cuenta con un estatuto dedicado a la privacidad biométrica. En cambio, la Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island (RIDTPPA), vigente desde el 1 de enero de 2026, clasifica los datos biométricos como datos sensibles dentro de su marco integral de privacidad del consumidor. La RIDTPPA exige a las empresas obtener consentimiento previo antes de procesar datos biométricos con fines de identificación, pero no incluye las disposiciones detalladas de retención, destrucción y derecho de acción privado que se encuentran en la BIPA de Illinois.
¿Puedo demandar a una empresa en Rhode Island por recopilar mis datos biométricos sin consentimiento?
No según la RIDTPPA. El Fiscal General de Rhode Island tiene la autoridad exclusiva de aplicación, y la ley no incluye un derecho de acción privado. Si cree que una empresa recopiló sus datos biométricos sin consentimiento, puede presentar una queja ante la Oficina del Fiscal General de Rhode Island en [riag.ri.gov/forms/consumer-complaint](https://riag.ri.gov/forms/consumer-complaint). El Fiscal General puede investigar y buscar multas de $100 a $500 por cada divulgación intencional no autorizada de datos personales.
¿Protege la RIDTPPA mis datos biométricos en el trabajo?
No. La RIDTPPA no regula los datos en un contexto laboral porque la ley solo protege a los clientes, y su definición de cliente excluye a las personas que actúan en un contexto comercial o laboral, o como empleado, propietario, director, funcionario o contratista. Si su empleador recopila huellas dactilares para el control de horarios, usa reconocimiento facial para el acceso a edificios, o exige escaneos biométricos, la RIDTPPA no regula esa actividad. Rhode Island no cuenta con una ley separada que rija el uso de datos biométricos por parte de los empleadores. La ley de notificación de violaciones (R.I. Gen. Laws 11-49.3) puede aplicarse si un empleador sufre una violación de datos, pero solo para las categorías de información personal que cubre ese estatuto, como un número de Seguro Social, número de licencia de conducir o número de cuenta financiera, no datos biométricos por sí solos.
¿Qué estándar de encriptación exige Rhode Island para proteger los datos biométricos?
La Ley de Protección contra el Robo de Identidad de Rhode Island (R.I. Gen. Laws 11-49.3) define la encriptación como la transformación de datos mediante un proceso algorítmico de 128 bits o superior, pero ese estándar aplica a las categorías de información personal que realmente cubre el estatuto, como números de Seguro Social, números de licencia de conducir, números de cuenta financiera o de tarjeta, información médica o de seguro de salud, y direcciones de correo electrónico con código de acceso. Los identificadores biométricos no están en esa lista, por lo que encriptar datos biométricos no tiene ningún efecto en las obligaciones de notificación de este estatuto en ningún sentido. La RIDTPPA exige por separado que los controladores implementen prácticas razonables de seguridad de datos administrativas, técnicas y físicas para proteger todos los datos personales, incluidos los identificadores biométricos.
¿Con qué rapidez debe una empresa notificarme sobre una violación de datos biométricos en Rhode Island?
La ley de notificación de violaciones de Rhode Island no trata los datos biométricos por sí solos como información personal cubierta, por lo que una violación que exponga únicamente identificadores biométricos no activa, por sí sola, esta obligación de notificación. Cuando una violación sí involucra información personal cubierta por el estatuto, como un número de Seguro Social, número de licencia de conducir o número de cuenta financiera, las entidades privadas deben notificar a los residentes de Rhode Island afectados a más tardar 45 días calendario después de confirmar la violación. Las agencias estatales y municipales enfrentan un plazo más corto de 30 días calendario. Si se ven afectados más de 500 residentes, la entidad también debe notificar al Fiscal General de Rhode Island. Las agencias estatales deben además reportar los incidentes de ciberseguridad a la Policía Estatal de Rhode Island dentro de 24 horas.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se aclaró que la multa de $100 a $500 de Rhode Island aplica solo a divulgaciones intencionales, y se corrigió la comparación entre las definiciones de datos biométricos de la RIDTPPA y la BIPA de Illinois.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Se corrigió la cifra de sanción de la RIDTPPA (de 'hasta $10,000 por infracción', no verificada, a la multa real de $100-$500 por cada divulgación intencional de datos personales según R.I. Gen. Laws 6-48.1-8(a)(2)) y se corrigió el umbral de notificación al Fiscal General de '500 o más' a 'más de 500' residentes afectados, conforme a R.I. Gen. Laws 11-49.3-4.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
Rhode Island General Laws, Title 6: Commercial Law
§ 6-48.1-4Processing of information. [Effective January 1, 2026.]Vigentecitada en 6 de nuestros artículos
(a) This section shall apply to for-profit entities that conduct business in the state or for-profit entities that produce products or services that are targeted to residents of the state and that during the preceding calendar year did any of the following: (1) Controlled or processed the personal data of not less than thirty-five thousand (35,000) customers, excluding personal data controlled or processed solely for the purpose of completing a payment transaction. (2) Controlled or processed the personal data of not less than ten thousand (10,000) customers and derived more than twenty percent (20%) of their gross revenue from the sale of personal data. (b) The controller shall establish, implement, and maintain reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data. (c) The controller shall not process sensitive data concerning a customer without obtaining customer consent and shall not process sensitive data of a known child unless consent is obtained and the information is processed in accordance with COPPA.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
§ 6-48.1-2Definitions. [Effective January 1, 2026.]Vigentecitada en 6 de nuestros artículos
