En stat mere, nogle nye vinkler

Minnesota Consumer Data Privacy Act (MCDPA) trådte i kraft den 31. juli 2025. Ved første øjekast følger den den model, de fleste amerikanske delstaters privatlivslove deler: ret til indsigt i, berigtigelse og sletning af data samt ret til at fravælge målrettet annoncering, salg af personoplysninger og visse former for profilering. Men Minnesota har tilføjet flere krav, der går videre end nabostaternes, og nogle af dem rækker ind i, hvordan udgivere dokumenterer og forklarer deres datapraksis.

Denne artikel gennemgår, hvad annoncefinansierede udgivere bør vide. Det er et overblik, ikke juridisk rådgivning.

Hvem er omfattet

MCDPA gælder for organisationer, der driver virksomhed i Minnesota eller tilbyder produkter eller tjenester rettet mod indbyggere i Minnesota, og som i et kalenderår enten:

• kontrollerer eller behandler personoplysninger om 100.000 eller flere forbrugere i Minnesota, bortset fra data, der udelukkende behandles for at gennemføre en betalingstransaktion; eller
• får mere end 25 % af bruttoomsætningen fra salg af personoplysninger og kontrollerer eller behandler personoplysninger om 25.000 eller flere forbrugere i Minnesota.

Små virksomheder som defineret af den amerikanske Small Business Administration er generelt undtaget, men de må ikke sælge følsomme data uden forbrugerens samtykke. For en udgiver kan “forbrugere” omfatte besøgende på websteder og i apps, der identificeres via cookies eller enheds-ID'er, så et websted med beskeden trafik fra Minnesota kan stadig nå tærsklen.

De rettigheder, udgivere skal understøtte

Indbyggere i Minnesota får de velkendte rettigheder:

• At få bekræftet, om deres data behandles, og få adgang til dem.
• At få berigtiget forkerte data og få slettet data.
• At få en overførbar kopi.
• At fravælge målrettet annoncering, salg af personoplysninger og profilering som led i afgørelser, der har retsvirkning eller tilsvarende væsentlig virkning.

For annoncefinansierede udgivere er det opt-outs fra målrettet annoncering og salg, der hver dag berører annoncestacken.

Hvad der er særligt ved Minnesota

Retten til at sætte spørgsmålstegn ved profilering

Hvor en forbruger er blevet profileret på en måde, der førte til en afgørelse med retsvirkning eller tilsvarende væsentlig virkning, kan vedkommende sætte spørgsmålstegn ved resultatet, få oplyst årsagerne og, hvis afgørelsen byggede på forkerte data, få dataene berigtiget og afgørelsen vurderet påny. De fleste udgivere træffer ikke afgørelser af den art om besøgende, men det er værd at bekræfte, at ingen af dine værktøjer gør det.

En liste over bestemte tredjeparter

Forbrugere kan bede om en liste over de bestemte tredjeparter, som den dataansvarlige har videregivet deres personoplysninger til, eller, hvis den dataansvarlige ikke fører de oplysninger pr. forbruger, en liste over de bestemte tredjeparter, den generelt har videregivet personoplysninger til. For udgivere, der arbejder med mange adtech-partnere, gør det et nøjagtigt leverandørregister til en praktisk nødvendighed.

En dataoversigt

Dataansvarlige skal føre en oversigt over de personoplysninger, de behandler. Sammen med kravet om listen over tredjeparter skubber det udgivere mod dokumenteret viden om, hvilke tags der indsamler hvad, og hvor det går hen.

Universelle opt-out-mekanismer

Dataansvarlige skal respektere en forbrugers opt-out, der sendes gennem en anerkendt universel opt-out-mekanisme, såsom et privatlivssignal fra browseren. Websteder bør behandle sådanne signaler som en opt-out fra målrettet annoncering og salg for brugere i Minnesota.

Databeskyttelsesvurderinger

Behandling til målrettet annoncering, salg af personoplysninger, profilering med væsentlige risici og behandling af følsomme data kræver en dokumenteret vurdering af databeskyttelse og privatliv.

Håndhævelse

Loven håndhæves af Minnesotas Attorney General; der er ingen privat søgsmålsret. En afhjælpningsfrist på 30 dage ved overtrædelser gjaldt kun indtil 31. januar 2026, så siden da skal Attorney General ikke længere tilbyde en chance for at rette et problem, før der gribes ind. Civile bøder kan nå op på 7.500 dollars pr. overtrædelse.

Hvad udgivere bør tjekke

1. Tærskel. Vurdér, hvor mange forbrugere i Minnesota du behandler data om hvert år, inklusive identificerede enheder.
2. Opt-out-link og -forløb. Sørg for, at amerikanske besøgende kan fravælge målrettet annoncering og salg, og at valget når dine annoncepartnere.
3. Signaler. Respektér browserens opt-out-signaler som Global Privacy Control, og videregiv det resulterende valg via IAB Global Privacy Platform (GPP) eller det signal, dine partnere læser.
4. Leverandørregister. Før en opdateret liste over hver tredjepart, der modtager personoplysninger, klar til at besvare en anmodning om en liste over tredjeparter.
5. Dataoversigt. Dokumentér, hvad hvert tag og hver SDK indsamler, og hvorfor.
6. Vurderinger. Udarbejd og opbevar en databeskyttelsesvurdering, der dækker målrettet annoncering.
7. Privatlivserklæring. Opdatér den, så den beskriver rettighederne i Minnesota og hvordan de udøves.

At indpasse Minnesota i en opsætning med flere stater

I stedet for at bygge en separat oplevelse for hver stat kører de fleste udgivere ét amerikansk opt-out-forløb, der dækker de strengeste fælles krav, og tilføjer så delstatsspecifikke detaljer efter behov. Minnesotas tilføjelser — listen over tredjeparter, dataoversigten og profileringsretten — er mest dokumentations- og anmodningshåndteringspligter og ikke bannerændringer, så arbejdet lander hos den, der ejer dit leverandørregister og dine privatlivsanmodninger.

Vigtigste pointer

• MCDPA har gjaldt siden den 31. juli 2025 for organisationer, der opfylder tærsklerne på 100.000 eller 25.000 plus 25 % af omsætningen.
• Opt-outs dækker målrettet annoncering, salg og væsentlig profilering, og universelle opt-out-signaler skal respekteres.
• Forbrugere kan anmode om en liste over de bestemte tredjeparter, der har modtaget deres data.
• En dataoversigt og databeskyttelsesvurderinger er påkrævet.
• Afhjælpningsfristen udløb den 31. januar 2026; håndhævelsen ligger hos Attorney General.