Μια ακόμη πολιτεία, μερικές νέες πινελιές

Ο Minnesota Consumer Data Privacy Act (MCDPA) τέθηκε σε ισχύ στις 31 Ιουλίου 2025. Με την πρώτη ματιά ακολουθεί το μοντέλο που μοιράζονται οι περισσότεροι νόμοι προστασίας δεδομένων των πολιτειών των ΗΠΑ: δικαιώματα πρόσβασης, διόρθωσης και διαγραφής δεδομένων, και δικαίωμα εξαίρεσης (opt-out) από τη στοχευμένη διαφήμιση, την πώληση προσωπικών δεδομένων και ορισμένες μορφές κατάρτισης προφίλ. Η Μινεσότα όμως πρόσθεσε αρκετές απαιτήσεις που προχωρούν πέρα από τις γειτονικές πολιτείες, και ορισμένες από αυτές επηρεάζουν τον τρόπο με τον οποίο οι εκδότες τεκμηριώνουν και εξηγούν τις πρακτικές δεδομένων τους.

Αυτό το άρθρο καλύπτει όσα πρέπει να γνωρίζουν οι εκδότες που στηρίζονται στη διαφήμιση. Πρόκειται για επισκόπηση, όχι για νομική συμβουλή.

Ποιοι καλύπτονται

Ο MCDPA εφαρμόζεται σε οργανισμούς που ασκούν δραστηριότητα στη Μινεσότα ή προσφέρουν προϊόντα ή υπηρεσίες που απευθύνονται σε κατοίκους της Μινεσότα, και οι οποίοι σε ένα ημερολογιακό έτος είτε:

• ελέγχουν ή επεξεργάζονται τα προσωπικά δεδομένα 100.000 ή περισσότερων καταναλωτών της Μινεσότα, εξαιρουμένων των δεδομένων που επεξεργάζονται αποκλειστικά για την ολοκλήρωση μιας συναλλαγής πληρωμής· ή
• αντλούν πάνω από το 25% των ακαθάριστων εσόδων τους από την πώληση προσωπικών δεδομένων και ελέγχουν ή επεξεργάζονται τα προσωπικά δεδομένα 25.000 ή περισσότερων καταναλωτών της Μινεσότα.

Οι μικρές επιχειρήσεις, όπως ορίζονται από την U.S. Small Business Administration, εξαιρούνται γενικά, αλλά δεν επιτρέπεται να πωλούν ευαίσθητα δεδομένα χωρίς τη συναίνεση του καταναλωτή. Για έναν εκδότη, οι «καταναλωτές» μπορεί να περιλαμβάνουν επισκέπτες ιστότοπων και εφαρμογών που αναγνωρίζονται από cookies ή αναγνωριστικά συσκευής, επομένως ένας ιστότοπος με μέτρια επισκεψιμότητα από τη Μινεσότα μπορεί και πάλι να φτάσει το όριο.

Τα δικαιώματα που πρέπει να υποστηρίζουν οι εκδότες

Οι κάτοικοι της Μινεσότα αποκτούν το γνωστό σύνολο δικαιωμάτων:

• Να επιβεβαιώνουν αν επεξεργάζονται τα δεδομένα τους και να έχουν πρόσβαση σε αυτά.
• Να διορθώνουν ανακριβή δεδομένα και να διαγράφουν δεδομένα.
• Να λαμβάνουν φορητό αντίγραφο.
• Να εξαιρεθούν από τη στοχευμένη διαφήμιση, την πώληση προσωπικών δεδομένων και την κατάρτιση προφίλ που προωθεί αποφάσεις με νομικά ή παρόμοια σημαντικά αποτελέσματα.

Για τους εκδότες που στηρίζονται στη διαφήμιση, τα opt-out από τη στοχευμένη διαφήμιση και την πώληση είναι αυτά που αγγίζουν καθημερινά τη διαφημιστική στοίβα.

Τι είναι ιδιαίτερο στη Μινεσότα

Το δικαίωμα αμφισβήτησης της κατάρτισης προφίλ

Όταν ένας καταναλωτής έχει υποστεί κατάρτιση προφίλ με τρόπο που οδήγησε σε απόφαση με νομικά ή παρόμοια σημαντικά αποτελέσματα, μπορεί να αμφισβητήσει το αποτέλεσμα, να ενημερωθεί για τους λόγους και, αν η απόφαση βασίστηκε σε ανακριβή δεδομένα, να διορθωθούν τα δεδομένα και να επανεκτιμηθεί η απόφαση. Οι περισσότεροι εκδότες δεν λαμβάνουν τέτοιες αποφάσεις για τους επισκέπτες, αλλά αξίζει να βεβαιωθείτε ότι κανένα από τα εργαλεία σας δεν το κάνει.

Λίστα συγκεκριμένων τρίτων

Οι καταναλωτές μπορούν να ζητήσουν λίστα των συγκεκριμένων τρίτων στους οποίους ο υπεύθυνος επεξεργασίας έχει γνωστοποιήσει τα προσωπικά τους δεδομένα ή, αν ο υπεύθυνος δεν τηρεί αυτή την πληροφορία ανά καταναλωτή, λίστα των συγκεκριμένων τρίτων στους οποίους έχει γνωστοποιήσει προσωπικά δεδομένα γενικά. Για τους εκδότες που συνεργάζονται με πολλούς συνεργάτες ad tech, αυτό καθιστά πρακτική ανάγκη ένα ακριβές μητρώο προμηθευτών.

