Další stát, několik nových zvratů

Zákon Minnesoty o ochraně osobních údajů spotřebitelů (MCDPA) nabyl účinnosti 31. července 2025. Na první pohled sleduje model, který sdílí většina amerických státních zákonů o soukromí: práva na přístup k údajům, jejich opravu a výmaz a právo odhlásit se z cílené reklamy, prodeje osobních údajů a určitého profilování. Minnesota však přidala několik požadavků, které jdou dál než u sousedů, a některé z nich zasahují do toho, jak vydavatelé dokumentují a vysvětlují své praktiky nakládání s daty.

Tento článek pokrývá, co by měli vydavatelé financovaní z reklamy vědět. Jde o přehled, nikoli právní radu.

Koho se týká

MCDPA se vztahuje na organizace, které podnikají v Minnesotě nebo nabízejí produkty či služby zaměřené na obyvatele Minnesoty a které v kalendářním roce buď:

• kontrolují nebo zpracovávají osobní údaje 100 000 nebo více spotřebitelů z Minnesoty, s výjimkou údajů zpracovávaných výhradně za účelem dokončení platební transakce; nebo
• získávají více než 25 % hrubých příjmů z prodeje osobních údajů a kontrolují nebo zpracovávají osobní údaje 25 000 nebo více spotřebitelů z Minnesoty.

Malé podniky, jak je definuje americký Úřad pro malé podniky (Small Business Administration), jsou obecně vyňaty, nesmějí však prodávat citlivé údaje bez souhlasu spotřebitele. U vydavatele mohou “spotřebitelé” zahrnovat návštěvníky webů a aplikací identifikované cookies nebo ID zařízení, takže i web se skromným provozem z Minnesoty může prahu dosáhnout.

Práva, která musí vydavatelé podporovat

Obyvatelé Minnesoty mají známou sadu práv:

• Potvrdit, zda se jejich údaje zpracovávají, a přistupovat k nim.
• Opravit nepřesné údaje a údaje vymazat.
• Získat přenosnou kopii.
• Odhlásit se z cílené reklamy, prodeje osobních údajů a profilování pro rozhodnutí s právními nebo obdobně významnými účinky.

U vydavatelů financovaných z reklamy se odhlášení z cílené reklamy a prodeje dotýká reklamního stacku každý den.

Čím je Minnesota specifická

Právo zpochybnit profilování

Pokud byl spotřebitel profilován způsobem, který vedl k rozhodnutí s právními nebo obdobně významnými účinky, může výsledek zpochybnit, být informován o důvodech a, pokud bylo rozhodnutí založeno na nepřesných údajích, nechat údaje opravit a rozhodnutí znovu posoudit. Většina vydavatelů o návštěvnících taková rozhodnutí nečiní, ale stojí za to ověřit, že žádný z vašich nástrojů nic takového nedělá.

Seznam konkrétních třetích stran

Spotřebitelé mohou požádat o seznam konkrétních třetích stran, kterým správce jejich osobní údaje zpřístupnil, nebo, pokud správce tuto informaci nevede pro každého spotřebitele, o seznam konkrétních třetích stran, kterým osobní údaje zpřístupnil obecně. U vydavatelů pracujících s mnoha ad tech partnery to činí přesný registr dodavatelů praktickou nutností.

Inventář dat

Správci musí vést inventář osobních údajů, které zpracovávají. V kombinaci s požadavkem na seznam třetích stran to vydavatele tlačí k zdokumentované znalosti toho, které tagy co sbírají a kam to míří.

Univerzální mechanismy odhlášení

Správci musí respektovat odhlášení spotřebitele zaslané prostřednictvím uznávaného univerzálního mechanismu odhlášení, například signálu soukromí prohlížeče. Weby by měly takové signály brát jako odhlášení z cílené reklamy a prodeje u uživatelů z Minnesoty.

Posouzení ochrany údajů

Zpracování pro cílenou reklamu, prodej osobních údajů, profilování s významnými riziky a zpracování citlivých údajů vyžadují zdokumentované posouzení ochrany soukromí a údajů.

Vymáhání

Zákon vymáhá generální prokurátor Minnesoty; soukromé právo žaloby neexistuje. 30denní lhůta pro nápravu porušení platila pouze do 31. ledna 2026, takže od té doby už generální prokurátor nemusí před zásahem nabídnout možnost problém napravit. Občanskoprávní pokuty mohou dosáhnout až 7 500 USD za porušení.

Co by vydavatelé měli zkontrolovat

1. Práh. Odhadněte, o kolika spotřebitelích z Minnesoty ročně zpracováváte údaje, včetně identifikovaných zařízení.
2. Odkaz a tok odhlášení. Zajistěte, aby se návštěvníci z USA mohli odhlásit z cílené reklamy a prodeje a aby se volba dostala k vašim reklamním partnerům.
3. Signály. Respektujte signály odhlášení v prohlížeči, například Global Privacy Control, a výslednou volbu předejte prostřednictvím IAB Global Privacy Platform (GPP) nebo signálu, který vaši partneři čtou.
4. Registr dodavatelů. Veďte aktuální seznam každé třetí strany, která přijímá osobní údaje, připravený k odpovědi na žádost o seznam třetích stran.
5. Inventář dat. Zdokumentujte, co každý tag a SDK sbírá a proč.
6. Posouzení. Napište a uchovávejte posouzení ochrany údajů pokrývající cílenou reklamu.
7. Oznámení o ochraně soukromí. Aktualizujte je tak, aby popisovalo práva v Minnesotě a způsob jejich uplatnění.

Zasazení Minnesoty do nastavení pro více států

Místo budování samostatného zážitku pro každý stát většina vydavatelů provozuje jeden americký tok odhlášení, který pokrývá nejpřísnější společné požadavky, a poté podle potřeby přidává podrobnosti specifické pro stát. Doplňky Minnesoty — seznam třetích stran, inventář dat a právo na profilování — jsou převážně povinnosti dokumentace a vyřizování žádostí, nikoli změny banneru, takže práce připadne tomu, kdo vlastní váš registr dodavatelů a žádosti o soukromí.

Hlavní poznatky

• MCDPA se od 31. července 2025 vztahuje na organizace splňující prahy 100 000 spotřebitelů nebo 25 000 plus 25 % příjmů.
• Odhlášení zahrnují cílenou reklamu, prodej a významné profilování a univerzální signály odhlášení se musí respektovat.
• Spotřebitelé mohou požádat o seznam konkrétních třetích stran, které jejich údaje obdržely.
• Inventář dat a posouzení ochrany údajů jsou povinné.
• Lhůta pro nápravu skončila 31. ledna 2026; vymáhá generální prokurátor.