Rhode Island
Leyes de Notificación de Violación de Datos de Rhode Island: Reglas de Reporte y Plazos (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 5 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Conforme a la Ley de Protección contra el Robo de Identidad de Rhode Island, R.I. Gen. Laws 11-49.3, las empresas privadas deben notificar a los residentes afectados dentro de los 45 días posteriores a la confirmación de una violación de datos. Cuando se ven afectados más de 500 residentes de Rhode Island, las empresas también deben notificar al Fiscal General y a las principales agencias de informes crediticios.
Si su empresa maneja información personal perteneciente a residentes de Rhode Island, una violación de datos activa obligaciones legales específicas bajo la Ley de Protección contra el Robo de Identidad del estado de 2015. Codificada en R.I. Gen. Laws 11-49.3, la ley establece quién debe notificar, qué información activa la notificación, el plazo para actuar, y las sanciones por incumplimiento.
Rhode Island reemplazó su estatuto original de notificación de violaciones (Capítulo 11-49.2) con este marco más completo, que entró en vigencia el 2 de julio de 2016. La ley se aplica a cualquier entidad que almacene, posea, recopile, procese, mantenga, adquiera, use u obtenga licencia de datos computarizados que contengan información personal de residentes de Rhode Island, sin importar dónde esté ubicada la entidad.
Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de Rhode Island, incluyendo cómo se conectan con el marco más amplio de las leyes de privacidad de datos de Rhode Island.
Quién Debe Cumplir con la Ley de Notificación de Violación de Datos de Rhode Island
La ley de Rhode Island se aplica ampliamente. Conforme a la Sección 11-49.3-4, toda agencia municipal, agencia estatal o persona que almacene, posea, recopile, procese, mantenga, adquiera, use u obtenga licencia de datos que incluyan información personal debe cumplir.
El término persona abarca individuos, corporaciones, empresas, sociedades, asociaciones y cualquier otra entidad legal. Las empresas con sede fuera de Rhode Island están sujetas a la ley si poseen datos pertenecientes a residentes de Rhode Island.
Poseedores de Datos de Terceros
La obligación de notificación de Rhode Island no se limita a la entidad que originalmente recopiló los datos. Conforme a la Sección 11-49.3-4, la obligación de notificar recae directamente sobre toda agencia municipal, agencia estatal o persona que almacene, posea, recopile, procese, mantenga, adquiera, use u obtenga licencia de datos que contengan información personal. Esa definición amplia significa que un procesador o proveedor externo que mantiene datos en nombre de otra empresa puede tener sus propias obligaciones independientes de notificación conforme al estatuto, no solo la empresa cuyos clientes se vieron afectados.
Entidades con Sus Propios Procedimientos de Seguridad
Conforme a la Sección 11-49.3-6, las entidades que mantienen sus propios procedimientos de violación de seguridad de la información como parte de una política de privacidad o seguridad de la información se consideran en cumplimiento con este capítulo, siempre que dichos procedimientos sean al menos tan protectores como los requisitos estatales e incluyan notificación conforme a los plazos establecidos.
Las entidades sujetas a HIPAA, la Ley Gramm-Leach-Bliley, u otros marcos federales con requisitos equivalentes de notificación de violaciones pueden seguir esos procedimientos federales en su lugar.
Qué Activa la Notificación
Se requiere notificación cuando existe acceso no autorizado o adquisición de datos computarizados sin cifrar que comprometen la seguridad, confidencialidad o integridad de la información personal, y la violación representa un riesgo significativo de robo de identidad para un residente de Rhode Island.
Este estándar de riesgo de robo de identidad significa que no todo acceso técnico no autorizado activa automáticamente la notificación. La entidad debe evaluar si la naturaleza de la información comprometida crea un riesgo significativo.
Excepción de Buena Fe
La adquisición de buena fe de información personal por parte de un empleado o agente de la entidad no constituye una violación, siempre que los datos no se usen ni divulguen de manera no autorizada.