Απογραφή δεδομένων

Οι υπεύθυνοι επεξεργασίας πρέπει να τηρούν απογραφή των προσωπικών δεδομένων που επεξεργάζονται. Σε συνδυασμό με την απαίτηση της λίστας τρίτων, αυτό ωθεί τους εκδότες προς τεκμηριωμένη γνώση του ποια tags συλλέγουν τι και πού καταλήγει.

Καθολικοί μηχανισμοί opt-out

Οι υπεύθυνοι επεξεργασίας πρέπει να σέβονται το opt-out ενός καταναλωτή που αποστέλλεται μέσω αναγνωρισμένου καθολικού μηχανισμού opt-out, όπως ένα σήμα απορρήτου του προγράμματος περιήγησης. Οι ιστότοποι πρέπει να αντιμετωπίζουν τέτοια σήματα ως opt-out από τη στοχευμένη διαφήμιση και την πώληση για τους χρήστες της Μινεσότα.

Εκτιμήσεις προστασίας δεδομένων

Η επεξεργασία για στοχευμένη διαφήμιση, η πώληση προσωπικών δεδομένων, η κατάρτιση προφίλ με σημαντικούς κινδύνους και η επεξεργασία ευαίσθητων δεδομένων απαιτούν τεκμηριωμένη εκτίμηση απορρήτου και προστασίας δεδομένων.

Επιβολή

Ο νόμος εφαρμόζεται από τον Γενικό Εισαγγελέα της Μινεσότα (Attorney General)· δεν υπάρχει ιδιωτικό δικαίωμα προσφυγής. Μια περίοδος αποκατάστασης 30 ημερών για παραβάσεις ίσχυσε μόνο έως τις 31 Ιανουαρίου 2026, επομένως από τότε ο Γενικός Εισαγγελέας δεν υποχρεούται πλέον να προσφέρει ευκαιρία διόρθωσης ενός προβλήματος πριν ενεργήσει. Οι αστικές κυρώσεις μπορούν να φτάσουν έως και τα 7.500 $ ανά παράβαση.

Τι πρέπει να ελέγξουν οι εκδότες

1. Όριο. Εκτιμήστε για πόσους καταναλωτές της Μινεσότα επεξεργάζεστε δεδομένα κάθε χρόνο, συμπεριλαμβανομένων των αναγνωρισμένων συσκευών.
2. Σύνδεσμος και ροή opt-out. Βεβαιωθείτε ότι οι επισκέπτες από τις ΗΠΑ μπορούν να εξαιρεθούν από τη στοχευμένη διαφήμιση και την πώληση, και ότι η επιλογή φτάνει στους διαφημιστικούς συνεργάτες σας.
3. Σήματα. Σεβαστείτε τα σήματα opt-out του προγράμματος περιήγησης, όπως το Global Privacy Control, και μεταβιβάστε την επιλογή μέσω του IAB Global Privacy Platform (GPP) ή όποιου σήματος διαβάζουν οι συνεργάτες σας.
4. Μητρώο προμηθευτών. Κρατήστε επικαιροποιημένη λίστα κάθε τρίτου που λαμβάνει προσωπικά δεδομένα, έτοιμη να απαντήσει σε αίτημα λίστας τρίτων.
5. Απογραφή δεδομένων. Τεκμηριώστε τι συλλέγει κάθε tag και SDK και γιατί.
6. Εκτιμήσεις. Συντάξτε και φυλάξτε μια εκτίμηση προστασίας δεδομένων που καλύπτει τη στοχευμένη διαφήμιση.
7. Δήλωση απορρήτου. Ενημερώστε την ώστε να περιγράφει τα δικαιώματα στη Μινεσότα και τον τρόπο άσκησής τους.

Η ένταξη της Μινεσότα σε μια ρύθμιση πολλών πολιτειών

Αντί να φτιάχνουν ξεχωριστή εμπειρία για κάθε πολιτεία, οι περισσότεροι εκδότες τρέχουν μία ροή opt-out για τις ΗΠΑ που καλύπτει τις αυστηρότερες κοινές απαιτήσεις και προσθέτουν λεπτομέρειες ανά πολιτεία όπου χρειάζεται. Οι προσθήκες της Μινεσότα — η λίστα τρίτων, η απογραφή δεδομένων και το δικαίωμα για την κατάρτιση προφίλ — είναι κυρίως υποχρεώσεις τεκμηρίωσης και χειρισμού αιτημάτων και όχι αλλαγές στο banner, επομένως η δουλειά πέφτει σε όποιον κατέχει το μητρώο προμηθευτών και τα αιτήματα απορρήτου.

Βασικά συμπεράσματα

• Ο MCDPA ισχύει από τις 31 Ιουλίου 2025 για οργανισμούς που πληρούν τα όρια των 100.000 ή των 25.000 συν 25% εσόδων.
• Τα opt-out καλύπτουν τη στοχευμένη διαφήμιση, την πώληση και τη σημαντική κατάρτιση προφίλ, και τα καθολικά σήματα opt-out πρέπει να γίνονται σεβαστά.
• Οι καταναλωτές μπορούν να ζητήσουν λίστα των συγκεκριμένων τρίτων που έλαβαν τα δεδομένα τους.
• Απαιτούνται απογραφή δεδομένων και εκτιμήσεις προστασίας δεδομένων.
• Η περίοδος αποκατάστασης έληξε στις 31 Ιανουαρίου 2026· την επιβολή ασκεί ο Γενικός Εισαγγελέας.