Minnesotan kuluttajatietojen tietosuojalaki: mitä mainosrahoitteisten julkaisijoiden on tiedettävä
Vielä yksi osavaltio, muutamia uusia käänteitä
Minnesotan kuluttajatietojen tietosuojalaki (MCDPA) tuli voimaan 31. heinäkuuta 2025. Ensi silmäyksellä se noudattaa mallia, jonka useimmat Yhdysvaltain osavaltioiden tietosuojalait jakavat: oikeudet tutustua tietoihin, oikaista ja poistaa niitä sekä oikeus kieltäytyä kohdennetusta mainonnasta, henkilötietojen myynnistä ja tietystä profiloinnista. Mutta Minnesota lisäsi useita vaatimuksia, jotka menevät pidemmälle kuin naapurien, ja jotkin niistä ulottuvat siihen, miten julkaisijat dokumentoivat ja selittävät tietokäytäntönsä.
Tämä artikkeli käsittelee, mitä mainosrahoitteisten julkaisijoiden tulisi tietää. Se on yleiskatsaus, ei oikeudellista neuvontaa.
Ketä laki koskee
MCDPA koskee organisaatioita, jotka harjoittavat liiketoimintaa Minnesotassa tai tarjoavat Minnesotan asukkaille suunnattuja tuotteita tai palveluja ja jotka kalenterivuoden aikana joko:
- hallitsevat tai käsittelevät vähintään 100 000 Minnesotan kuluttajan henkilötietoja, pois lukien tiedot, joita käsitellään yksinomaan maksutapahtuman loppuun saattamiseksi; tai
- saavat yli 25 % bruttotuloistaan henkilötietojen myynnistä ja hallitsevat tai käsittelevät vähintään 25 000 Minnesotan kuluttajan henkilötietoja.
Yhdysvaltain pienyrityshallinnon (Small Business Administration) määritelmän mukaiset pienyritykset on yleensä vapautettu, mutta ne eivät saa myydä arkaluonteisia tietoja ilman kuluttajan suostumusta. Julkaisijalle “kuluttajat” voivat sisältää evästeillä tai laitetunnuksilla tunnistetut sivusto- ja sovelluskävijät, joten sivusto, jolla on vaatimaton Minnesotan liikenne, voi silti saavuttaa kynnyksen.
Oikeudet, joita julkaisijoiden on tuettava
Minnesotan asukkailla on tuttu oikeuksien joukko:
- Vahvistaa, käsitelläänkö heidän tietojaan, ja tutustua niihin.
- Oikaista virheellisiä tietoja ja poistaa tietoja.
- Saada siirrettävä kopio.
- Kieltäytyä kohdennetusta mainonnasta, henkilötietojen myynnistä ja profiloinnista, joka edistää päätöksiä, joilla on oikeudellisia tai vastaavan merkittäviä vaikutuksia.
Mainosrahoitteisille julkaisijoille kohdennetusta mainonnasta ja myynnistä kieltäytyminen ovat ne, jotka koskettavat mainosinfraa päivittäin.
Mikä Minnesotassa on erityistä
Oikeus kyseenalaistaa profilointi
Jos kuluttaja on profiloitu tavalla, joka johti päätökseen, jolla on oikeudellisia tai vastaavan merkittäviä vaikutuksia, hän voi kyseenalaistaa tuloksen, saada tietää perusteet ja, jos päätös perustui virheellisiin tietoihin, saada tiedot oikaistuksi ja päätöksen arvioiduksi uudelleen. Useimmat julkaisijat eivät tee tällaisia päätöksiä kävijöistä, mutta kannattaa varmistaa, ettei yksikään työkalusi tee niin.
Luettelo tietyistä kolmansista osapuolista
Kuluttajat voivat pyytää luetteloa niistä tietyistä kolmansista osapuolista, joille rekisterinpitäjä on luovuttanut heidän henkilötietojaan, tai, jos rekisterinpitäjä ei pidä näitä tietoja kuluttajakohtaisesti, luetteloa niistä tietyistä kolmansista osapuolista, joille se on yleisesti luovuttanut henkilötietoja. Julkaisijoille, jotka työskentelevät monien mainosteknologiakumppanien kanssa, tämä tekee tarkasta toimittajarekisteristä käytännön välttämättömyyden.