Información Personal Que Activa la Ley
Conforme a la Sección 11-49.3-3, información personal significa el nombre de pila o la inicial del nombre de pila y el apellido de una persona combinados con uno o más de los siguientes elementos de datos, cuando no estén cifrados:
- Número de Seguro Social
- Número de licencia de conducir, número de tarjeta de identificación de Rhode Island, o número de identificación tribal
- Número de cuenta, número de tarjeta de crédito o débito, combinado con cualquier código de seguridad, código de acceso, contraseña o PIN requerido que permitiera el acceso a la cuenta
- Información médica (cualquier información relacionada con el historial médico, la condición mental o física, o el tratamiento o diagnóstico médico de una persona por parte de un profesional de la salud)
- Información de seguro de salud (número de póliza de seguro de salud, número de identificación de suscriptor, o cualquier identificador único utilizado por una aseguradora de salud)
- Dirección de correo electrónico con cualquier código de seguridad, código de acceso o contraseña requerido que permitiera el acceso a una cuenta personal, médica, de seguro o financiera
La inclusión por parte de Rhode Island de información médica, datos de seguro de salud y credenciales de correo electrónico hace que su definición sea más amplia que la de muchos estados. La información personal no incluye información disponible públicamente obtenida legalmente de registros gubernamentales federales, estatales o locales.
El Puerto Seguro de Cifrado de 128 Bits
Rhode Island es uno de los pocos estados que especifica un estándar mínimo de cifrado en su ley de notificación de violaciones. Conforme a la Sección 11-49.3-3, cifrado significa la transformación de datos mediante el uso de un proceso algorítmico de 128 bits o superior en una forma en la que existe una baja probabilidad de asignarle significado sin el uso de un proceso o clave confidencial.
Si la información personal estaba cifrada según este estándar en el momento de la violación, y la clave de cifrado no fue también adquirida durante el incidente, no se requiere notificación.
Sin embargo, los datos no se consideran cifrados si fueron adquiridos junto con cualquier clave, código de seguridad o contraseña que permitiera el acceso. Una violación que compromete tanto los datos cifrados como la clave de descifrado activa las obligaciones completas de notificación.
Implicaciones Prácticas
Este umbral de 128 bits significa que AES-128, AES-256 y algoritmos modernos similares califican todos. Los métodos de cifrado más débiles o propietarios que no cumplan con el estándar de 128 bits no brindarían protección de puerto seguro.
Plazo de Notificación: 45 Días y 30 Días
Rhode Island impone dos plazos diferentes según el tipo de entidad involucrada.
Entidades Privadas: 45 Días Calendario
Para personas (empresas, corporaciones y otras entidades no gubernamentales), la notificación debe proporcionarse a más tardar 45 días calendario después de la confirmación de la violación y de la capacidad de determinar la información requerida para cumplir con los requisitos de notificación.
Agencias Gubernamentales: 30 Días Calendario
Las agencias estatales y municipales enfrentan un plazo más corto de 30 días calendario después del mismo umbral de confirmación y determinación. Además, conforme a la Sección 11-49.3-7, toda agencia municipal o estatal que detecte un incidente de ciberseguridad debe notificar a la Policía Estatal de Rhode Island dentro de 24 horas de su detección, una obligación más rápida y distinta del aviso de violación de 30 días.
Cuándo Comienza el Plazo
El plazo corre a partir de la fecha en que la entidad confirma que ocurrió una violación y puede determinar los detalles necesarios para la notificación (quién fue afectado, qué datos estuvieron involucrados). La entidad puede tomarse un tiempo razonable para investigar, pero no debe usar la investigación como pretexto para retrasar la notificación.
Las fuerzas del orden pueden solicitar un retraso si la notificación pudiera obstaculizar una investigación criminal. Una vez que las fuerzas del orden determinan que la notificación ya no comprometerá la investigación, el conteo se reanuda.
Quién Debe Ser Notificado
Personas Afectadas
Todo residente de Rhode Island cuya información personal haya sido, o se crea razonablemente que haya sido, adquirida por una persona o entidad no autorizada debe recibir notificación individual.
