მინესოტას მომხმარებელთა მონაცემების კონფიდენციალურობის აქტი: რა უნდა იცოდნენ გამომცემლებმა
კიდევ ერთი შტატი, რამდენიმე ახალი ნიუანსი
Minnesota Consumer Data Privacy Act (MCDPA) ძალაში შევიდა 2025 წლის 31 ივლისს. პირველი შეხედვით იგი მიჰყვება მოდელს, რომელსაც აშშ-ის შტატების კონფიდენციალურობის კანონების უმეტესობა იზიარებს: მონაცემებზე წვდომის, მათი გასწორებისა და წაშლის უფლებები და უფლება, უარი თქვან მიზნობრივ რეკლამაზე, პერსონალური მონაცემების გაყიდვაზე და გარკვეულ პროფილირებაზე. თუმცა მინესოტამ დაამატა რამდენიმე მოთხოვნა, რომელიც მეზობელ შტატებზე შორს მიდის, და ზოგი მათგანი გამომცემლების მიერ საკუთარი მონაცემთა პრაქტიკის დოკუმენტირებასა და ახსნაზე აისახება.
ეს სტატია მოიცავს იმას, რაც რეკლამაზე დამოკიდებულმა გამომცემლებმა უნდა იცოდნენ. ეს მიმოხილვაა და არა იურიდიული რჩევა.
ვის ეხება
MCDPA ვრცელდება ორგანიზაციებზე, რომლებიც მინესოტაში აწარმოებენ ბიზნესს ან სთავაზობენ პროდუქტებს ან სერვისებს, რომლებიც მინესოტას მაცხოვრებლებზეა მიმართული, და რომლებიც კალენდარულ წელს ან:
- აკონტროლებენ ან ამუშავებენ მინესოტას 100 000 ან მეტი მომხმარებლის პერსონალურ მონაცემებს, გარდა მონაცემებისა, რომლებიც მხოლოდ გადახდის ტრანზაქციის დასასრულებლად მუშავდება; ან
- იღებენ ჯამური შემოსავლის 25%-ზე მეტს პერსონალური მონაცემების გაყიდვიდან და აკონტროლებენ ან ამუშავებენ მინესოტას 25 000 ან მეტი მომხმარებლის პერსონალურ მონაცემებს.
მცირე ბიზნესები, როგორც ეს აშშ-ის მცირე ბიზნესის ადმინისტრაციამ (U.S. Small Business Administration) განსაზღვრა, ზოგადად გათავისუფლებულნი არიან, მაგრამ მათ არ შეუძლიათ მგრძნობიარე მონაცემების გაყიდვა მომხმარებლის თანხმობის გარეშე. გამომცემლისთვის „მომხმარებლები“ შეიძლება მოიცავდეს ვებსაიტისა და აპლიკაციის ვიზიტორებს, რომლებიც ქუქი-ფაილებით ან მოწყობილობის ID-ებით იდენტიფიცირდებიან, ამიტომ საიტმა, რომელსაც მინესოტადან მოკრძალებული ტრაფიკი აქვს, მაინც შეიძლება ზღვარს მიაღწიოს.
უფლებები, რომლებსაც გამომცემლებმა მხარი უნდა დაუჭირონ
მინესოტას მაცხოვრებლებს ეძლევათ ცნობილი უფლებათა ნაკრები:
- დაადასტურონ, მუშავდება თუ არა მათი მონაცემები, და მიიღონ მათზე წვდომა.
- შეასწორონ არაზუსტი მონაცემები და წაშალონ მონაცემები.
- მიიღონ პორტატული ასლი.
- უარი თქვან მიზნობრივ რეკლამაზე, პერსონალური მონაცემების გაყიდვაზე და პროფილირებაზე, რომელიც იურიდიული ან მსგავსად მნიშვნელოვანი შედეგების მქონე გადაწყვეტილებებს უწყობს ხელს.
რეკლამაზე დამოკიდებული გამომცემლებისთვის მიზნობრივი რეკლამისა და გაყიდვის opt-out-ები ის უფლებებია, რომლებიც სარეკლამო სტეკს ყოველდღიურად ეხება.
რით არის გამორჩეული მინესოტა
პროფილირების გასაჩივრების უფლება
როცა მომხმარებელი პროფილირებულია ისე, რომ ეს იურიდიული ან მსგავსად მნიშვნელოვანი შედეგების მქონე გადაწყვეტილებას იწვევს, მას შეუძლია შედეგის გასაჩივრება, მიზეზების გაგება და, თუ გადაწყვეტილება არაზუსტ მონაცემებს ეფუძნებოდა, მონაცემების გასწორება და გადაწყვეტილების ხელახლა შეფასება. გამომცემლების უმეტესობა ვიზიტორებზე ასეთ გადაწყვეტილებებს არ იღებს, მაგრამ ღირს დარწმუნება, რომ თქვენი არცერთი ინსტრუმენტი ამას არ აკეთებს.
კონკრეტული მესამე მხარეების სია
მომხმარებლებს შეუძლიათ მოითხოვონ იმ კონკრეტული მესამე მხარეების სია, რომლებსაც ოპერატორმა მათი პერსონალური მონაცემები გადასცა, ან, თუ ოპერატორი ამ ინფორმაციას თითო მომხმარებლის მიხედვით არ ინახავს, იმ კონკრეტული მესამე მხარეების სია, რომლებსაც პერსონალური მონაცემები ზოგადად გადასცა. გამომცემლებისთვის, რომლებიც ბევრ ad tech პარტნიორთან მუშაობენ, ეს ვენდორების ზუსტ რეესტრს პრაქტიკულ აუცილებლობად აქცევს.
