Enn eitt ríkið, nokkrar nýjar útfærslur

Minnesota Consumer Data Privacy Act (MCDPA) tók gildi 31. júlí 2025. Við fyrstu sýn fylgir hún líkaninu sem flest bandarísk ríkislög um persónuvernd deila: réttur til aðgangs, leiðréttingar og eyðingar gagna, og réttur til að afþakka markvissar auglýsingar, sölu persónuupplýsinga og tiltekna sniðgerð. En Minnesota bætti við nokkrum kröfum sem ganga lengra en nágrannaríkin, og sumar þeirra ná inn í það hvernig útgefendur skjalfesta og útskýra gagnavenjur sínar.

Þessi grein fjallar um það sem útgefendur sem byggja á auglýsingum ættu að vita. Þetta er yfirlit, ekki lögfræðiráðgjöf.

Hverjir falla undir lögin

MCDPA gildir um stofnanir sem stunda viðskipti í Minnesota eða bjóða vörur eða þjónustu sem beinist að íbúum Minnesota, og sem á almanaksári annaðhvort:

• stjórna eða vinna persónuupplýsingar 100.000 eða fleiri neytenda í Minnesota, að undanskildum gögnum sem eru unnin eingöngu til að ljúka greiðsluviðskiptum; eða
• hafa meira en 25% af heildartekjum af sölu persónuupplýsinga og stjórna eða vinna persónuupplýsingar 25.000 eða fleiri neytenda í Minnesota.

Lítil fyrirtæki samkvæmt skilgreiningu bandarísku smáfyrirtækjastofnunarinnar (US Small Business Administration) eru almennt undanþegin, en þau mega ekki selja viðkvæm gögn án samþykkis neytandans. Fyrir útgefanda geta „neytendur“ náð yfir gesti vefsvæða og forrita sem eru auðkenndir með vafrakökum eða tækjaauðkennum, svo vefsvæði með hóflega umferð frá Minnesota getur samt náð viðmiðinu.

Réttindin sem útgefendur verða að styðja

Íbúar Minnesota fá þekkt réttindasett:

• Fá staðfestingu á því hvort gögn þeirra eru unnin og fá aðgang að þeim.
• Leiðrétta ónákvæm gögn og eyða gögnum.
• Fá flytjanlegt afrit.
• Afþakka markvissar auglýsingar, sölu persónuupplýsinga og sniðgerð sem liður í ákvörðunum sem hafa réttaráhrif eða sambærileg veruleg áhrif.

Fyrir útgefendur sem byggja á auglýsingum eru afþökkun markvissra auglýsinga og sölu þær sem snerta auglýsingakerfið daglega.

Hvað er sérstakt við Minnesota

Rétturinn til að draga sniðgerð í efa

Þegar neytandi hefur verið sniðgreindur á þann hátt að það leiddi til ákvörðunar með réttaráhrifum eða sambærilegum verulegum áhrifum getur hann dregið niðurstöðuna í efa, fengið að vita ástæðurnar og, ef ákvörðunin byggði á ónákvæmum gögnum, fengið gögnin leiðrétt og ákvörðunina endurmetna. Flestir útgefendur taka ekki slíkar ákvarðanir um gesti, en vert er að staðfesta að ekkert tól þeirra geri það.

Listi yfir tiltekna þriðju aðila

Neytendur geta óskað eftir lista yfir þá tilteknu þriðju aðila sem ábyrgðaraðilinn hefur afhent persónuupplýsingar þeirra, eða, ef ábyrgðaraðilinn heldur ekki þeim upplýsingum eftir neytanda, lista yfir tiltekna þriðju aðila sem hann hefur almennt afhent persónuupplýsingar. Fyrir útgefendur sem vinna með marga auglýsingatæknisamstarfsaðila gerir þetta nákvæma söluaðilaskrá að hagnýtri nauðsyn.

