Voldoen aan de Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

Wat is de RIDTPPA?

De Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) is de uitgebreide consumentenprivacywet van Rhode Island. De wet geeft inwoners van Rhode Island rechten over hun persoonsgegevens en legt verplichtingen op aan de bedrijven die die gegevens verzamelen en verwerken. De wet volgt grotendeels het model van staten als Connecticut en Virginia.

Onder de RIDTPPA hebben inwoners van Rhode Island het recht om:

• Te laten bevestigen of een bedrijf hun persoonsgegevens verwerkt, en die gegevens in te zien
• Onjuiste persoonsgegevens te laten corrigeren
• Persoonsgegevens te laten verwijderen
• Een overdraagbare kopie van hun persoonsgegevens te krijgen
• Zich af te melden (opt-out) voor gerichte advertenties, de verkoop van hun persoonsgegevens en profilering die wordt gebruikt voor volledig geautomatiseerde besluiten met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen

Bedrijven moeten ook toestemming vragen voordat ze gevoelige gegevens verwerken, zoals gezondheidsgegevens, precieze geolocatie, biometrische gegevens, gegevens waaruit ras of etnische afkomst blijkt, of gegevens die zijn verzameld van een kind van wie bekend is dat het een kind is.

De wet legt bijzondere nadruk op transparantie. Websites die persoonsgegevens van klanten in Rhode Island verzamelen en verkopen, moeten een privacyverklaring publiceren die de categorieën verzamelde persoonsgegevens beschrijft en de derden noemt aan wie die gegevens zijn of kunnen worden verkocht. Deze verplichting is ruimer geformuleerd dan de rest van de wet, waardoor ze ook kan gelden voor websites die onder de hieronder genoemde drempels blijven.

Wat gebeurt er als ik me niet aan de RIDTPPA houd?

Een overtreding van de RIDTPPA geldt onder het recht van Rhode Island als misleidende handelspraktijk. De belangrijkste punten over handhaving:

• Alleen de Attorney General van Rhode Island is bevoegd om de wet te handhaven.
• Overtredingen kunnen leiden tot civiele boetes onder de wet van Rhode Island op misleidende handelspraktijken, die kunnen oplopen tot $10.000 per overtreding.
• Wie opzettelijk persoonsgegevens openbaar maakt in strijd met de wet, kan daarnaast een boete krijgen van $100 tot $500 per openbaarmaking.
• De wet kent geen hersteltermijn, dus bedrijven hebben geen garantie dat ze een probleem kunnen oplossen voordat de handhaving begint.
• Er is geen eigen vorderingsrecht, dus consumenten kunnen bedrijven niet rechtstreeks op grond van de wet aanklagen.

Aan de RIDTPPA voldoen

Verkoopt je webwinkel aan inwoners van Rhode Island, dan draait het praktische werk vooral om cookies en tracking. Marketingpixels, analysetags en advertentiecookies gelden onder de privacywetten van de staten vaak als gerichte advertenties of als “verkoop” van persoonsgegevens, dus ze moeten de keuzes van elke bezoeker respecteren.

Praktische stappen voor een Shopify-winkel:

• Bied een duidelijke opt-out. Geef bezoekers een eenvoudige manier om zich af te melden voor gerichte advertenties en de verkoop van hun persoonsgegevens, zoals een link “Do not sell or share my personal information”, en zorg dat tracking stopt zodra ze dat doen.
• Overweeg Global Privacy Control te respecteren. Anders dan in een aantal andere staten verplicht de RIDTPPA bedrijven niet specifiek om universele opt-outsignalen te herkennen. Een Global Privacy Control-signaal (GPC) als opt-out behandelen is toch een verstandige manier om de keuzes van bezoekers in alle staten consequent te respecteren.
• Vraag toestemming voor gevoelige gegevens. Verwerk geen gevoelige gegevens zonder toestemming van de consument, en controleer je apps en formulieren op alles wat zulke gegevens verzamelt.
• Werk je privacyverklaring bij. Beschrijf welke persoonsgegevens je verzamelt, waarom je ze verzamelt, hoe consumenten hun rechten kunnen uitoefenen en aan welke derden persoonsgegevens zijn of kunnen worden verkocht. Je cookielijst is een goed startpunt om je advertentie- en analysepartners in kaart te brengen.
• Handel verzoeken van consumenten af. Zorg voor een betrouwbare manier waarop klanten inzage, correctie, verwijdering of een kopie van hun gegevens kunnen aanvragen, en reageer binnen de vereiste termijn.

Met een consent management platform zijn deze stappen veel eenvoudiger bij te houden. Pandectes GDPR Compliance is gemaakt voor Shopify-winkels en biedt een cookiebanner met opt-outopties voor Amerikaanse staten, een link “Do not sell or share my personal information” en ondersteuning voor het Global Privacy Control-signaal. Het scant en deelt de cookies in je winkel automatisch in, maakt een cookieverklaring, bewaart toestemmingslogs en helpt je verzoeken van betrokkenen af te handelen. Bannerinstellingen per regio gebruiken geolocatie om bezoekers uit Rhode Island en andere staten de juiste ervaring te tonen.

Wil je weten hoe de wet tot stand kwam? Lees ons artikel Rhode Island voert de Data Transparency and Privacy Protection Act in (in het Engels).

Privacywetten verschillen in de details en blijven veranderen, dus bekijk je instellingen waar nodig samen met een jurist.