חוק פרטיות נתוני הצרכן של מינסוטה: מה מפרסמים שמבוססים על פרסום צריכים לדעת
עוד מדינה, כמה טוויסטים חדשים
חוק פרטיות נתוני הצרכן של מינסוטה (MCDPA) נכנס לתוקף ב-31 ביולי 2025. במבט ראשון הוא עוקב אחר המודל המשותף לרוב חוקי הפרטיות במדינות ארה״ב: זכויות גישה, תיקון ומחיקה של נתונים, וזכות לבטל הסכמה (opt-out) לפרסום ממוקד, למכירת מידע אישי ולפרופיילינג מסוים. אבל מינסוטה הוסיפה כמה דרישות שהולכות רחוק יותר משכנותיה, וחלקן נוגעות באופן שבו מפרסמים מתעדים ומסבירים את נוהלי הנתונים שלהם.
מאמר זה מכסה מה שמפרסמים שמבוססים על פרסום צריכים לדעת. זוהי סקירה, לא ייעוץ משפטי.
על מי חל החוק
ה-MCDPA חל על ארגונים שעושים עסקים במינסוטה או מציעים מוצרים או שירותים המכוונים לתושבי מינסוטה, ושבשנה קלנדרית מקיימים אחד מאלה:
- שולטים או מעבדים מידע אישי של 100,000 צרכנים או יותר במינסוטה, למעט מידע שמעובד אך ורק להשלמת עסקת תשלום; או
- מפיקים יותר מ-25% מההכנסה הגולמית ממכירת מידע אישי ושולטים או מעבדים מידע אישי של 25,000 צרכנים או יותר במינסוטה.
עסקים קטנים כפי שהוגדרו על ידי מינהל העסקים הקטנים של ארה״ב פטורים בדרך כלל, אך הם אינם רשאים למכור מידע רגיש ללא הסכמת הצרכן. עבור מפרסם, “צרכנים” יכולים לכלול מבקרים באתרים ובאפליקציות שמזוהים באמצעות עוגיות או מזהי מכשיר, ולכן אתר עם תנועה צנועה ממינסוטה עדיין יכול להגיע לסף.
הזכויות שמפרסמים חייבים לתמוך בהן
תושבי מינסוטה מקבלים את מערך הזכויות המוכר:
- לאשר אם המידע שלהם מעובד ולגשת אליו.
- לתקן מידע שגוי ולמחוק מידע.
- לקבל עותק נייד.
- לבטל הסכמה לפרסום ממוקד, למכירה של מידע אישי ולפרופיילינג לצורך קבלת החלטות שיש להן השפעות משפטיות או השפעות משמעותיות דומות.
עבור מפרסמים שמבוססים על פרסום, ביטולי ההסכמה לפרסום ממוקד ולמכירה הם אלה שנוגעים במערך הפרסום מדי יום.
מה ייחודי במינסוטה
הזכות לערער על פרופיילינג
כאשר צרכן עבר פרופיילינג באופן שהוביל להחלטה עם השפעות משפטיות או משמעותיות דומות, הוא רשאי לערער על התוצאה, לקבל את הנימוקים, ואם ההחלטה התבססה על מידע שגוי, לתקן את המידע ולהעריך מחדש את ההחלטה. רוב המפרסמים אינם מקבלים החלטות כאלה לגבי מבקרים, אבל כדאי לוודא שאף אחד מהכלים שלכם אינו עושה זאת.
רשימה של צדדים שלישיים ספציפיים
צרכנים יכולים לבקש רשימה של הצדדים השלישיים הספציפיים שהבקר חשף להם את המידע האישי שלהם, או, אם הבקר אינו שומר מידע זה לכל צרכן, רשימה של הצדדים השלישיים הספציפיים שחשף להם מידע אישי באופן כללי. עבור מפרסמים שעובדים עם שותפי ad tech רבים, הדבר הופך מרשם ספקים מדויק לצורך מעשי.
