Un altro stato, qualche novità

Il Minnesota Consumer Data Privacy Act (MCDPA) è entrato in vigore il 31 luglio 2025. A prima vista segue il modello condiviso dalla maggior parte delle leggi statali USA sulla privacy: diritti di accesso, rettifica e cancellazione dei dati e diritto di rifiutare la pubblicità mirata, la vendita di dati personali e certe forme di profilazione. Ma il Minnesota ha aggiunto diversi requisiti che vanno oltre quelli degli stati vicini, e alcuni toccano il modo in cui i publisher documentano e spiegano le proprie pratiche sui dati.

Questo articolo illustra ciò che i publisher finanziati dalla pubblicità dovrebbero sapere. È una panoramica, non una consulenza legale.

Chi è coinvolto

Il MCDPA si applica alle organizzazioni che operano nel Minnesota o offrono prodotti o servizi rivolti ai residenti del Minnesota e che in un anno solare:

• controllano o trattano i dati personali di 100.000 o più consumatori del Minnesota, esclusi i dati trattati unicamente per completare una transazione di pagamento; oppure
• ricavano più del 25% del fatturato lordo dalla vendita di dati personali e controllano o trattano i dati personali di 25.000 o più consumatori del Minnesota.

Le piccole imprese secondo la definizione della US Small Business Administration sono in genere esenti, ma non possono vendere dati sensibili senza il consenso del consumatore. Per un publisher, i “consumatori” possono includere i visitatori di siti web e app identificati tramite cookie o ID del dispositivo, quindi un sito con un traffico modesto dal Minnesota può comunque raggiungere la soglia.

I diritti che i publisher devono supportare

I residenti del Minnesota ottengono il consueto insieme di diritti:

• Confermare se i propri dati sono trattati e accedervi.
• Correggere i dati inesatti e cancellare i dati.
• Ottenere una copia portabile.
• Rifiutare la pubblicità mirata, la vendita di dati personali e la profilazione finalizzata a decisioni che producono effetti giuridici o effetti analogamente significativi.

Per i publisher finanziati dalla pubblicità, gli opt-out dalla pubblicità mirata e dalla vendita sono quelli che toccano lo stack pubblicitario ogni giorno.

Cosa distingue il Minnesota

Il diritto di contestare la profilazione

Quando un consumatore è stato profilato in modo da portare a una decisione con effetti giuridici o effetti analogamente significativi, può contestarne l’esito, essere informato dei motivi e, se la decisione si basava su dati inesatti, ottenere la correzione dei dati e il riesame della decisione. La maggior parte dei publisher non prende decisioni di questo tipo sui visitatori, ma vale la pena confermare che nessuno dei tuoi strumenti lo faccia.

Una lista di terzi specifici

I consumatori possono chiedere un elenco dei terzi specifici ai quali il titolare ha comunicato i loro dati personali oppure, se il titolare non conserva tale informazione per singolo consumatore, un elenco dei terzi specifici ai quali ha comunicato dati personali in generale. Per i publisher che lavorano con molti partner di ad tech, questo rende un registro dei fornitori accurato una necessità pratica.

Un inventario dei dati

I titolari devono mantenere un inventario dei dati personali che trattano. Insieme al requisito dell’elenco dei terzi, questo spinge i publisher a documentare quali tag raccolgono cosa e dove va a finire.

Meccanismi universali di opt-out

I titolari devono rispettare l’opt-out di un consumatore inviato tramite un meccanismo universale di opt-out riconosciuto, come un segnale di privacy del browser. I siti dovrebbero trattare tali segnali come un rifiuto della pubblicità mirata e della vendita per gli utenti del Minnesota.

Valutazioni di protezione dei dati

Il trattamento per pubblicità mirata, la vendita di dati personali, la profilazione con rischi significativi e il trattamento di dati sensibili richiedono una valutazione documentata della privacy e della protezione dei dati.

Applicazione

La legge è fatta rispettare dal procuratore generale del Minnesota; non esiste un diritto di azione privato. Un periodo di 30 giorni per sanare le violazioni si è applicato solo fino al 31 gennaio 2026, quindi da allora il procuratore generale non è più tenuto a offrire la possibilità di correggere un problema prima di agire. Le sanzioni civili possono arrivare fino a 7.500 dollari per violazione.

Cosa dovrebbero verificare i publisher

1. Soglia. Stima ogni anno di quanti consumatori del Minnesota tratti i dati, compresi i dispositivi identificati.
2. Link e flusso di opt-out. Assicurati che i visitatori USA possano rifiutare la pubblicità mirata e la vendita e che la scelta raggiunga i tuoi partner pubblicitari.
3. Segnali. Rispetta i segnali di opt-out del browser come Global Privacy Control e trasmetti la scelta risultante tramite l’IAB Global Privacy Platform (GPP) o il segnale che leggono i tuoi partner.
4. Registro dei fornitori. Mantieni aggiornato l’elenco di ogni terza parte che riceve dati personali, pronto a rispondere a una richiesta di elenco dei terzi.
5. Inventario dei dati. Documenta cosa raccoglie ogni tag e ogni SDK e perché.
6. Valutazioni. Scrivi e conserva una valutazione di protezione dei dati che copra la pubblicità mirata.
7. Informativa sulla privacy. Aggiornala per descrivere i diritti del Minnesota e come esercitarli.

Inserire il Minnesota in una configurazione multi-stato

Invece di costruire un’esperienza separata per ogni stato, la maggior parte dei publisher gestisce un unico flusso di opt-out USA che copre i requisiti comuni più rigorosi, poi aggiunge dettagli specifici per stato dove serve. Le aggiunte del Minnesota — l’elenco dei terzi, l’inventario dei dati e il diritto sulla profilazione — sono per lo più obblighi di documentazione e di gestione delle richieste anziché modifiche al banner, quindi il lavoro ricade su chi si occupa del tuo registro dei fornitori e delle richieste sulla privacy.

Punti chiave

• Il MCDPA si applica dal 31 luglio 2025 alle organizzazioni che soddisfano le soglie di 100.000 consumatori, oppure di 25.000 consumatori e 25% del fatturato.
• Gli opt-out coprono la pubblicità mirata, la vendita e la profilazione significativa, e i segnali universali di opt-out devono essere rispettati.
• I consumatori possono richiedere un elenco dei terzi specifici che hanno ricevuto i loro dati.
• Sono richiesti un inventario dei dati e valutazioni di protezione dei dati.
• Il periodo per sanare le violazioni è terminato il 31 gennaio 2026; l’applicazione spetta al procuratore generale.