As used in this chapter: (1) “Affiliate” means any entity that shares common branding with another legal entity directly or indirectly, controls, is controlled by, or is under common control with another legal entity. For this purpose, “control” or “controlled” means ownership of, or the power to vote, more than fifty percent (50%) of the outstanding shares of any class of voting security of a company; control in any manner over the election of a majority of the directors or of individuals exercising similar functions; or the power to exercise controlling influence over the management of a company. (2) “Authenticate” means to use reasonable means to determine that a request to exercise any of the rights afforded under this chapter is being made by, or on behalf of, the customer who is entitled to exercise such customer rights with respect to the personal data at issue. (3) “Biometric data” means data generated by automatic measurements of an individual’s biological characteristics, such as a fingerprint, a voiceprint, eye retinas, irises, or other unique biological patterns or characteristics that are used to identify a specific individual.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
§ 6-48.1-3Information sharing practices. [Effective January 1, 2026.]Vigentecitada en 5 de nuestros artículos
(a) Any commercial website or internet service provider conducting business in Rhode Island or with customers in Rhode Island or otherwise subject to Rhode Island jurisdiction, shall designate a controller. If a commercial website or internet service provider collects, stores, and sells customers’ personally identifiable information, then the controller shall, in its customer agreement or incorporated addendum, or in another conspicuous location on its website or online service platform where similar notices are customarily posted: (1) Identify all categories of personal data that the controller collects through the website or online service about customers; (2) Identify all third parties to whom the controller has sold or may sell customers’ personally identifiable information; and (3) Identify an active electronic mail address or other online mechanism that the customer may use to contact the controller. (b) If a controller sells personal data to third parties or processes personal data for targeted advertising, the controller shall clearly and conspicuously disclose such processing.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
§ 6-48.1-5Customer rights. [Effective January 1, 2026.]Vigentecitada en 7 de nuestros artículos
(a) This section shall apply to for-profit entities that conduct business in the state or for-profit entities that produce products or services that are targeted to residents of the state and that during the preceding calendar year did any of the following: (1) Controlled or processed the personal data of not less than thirty-five thousand (35,000) customers, excluding personal data controlled or processed solely for the purpose of completing a payment transaction. (2) Controlled or processed the personal data of not less than ten thousand (10,000) customers and derived more than twenty percent (20%) of their gross revenue from the sale of personal data. (b) No controller shall discriminate against a customer for exercising their customer rights. (c) No controller shall deny goods or services, charge different prices or rates for goods or services, or provide a different level of quality of goods or services to the customer if the customer opts out to use of their data. However, if a customer opts out of data collection, the covered entity is not required to provide a service that requires this data collection.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
También citada en: Cómo solicitar sus datos personales: derechos por estado
§ 6-48.1-7Controller and processor responsibilities. [Effective January 1, 2026.]Vigentecitada en 3 de nuestros artículos
(a) This section shall apply to for-profit entities that conduct business in the state or for-profit entities that produce products or services that are targeted to residents of the state and that during the preceding calendar year did any of the following: (1) Controlled or processed the personal data of not less than thirty-five thousand (35,000) customers, excluding personal data controlled or processed solely for the purpose of completing a payment transaction. (2) Controlled or processed the personal data of not less than ten thousand (10,000) customers and derived more than twenty percent (20%) of their gross revenue from the sale of personal data. (b) A processor shall adhere to the instructions of a controller and shall assist the controller in meeting the controller’s obligations of this chapter. (c) A contract between a controller and a processor shall govern the processor’s data processing procedures with respect to processing performed on behalf of the controller.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
§ 6-48.1-8Violations. [Effective January 1, 2026.]Vigentecitada en 6 de nuestros artículos
(a) A violation of this chapter constitutes a violation of the general regulatory provisions of commercial law in this title and shall constitute a deceptive trade practice in violation of chapter 13.1 of this title; provided, further, that in the event that any individual or entity intentionally discloses personal data: (1) To a shell company or any entity that has been formed or established solely, or in part, for the purposes of circumventing the intent of this chapter; or (2) In violation of any provision of this chapter, that individual or entity shall pay a fine of not less than one hundred dollars ($100) and no more than five hundred dollars ($500) for each such disclosure. (b) The attorney general shall have sole enforcement authority of the provisions of this chapter and may enforce a violation of this chapter pursuant to: (1) The provisions of this section; or (2) General regulatory provisions of commercial law in this title, or both. (c) Nothing in this section shall be construed to authorize any private right of action to enforce any provision of this chapter, any regulation hereunder, or any other provisions of law.
