Un altre estat, alguns girs nous

La Minnesota Consumer Data Privacy Act (MCDPA) va entrar en vigor el 31 de juliol de 2025. A primera vista segueix el model que comparteixen la majoria de lleis de privacitat dels estats dels EUA: drets d'accés, rectificació i supressió de dades, i un dret a excloure's de la publicitat dirigida, de la venda de dades personals i de certs perfilatges. Però Minnesota hi va afegir diversos requisits que van més enllà dels dels seus veïns, i alguns arriben fins a la manera com els editors documenten i expliquen les seves pràctiques de dades.

Aquest article tracta el que haurien de saber els editors que viuen de la publicitat. És una visió general, no assessorament jurídic.

Qui queda cobert

La MCDPA s'aplica a les organitzacions que fan negocis a Minnesota o ofereixen productes o serveis dirigits als residents de Minnesota, i que en un any natural compleixen una d'aquestes condicions:

• controlen o tracten les dades personals de 100.000 consumidors o més de Minnesota, excloses les dades tractades únicament per completar una transacció de pagament; o
• obtenen més del 25 % dels ingressos bruts de la venda de dades personals i controlen o tracten les dades personals de 25.000 consumidors o més de Minnesota.

Les petites empreses tal com les defineix la Small Business Administration dels EUA en general en queden exemptes, però no poden vendre dades sensibles sense el consentiment del consumidor. Per a un editor, els “consumidors” poden incloure els visitants del lloc web i de l'aplicació identificats per cookies o per ID de dispositiu, de manera que un lloc amb un trànsit modest des de Minnesota encara pot arribar al llindar.

Els drets que els editors han de poder atendre

Els residents de Minnesota tenen el conjunt de drets conegut:

• Confirmar si es tracten les seves dades i accedir-hi.
• Rectificar les dades inexactes i suprimir dades.
• Obtenir una còpia portable.
• Excloure's de la publicitat dirigida, de la venda de dades personals i del perfilatge amb vista a decisions que produeixin efectes jurídics o d'importància similar.

Per als editors que viuen de la publicitat, les exclusions de la publicitat dirigida i de la venda són les que toquen la pila publicitària cada dia.

Què té de distintiu Minnesota

El dret a qüestionar el perfilatge

Quan un consumidor ha estat perfilat d'una manera que ha conduït a una decisió amb efectes jurídics o d'importància similar, pot qüestionar-ne el resultat, que se li expliquin els motius i, si la decisió es va basar en dades inexactes, que es rectifiquin les dades i es torni a avaluar la decisió. La majoria d'editors no prenen decisions d'aquest tipus sobre els visitants, però val la pena confirmar que cap de les teves eines no ho fa.

Una llista de tercers concrets

Els consumidors poden demanar una llista dels tercers concrets als quals el responsable ha comunicat les seves dades personals o, si el responsable no conserva aquesta informació per consumidor, una llista dels tercers concrets als quals ha comunicat dades personals en general. Per als editors que treballen amb molts socis d'ad tech, això fa d'un registre de proveïdors precís una necessitat pràctica.

Un inventari de dades

Els responsables han de mantenir un inventari de les dades personals que tracten. Combinat amb el requisit de la llista de tercers, això empeny els editors cap a un coneixement documentat de quines etiquetes recullen què, i on va a parar.

Mecanismes universals d'exclusió

Els responsables han de respectar l'exclusió d'un consumidor enviada mitjançant un mecanisme universal d'exclusió reconegut, com un senyal de privacitat del navegador. Els llocs han de tractar aquests senyals com una exclusió de la publicitat dirigida i de la venda per als usuaris de Minnesota.

Avaluacions de protecció de dades

El tractament per a publicitat dirigida, la venda de dades personals, el perfilatge amb riscos significatius i el tractament de dades sensibles requereixen una avaluació documentada de privacitat i protecció de dades.

Aplicació de la llei

La llei l'aplica el fiscal general de Minnesota; no hi ha cap dret d'acció privat. Un període de 30 dies per esmenar les infraccions només es va aplicar fins al 31 de gener de 2026, de manera que des de llavors el fiscal general ja no està obligat a oferir l'oportunitat de corregir un problema abans d'actuar. Les sancions civils poden arribar fins a 7.500 dòlars per infracció.

Què haurien de comprovar els editors

1. Llindar. Calcula de quants consumidors de Minnesota tractes dades cada any, incloent-hi els dispositius identificats.
2. Enllaç i flux d'exclusió. Assegura't que els visitants dels EUA es puguin excloure de la publicitat dirigida i de la venda, i que l'elecció arribi als teus socis publicitaris.
3. Senyals. Respecta els senyals d'exclusió del navegador com el Global Privacy Control, i trasllada l'elecció resultant mitjançant l'IAB Global Privacy Platform (GPP) o el senyal que llegeixin els teus socis.
4. Registre de proveïdors. Mantén una llista actualitzada de cada tercer que rep dades personals, a punt per respondre una sol·licitud de llista de tercers.
5. Inventari de dades. Documenta què recull cada etiqueta i SDK i per què.
6. Avaluacions. Redacta i conserva una avaluació de protecció de dades que cobreixi la publicitat dirigida.
7. Avís de privacitat. Actualitza'l per descriure els drets de Minnesota i com exercir-los.

Encaixar Minnesota en una configuració multiestatal

En lloc de crear una experiència separada per a cada estat, la majoria d'editors fan servir un únic flux d'exclusió per als EUA que cobreix els requisits comuns més estrictes, i després hi afegeixen detalls específics de cada estat quan cal. Les addicions de Minnesota — la llista de tercers, l'inventari de dades i el dret sobre el perfilatge — són sobretot deures de documentació i de gestió de sol·licituds més que canvis al bàner, de manera que la feina recau en qui sigui responsable del teu registre de proveïdors i de les sol·licituds de privacitat.

Idees clau

• La MCDPA s'aplica des del 31 de juliol de 2025 a les organitzacions que superen els llindars de 100.000 consumidors o de 25.000 més el 25 % dels ingressos.
• Les exclusions cobreixen la publicitat dirigida, la venda i el perfilatge significatiu, i s'han de respectar els senyals universals d'exclusió.
• Els consumidors poden sol·licitar una llista dels tercers concrets que han rebut les seves dades.
• Calen un inventari de dades i avaluacions de protecció de dades.
• El període d'esmena va acabar el 31 de gener de 2026; l'aplicació correspon al fiscal general.