Fiscal General y Agencias de Informes Crediticios (Umbral de Más de 500)
Conforme a la Sección 11-49.3-4, cuando se debe notificar a más de 500 residentes de Rhode Island, la entidad también debe notificar al Fiscal General de Rhode Island y a las principales agencias de informes crediticios al consumidor (Equifax, Experian y TransUnion). La notificación debe incluir el momento, contenido y distribución de las notificaciones al consumidor, y el número aproximado de personas afectadas.
Métodos de Notificación
Rhode Island permite varios métodos de notificación:
- Notificación escrita enviada a la última dirección postal conocida de la persona
- Notificación electrónica, si es conforme con la Ley E-SIGN federal ( y siguientes)
- Notificación sustituta, si la entidad demuestra que el costo de la notificación individual supera los $25,000, la población afectada supera los 50,000 residentes, o la entidad no cuenta con información de contacto suficiente. La notificación sustituta requiere los tres elementos siguientes: notificación por correo electrónico a las direcciones disponibles, publicación visible en el sitio web de la entidad, y notificación a los medios de comunicación estatales.
Contenido Requerido de la Notificación
Rhode Island es inusualmente específico sobre lo que debe contener la notificación. El aviso debe incluir:
- Una descripción general del incidente, incluyendo cómo ocurrió la violación y el número de personas afectadas
- El tipo de información personal sujeta a la violación
- La fecha de la violación, fecha estimada, o rango de fechas
- La fecha en que se descubrió la violación
- Una descripción de cualquier servicio de remediación ofrecido, incluyendo números gratuitos y sitios web para contactar a las agencias de informes crediticios, los proveedores de servicios de remediación, y al Fiscal General
- Una descripción de la capacidad del consumidor para presentar un reporte policial
- Cómo solicitar un congelamiento de seguridad (security freeze)
- Información sobre las tarifas que podrían requerirse pagar a las agencias de informes crediticios por los congelamientos de seguridad
Sanciones por Incumplimiento
Conforme a la Sección 11-49.3-5, Rhode Island impone sanciones civiles por registro:
- Violaciones imprudentes: Hasta $100 por registro
- Violaciones conscientes e intencionales: Hasta $200 por registro
No existe un límite máximo total establecido por ley para estas sanciones. Para una violación que afecte a miles de registros, la exposición puede crecer rápidamente.
Autoridad de Aplicación
Solo el Fiscal General de Rhode Island puede hacer cumplir este estatuto. Cuando el Fiscal General tiene razones para creer que ha ocurrido una violación y que un proceso judicial sería de interés público, puede presentar una acción en nombre del estado.
Sin Derecho de Acción Privado
La ley de notificación de violaciones de Rhode Island no crea un derecho de acción privado. Las personas no pueden demandar bajo este estatuto por falta de notificación. Sin embargo, las personas afectadas pueden presentar reclamos bajo otras teorías legales, como negligencia o la Ley de Prácticas Comerciales Engañosas del estado, según las circunstancias.
Requisito de Programa de Seguridad de la Información
Rhode Island va más allá de la simple notificación. Conforme a la Sección 11-49.3-2, toda agencia municipal o estatal, o persona, que almacene, recopile, procese, mantenga, adquiera o use información personal debe implementar y mantener un programa de seguridad de la información basado en riesgos, con procedimientos y prácticas de seguridad razonables apropiados para el tamaño de la entidad, la naturaleza de los datos almacenados, y el propósito de la recopilación de la información.
Este requisito se aplica independientemente de si ocurre una violación. Significa que Rhode Island puede responsabilizar a las entidades no solo por no notificar después de una violación, sino también por no mantener una seguridad adecuada para prevenir violaciones en primer lugar.
Más Leyes de Rhode Island
- Leyes de Grabación de Reuniones con IA de Rhode Island
- Leyes de Pensión Alimenticia de Rhode Island
- Leyes de Empleo a Voluntad de Rhode Island
- Leyes de Accidentes Automovilísticos de Rhode Island
- Leyes de Asientos de Auto para Niños de Rhode Island
- Leyes de Custodia de Menores de Rhode Island
- Leyes de Manutención Infantil de Rhode Island
- Leyes de Matrimonio de Hecho de Rhode Island
- Leyes sobre Deepfakes de Rhode Island
- Leyes de Divorcio de Rhode Island
- Leyes sobre Mordeduras de Perro de Rhode Island
- Leyes de Emancipación de Rhode Island
- Leyes de Eliminación de Antecedentes Penales de Rhode Island
- Leyes de Fuga del Lugar del Accidente de Rhode Island
- Leyes de Arrendador-Inquilino de Rhode Island
- Ley del Limón de Rhode Island
Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Rhode Island y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta ante una violación de datos implica obligaciones sujetas a plazos estrictos. Consulte a un abogado calificado con licencia en Rhode Island para obtener orientación específica sobre su situación.
