Яшчэ адзін штат, некалькі новых дэталей

Minnesota Consumer Data Privacy Act (MCDPA) набыў моц 31 ліпеня 2025 года. На першы погляд ён ідзе за мадэллю, агульнай для большасці законаў пра прыватнасць у штатах ЗША: правы на доступ, выпраўленне і выдаленне даных і права адмовіцца ад таргетаванай рэкламы, продажу персанальных даных і пэўнага прафілявання. Але Мінесота дадала шэраг патрабаванняў, што ідуць далей, чым у суседзяў, і некаторыя з іх датычацца таго, як выдаўцы дакументуюць і тлумачаць сваю працу з данымі.

У гэтым артыкуле расказваецца, што варта ведаць выдаўцам з рэкламнай мадэллю. Гэта агляд, а не юрыдычная кансультацыя.

Каго гэта датычыцца

MCDPA прымяняецца да арганізацый, якія вядуць дзейнасць у Мінесоце або прапануюць прадукты ці паслугі, арыентаваныя на жыхароў Мінесоты, і якія на працягу каляндарнага года альбо:

• кантралююць ці апрацоўваюць персанальныя даныя 100 000 і больш спажыўцоў Мінесоты, за выключэннем даных, што апрацоўваюцца выключна для завяршэння плацёжнай транзакцыі; альбо
• атрымліваюць больш за 25% валавога даходу ад продажу персанальных даных і кантралююць ці апрацоўваюць персанальныя даныя 25 000 і больш спажыўцоў Мінесоты.

Малы бізнес у разуменні Упраўлення па справах малога бізнесу ЗША, як правіла, вызвалены, але не можа прадаваць адчувальныя даныя без згоды спажыўца. Для выдаўца «спажыўцы» могуць уключаць наведвальнікаў сайта і дадатку, ідэнтыфікаваных па cookie або ідэнтыфікатарах прылад, таму сайт з сціплым трафікам з Мінесоты ўсё ж можа дасягнуць парога.

Правы, якія павінны падтрымліваць выдаўцы

Жыхары Мінесоты атрымліваюць звыклы набор правоў:

• Пацвердзіць, ці апрацоўваюцца іх даныя, і атрымаць да іх доступ.
• Выправіць недакладныя даныя і выдаліць даныя.
• Атрымаць пераносную копію.
• Адмовіцца ад таргетаванай рэкламы, продажу персанальных даных і прафілявання, што служыць асновай для рашэнняў, якія нараджаюць юрыдычныя ці аналагічна значныя наступствы.

Для выдаўцоў з рэкламнай мадэллю адмовы ад таргетаванай рэкламы і продажу датычацца рэкламнага стэку штодня.

Што асаблівае ў Мінесоце

Права аспрэчыць прафіляванне

Калі спажыўца падвергнулі прафіляванню, якое прывяло да рашэння з юрыдычнымі ці аналагічна значнымі наступствамі, ён можа аспрэчыць вынік, атрымаць тлумачэнне прычын і, калі рашэнне грунтавалася на недакладных данных, дамагчыся выпраўлення даных і паўторнай ацэнкі рашэння. Большасць выдаўцоў не прымаюць такіх рашэнняў пра наведвальнікаў, але варта пераканацца, што ніводзін з вашых інструментаў гэтага не робіць.

Спіс канкрэтных трэціх бакоў

Спажыўцы могуць запытаць спіс канкрэтных трэціх бакоў, якім кантралёр раскрыў іх персанальныя даныя, або, калі кантралёр не захоўвае такую інфармацыю па кожным спажыўцу, спіс канкрэтных трэціх бакоў, якім ён наогул раскрываў персанальныя даныя. Для выдаўцоў, што працуюць з многімі рэкламнымі тэхналагічнымі партнёрамі, гэта робіць дакладны рэестр вендараў практычнай неабходнасцю.