Gagnaskrá

Ábyrgðaraðilar verða að halda skrá yfir persónuupplýsingarnar sem þeir vinna. Samhliða kröfunni um lista yfir þriðju aðila ýtir þetta útgefendum í átt að skjalfestri þekkingu á því hvaða merki safna hverju og hvert það fer.

Almennir afþökkunarbúnaðir

Ábyrgðaraðilar verða að virða afþökkun neytanda sem send er í gegnum viðurkenndan almennan afþökkunarbúnað, svo sem persónuverndarmerki í vafra. Vefsvæði ættu að líta á slík merki sem afþökkun markvissra auglýsinga og sölu fyrir notendur í Minnesota.

Mat á gagnavernd

Vinnsla vegna markvissra auglýsinga, sölu persónuupplýsinga, sniðgerðar með verulegri áhættu og vinnslu viðkvæmra gagna krefst skjalfests mats á persónuvernd og gagnavernd.

Framfylgd

Lögunum er framfylgt af dómsmálaráðherra Minnesota (Attorney General); enginn einkaréttur til málshöfðunar er fyrir hendi. 30 daga úrbótafrestur vegna brota gilti aðeins til 31. janúar 2026, þannig að síðan þá er dómsmálaráðherranum ekki lengur skylt að bjóða tækifæri til að laga vandamál áður en hann grípur til aðgerða. Einkamálasektir geta numið allt að 7.500 dölum fyrir hvert brot.

Hvað útgefendur ættu að athuga

1. Viðmið. Áætlaðu um hversu marga neytendur í Minnesota þú vinnur gögn á hverju ári, þar á meðal auðkennd tæki.
2. Afþökkunartengill og ferli. Gakktu úr skugga um að gestir í Bandaríkjunum geti afþakkað markvissar auglýsingar og sölu, og að valið berist til auglýsingasamstarfsaðila þinna.
3. Merki. Virtu afþökkunarmerki vafra eins og Global Privacy Control og sendu valið áfram í gegnum IAB Global Privacy Platform (GPP) eða hvaða merki sem samstarfsaðilar þínir lesa.
4. Söluaðilaskrá. Haltu uppfærðum lista yfir alla þriðju aðila sem fá persónuupplýsingar, tilbúnum til að svara beiðni um lista yfir þriðju aðila.
5. Gagnaskrá. Skjalfestu hverju hvert merki og SDK safnar og hvers vegna.
6. Mat. Skrifaðu og geymdu gagnaverndarmat sem nær yfir markvissar auglýsingar.
7. Persónuverndartilkynning. Uppfærðu hana til að lýsa réttindum í Minnesota og hvernig á að nýta þau.

Að koma Minnesota fyrir í fjölríkja uppsetningu

Frekar en að byggja sérstaka upplifun fyrir hvert ríki reka flestir útgefendur eitt afþökkunarferli fyrir Bandaríkin sem uppfyllir ströngustu sameiginlegu kröfur, og bæta síðan við ríkissértækum atriðum þar sem þörf krefur. Viðbætur Minnesota — listi yfir þriðju aðila, gagnaskráin og rétturinn varðandi sniðgerð — eru aðallega skjölunar- og beiðnameðhöndlunarskyldur frekar en breytingar á borða, svo vinnan lendir hjá þeim sem á söluaðilaskrána og persónuverndarbeiðnir.

Helstu atriði

• MCDPA hefur gilt frá 31. júlí 2025 um stofnanir sem uppfylla viðmiðin 100.000 eða 25.000 auk 25% tekna.
• Afþökkun nær yfir markvissar auglýsingar, sölu og verulega sniðgerð, og virða verður almenn afþökkunarmerki.
• Neytendur geta óskað eftir lista yfir þá tilteknu þriðju aðila sem fengu gögn þeirra.
• Gagnaskrá og mat á gagnavernd eru áskilin.
• Úrbótafresturinn rann út 31. janúar 2026; dómsmálaráðherrann framfylgir lögunum.