Negara Bagian Lain, Beberapa Hal Baru

Minnesota Consumer Data Privacy Act (MCDPA) mulai berlaku pada 31 Juli 2025. Sekilas undang-undang ini mengikuti model yang dimiliki sebagian besar undang-undang privasi negara bagian AS: hak untuk mengakses, mengoreksi, dan menghapus data, serta hak untuk menolak iklan bertarget, penjualan data pribadi, dan profiling tertentu. Namun Minnesota menambahkan beberapa persyaratan yang melampaui negara-negara bagian tetangganya, dan sebagian di antaranya menjangkau cara penerbit mendokumentasikan dan menjelaskan praktik datanya.

Artikel ini membahas apa yang perlu diketahui penerbit berbasis iklan. Ini adalah gambaran umum, bukan nasihat hukum.

Siapa yang Tercakup

MCDPA berlaku bagi organisasi yang berbisnis di Minnesota atau menawarkan produk atau layanan yang ditujukan kepada penduduk Minnesota, dan yang dalam satu tahun kalender memenuhi salah satu dari:

• mengendalikan atau memproses data pribadi 100.000 konsumen Minnesota atau lebih, tidak termasuk data yang diproses semata-mata untuk menyelesaikan transaksi pembayaran; atau
• memperoleh lebih dari 25% pendapatan kotor dari penjualan data pribadi dan mengendalikan atau memproses data pribadi 25.000 konsumen Minnesota atau lebih.

Usaha kecil sebagaimana didefinisikan oleh US Small Business Administration umumnya dikecualikan, tetapi tidak boleh menjual data sensitif tanpa persetujuan konsumen. Bagi penerbit, “konsumen” dapat mencakup pengunjung situs web dan aplikasi yang diidentifikasi melalui cookie atau ID perangkat, sehingga situs dengan lalu lintas Minnesota yang sederhana pun tetap dapat mencapai ambang batas.

Hak yang Harus Didukung Penerbit

Penduduk Minnesota memperoleh serangkaian hak yang sudah lazim:

• Memastikan apakah datanya diproses dan mengaksesnya.
• Mengoreksi data yang tidak akurat dan menghapus data.
• Memperoleh salinan yang portabel.
• Menolak iklan bertarget, penjualan data pribadi, dan profiling untuk mendukung keputusan yang menimbulkan efek hukum atau efek signifikan serupa.

Bagi penerbit berbasis iklan, opt-out iklan bertarget dan penjualan adalah yang menyentuh tumpukan iklan setiap hari.

Yang Khas dari Minnesota

Hak mempertanyakan profiling

Jika seorang konsumen telah diprofilkan dengan cara yang menghasilkan keputusan dengan efek hukum atau efek signifikan serupa, ia dapat mempertanyakan hasilnya, diberi tahu alasannya, dan, jika keputusan itu didasarkan pada data yang tidak akurat, meminta data dikoreksi dan keputusan ditinjau ulang. Sebagian besar penerbit tidak membuat keputusan semacam itu tentang pengunjung, tetapi ada baiknya memastikan bahwa tidak ada alat Anda yang melakukannya.

Daftar pihak ketiga tertentu

Konsumen dapat meminta daftar pihak ketiga tertentu yang kepadanya pengendali mengungkapkan data pribadinya, atau, jika pengendali tidak menyimpan informasi itu per konsumen, daftar pihak ketiga tertentu yang kepadanya ia mengungkapkan data pribadi secara umum. Bagi penerbit yang bekerja dengan banyak mitra ad tech, hal ini membuat register vendor yang akurat menjadi kebutuhan praktis.

Inventaris data

Pengendali harus memelihara inventaris data pribadi yang mereka proses. Dikombinasikan dengan persyaratan daftar pihak ketiga, hal ini mendorong penerbit menuju pengetahuan terdokumentasi tentang tag mana mengumpulkan apa, dan ke mana data itu pergi.

Mekanisme opt-out universal

Pengendali harus menghormati opt-out konsumen yang dikirim melalui mekanisme opt-out universal yang diakui, seperti sinyal privasi browser. Situs harus memperlakukan sinyal tersebut sebagai opt-out dari iklan bertarget dan penjualan bagi pengguna Minnesota.

Penilaian perlindungan data

Pemrosesan untuk iklan bertarget, penjualan data pribadi, profiling dengan risiko signifikan, dan pemrosesan data sensitif memerlukan penilaian privasi dan perlindungan data yang terdokumentasi.

Penegakan

Undang-undang ini ditegakkan oleh Jaksa Agung Minnesota; tidak ada hak gugat pribadi. Masa perbaikan 30 hari atas pelanggaran hanya berlaku hingga 31 Januari 2026, sehingga sejak saat itu Jaksa Agung tidak lagi diwajibkan memberi kesempatan memperbaiki masalah sebelum bertindak. Denda perdata dapat mencapai $7.500 per pelanggaran.

Yang Perlu Diperiksa Penerbit

1. Ambang batas. Perkirakan berapa banyak konsumen Minnesota yang datanya Anda proses setiap tahun, termasuk perangkat yang teridentifikasi.
2. Tautan dan alur opt-out. Pastikan pengunjung AS dapat menolak iklan bertarget dan penjualan, dan pilihan itu sampai ke mitra iklan Anda.
3. Sinyal. Hormati sinyal opt-out browser seperti Global Privacy Control, dan teruskan pilihan yang dihasilkan melalui IAB Global Privacy Platform (GPP) atau sinyal apa pun yang dibaca mitra Anda.
4. Register vendor. Simpan daftar terkini setiap pihak ketiga yang menerima data pribadi, siap menjawab permintaan daftar pihak ketiga.
5. Inventaris data. Dokumentasikan apa yang dikumpulkan setiap tag dan SDK serta alasannya.
6. Penilaian. Tulis dan simpan penilaian perlindungan data yang mencakup iklan bertarget.
7. Pemberitahuan privasi. Perbarui untuk menjelaskan hak Minnesota dan cara menggunakannya.

Menyesuaikan Minnesota dalam Pengaturan Multi-Negara Bagian

Alih-alih membangun pengalaman terpisah untuk setiap negara bagian, sebagian besar penerbit menjalankan satu alur opt-out AS yang mencakup persyaratan bersama yang paling ketat, lalu menambahkan rincian khusus negara bagian bila perlu. Tambahan Minnesota — daftar pihak ketiga, inventaris data, dan hak atas profiling — sebagian besar merupakan kewajiban dokumentasi dan penanganan permintaan, bukan perubahan banner, sehingga pekerjaannya jatuh pada siapa pun yang mengelola register vendor dan permintaan privasi Anda.

Poin Penting

• MCDPA berlaku sejak 31 Juli 2025 bagi organisasi yang memenuhi ambang 100.000 atau 25.000 ditambah 25% pendapatan.
• Opt-out mencakup iklan bertarget, penjualan, dan profiling signifikan, dan sinyal opt-out universal harus dihormati.
• Konsumen dapat meminta daftar pihak ketiga tertentu yang menerima datanya.
• Inventaris data dan penilaian perlindungan data diwajibkan.
• Masa perbaikan berakhir pada 31 Januari 2026; penegakan dilakukan oleh Jaksa Agung.