Preguntas frecuentes
¿Con qué rapidez debe una empresa notificar a los residentes de Rhode Island después de una violación de datos?
Las entidades privadas (empresas, corporaciones y otras organizaciones no gubernamentales) deben notificar a los residentes afectados de Rhode Island dentro de los 45 días calendario posteriores a la confirmación de la violación y a la determinación de los detalles de notificación requeridos. Las agencias estatales y municipales enfrentan un plazo más corto de 30 días.
¿Qué estándar de cifrado califica para el puerto seguro de Rhode Island?
Rhode Island exige un cifrado algorítmico de 128 bits o superior para calificar para el puerto seguro. Si la información personal estaba cifrada según este estándar y la clave de cifrado no fue comprometida durante la violación, no se requiere notificación. Algoritmos comunes como AES-128 y AES-256 cumplen con este umbral.
¿Rhode Island exige la notificación al Fiscal General para todas las violaciones de datos?
No. El Fiscal General y las principales agencias de informes crediticios deben ser notificados solo cuando se ven afectados más de 500 residentes de Rhode Island. Las violaciones que afectan a 500 residentes o menos requieren notificación individual a los consumidores afectados, pero no al Fiscal General.
¿Pueden las personas demandar a una empresa por no enviar notificación de violación en Rhode Island?
No. La Ley de Protección contra el Robo de Identidad de Rhode Island no crea un derecho de acción privado. Solo el Fiscal General puede hacer cumplir el estatuto. Sin embargo, las personas pueden presentar reclamos bajo otras teorías legales, como negligencia o las leyes estatales de prácticas comerciales engañosas.
¿La ley de notificación de violaciones de Rhode Island cubre información médica y de seguro de salud?
Sí. La definición de información personal de Rhode Island incluye información médica (historial médico, condiciones mentales o físicas, tratamiento o diagnóstico) e información de seguro de salud (números de póliza, identificaciones de suscriptor, o cualquier identificador único de la aseguradora de salud). Esto hace que la definición de Rhode Island sea más amplia que la de muchos estados que solo cubren datos financieros.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Corrected the Attorney General and credit-bureau notification threshold from '500 or more' to the statute's actual 'more than 500' Rhode Island residents (fixed in five spots), replaced an inaccurate third-party notice-chain description with the law's actual direct-duty rule, restored two missing items in the required notice-content list (date the breach was discovered, and remediation service providers as a contact category), fixed a mislinked statute citation, and added a note on the state's separate 24-hour cybersecurity-incident reporting duty for government agencies.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 4 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
United States Code Title 15
§ 7001General rule of validityVigentecitada en 18 de nuestros artículos
Notwithstanding any statute, regulation, or other rule of law (other than this subchapter and subchapter II), with respect to any transaction in or affecting interstate or foreign commerce— a signature, contract, or other record relating to such transaction may not be denied legal effect, validity, or enforceability solely because it is in electronic form; and a contract relating to such transaction may not be denied legal effect, validity, or enforceability solely because an electronic signature or electronic record was used in its formation. This subchapter does not— limit, alter, or otherwise affect any requirement imposed by a statute, regulation, or rule of law relating to the rights and obligations of persons under such statute, regulation, or rule of law other than a requirement that contracts or other records be written, signed, or in nonelectronic form; or require any person to agree to use or accept electronic records or electronic signatures, other than a governmental agency with respect to a record other than a contract to which it is a party.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en uscode.house.gov
Citada en 132 opiniones judicialesAplicada por un tribunal por última vez: 2026
En los tribunales (resumen editorial, verificado de forma independiente):Los tribunales han aplicado la regla del § 7001 de que las firmas y registros electrónicos tienen efecto legal, incluyendo en Metropolitan Regional Information Systems, Inc. v. American Home Realty Network, Inc. (2012), donde el tribunal rechazó un argumento en contra del mantenimiento de registros electrónicos bajo la Ley E-SIGN.
