Un autre État, quelques nouveautés

Le Minnesota Consumer Data Privacy Act (MCDPA) est entré en vigueur le 31 juillet 2025. À première vue, il suit le modèle que partagent la plupart des lois étatiques américaines sur la vie privée : droits d’accès, de rectification et de suppression des données, et droit de refuser la publicité ciblée, la vente de données personnelles et certains profilages. Mais le Minnesota a ajouté plusieurs exigences qui vont plus loin que celles de ses voisins, et certaines touchent à la façon dont les éditeurs documentent et expliquent leurs pratiques en matière de données.

Cet article présente ce que les éditeurs financés par la publicité doivent savoir. Il s’agit d’un aperçu, pas d’un avis juridique.

Qui est concerné

Le MCDPA s’applique aux organisations qui exercent une activité au Minnesota ou proposent des produits ou services ciblant les résidents du Minnesota, et qui, au cours d’une année civile, remplissent l’une des conditions suivantes :

• contrôler ou traiter les données personnelles de 100 000 consommateurs du Minnesota ou plus, à l’exclusion des données traitées uniquement pour finaliser une transaction de paiement ; ou
• tirer plus de 25 % de leur chiffre d’affaires brut de la vente de données personnelles et contrôler ou traiter les données personnelles de 25 000 consommateurs du Minnesota ou plus.

Les petites entreprises au sens de la US Small Business Administration sont généralement exemptées, mais elles ne peuvent pas vendre de données sensibles sans le consentement du consommateur. Pour un éditeur, les “consommateurs” peuvent inclure les visiteurs de sites web et d’applications identifiés par des cookies ou des identifiants d’appareil ; un site ayant un trafic modeste au Minnesota peut donc quand même atteindre le seuil.

Les droits que les éditeurs doivent prendre en charge

Les résidents du Minnesota bénéficient de l’ensemble habituel de droits :

• Confirmer si leurs données sont traitées et y accéder.
• Rectifier les données inexactes et supprimer des données.
• Obtenir une copie portable.
• Refuser la publicité ciblée, la vente de données personnelles et le profilage en vue de décisions produisant des effets juridiques ou des effets significatifs similaires.

Pour les éditeurs financés par la publicité, ce sont les opt-out de la publicité ciblée et de la vente qui touchent chaque jour la pile publicitaire.

Ce qui distingue le Minnesota

Le droit de contester le profilage

Lorsqu’un consommateur a été profilé d’une manière qui a conduit à une décision produisant des effets juridiques ou des effets significatifs similaires, il peut en contester le résultat, être informé des raisons et, si la décision reposait sur des données inexactes, obtenir la rectification des données et le réexamen de la décision. La plupart des éditeurs ne prennent pas de décisions de ce type concernant leurs visiteurs, mais il vaut la peine de s’assurer qu’aucun de vos outils n’en prend.

Une liste de tiers précis

Les consommateurs peuvent demander une liste des tiers précis auxquels le responsable du traitement a communiqué leurs données personnelles ou, si le responsable ne conserve pas cette information par consommateur, une liste des tiers précis auxquels il a communiqué des données personnelles de manière générale. Pour les éditeurs qui travaillent avec de nombreux partenaires d’ad tech, cela fait d’un registre exact des fournisseurs une nécessité pratique.

Un inventaire des données

Les responsables du traitement doivent tenir un inventaire des données personnelles qu’ils traitent. Combinée à l’exigence de liste de tiers, cette obligation pousse les éditeurs à documenter quelles balises collectent quoi, et vers où cela part.

Mécanismes universels de refus

Les responsables du traitement doivent respecter le refus d’un consommateur transmis via un mécanisme universel de refus reconnu, comme un signal de confidentialité du navigateur. Les sites doivent traiter ces signaux comme un refus de la publicité ciblée et de la vente pour les utilisateurs du Minnesota.

Évaluations de protection des données

Le traitement à des fins de publicité ciblée, la vente de données personnelles, le profilage présentant des risques importants et le traitement de données sensibles exigent une évaluation documentée de la confidentialité et de la protection des données.

Application de la loi

La loi est appliquée par le procureur général du Minnesota ; il n’existe pas de droit d’action privé. Un délai de régularisation de 30 jours pour les violations ne s’est appliqué que jusqu’au 31 janvier 2026 ; depuis, le procureur général n’est plus tenu d’offrir la possibilité de corriger un problème avant d’agir. Les sanctions civiles peuvent atteindre 7 500 $ par violation.

Ce que les éditeurs doivent vérifier

1. Seuil. Estimez chaque année le nombre de consommateurs du Minnesota dont vous traitez les données, y compris les appareils identifiés.
2. Lien et parcours de refus. Assurez-vous que les visiteurs américains peuvent refuser la publicité ciblée et la vente, et que ce choix parvient à vos partenaires publicitaires.
3. Signaux. Respectez les signaux de refus du navigateur comme Global Privacy Control, et transmettez le choix qui en résulte via l’IAB Global Privacy Platform (GPP) ou le signal que lisent vos partenaires.
4. Registre des fournisseurs. Tenez à jour la liste de chaque tiers qui reçoit des données personnelles, prête à répondre à une demande de liste de tiers.
5. Inventaire des données. Documentez ce que collecte chaque balise et chaque SDK, et pourquoi.
6. Évaluations. Rédigez et conservez une évaluation de protection des données couvrant la publicité ciblée.
7. Politique de confidentialité. Mettez-la à jour pour décrire les droits du Minnesota et la manière de les exercer.

Intégrer le Minnesota dans une configuration multi-États

Plutôt que de construire une expérience distincte pour chaque État, la plupart des éditeurs exploitent un seul parcours de refus américain qui couvre les exigences communes les plus strictes, puis ajoutent des spécificités étatiques au besoin. Les ajouts du Minnesota — la liste des tiers, l’inventaire des données et le droit relatif au profilage — relèvent surtout de la documentation et du traitement des demandes plutôt que de modifications de la bannière ; le travail revient donc à la personne qui gère votre registre des fournisseurs et les demandes relatives à la vie privée.

Points clés à retenir

• Le MCDPA s’applique depuis le 31 juillet 2025 aux organisations qui atteignent les seuils de 100 000 consommateurs, ou de 25 000 consommateurs et 25 % du chiffre d’affaires.
• Les refus couvrent la publicité ciblée, la vente et le profilage significatif, et les signaux universels de refus doivent être respectés.
• Les consommateurs peuvent demander une liste des tiers précis qui ont reçu leurs données.
• Un inventaire des données et des évaluations de protection des données sont requis.
• Le délai de régularisation a pris fin le 31 janvier 2026 ; l’application relève du procureur général.