ایالتی دیگر، با چند نکته تازه

قانون حریم خصوصی داده مصرف‌کننده مینهسوتا (MCDPA) در ۳۱ ژوئیه ۲۰۲۵ لازم‌الاجرا شد. در نگاه اول از الگویی پیروی می‌کند که بیشتر قوانین حریم خصوصی ایالت‌های آمریکا در آن مشترک‌اند: حق دسترسی، اصلاح و حذف داده‌ها و حق انصراف از تبلیغات هدفمند، فروش داده‌های شخصی و برخی انواع پروفایل‌سازی. اما مینهسوتا چند الزام افزود که از همسایگانش فراتر می‌روند و برخی از آن‌ها به نحوه مستندسازی و توضیح رویه‌های داده‌ای ناشران می‌رسند.

این مقاله آنچه ناشران متکی بر تبلیغات باید بدانند را پوشش می‌دهد. این یک مرور کلی است، نه مشاوره حقوقی.

چه کسانی مشمول‌اند

MCDPA برای سازمان‌هایی اعمال می‌شود که در مینهسوتا کسب‌وکار دارند یا محصولات یا خدماتی را هدف ساکنان مینهسوتا عرضه می‌کنند و در یک سال تقویمی یکی از این دو شرط را دارند:

• داده‌های شخصی ۱۰۰٬۰۰۰ مصرف‌کننده یا بیشتر در مینهسوتا را کنترل یا پردازش می‌کنند، به‌جز داده‌هایی که صرفاً برای تکمیل تراکنش پرداخت پردازش می‌شوند؛ یا
• بیش از ۲۵٪ از درآمد ناخالص را از فروش داده‌های شخصی به دست می‌آورند و داده‌های شخصی ۲۵٬۰۰۰ مصرف‌کننده یا بیشتر در مینهسوتا را کنترل یا پردازش می‌کنند.

کسب‌وکارهای کوچک بر اساس تعریف اداره کسب‌وکار کوچک آمریکا عموماً معاف‌اند، اما نمی‌توانند بدون رضایت مصرف‌کننده داده‌های حساس را بفروشند. برای یک ناشر، «مصرف‌کنندگان» می‌تواند شامل بازدیدکنندگان وب‌سایت و اپلیکیشن باشد که با کوکی یا شناسه دستگاه شناسایی می‌شوند، بنابراین سایتی با ترافیک متوسط از مینهسوتا هم می‌تواند به آستانه برسد.

حقوقی که ناشران باید پشتیبانی کنند

ساکنان مینهسوتا مجموعه آشنای حقوق را دارند:

• تأیید اینکه آیا داده‌هایشان پردازش می‌شود و دسترسی به آن.
• اصلاح داده‌های نادرست و حذف داده‌ها.
• دریافت نسخه‌ای قابل‌انتقال.
• انصراف از تبلیغات هدفمند، فروش داده‌های شخصی و پروفایل‌سازی در راستای تصمیم‌هایی که آثار حقوقی یا آثار مهم مشابه دارند.

برای ناشران متکی بر تبلیغات، انصراف از تبلیغات هدفمند و فروش همان‌هایی هستند که هر روز با پشته تبلیغاتی سروکار دارند.

وجه تمایز مینهسوتا چیست

حق پرسش درباره پروفایل‌سازی

وقتی مصرف‌کننده‌ای به شکلی پروفایل شده که به تصمیمی با آثار حقوقی یا آثار مهم مشابه انجامیده، می‌تواند نتیجه را زیر سؤال ببرد، از دلایل آگاه شود و اگر تصمیم بر داده نادرست استوار بوده، داده اصلاح و تصمیم بازارزیابی شود. بیشتر ناشران درباره بازدیدکنندگان چنین تصمیم‌هایی نمی‌گیرند، اما ارزش دارد مطمئن شوید هیچ‌یک از ابزارهایتان چنین کاری نمی‌کند.

فهرست اشخاص ثالث مشخص

مصرف‌کنندگان می‌توانند فهرستی از اشخاص ثالث مشخصی را که کنترل‌کننده داده‌های شخصی‌شان را برای آن‌ها افشا کرده درخواست کنند، یا اگر کنترل‌کننده آن اطلاعات را به‌ازای هر مصرف‌کننده نگه نمی‌دارد، فهرستی از اشخاص ثالث مشخصی که به‌طور کلی داده شخصی برای آن‌ها افشا کرده است. برای ناشرانی که با شرکای فناوری تبلیغات بسیاری کار می‌کنند، این امر داشتن ثبت دقیق فروشندگان را به ضرورتی عملی تبدیل می‌کند.

