Още един щат, някои нови нюанси

Minnesota Consumer Data Privacy Act (MCDPA) влезе в сила на 31 юли 2025 г. На пръв поглед той следва модела, общ за повечето закони за поверителност на щатите в САЩ: права на достъп, коригиране и изтриване на данни и право на отказ от целева реклама, продажба на лични данни и определено профилиране. Но Минесота е добавила няколко изисквания, които отиват по-далеч от съседите, и някои от тях засягат начина, по който издателите документират и обясняват практиките си с данни.

Тази статия разглежда какво трябва да знаят издателите, финансирани от реклама. Това е преглед, а не правен съвет.

Кого обхваща

MCDPA се прилага за организации, които правят бизнес в Минесота или предлагат продукти или услуги, насочени към жители на Минесота, и които през календарна година или:

• контролират или обработват личните данни на 100 000 или повече потребители от Минесота, като се изключват данните, обработвани единствено за извършване на платежна транзакция; или
• получават над 25% от брутните приходи от продажба на лични данни и контролират или обработват личните данни на 25 000 или повече потребители от Минесота.

Малките предприятия по определението на Американската администрация за малкия бизнес по принцип са изключени, но не могат да продават чувствителни данни без съгласието на потребителя. За издателя „потребителите“ могат да включват посетители на уебсайт и приложение, идентифицирани чрез бисквитки или идентификатори на устройства, така че сайт със скромен трафик от Минесота пак може да достигне прага.

Правата, които издателите трябва да поддържат

Жителите на Минесота получават познатия набор от права:

• Да потвърдят дали данните им се обработват и да получат достъп до тях.
• Да коригират неточни данни и да изтрият данни.
• Да получат преносимо копие.
• Да откажат целева реклама, продажба на лични данни и профилиране в подкрепа на решения, които водят до правни или подобни значими последици.

За издателите, финансирани от реклама, отказите от целева реклама и продажба са тези, които засягат рекламния стек всеки ден.

Какво е особено в Минесота

Правото да се оспори профилирането

Когато потребител е бил профилиран по начин, довел до решение с правни или подобни значими последици, той може да оспори резултата, да бъде уведомен за причините и, ако решението е било основано на неточни данни, да поиска коригиране на данните и преоценка на решението. Повечето издатели не вземат такива решения за посетителите, но си струва да потвърдите, че никой от инструментите ви не го прави.

Списък на конкретни трети страни

Потребителите могат да поискат списък на конкретните трети страни, на които администраторът е разкрил личните им данни, или, ако администраторът не пази тази информация по потребител, списък на конкретните трети страни, на които е разкривал лични данни като цяло. За издатели, работещи с много рекламнотехнологични партньори, това превръща точния регистър на вендорите в практическа необходимост.

Опис на данните

Администраторите трябва да поддържат опис на личните данни, които обработват. Заедно с изискването за списък на третите страни това тласка издателите към документирано знание кои тагове какво събират и накъде отива то.

Универсални механизми за отказ

Администраторите трябва да зачитат отказа на потребителя, изпратен чрез признат универсален механизъм за отказ, като сигнал за поверителност в браузъра. Сайтовете трябва да третират такива сигнали като отказ от целева реклама и продажба за потребители от Минесота.

Оценки на защитата на данните

Обработването за целева реклама, продажба на лични данни, профилиране със значителни рискове и обработването на чувствителни данни изисква документирана оценка на поверителността и защитата на данните.

Прилагане

Законът се прилага от главния прокурор на Минесота; няма частно право на иск. 30-дневният срок за отстраняване на нарушения важеше само до 31 януари 2026 г., така че оттогава главният прокурор не е длъжен да даде възможност за поправяне на проблема, преди да действа. Гражданските санкции могат да достигнат до 7500 долара за нарушение.

Какво трябва да проверят издателите

1. Праг. Преценете за колко потребители от Минесота обработвате данни всяка година, включително идентифицирани устройства.
2. Връзка и поток за отказ. Уверете се, че посетителите от САЩ могат да откажат целева реклама и продажба и че изборът стига до рекламните ви партньори.
3. Сигнали. Зачитайте сигналите за отказ от браузъра, като Global Privacy Control, и предавайте получения избор нататък чрез IAB Global Privacy Platform (GPP) или какъвто сигнал четат партньорите ви.
4. Регистър на вендорите. Поддържайте актуален списък на всяка трета страна, получаваща лични данни, готов да отговори на заявка за списък на третите страни.
5. Опис на данните. Документирайте какво събира всеки таг и SDK и защо.
6. Оценки. Изгответе и пазете оценка на защитата на данните, обхващаща целевата реклама.
7. Известие за поверителност. Актуализирайте го, като опишете правата в Минесота и как да се упражняват.

Как да вместите Минесота в настройка за много щати

Вместо да изграждат отделно изживяване за всеки щат, повечето издатели прилагат един американски поток за отказ, който покрива най-строгите общи изисквания, и добавят специфики за отделните щати, където е нужно. Допълненията на Минесота — списъкът на третите страни, описът на данните и правото за профилиране — са най-вече задължения за документиране и обработка на заявки, а не промени в банера, така че работата пада върху този, който отговаря за вашия регистър на вендорите и заявките за поверителност.

Основни изводи

• MCDPA се прилага от 31 юли 2025 г. за организации, достигащи праговете от 100 000 или 25 000 плюс 25% от приходите.
• Отказите обхващат целева реклама, продажба и значимо профилиране, а универсалните сигнали за отказ трябва да се зачитат.
• Потребителите могат да поискат списък на конкретните трети страни, получили данните им.
• Изискват се опис на данните и оценки на защитата на данните.
• Срокът за отстраняване на нарушения изтече на 31 януари 2026 г.; прилагането е от главния прокурор.