მონაცემთა ინვენტარი
ოპერატორებმა უნდა აწარმოონ მათ მიერ დამუშავებული პერსონალური მონაცემების ინვენტარი. მესამე მხარეების სიის მოთხოვნასთან ერთად ეს გამომცემლებს უბიძგებს დოკუმენტირებული ცოდნისკენ იმის შესახებ, რომელი თეგი რას აგროვებს და სად მიდის.
უნივერსალური opt-out მექანიზმები
ოპერატორებმა უნდა პატივი სცენ მომხმარებლის opt-out-ს, რომელიც აღიარებული უნივერსალური opt-out მექანიზმით, მაგალითად, ბრაუზერის კონფიდენციალურობის სიგნალით, გაიგზავნა. საიტებმა ასეთი სიგნალები მინესოტას მომხმარებლებისთვის მიზნობრივ რეკლამასა და გაყიდვაზე opt-out-ად უნდა განიხილონ.
მონაცემთა დაცვის შეფასებები
მიზნობრივი რეკლამისთვის დამუშავება, პერსონალური მონაცემების გაყიდვა, მნიშვნელოვანი რისკების მქონე პროფილირება და მგრძნობიარე მონაცემების დამუშავება დოკუმენტირებულ კონფიდენციალურობისა და მონაცემთა დაცვის შეფასებას მოითხოვს.
აღსრულება
კანონს ახორციელებს მინესოტას გენერალური პროკურორი (Attorney General); კერძო სარჩელის უფლება არ არსებობს. დარღვევების გამოსწორების 30-დღიანი ვადა მხოლოდ 2026 წლის 31 იანვრამდე მოქმედებდა, ამიტომ მას შემდეგ გენერალური პროკურორი აღარ არის ვალდებული, მოქმედებამდე პრობლემის გამოსწორების შესაძლებლობა მისცეს. სამოქალაქო ჯარიმა დარღვევაზე 7 500 დოლარამდე შეიძლება მიაღწიოს.
რა უნდა შეამოწმონ გამომცემლებმა
- ზღვარი. შეაფასეთ, მინესოტას რამდენი მომხმარებლის შესახებ ამუშავებთ მონაცემებს ყოველწლიურად, იდენტიფიცირებული მოწყობილობების ჩათვლით.
- opt-out ბმული და ნაკადი. დარწმუნდით, რომ აშშ-ის ვიზიტორებს შეუძლიათ უარი თქვან მიზნობრივ რეკლამასა და გაყიდვაზე და რომ არჩევანი თქვენს სარეკლამო პარტნიორებამდე აღწევს.
- სიგნალები. პატივი სცით ბრაუზერის opt-out სიგნალებს, როგორიცაა Global Privacy Control, და მიღებული არჩევანი გადასცით IAB Global Privacy Platform-ის (GPP) ან იმ სიგნალის მეშვეობით, რომელსაც თქვენი პარტნიორები კითხულობენ.
- ვენდორების რეესტრი. შეინახეთ აქტუალური სია ყველა მესამე მხარისა, რომელიც პერსონალურ მონაცემებს იღებს, მესამე მხარეთა სიის მოთხოვნაზე საპასუხოდ მზად.
- მონაცემთა ინვენტარი. დააფიქსირეთ, რას აგროვებს თითოეული თეგი და SDK და რატომ.
- შეფასებები. დაწერეთ და შეინახეთ მონაცემთა დაცვის შეფასება, რომელიც მიზნობრივ რეკლამას მოიცავს.
- კონფიდენციალურობის შეტყობინება. განაახლეთ, რომ აღწერდეს მინესოტას უფლებებს და მათი განხორციელების გზას.
მინესოტას ჩართვა მრავალშტატიან კონფიგურაციაში
თითოეული შტატისთვის ცალკე გამოცდილების შექმნის ნაცვლად, გამომცემლების უმეტესობა იყენებს ერთ აშშ-ის opt-out ნაკადს, რომელიც ყველაზე მკაცრ საერთო მოთხოვნებს მოიცავს, და საჭიროების შემთხვევაში ამატებს შტატისთვის სპეციფიკურ დეტალებს. მინესოტას დამატებები — მესამე მხარეთა სია, მონაცემთა ინვენტარი და პროფილირების უფლება — ძირითადად დოკუმენტირებისა და მოთხოვნების დამუშავების ვალდებულებებია და არა ბანერის ცვლილებები, ამიტომ სამუშაო მას ეკისრება, ვისაც ვენდორების რეესტრი და კონფიდენციალურობის მოთხოვნები აქვს.
ძირითადი დასკვნები
- MCDPA 2025 წლის 31 ივლისიდან მოქმედებს იმ ორგანიზაციებზე, რომლებიც 100 000-იან ან 25 000-იან პლუს შემოსავლის 25%-იან ზღვრებს აკმაყოფილებენ.
- Opt-out-ები მოიცავს მიზნობრივ რეკლამას, გაყიდვას და მნიშვნელოვან პროფილირებას, ხოლო უნივერსალური opt-out სიგნალებისთვის პატივი უნდა იქნეს მიგებული.
- მომხმარებლებს შეუძლიათ მოითხოვონ იმ კონკრეტული მესამე მხარეების სია, რომლებმაც მათი მონაცემები მიიღეს.
- მონაცემთა ინვენტარი და მონაცემთა დაცვის შეფასებები სავალდებულოა.
- გამოსწორების ვადა 2026 წლის 31 იანვარს დასრულდა; აღსრულებას გენერალური პროკურორი ახორციელებს.