ミネソタ州消費者データプライバシー法：広告収益型パブリッシャーが知っておくべきこと
もうひとつの州、いくつかの新しい要素
ミネソタ州消費者データプライバシー法（MCDPA）は2025年7月31日に施行されました。一見すると、米国の多くの州のプライバシー法に共通するモデルに従っています。データへのアクセス、訂正、削除の権利と、ターゲティング広告、個人データの販売、特定のプロファイリングからオプトアウトする権利です。しかしミネソタ州は、近隣の州より踏み込んだいくつかの要件を追加しており、その一部はパブリッシャーが自社のデータ慣行を文書化し説明する方法にまで及びます。
この記事では、広告収益型パブリッシャーが知っておくべきことを取り上げます。概要であり、法的助言ではありません。
対象となる事業者
MCDPAは、ミネソタ州で事業を行う、またはミネソタ州の住民を対象とした製品やサービスを提供する組織で、暦年中に次のいずれかに該当するものに適用されます。
- 支払い取引を完了するためだけに処理されるデータを除き、10万人以上のミネソタ州の消費者の個人データを管理または処理している。または
- 総収益の25%超を個人データの販売から得ており、かつ2万5千人以上のミネソタ州の消費者の個人データを管理または処理している。
米国中小企業庁（SBA）が定義する中小企業は一般に適用除外ですが、消費者の同意なしに機微データを販売してはなりません。パブリッシャーにとって「消費者」には、Cookieやデバイスで識別されるウェブサイトやアプリの訪問者が含まれ得るため、ミネソタ州からのトラフィックがそれほど多くないサイトでも基準に達することがあります。
パブリッシャーが対応しなければならない権利
ミネソタ州の住民には、おなじみの一連の権利が与えられます。
- 自分のデータが処理されているかの確認と、そのデータへのアクセス。
- 不正確なデータの訂正と、データの削除。
- 持ち運び可能なコピーの取得。
- ターゲティング広告、個人データの販売、および法的またはそれに類する重大な影響をもたらす決定を進めるためのプロファイリングからのオプトアウト。
広告収益型パブリッシャーにとって、日々の広告スタックに関わるのはターゲティング広告と販売のオプトアウトです。
ミネソタ州の特徴的な点
プロファイリングに異議を述べる権利
消費者が、法的またはそれに類する重大な影響をもたらす決定につながる形でプロファイリングされた場合、その結果に異議を述べ、理由の説明を受け、決定が不正確なデータに基づいていた場合はデータの訂正と決定の再評価を求めることができます。ほとんどのパブリッシャーは訪問者についてそのような決定を行いませんが、自社のツールがそうしていないことを確認しておく価値はあります。
特定の第三者のリスト
消費者は、管理者が自分の個人データを開示した特定の第三者のリストを請求できます。管理者が消費者ごとにその情報を保持していない場合は、一般に個人データを開示した特定の第三者のリストを請求できます。多くの広告テクノロジーパートナーと取引するパブリッシャーにとって、正確なベンダー台帳は実務上の必需品になります。
データインベントリ
管理者は、処理する個人データのインベントリを維持しなければなりません。第三者リストの要件と合わせて、パブリッシャーは、どのタグが何を収集し、どこへ送られるかを文書化して把握する方向へ促されます。
ユニバーサルオプトアウトメカニズム
管理者は、ブラウザのプライバシーシグナルなど、認められたユニバーサルオプトアウトメカニズムを通じて送られた消費者のオプトアウトを尊重しなければなりません。サイトは、そうしたシグナルを、ミネソタ州のユーザーによるターゲティング広告と販売のオプトアウトとして扱うべきです。
データ保護評価
ターゲティング広告、個人データの販売、重大なリスクを伴うプロファイリング、機微データの処理には、文書化されたデータプライバシー・保護評価が必要です。
執行
この法律はミネソタ州司法長官が執行します。私的な訴権はありません。違反に対する30日間の是正期間は2026年1月31日までしか適用されなかったため、それ以降、司法長官は措置を取る前に問題を修正する機会を提供する必要がなくなりました。民事制裁金は、違反1件につき最大7,500ドルに達することがあります。
パブリッシャーが確認すべきこと
- 基準。識別されたデバイスを含め、毎年ミネソタ州の消費者に関して何人分のデータを処理しているかを見積もります。
- オプトアウトのリンクとフロー。米国の訪問者がターゲティング広告と販売をオプトアウトでき、その選択が広告パートナーに届くようにします。
- シグナル。Global Privacy Controlなどのブラウザのオプトアウトシグナルを尊重し、その結果の選択をIAB Global Privacy Platform（GPP）、またはパートナーが読み取るシグナルを通じて引き渡します。
- ベンダー台帳。個人データを受け取るすべての第三者の最新リストを、第三者リストの請求にすぐ答えられるよう保持します。
- データインベントリ。各タグとSDKが何を、なぜ収集するのかを文書化します。
- 評価。ターゲティング広告を対象とするデータ保護評価を作成し、保管します。
- プライバシー通知。ミネソタ州の権利とその行使方法を記載するよう更新します。
ミネソタ州を複数州対応の体制に組み込む
州ごとに別々の体験を構築するのではなく、ほとんどのパブリッシャーは、最も厳格な共通要件をカバーする単一の米国向けオプトアウトフローを運用し、必要に応じて州固有の詳細を追加します。ミネソタ州の追加要件（第三者リスト、データインベントリ、プロファイリングの権利）は、バナーの変更というよりは、主に文書化と請求対応の義務であるため、作業はベンダー台帳やプライバシーに関する請求を担当する人に回ってきます。
重要なポイント
- MCDPAは、10万人、または2万5千人かつ収益の25%超という基準を満たす組織に、2025年7月31日から適用されています。
- オプトアウトはターゲティング広告、販売、重大なプロファイリングを対象とし、ユニバーサルオプトアウトシグナルを尊重しなければなりません。
- 消費者は、自分のデータを受け取った特定の第三者のリストを請求できます。
- データインベントリとデータ保護評価が必要です。
- 是正期間は2026年1月31日に終了しました。執行は司法長官が行います。