מצאי נתונים
בקרים חייבים לנהל מצאי של המידע האישי שהם מעבדים. בשילוב עם דרישת רשימת הצדדים השלישיים, הדבר דוחף מפרסמים לידע מתועד באילו תגים אוספים מה, ולאן זה הולך.
מנגנוני ביטול הסכמה אוניברסליים
בקרים חייבים לכבד ביטול הסכמה של צרכן שנשלח דרך מנגנון ביטול אוניברסלי מוכר, כמו אות פרטיות בדפדפן. אתרים צריכים להתייחס לאותות כאלה כביטול הסכמה לפרסום ממוקד ולמכירה עבור משתמשים ממינסוטה.
הערכות הגנת מידע
עיבוד לצורכי פרסום ממוקד, מכירת מידע אישי, פרופיילינג עם סיכונים משמעותיים ועיבוד מידע רגיש דורשים הערכה מתועדת של פרטיות והגנת מידע.
אכיפה
החוק נאכף על ידי התובע הכללי של מינסוטה; אין זכות תביעה פרטית. תקופת תיקון של 30 יום להפרות חלה רק עד 31 בינואר 2026, ולכן מאז התובע הכללי אינו מחויב עוד להציע הזדמנות לתקן בעיה לפני שהוא פועל. קנסות אזרחיים יכולים להגיע עד 7,500 דולר להפרה.
מה מפרסמים צריכים לבדוק
- סף. העריכו על כמה צרכנים ממינסוטה אתם מעבדים מידע מדי שנה, כולל מכשירים מזוהים.
- קישור ותהליך ביטול הסכמה. ודאו שמבקרים מארה״ב יכולים לבטל הסכמה לפרסום ממוקד ולמכירה, ושהבחירה מגיעה לשותפי הפרסום שלכם.
- אותות. כבדו אותות ביטול הסכמה של דפדפן כמו Global Privacy Control, והעבירו את הבחירה הנובעת מכך דרך IAB Global Privacy Platform (GPP) או כל אות שהשותפים שלכם קוראים.
- מרשם ספקים. שמרו רשימה עדכנית של כל צד שלישי שמקבל מידע אישי, מוכנה למענה לבקשת רשימת צדדים שלישיים.
- מצאי נתונים. תעדו מה כל תג ו-SDK אוספים ולמה.
- הערכות. כתבו ושמרו הערכת הגנת מידע שמכסה פרסום ממוקד.
- הודעת פרטיות. עדכנו אותה כך שתתאר את זכויות מינסוטה ואת אופן המימוש שלהן.
שילוב מינסוטה בהגדרה רב-מדינתית
במקום לבנות חוויה נפרדת לכל מדינה, רוב המפרסמים מפעילים תהליך ביטול הסכמה אחד בארה״ב שמכסה את הדרישות המשותפות המחמירות ביותר, ואז מוסיפים פרטים ספציפיים למדינה לפי הצורך. התוספות של מינסוטה — רשימת הצדדים השלישיים, מצאי הנתונים וזכות הפרופיילינג — הן בעיקר חובות תיעוד וטיפול בבקשות ולא שינויים בבאנר, ולכן העבודה נופלת על מי שמחזיק את מרשם הספקים ובקשות הפרטיות שלכם.
עיקרי הדברים
- ה-MCDPA חל מאז 31 ביולי 2025 על ארגונים העומדים בסף 100,000 או בסף 25,000 בתוספת יותר מ-25% מההכנסות.
- ביטולי ההסכמה מכסים פרסום ממוקד, מכירה ופרופיילינג משמעותי, וחובה לכבד אותות ביטול אוניברסליים.
- צרכנים יכולים לבקש רשימה של הצדדים השלישיים הספציפיים שקיבלו את המידע שלהם.
- נדרשים מצאי נתונים והערכות הגנת מידע.
- תקופת התיקון הסתיימה ב-31 בינואר 2026; האכיפה בידי התובע הכללי.