فهرست‌برداری داده

کنترل‌کنندگان باید فهرستی از داده‌های شخصی که پردازش می‌کنند نگه دارند. در کنار الزام فهرست اشخاص ثالث، این ناشران را به سوی دانش مستند از اینکه کدام تگ چه چیزی جمع می‌کند و به کجا می‌رود سوق می‌دهد.

سازوکارهای انصراف عمومی

کنترل‌کنندگان باید انصرافی را که مصرف‌کننده از طریق یک سازوکار انصراف عمومی شناخته‌شده، مانند سیگنال حریم خصوصی مرورگر، ارسال می‌کند رعایت کنند. سایت‌ها باید چنین سیگنال‌هایی را برای کاربران مینهسوتا انصراف از تبلیغات هدفمند و فروش تلقی کنند.

ارزیابی‌های حفاظت از داده

پردازش برای تبلیغات هدفمند، فروش داده‌های شخصی، پروفایل‌سازی با ریسک‌های مهم و پردازش داده‌های حساس به یک ارزیابی مستند حریم خصوصی و حفاظت از داده نیاز دارد.

اجرا و نظارت

این قانون توسط دادستان کل مینهسوتا اجرا می‌شود؛ حق شکایت خصوصی وجود ندارد. دوره اصلاح ۳۰ روزه برای تخلفات فقط تا ۳۱ ژانویه ۲۰۲۶ اعمال می‌شد، بنابراین از آن زمان دادستان کل دیگر ملزم نیست پیش از اقدام فرصت رفع مشکل بدهد. جریمه‌های مدنی می‌تواند تا ۷٬۵۰۰ دلار به ازای هر تخلف برسد.

ناشران چه چیزی را باید بررسی کنند

1. آستانه. برآورد کنید هر سال درباره چند مصرف‌کننده مینهسوتایی داده پردازش می‌کنید، از جمله دستگاه‌های شناسایی‌شده.
2. پیوند و جریان انصراف. مطمئن شوید بازدیدکنندگان آمریکایی می‌توانند از تبلیغات هدفمند و فروش انصراف دهند و انتخاب به شرکای تبلیغاتی شما می‌رسد.
3. سیگنال‌ها. به سیگنال‌های انصراف مرورگر مانند Global Privacy Control احترام بگذارید و انتخاب حاصل را از طریق IAB Global Privacy Platform (GPP) یا هر سیگنالی که شرکایتان می‌خوانند منتقل کنید.
4. ثبت فروشندگان. فهرستی به‌روز از هر شخص ثالثی که داده شخصی دریافت می‌کند نگه دارید تا برای پاسخ به درخواست فهرست اشخاص ثالث آماده باشد.
5. فهرست‌برداری داده. مستند کنید هر تگ و SDK چه چیزی جمع می‌کند و چرا.
6. ارزیابی‌ها. یک ارزیابی حفاظت از داده که تبلیغات هدفمند را پوشش دهد بنویسید و نگه دارید.
7. اطلاعیه حریم خصوصی. آن را به‌روز کنید تا حقوق مینهسوتا و نحوه اعمال آن‌ها را توصیف کند.

جا دادن مینهسوتا در یک پیکربندی چندایالتی

به‌جای ساختن تجربه‌ای جداگانه برای هر ایالت، بیشتر ناشران یک جریان انصراف آمریکا را اجرا می‌کنند که سخت‌گیرانه‌ترین الزامات مشترک را پوشش می‌دهد و سپس در صورت نیاز جزئیات خاص ایالت را اضافه می‌کنند. افزوده‌های مینهسوتا — فهرست اشخاص ثالث، فهرست‌برداری داده و حق پروفایل‌سازی — بیشتر وظایف مستندسازی و رسیدگی به درخواست‌اند تا تغییرات بنر، بنابراین کار بر عهده کسی است که ثبت فروشندگان و درخواست‌های حریم خصوصی شما را در اختیار دارد.

نکات کلیدی

• MCDPA از ۳۱ ژوئیه ۲۰۲۵ برای سازمان‌هایی که آستانه ۱۰۰٬۰۰۰ یا ۲۵٬۰۰۰ به‌علاوه بیش از ۲۵٪ درآمد را داشته باشند اعمال می‌شود.
• انصراف‌ها تبلیغات هدفمند، فروش و پروفایل‌سازی مهم را پوشش می‌دهند و سیگنال‌های انصراف عمومی باید رعایت شوند.
• مصرف‌کنندگان می‌توانند فهرست اشخاص ثالث مشخصی که داده‌شان را دریافت کرده‌اند درخواست کنند.
• فهرست‌برداری داده و ارزیابی‌های حفاظت از داده الزامی است.
• دوره اصلاح در ۳۱ ژانویه ۲۰۲۶ پایان یافت؛ اجرا با دادستان کل است.