Інвентарызацыя даных

Кантралёры абавязаны весці інвентарны пералік апрацоўваных персанальных даных. У спалучэнні з патрабаваннем пра спіс трэціх бакоў гэта падштурхоўвае выдаўцоў да дакументаванага веду пра тое, якія тэгі што збіраюць і куды гэта трапляе.

Універсальныя механізмы адмовы

Кантралёры абавязаны выконваць адмову спажыўца, адпраўленую праз прызнаны універсальны механізм адмовы, напрыклад сігнал прыватнасці браўзера. Сайтам варта разглядаць такія сігналы як адмову ад таргетаванай рэкламы і продажу для карыстальнікаў з Мінесоты.

Ацэнкі абароны даных

Апрацоўка для таргетаванай рэкламы, продажу персанальных даных, прафілявання са значнымі рызыкамі і апрацоўка адчувальных даных патрабуюць дакументаванай ацэнкі канфідэнцыйнасці і абароны даных.

Прымяненне закона

Закон прымяняецца генеральным пракурорам Мінесоты; права на прыватны іск няма. 30-дзённы тэрмін для ліквідацыі парушэнняў дзейнічаў толькі да 31 студзеня 2026 года, таму з таго часу генеральны пракурор не абавязаны даваць магчымасць выправіць праблему, перш чым дзейнічаць. Грамадзянскія штрафы могуць дасягаць 7 500 долараў за парушэнне.

Што выдаўцам варта праверыць

1. Парог. Ацаніце, даныя колькіх спажыўцоў Мінесоты вы апрацоўваеце штогод, уключна з ідэнтыфікаванымі прыладамі.
2. Спасылка і працэс адмовы. Пераканайцеся, што наведвальнікі з ЗША могуць адмовіцца ад таргетаванай рэкламы і продажу і што выбар даходзіць да вашых рэкламных партнёраў.
3. Сігналы. Выконвайце сігналы адмовы браўзера, такія як Global Privacy Control, і перадавайце атрыманы выбар далей праз IAB Global Privacy Platform (GPP) або той сігнал, які чытаюць вашы партнёры.
4. Рэестр вендараў. Трымайце актуальны спіс усіх трэціх бакоў, што атрымліваюць персанальныя даныя, гатовы да адказу на запыт пра спіс трэціх бакоў.
5. Інвентарызацыя даных. Дакументуйце, што збірае кожны тэг і SDK і навошта.
6. Ацэнкі. Складзіце і захоўвайце ацэнку абароны даных, якая ахоплівае таргетаваную рэкламу.
7. Паведамленне пра канфідэнцыйнасць. Абнавіце яго, апісаўшы правы ў Мінесоце і спосабы іх рэалізацыі.

Як упісаць Мінесоту ў шматштатную наладу

Замест асобнага карыстальніцкага шляху для кожнага штата большасць выдаўцоў выкарыстоўваюць адзін амерыканскі працэс адмовы, які ахоплівае найстражэйшыя агульныя патрабаванні, і дадаюць спецыфіку штатаў там, дзе трэба. Дапаўненні Мінесоты — спіс трэціх бакоў, інвентарызацыя даных і права на прафіляванне — гэта пераважна абавязкі па дакументаванні і апрацоўцы запытаў, а не змены банера, таму праца кладзецца на таго, хто адказвае за ваш рэестр вендараў і запыты пра прыватнасць.

Галоўныя высновы

• MCDPA дзейнічае з 31 ліпеня 2025 года для арганізацый, што дасягаюць парогаў 100 000 спажыўцоў або 25 000 плюс 25% даходу.
• Адмовы ахопліваюць таргетаваную рэкламу, продаж і значнае прафіляванне, а універсальныя сігналы адмовы неабходна выконваць.
• Спажыўцы могуць запытаць спіс канкрэтных трэціх бакоў, што атрымалі іх даныя.
• Патрэбны інвентарызацыя даных і ацэнкі абароны даных.
• Тэрмін для ліквідацыі парушэнняў скончыўся 31 студзеня 2026 года; прымяненне закона здзяйсняе генеральны пракурор.