Tietoluettelo
Rekisterinpitäjien on ylläpidettävä luetteloa käsittelemistään henkilötiedoista. Yhdessä kolmansien osapuolten luettelovaatimuksen kanssa tämä ohjaa julkaisijoita dokumentoituun tietoon siitä, mitkä tagit keräävät mitäkin ja minne se menee.
Yleiset kieltäytymismekanismit
Rekisterinpitäjien on kunnioitettava kuluttajan kieltäytymistä, joka on lähetetty tunnustetun yleisen kieltäytymismekanismin, kuten selaimen tietosuojasignaalin, kautta. Sivustojen tulisi käsitellä tällaisia signaaleja Minnesotan käyttäjien kieltäytymisenä kohdennetusta mainonnasta ja myynnistä.
Tietosuoja-arvioinnit
Käsittely kohdennettua mainontaa, henkilötietojen myyntiä, merkittäviä riskejä sisältävää profilointia ja arkaluonteisten tietojen käsittelyä varten edellyttää dokumentoitua tietosuoja-arviointia.
Täytäntöönpano
Lakia valvoo Minnesotan oikeusministeri (Attorney General); yksityistä kanneoikeutta ei ole. 30 päivän korjausaika rikkomuksille oli voimassa vain 31. tammikuuta 2026 asti, joten sen jälkeen oikeusministerin ei enää tarvitse tarjota mahdollisuutta korjata ongelma ennen toimiin ryhtymistä. Siviilioikeudelliset seuraamukset voivat nousta jopa 7 500 dollariin rikkomusta kohden.
Mitä julkaisijoiden tulisi tarkistaa
- Kynnys. Arvioi, kuinka monen Minnesotan kuluttajan tietoja käsittelet vuosittain, tunnistetut laitteet mukaan lukien.
- Kieltäytymislinkki ja -kulku. Varmista, että yhdysvaltalaiset kävijät voivat kieltäytyä kohdennetusta mainonnasta ja myynnistä ja että valinta tavoittaa mainoskumppanisi.
- Signaalit. Kunnioita selaimen kieltäytymissignaaleja, kuten Global Privacy Controlia, ja välitä tuloksena oleva valinta eteenpäin IAB Global Privacy Platformin (GPP) tai minkä tahansa kumppaneidesi lukeman signaalin kautta.
- Toimittajarekisteri. Pidä ajan tasalla oleva luettelo jokaisesta kolmannesta osapuolesta, joka saa henkilötietoja, valmiina vastaamaan kolmansien osapuolten luettelopyyntöön.
- Tietoluettelo. Dokumentoi, mitä kukin tagi ja SDK kerää ja miksi.
- Arvioinnit. Laadi ja säilytä tietosuoja-arviointi, joka kattaa kohdennetun mainonnan.
- Tietosuojaseloste. Päivitä se kuvaamaan Minnesotan oikeudet ja niiden käyttötapa.
Minnesotan sovittaminen usean osavaltion määritykseen
Sen sijaan, että rakentaisivat erillisen kokemuksen jokaiselle osavaltiolle, useimmat julkaisijat ajavat yhtä Yhdysvaltain kieltäytymiskulkua, joka kattaa tiukimmat yhteiset vaatimukset, ja lisäävät sitten osavaltiokohtaisia yksityiskohtia tarpeen mukaan. Minnesotan lisäykset — kolmansien osapuolten luettelo, tietoluettelo ja profilointioikeus — ovat enimmäkseen dokumentointi- ja pyyntöjen käsittelyvelvoitteita eivätkä bannerimuutoksia, joten työ osuu sille, joka omistaa toimittajarekisterisi ja tietosuojapyynnöt.
Keskeiset opit
- MCDPA on ollut voimassa 31. heinäkuuta 2025 lähtien organisaatioille, jotka täyttävät 100 000 tai 25 000 plus 25 % tuloista -kynnykset.
- Kieltäytymiset kattavat kohdennetun mainonnan, myynnin ja merkittävän profiloinnin, ja yleisiä kieltäytymissignaaleja on kunnioitettava.
- Kuluttajat voivat pyytää luetteloa niistä tietyistä kolmansista osapuolista, jotka saivat heidän tietonsa.
- Tietoluettelo ja tietosuoja-arvioinnit ovat pakollisia.
- Korjausaika päättyi 31. tammikuuta 2026; täytäntöönpanosta vastaa oikeusministeri.