Újabb állam, néhány új elem

A Minnesota Consumer Data Privacy Act (MCDPA) 2025. július 31-én lépett hatályba. Első pillantásra a legtöbb amerikai állami adatvédelmi törvény közös modelljét követi: jogot ad az adatokhoz való hozzáféréshez, azok helyesbítéséhez és törléséhez, valamint a célzott hirdetésekből, a személyes adatok eladásából és bizonyos profilalkotásból való leiratkozáshoz. Minnesota azonban több olyan követelményt is hozzáadott, amely túlmegy a szomszédaiéin, és ezek némelyike érinti, hogyan dokumentálják és magyarázzák el a kiadók az adatkezelési gyakorlatukat.

Ez a cikk azt tárgyalja, amit a hirdetésekből élő kiadóknak tudniuk érdemes. Áttekintés, nem jogi tanácsadás.

Kikre vonatkozik

Az MCDPA azokra a szervezetekre vonatkozik, amelyek Minnesotában üzletelnek, vagy Minnesota lakosainak szánt termékeket vagy szolgáltatásokat kínálnak, és egy naptári évben vagy:

• 100 000 vagy több minnesotai fogyasztó személyes adatait kezelik vagy dolgozzák fel, kivéve a kizárólag fizetési tranzakció lebonyolításához feldolgozott adatokat; vagy
• bruttó bevételük több mint 25%-át a személyes adatok eladásából szerzik, és 25 000 vagy több minnesotai fogyasztó személyes adatait kezelik vagy dolgozzák fel.

Az amerikai Small Business Administration meghatározása szerinti kisvállalkozások általában mentesek, de nem adhatnak el érzékeny adatokat a fogyasztó beleegyezése nélkül. A kiadó számára a “fogyasztók” közé tartozhatnak a cookie-kkal vagy eszközazonosítókkal azonosított webhely- és alkalmazáslátogatók, így egy szerény minnesotai forgalmú webhely is elérheti a küszöböt.

A jogok, amelyeket a kiadóknak támogatniuk kell

A minnesotai lakosok az ismert jogokat kapják:

• Megerősítést kérni arról, hogy adataikat kezelik-e, és hozzáférni azokhoz.
• A pontatlan adatok helyesbítése és az adatok törlése.
• Hordozható másolat kérése.
• Leiratkozás a célzott hirdetésekről, a személyes adatok eladásáról, valamint a jogi vagy hasonlóan jelentős hatású döntések érdekében végzett profilalkotásról.

A hirdetésekből élő kiadóknál a célzott hirdetésekről és az eladásról való leiratkozás érinti naponta a hirdetési stacket.

Mi különleges Minnesotában

A profilalkotás megkérdőjelezésének joga

Ha egy fogyasztóról olyan profil készült, amely jogi vagy hasonlóan jelentős hatású döntéshez vezetett, megkérdőjelezheti az eredményt, megkaphatja az indokokat, és ha a döntés pontatlan adatokon alapult, kérheti az adatok helyesbítését és a döntés újraértékelését. A legtöbb kiadó nem hoz ilyen döntéseket a látogatókról, de érdemes megerősíteni, hogy egyetlen eszköze sem teszi.

Konkrét harmadik felek listája

A fogyasztók kérhetik azon konkrét harmadik felek listáját, amelyeknek az adatkezelő kiadta a személyes adataikat, vagy ha az adatkezelő ezt fogyasztónként nem tartja nyilván, azon konkrét harmadik felek listáját, amelyeknek általában kiadott személyes adatokat. A sok ad tech partnerrel dolgozó kiadóknak ez gyakorlati szükségszerűséggé teszi a pontos szállítói nyilvántartást.

Adatleltár

Az adatkezelőknek leltárt kell vezetniük a kezelt személyes adatokról. A harmadik felek listájára vonatkozó követelménnyel együtt ez a kiadókat arra ösztönzi, hogy dokumentált tudásuk legyen arról, mely tagek mit gyűjtenek, és hová kerül.

Univerzális leiratkozási mechanizmusok

Az adatkezelőknek tiszteletben kell tartaniuk a fogyasztó elismert univerzális leiratkozási mechanizmuson, például böngészős adatvédelmi jelzésen keresztül küldött leiratkozását. A webhelyeknek az ilyen jeleket a célzott hirdetésekről és az eladásról való leiratkozásnak kell tekinteniük a minnesotai felhasználók esetében.

Adatvédelmi hatásvizsgálatok

A célzott hirdetési célú adatkezelés, a személyes adatok eladása, a jelentős kockázatú profilalkotás és az érzékeny adatok kezelése dokumentált adatvédelmi értékelést igényel.

Jogérvényesítés

A törvényt a minnesotai főügyész érvényesíti; magánjogi kereseti jog nincs. A jogsértések 30 napos orvoslási időszaka csak 2026. január 31-ig állt fenn, így azóta a főügyésznek nem kell lehetőséget adnia a probléma kijavítására, mielőtt fellép. A polgári jogi bírságok jogsértésenként akár 7500 dollárt is elérhetnek.

Mit kell ellenőrizniük a kiadóknak

1. Küszöb. Becsülje meg, évente hány minnesotai fogyasztóról kezel adatot, beleértve az azonosított eszközöket.
2. Leiratkozási hivatkozás és folyamat. Győződjön meg róla, hogy az amerikai látogatók leiratkozhatnak a célzott hirdetésekről és az eladásról, és a választás eljut a hirdetési partnerekhez.
3. Jelek. Tartsa tiszteletben a böngészős leiratkozási jeleket, például a Global Privacy Controlt, és a kapott választást továbbítsa az IAB Global Privacy Platformon (GPP) vagy a partnerei által olvasott jelen keresztül.
4. Szállítói nyilvántartás. Vezessen naprakész listát minden személyes adatot kapó harmadik félről, készen egy harmadik felek listájára vonatkozó kérés megválaszolására.
5. Adatleltár. Dokumentálja, mit gyűjt az egyes tag és SDK, és miért.
6. Értékelések. Írjon és őrizzen meg egy, a célzott hirdetést lefedő adatvédelmi értékelést.
7. Adatvédelmi tájékoztató. Frissítse, hogy ismertesse a minnesotai jogokat és gyakorlásuk módját.

Minnesota beillesztése a több államos beállításba

Ahelyett, hogy minden államnak külön élményt építenének, a legtöbb kiadó egyetlen amerikai leiratkozási folyamatot futtat, amely lefedi a legszigorúbb közös követelményeket, majd ahol szükséges, állam-specifikus részleteket ad hozzá. Minnesota kiegészítései — a harmadik felek listája, az adatleltár és a profilalkotási jog — többnyire dokumentációs és kéréskezelési kötelezettségek, nem bannerváltoztatások, így a munka ahhoz kerül, aki a szállítói nyilvántartást és az adatvédelmi kéréseket kezeli.

Legfontosabb tanulságok

• Az MCDPA 2025. július 31. óta vonatkozik a 100 000-es vagy a 25 000 plusz 25%-os bevételi küszöböt teljesítő szervezetekre.
• A leiratkozások a célzott hirdetésre, az eladásra és a jelentős profilalkotásra terjednek ki, az univerzális leiratkozási jeleket pedig tiszteletben kell tartani.
• A fogyasztók kérhetik azon konkrét harmadik felek listáját, amelyek megkapták az adataikat.
• Adatleltár és adatvédelmi értékelések szükségesek.
• Az orvoslási időszak 2026. január 31-én véget ért; a főügyész érvényesíti a törvényt.