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
Rhode Island General Laws, Title 11: Criminal Offenses, Chapter 11-49.3: Identity Theft Protection Act of 2015
§ 11-49.3-4Notification of breachVigentecitada en 3 de nuestros artículos
(a)(1) Any municipal agency, state agency, or person who or that stores, owns, collects, processes, maintains, acquires, uses, or licenses data that includes personal information shall provide notification as set forth in this section of any disclosure of personal information, or any breach of the security of the system, that poses a significant risk of identity theft to any resident of Rhode Island whose personal information was, or is reasonably believed to have been, acquired by an unauthorized person or entity. (2) The notification shall be made in the most expedient time possible, subject to the following: (i) For state and municipal agencies, no later than thirty (30) calendar days after confirmation of the breach and the ability to ascertain the information required to fulfill the notice requirements contained in subsection (d), and shall be consistent with the legitimate needs of law enforcement as provided in subsection (b).
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
§ 11-49.3-3DefinitionsVigentecitada en 2 de nuestros artículos
(a) The following definitions apply to this chapter: (1) “Breach of the security of the system” means unauthorized access or acquisition of unencrypted, computerized data information that compromises the security, confidentiality, or integrity of personal information maintained by the municipal agency, state agency, or person. Good-faith acquisition of personal information by an employee or agent of the agency for the purposes of the agency is not a breach of the security of the system; provided, that the personal information is not used or subject to further unauthorized disclosure. (2) “Classified data” means any data that is not public (private, sensitive, confidential). Classified data requires additional security controls, such as access restrictions and encryption. Classified data includes personally identifiable information (PII), personally identifiable health information (PHI), or federal tax information (FTI). (3) “Cybersecurity incident” means unauthorized access that could jeopardize the confidentiality, integrity, or availability of critical information systems and critical infrastructure systems (i.e., first responder networks, water, energy).
Texto oficial (extracto) · verificado el 2026-07-30 · Lea el texto completo en nuestra biblioteca legal · Verifique en webserver.rilegislature.gov
Fuentes y referencias
- Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island (RIDTPPA)(rilegislature.gov).gov
- R.I. Gen. Laws 6-48.1-2: Definiciones de la RIDTPPA(rilegislature.gov).gov
- R.I. Gen. Laws 6-48.1-4: Procesamiento de Información(rilegislature.gov).gov
- R.I. Gen. Laws 6-48.1-5: Derechos del Cliente(rilegislature.gov).gov
- R.I. Gen. Laws 6-48.1-7: Responsabilidades del Controlador y del Encargado del Procesamiento(rilegislature.gov).gov
- R.I. Gen. Laws 6-48.1-8: Infracciones(rilegislature.gov).gov
- R.I. Gen. Laws 6-48.1-3: Prácticas de Intercambio de Información(rilegislature.gov).gov
- R.I. Gen. Laws 11-49.3-4: Notificación de Violación(rilegislature.gov).gov
- H.B. 7787, Sustituto A Enmendado (Proyecto de Ley Promulgado)(rilegislature.gov).gov
- Fiscal General de Rhode Island: Formulario de Queja del Consumidor(riag.ri.gov).gov