La Consumer Data Privacy Act de Minnesota: lo que deben saber los publishers financiados con publicidad
Otro estado, algunas novedades
La Minnesota Consumer Data Privacy Act (MCDPA) entró en vigor el 31 de julio de 2025. A primera vista sigue el modelo que comparten la mayoría de las leyes estatales de privacidad de EE. UU.: derechos de acceso, rectificación y supresión de datos, y derecho a rechazar la publicidad dirigida, la venta de datos personales y cierta elaboración de perfiles. Pero Minnesota añadió varios requisitos que van más allá que los de sus vecinos, y algunos afectan a cómo los publishers documentan y explican sus prácticas de datos.
Este artículo recoge lo que deben saber los publishers financiados con publicidad. Es un resumen, no asesoramiento jurídico.
A quién afecta
La MCDPA se aplica a las organizaciones que hacen negocios en Minnesota u ofrecen productos o servicios dirigidos a residentes de Minnesota, y que en un año natural:
- controlan o procesan los datos personales de 100 000 o más consumidores de Minnesota, excluidos los datos procesados únicamente para completar una transacción de pago; o
- obtienen más del 25 % de sus ingresos brutos de la venta de datos personales y controlan o procesan los datos personales de 25 000 o más consumidores de Minnesota.
Las pequeñas empresas según la definición de la US Small Business Administration suelen estar exentas, pero no pueden vender datos sensibles sin el consentimiento del consumidor. Para un publisher, los “consumidores” pueden incluir a los visitantes de sitios web y apps identificados mediante cookies o ID de dispositivo, por lo que un sitio con un tráfico modesto de Minnesota aún puede alcanzar el umbral.
Los derechos que los publishers deben respaldar
Los residentes de Minnesota obtienen el conjunto habitual de derechos:
- Confirmar si sus datos se tratan y acceder a ellos.
- Corregir datos inexactos y suprimir datos.
- Obtener una copia portátil.
- Rechazar la publicidad dirigida, la venta de datos personales y la elaboración de perfiles en apoyo de decisiones que produzcan efectos jurídicos o efectos significativos similares.
Para los publishers financiados con publicidad, los opt-out de publicidad dirigida y de venta son los que afectan a diario a la pila publicitaria.
Qué distingue a Minnesota
El derecho a cuestionar la elaboración de perfiles
Cuando un consumidor ha sido perfilado de una manera que condujo a una decisión con efectos jurídicos o efectos significativos similares, puede cuestionar el resultado, que se le comuniquen los motivos y, si la decisión se basó en datos inexactos, que se corrijan los datos y se reevalúe la decisión. La mayoría de los publishers no toman decisiones de ese tipo sobre sus visitantes, pero conviene confirmar que ninguna de tus herramientas lo hace.
Una lista de terceros específicos
Los consumidores pueden pedir una lista de los terceros específicos a los que el responsable ha divulgado sus datos personales o, si el responsable no conserva esa información por consumidor, una lista de los terceros específicos a los que ha divulgado datos personales en general. Para los publishers que trabajan con muchos socios de ad tech, esto convierte un registro de proveedores exacto en una necesidad práctica.
Un inventario de datos
Los responsables deben mantener un inventario de los datos personales que tratan. Combinado con el requisito de la lista de terceros, esto empuja a los publishers a documentar qué etiquetas recogen qué datos y adónde van.
Mecanismos universales de exclusión
Los responsables deben respetar la exclusión de un consumidor enviada a través de un mecanismo universal de exclusión reconocido, como una señal de privacidad del navegador. Los sitios deben tratar esas señales como un rechazo de la publicidad dirigida y de la venta para los usuarios de Minnesota.
Evaluaciones de protección de datos
El tratamiento para publicidad dirigida, la venta de datos personales, la elaboración de perfiles con riesgos significativos y el tratamiento de datos sensibles requieren una evaluación documentada de privacidad y protección de datos.
Aplicación de la ley
La ley la hace cumplir el fiscal general de Minnesota; no existe un derecho de acción privado. Un periodo de subsanación de 30 días para las infracciones se aplicó solo hasta el 31 de enero de 2026, de modo que desde entonces el fiscal general ya no está obligado a ofrecer la oportunidad de corregir un problema antes de actuar. Las sanciones civiles pueden llegar hasta 7500 USD por infracción.
Qué deben comprobar los publishers
- Umbral. Calcula cada año sobre cuántos consumidores de Minnesota tratas datos, incluidos los dispositivos identificados.
- Enlace y flujo de exclusión. Asegúrate de que los visitantes de EE. UU. pueden rechazar la publicidad dirigida y la venta, y de que la elección llega a tus socios publicitarios.
- Señales. Respeta las señales de exclusión del navegador como Global Privacy Control y transmite la elección resultante mediante el IAB Global Privacy Platform (GPP) o la señal que lean tus socios.
- Registro de proveedores. Mantén una lista actualizada de cada tercero que recibe datos personales, lista para responder a una solicitud de lista de terceros.
- Inventario de datos. Documenta qué recoge cada etiqueta y cada SDK, y por qué.
- Evaluaciones. Redacta y conserva una evaluación de protección de datos que cubra la publicidad dirigida.
- Aviso de privacidad. Actualízalo para describir los derechos de Minnesota y cómo ejercerlos.
Encajar Minnesota en una configuración multiestatal
En lugar de crear una experiencia distinta para cada estado, la mayoría de los publishers operan un único flujo de exclusión para EE. UU. que cubre los requisitos comunes más estrictos y luego añaden detalles específicos de cada estado cuando hace falta. Las novedades de Minnesota — la lista de terceros, el inventario de datos y el derecho sobre la elaboración de perfiles — son sobre todo obligaciones de documentación y de gestión de solicitudes más que cambios en el banner, por lo que el trabajo recae en quien se encargue de tu registro de proveedores y de las solicitudes de privacidad.
Puntos clave
- La MCDPA se aplica desde el 31 de julio de 2025 a las organizaciones que cumplen los umbrales de 100 000 consumidores, o de 25 000 consumidores y el 25 % de los ingresos.
- Los opt-out cubren la publicidad dirigida, la venta y la elaboración de perfiles significativa, y deben respetarse las señales universales de exclusión.
- Los consumidores pueden solicitar una lista de los terceros específicos que recibieron sus datos.
- Se exigen un inventario de datos y evaluaciones de protección de datos.
- El periodo de subsanación terminó el 31 de enero de 2026; la aplicación corresponde al fiscal general.