Regulamento27 out 2026 | FlexyConsent

Lei de privacidade de Minnesota (MCDPA): o que deben saber os publishers con publicidade

Outro estado, algúns xiros novos

A Minnesota Consumer Data Privacy Act (MCDPA) entrou en vigor o 31 de xullo de 2025. A primeira vista segue o modelo que comparten a maioría das leis de privacidade dos estados dos EUA: dereitos de acceso, rectificación e supresión de datos, e un dereito a excluírse da publicidade dirixida, da venda de datos persoais e de certos perfilados. Pero Minnesota engadiu varios requisitos que van máis aló dos dos seus veciños, e algúns chegan ata o modo en que os publishers documentan e explican as súas prácticas de datos.

Este artigo trata o que deberían saber os publishers que viven da publicidade. É unha visión xeral, non asesoramento xurídico.

Quen queda cuberto

A MCDPA aplícase ás organizacións que fan negocios en Minnesota ou ofrecen produtos ou servizos dirixidos aos residentes de Minnesota, e que nun ano natural cumpren unha destas condicións:

As pequenas empresas segundo as define a Small Business Administration dos EUA en xeral quedan exentas, pero non poden vender datos sensibles sen o consentimento do consumidor. Para un publisher, os “consumidores” poden incluír os visitantes do sitio web e da aplicación identificados por cookies ou por ID de dispositivo, de modo que un sitio cun tráfico modesto desde Minnesota aínda pode alcanzar o límiar.

Os dereitos que os publishers deben poder atender

Os residentes de Minnesota teñen o conxunto de dereitos coñecido:

Para os publishers que viven da publicidade, as exclusións da publicidade dirixida e da venda son as que tocan a pila publicitaria cada día.

Que ten de distintivo Minnesota

O dereito a cuestionar o perfilado

Cando un consumidor foi perfilado dun xeito que levou a unha decisión con efectos xurídicos ou de importancia similar, pode cuestionar o resultado, que se lle expliquen os motivos e, se a decisión se baseou en datos inexactos, que se rectifiquen os datos e se volva avaliar a decisión. A maioría dos publishers non toman decisións deste tipo sobre os visitantes, pero convén confirmar que ningunha das túas ferramentas o fai.

Unha lista de terceiros concretos

Os consumidores poden pedir unha lista dos terceiros concretos aos que o responsable comunicou os seus datos persoais ou, se o responsable non conserva esa información por consumidor, unha lista dos terceiros concretos aos que comunicou datos persoais en xeral. Para os publishers que traballan con moitos socios de ad tech, isto fai dun rexistro de provedores preciso unha necesidade práctica.

Un inventario de datos

Os responsables deben manter un inventario dos datos persoais que tratan. Combinado co requisito da lista de terceiros, isto empuxa os publishers cara a un coñecemento documentado de que etiquetas recollen que, e a onde vai parar.

Mecanismos universais de exclusión

Os responsables deben respectar a exclusión dun consumidor enviada mediante un mecanismo universal de exclusión recoñecido, como un sinal de privacidade do navegador. Os sitios deben tratar eses sinais como unha exclusión da publicidade dirixida e da venda para os usuarios de Minnesota.

Avaliacións de protección de datos

O tratamento para publicidade dirixida, a venda de datos persoais, o perfilado con riscos significativos e o tratamento de datos sensibles requiren unha avaliación documentada de privacidade e protección de datos.

Aplicación da lei

A lei aplícaa o fiscal xeral de Minnesota; non hai ningún dereito de acción privado. Un período de 30 días para emendar as infraccións só se aplicou ata o 31 de xaneiro de 2026, polo que desde entón o fiscal xeral xa non está obrigado a ofrecer a oportunidade de corrixir un problema antes de actuar. As sancións civís poden chegar ata 7.500 dólares por infracción.

Que deberían comprobar os publishers

  1. Límiar. Calcula sobre cantos consumidores de Minnesota tratas datos cada ano, incluídos os dispositivos identificados.
  2. Ligazón e fluxo de exclusión. Asegúrate de que os visitantes dos EUA se poidan excluír da publicidade dirixida e da venda, e de que a elección chegue aos teus socios publicitarios.
  3. Sinais. Respecta os sinais de exclusión do navegador como o Global Privacy Control, e traslada a elección resultante mediante o IAB Global Privacy Platform (GPP) ou o sinal que lean os teus socios.
  4. Rexistro de provedores. Mantén unha lista actualizada de cada terceiro que recibe datos persoais, lista para responder a unha solicitude de lista de terceiros.
  5. Inventario de datos. Documenta que recolle cada etiqueta e SDK e por que.
  6. Avaliacións. Redacta e conserva unha avaliación de protección de datos que cubra a publicidade dirixida.
  7. Aviso de privacidade. Actualízao para describir os dereitos de Minnesota e como exercelos.

Encaixar Minnesota nunha configuración multiestatal

En lugar de crear unha experiencia separada para cada estado, a maioría dos publishers usan un único fluxo de exclusión para os EUA que cobre os requisitos comúns máis estritos, e despois engaden detalles específicos de cada estado cando fai falta. As adicións de Minnesota — a lista de terceiros, o inventario de datos e o dereito sobre o perfilado — son sobre todo deberes de documentación e de xestión de solicitudes máis ca cambios no banner, de modo que o traballo recae en quen sexa responsable do teu rexistro de provedores e das solicitudes de privacidade.

Ideas clave

← Blog Ler todo →