Cumplimiento de la Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

¿Qué es la RIDTPPA?

La Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA), ley de transparencia de datos y protección de la privacidad de Rhode Island, es la ley integral de privacidad del consumidor de Rhode Island. Otorga a los residentes de Rhode Island derechos sobre sus datos personales y fija obligaciones para las empresas que los recogen y tratan. La ley sigue de cerca el modelo de estados como Connecticut y Virginia.

Según la RIDTPPA, los residentes de Rhode Island tienen derecho a:

• Confirmar si una empresa trata sus datos personales y acceder a esos datos
• Rectificar los datos personales inexactos
• Suprimir sus datos personales
• Obtener una copia portable de sus datos personales
• Excluirse (opt-out) de la publicidad dirigida, de la venta de sus datos personales y de la elaboración de perfiles utilizada para decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar

Las empresas también deben obtener el consentimiento antes de tratar datos sensibles, como datos de salud, geolocalización precisa, datos biométricos, datos que revelen el origen racial o étnico, o datos recogidos de un menor del que se tenga conocimiento.

La ley concede especial importancia a la transparencia. Los sitios web que recogen y venden datos personales de clientes de Rhode Island deben publicar un aviso de privacidad que describa las categorías de datos personales recogidos e identifique a los terceros a los que se han vendido o pueden venderse esos datos. Este requisito de aviso está redactado de forma más amplia que el resto de la ley, por lo que puede aplicarse incluso a sitios web que no alcanzan los umbrales indicados a continuación.

¿Qué ocurre si no cumplo la RIDTPPA?

Una infracción de la RIDTPPA se considera una práctica comercial engañosa según la legislación de Rhode Island. Puntos clave sobre su aplicación:

• El fiscal general de Rhode Island tiene la competencia exclusiva para hacer cumplir la ley.
• Las infracciones pueden dar lugar a sanciones civiles conforme a la ley de prácticas comerciales engañosas de Rhode Island, que pueden alcanzar los 10.000 $ por infracción.
• Quien comunique intencionadamente datos personales infringiendo la ley también puede recibir una multa de entre 100 $ y 500 $ por cada comunicación.
• La ley no prevé un periodo de subsanación, por lo que no se garantiza a las empresas la oportunidad de corregir un problema antes de que se inicien las medidas de ejecución.
• No existe un derecho de acción privada, por lo que los consumidores no pueden demandar directamente a las empresas al amparo de la ley.

Cómo cumplir la RIDTPPA

Si su tienda online vende a residentes de Rhode Island, la mayor parte del trabajo práctico tiene que ver con las cookies y el seguimiento. Los píxeles de marketing, las etiquetas de analítica y las cookies publicitarias suelen considerarse publicidad dirigida o “venta” de datos personales según las leyes estatales de privacidad, por lo que deben respetar las decisiones de cada visitante.

Pasos prácticos para una tienda Shopify:

• Ofrezca una exclusión clara. Dé a los visitantes una forma sencilla de excluirse de la publicidad dirigida y de la venta de sus datos personales, como un enlace “Do not sell or share my personal information” (No vender ni compartir mi información personal), y asegúrese de que el seguimiento se detiene cuando lo hagan.
• Plantéese respetar Global Privacy Control. A diferencia de otros estados, la RIDTPPA no exige expresamente a las empresas reconocer las señales universales de exclusión. Aun así, tratar una señal de Global Privacy Control (GPC) como una exclusión es una forma sensata de respetar las decisiones de los visitantes de manera coherente en todos los estados.
• Obtenga el consentimiento para los datos sensibles. No trate datos sensibles sin el consentimiento del consumidor, y revise sus apps y formularios por si alguno los recoge.
• Actualice su aviso de privacidad. Describa los datos personales que recoge, por qué los recoge, cómo pueden ejercer sus derechos los consumidores y los terceros a los que se han vendido o pueden venderse datos personales. Su lista de cookies es un buen punto de partida para identificar a sus socios de publicidad y analítica.
• Atienda las solicitudes de los consumidores. Establezca una forma fiable para que los clientes soliciten el acceso, la rectificación, la supresión o una copia de sus datos, y responda en el plazo exigido.

Una plataforma de gestión del consentimiento facilita mucho mantener estos pasos. Pandectes GDPR Compliance está diseñada para tiendas Shopify y ofrece un banner de cookies con opciones de exclusión para los estados de EE. UU., un enlace “Do not sell or share my personal information” y compatibilidad con la señal Global Privacy Control. Detecta y clasifica automáticamente las cookies de su tienda, genera una declaración de cookies, conserva registros del consentimiento y le ayuda a gestionar las solicitudes de los interesados. La configuración del banner por región usa la geolocalización para mostrar la experiencia adecuada a los visitantes de Rhode Island y de otros estados.

Para conocer el origen de la ley, lea nuestro artículo Rhode Island pone en marcha la Data Transparency and Privacy Protection Act (en inglés).

Las leyes de privacidad difieren en los detalles y siguen cambiando, así que revise su configuración con un asesor legal cuando proceda.