Još jedna savezna država, nekoliko novih obilježja

Zakon Minnesote o privatnosti podataka potrošača (MCDPA) stupio je na snagu 31. srpnja 2025. Na prvi pogled slijedi model koji dijele većina američkih državnih zakona o privatnosti: prava na pristup, ispravak i brisanje podataka te pravo na odustajanje od ciljanog oglašavanja, prodaje osobnih podataka i određenog profiliranja. No Minnesota je dodala nekoliko zahtjeva koji idu dalje od susjeda, a neki od njih zadiru u to kako izdavači dokumentiraju i objašnjavaju svoje prakse s podacima.

Ovaj članak obuhvaća ono što izdavači koji se financiraju oglasima trebaju znati. To je pregled, a ne pravni savjet.

Tko je obuhvaćen

MCDPA se primjenjuje na organizacije koje posluju u Minnesoti ili nude proizvode ili usluge namijenjene stanovnicima Minnesote, a koje u kalendarskoj godini ili:

• kontroliraju ili obrađuju osobne podatke 100.000 ili više potrošača iz Minnesote, izuzimajući podatke obrađene isključivo radi dovršetka platne transakcije; ili
• ostvaruju više od 25% bruto prihoda od prodaje osobnih podataka i kontroliraju ili obrađuju osobne podatke 25.000 ili više potrošača iz Minnesote.

Mala poduzeća kako ih definira američka Uprava za mala poduzeća (Small Business Administration) uglavnom su izuzeta, ali ne smiju prodavati osjetljive podatke bez privole potrošača. Za izdavača “potrošači” mogu uključivati posjetitelje web-mjesta i aplikacija identificirane kolačićima ili ID-ovima uređaja, pa web-mjesto sa skromnim prometom iz Minnesote i dalje može dosegnuti prag.

Prava koja izdavači moraju podržati

Stanovnici Minnesote dobivaju poznat skup prava:

• Potvrditi obrađuju li se njihovi podaci i pristupiti im.
• Ispraviti netočne podatke i izbrisati podatke.
• Dobiti prenosivu kopiju.
• Odustati od ciljanog oglašavanja, prodaje osobnih podataka i profiliranja radi odluka koje proizvode pravne ili slično značajne učinke.

Za izdavače koji se financiraju oglasima, odustajanje od ciljanog oglašavanja i prodaje dira oglasni stog svakoga dana.

Što je posebno u Minnesoti

Pravo osporavanja profiliranja

Kad je potrošač profiliran na način koji je doveo do odluke s pravnim ili slično značajnim učincima, može osporiti rezultat, biti obaviješten o razlozima i, ako je odluka temeljena na netočnim podacima, zatražiti ispravak podataka i ponovno razmatranje odluke. Većina izdavača ne donosi odluke te vrste o posjetiteljima, ali vrijedi potvrditi da nijedan od vaših alata to ne radi.

Popis konkretnih trećih strana

Potrošači mogu zatražiti popis konkretnih trećih strana kojima je voditelj obrade otkrio njihove osobne podatke ili, ako voditelj te informacije ne vodi po potrošaču, popis konkretnih trećih strana kojima je općenito otkrio osobne podatke. Za izdavače koji rade s mnogo ad tech partnera, to točan registar dobavljača čini praktičnom nužnošću.

Inventar podataka

Voditelji obrade moraju voditi inventar osobnih podataka koje obrađuju. U kombinaciji sa zahtjevom za popis trećih strana, to izdavače gura prema dokumentiranom znanju o tome koji tagovi što prikupljaju i kamo to ide.

Univerzalni mehanizmi odustajanja

Voditelji obrade moraju poštovati odustajanje potrošača poslano preko priznatog univerzalnog mehanizma odustajanja, poput signala privatnosti preglednika. Web-mjesta trebaju takve signale tretirati kao odustajanje od ciljanog oglašavanja i prodaje za korisnike iz Minnesote.

Procjene zaštite podataka

Obrada za ciljano oglašavanje, prodaja osobnih podataka, profiliranje sa značajnim rizicima i obrada osjetljivih podataka zahtijevaju dokumentiranu procjenu privatnosti i zaštite podataka.

Provedba

Zakon provodi glavni državni odvjetnik Minnesote; ne postoji privatno pravo na tužbu. Rok od 30 dana za ispravljanje prekršaja vrijedio je samo do 31. siječnja 2026., pa od tada glavni državni odvjetnik više nije obvezan ponuditi priliku da se problem ispravi prije nego što djeluje. Građanske kazne mogu doseći do 7.500 dolara po prekršaju.

Što izdavači trebaju provjeriti

1. Prag. Procijenite o koliko potrošača iz Minnesote godišnje obrađujete podatke, uključujući identificirane uređaje.
2. Poveznica i tijek za odustajanje. Pobrinite se da posjetitelji iz SAD-a mogu odustati od ciljanog oglašavanja i prodaje te da odabir stigne do vaših oglasnih partnera.
3. Signali. Poštujte signale preglednika za odustajanje poput Global Privacy Control i proslijedite dobiveni odabir preko IAB Global Privacy Platforma (GPP) ili bilo kojeg signala koji vaši partneri čitaju.
4. Registar dobavljača. Vodite ažuran popis svake treće strane koja prima osobne podatke, spreman za odgovor na zahtjev za popis trećih strana.
5. Inventar podataka. Dokumentirajte što svaki tag i SDK prikuplja i zašto.
6. Procjene. Napišite i čuvajte procjenu zaštite podataka koja obuhvaća ciljano oglašavanje.
7. Obavijest o privatnosti. Ažurirajte je da opisuje prava u Minnesoti i kako ih ostvariti.

Uklapanje Minnesote u postavu za više država

Umjesto izgradnje zasebnog iskustva za svaku državu, većina izdavača vodi jedan američki tijek odustajanja koji pokriva najstrože zajedničke zahtjeve, a zatim dodaje pojedinosti specifične za državu gdje je potrebno. Dodaci Minnesote — popis trećih strana, inventar podataka i pravo na profiliranje — uglavnom su obveze dokumentacije i obrade zahtjeva, a ne promjene bannera, pa posao pripada onome tko posjeduje vaš registar dobavljača i zahtjeve za privatnost.

Ključni zaključci

• MCDPA se od 31. srpnja 2025. primjenjuje na organizacije koje zadovoljavaju pragove od 100.000 potrošača ili 25.000 uz 25% prihoda.
• Odustajanja obuhvaćaju ciljano oglašavanje, prodaju i značajno profiliranje, a univerzalni signali odustajanja moraju se poštovati.
• Potrošači mogu zatražiti popis konkretnih trećih strana koje su primile njihove podatke.
• Inventar podataka i procjene zaštite podataka su obvezni.
• Rok za ispravljanje završio je 31. siječnja 2026.; provedba je u nadležnosti glavnog državnog odvjetnika.