Casos destacados: Metropolitan Regional Information Systems, Inc. v. American Home Realty Network, Inc. (District Court, D. Maryland 2012, 904 F. Supp. 2d 530) · Cutrone v. Mortgage Electronic Registration Systems, Inc. (District Court, E.D. New York 2013, 981 F. Supp. 2d 144) · Blatt v. Capital One Auto Finance, Inc. (District Court, M.D. Tennessee 2017, 237 F. Supp. 3d 688)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Rhode Island General Laws, Title 11: Criminal Offenses, Chapter 11-49.3: Identity Theft Protection Act of 2015
§ 11-49.3-3DefinitionsVigente
(a) The following definitions apply to this chapter: (1) “Breach of the security of the system” means unauthorized access or acquisition of unencrypted, computerized data information that compromises the security, confidentiality, or integrity of personal information maintained by the municipal agency, state agency, or person. Good-faith acquisition of personal information by an employee or agent of the agency for the purposes of the agency is not a breach of the security of the system; provided, that the personal information is not used or subject to further unauthorized disclosure. (2) “Classified data” means any data that is not public (private, sensitive, confidential). Classified data requires additional security controls, such as access restrictions and encryption. Classified data includes personally identifiable information (PII), personally identifiable health information (PHI), or federal tax information (FTI). (3) “Cybersecurity incident” means unauthorized access that could jeopardize the confidentiality, integrity, or availability of critical information systems and critical infrastructure systems (i.e., first responder networks, water, energy).
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en webserver.rilegislature.gov
§ 11-49.3-4Notification of breachVigentecitada en 3 de nuestros artículos
(a)(1) Any municipal agency, state agency, or person who or that stores, owns, collects, processes, maintains, acquires, uses, or licenses data that includes personal information shall provide notification as set forth in this section of any disclosure of personal information, or any breach of the security of the system, that poses a significant risk of identity theft to any resident of Rhode Island whose personal information was, or is reasonably believed to have been, acquired by an unauthorized person or entity. (2) The notification shall be made in the most expedient time possible, subject to the following: (i) For state and municipal agencies, no later than thirty (30) calendar days after confirmation of the breach and the ability to ascertain the information required to fulfill the notice requirements contained in subsection (d), and shall be consistent with the legitimate needs of law enforcement as provided in subsection (b).
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en webserver.rilegislature.gov
§ 11-49.3-5Penalties for violationVigentecitada en 2 de nuestros artículos
(a) Each reckless violation of this chapter is a civil violation for which a penalty of not more than one hundred dollars ($100) per record may be adjudged against a defendant. (b) Each knowing and willful violation of this chapter is a civil violation for which a penalty of not more than two hundred dollars ($200) per record may be adjudged against a defendant. (c) Whenever the attorney general has reason to believe that a violation of this chapter has occurred and that proceedings would be in the public interest, the attorney general may bring an action in the name of the state against the business or person in violation.
Texto oficial (extracto) · al 2026-07-30 · Lea la sección completa en webserver.rilegislature.gov
Explore la ley
Este artículo también se apoya en estas leyes y capítulos (abriendo en su primera sección): Rhode Island General Laws, Title 11: Criminal Offenses, Chapter 11-49.3: Identity Theft Protection Act of 2015 § 11-49.3-1 (Short title)
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- R.I. Gen. Laws Capítulo 11-49.3 - Ley de Protección contra el Robo de Identidad de 2015(webserver.rilegislature.gov).gov
- Sección 11-49.3-3 - Definiciones(webserver.rilegislature.gov).gov
- Sección 11-49.3-4 - Notificación de Violación(webserver.rilegislature.gov).gov
- Sección 11-49.3-5 - Sanciones por Violación(webserver.rilegislature.gov).gov
- Fiscal General de Rhode Island - Notificaciones de Violación de Datos(riag.ri.gov).gov