Dar viena valstija, keletas naujovių

Minnesota Consumer Data Privacy Act (MCDPA) įsigaliojo 2025 m. liepos 31 d. Iš pirmo žvilgsnio jis seka daugumai JAV valstijų privatumo įstatymų bendrą modelį: teisės susipažinti su duomenimis, juos taisyti ir ištrinti bei teisė atsisakyti tikslinės reklamos, asmens duomenų pardavimo ir tam tikro profiliavimo. Tačiau Minesota pridėjo keletą reikalavimų, einančių toliau nei kaimynų, ir kai kurie jų siekia tai, kaip leidėjai dokumentuoja ir aiškina savo duomenų praktiką.

Šiame straipsnyje aptariama, ką turėtų žinoti iš reklamos gyvenantys leidėjai. Tai apžvalga, o ne teisinė konsultacija.

Kam taikoma

MCDPA taikomas organizacijoms, kurios verčiasi veikla Minesotoje arba siūlo Minesotos gyventojams skirtus produktus ar paslaugas ir kurios per kalendorinius metus arba:

• valdo ar tvarko 100 000 ar daugiau Minesotos vartotojų asmens duomenis, išskyrus duomenis, tvarkomus vien mokėjimo operacijai užbaigti; arba
• gauna daugiau nei 25 % bendrųjų pajamų iš asmens duomenų pardavimo ir valdo ar tvarko 25 000 ar daugiau Minesotos vartotojų asmens duomenis.

Smulkiojo verslo subjektai, apibrėžti JAV Small Business Administration, paprastai atleidžiami, tačiau negali parduoti jautrių duomenų be vartotojo sutikimo. Leidėjui “vartotojai” gali apimti svetainių ir programėlių lankytojus, identifikuojamus pagal slapukus ar įrenginių ID, todėl net svetainė su kuklų Minesotos srautu gali pasiekti ribą.

Teisės, kurias leidėjai turi palaikyti

Minesotos gyventojai gauna žinomą teisių rinkinį:

• Patvirtinti, ar jų duomenys tvarkomi, ir susipažinti su jais.
• Ištaisyti netikslius duomenis ir ištrinti duomenis.
• Gauti perkeliamą kopiją.
• Atsisakyti tikslinės reklamos, asmens duomenų pardavimo ir profiliavimo, kuriuo remiantis priimami sprendimai, turintys teisinį ar panašiai reikšmingą poveikį.

Iš reklamos gyvenantiems leidėjams kasdien reklamos steką liečia būtent tikslinės reklamos ir pardavimo atsisakymai.

Kuo Minesota ypatinga

Teisė ginčyti profiliavimą

Kai vartotojas buvo profiliuotas taip, kad tai lėmė sprendimą su teisiniu ar panašiai reikšmingu poveikiu, jis gali ginčyti rezultatą, sužinoti priežastis, o jei sprendimas buvo pagrįstas netiksliais duomenimis, pasiekti duomenų ištaisymą ir sprendimo peržiūrėjimą iš naujo. Dauguma leidėjų tokių sprendimų apie lankytojus nepriima, bet verta patikrinti, kad nė vienas jūsų įrankis to nedaro.

Konkrečių trečiųjų šalių sąrašas

Vartotojai gali prašyti konkrečių trečiųjų šalių, kurioms duomenų valdytojas atskleidė jų asmens duomenis, sąrašo, o jei valdytojas tokios informacijos pagal atskirus vartotojus nesaugo, konkrečių trečiųjų šalių, kurioms jis apskritai atskleidė asmens duomenis, sąrašo. Leidėjams, dirbantiems su daugeliu reklamos technologijų partnerių, dėl to tikslus tiekėjų registras tampa praktine būtinybe.

Duomenų inventorius

Valdytojai turi tvarkyti jų tvarkomų asmens duomenų inventorių. Kartu su trečiųjų šalių sąrašo reikalavimu tai skatina leidėjus dokumentuotai žinoti, kurios žymės ką renka ir kur tai keliauja.

Universalūs atsisakymo mechanizmai

Valdytojai turi gerbti vartotojo atsisakymą, išsiųstą per pripažintą universalų atsisakymo mechanizmą, pavyzdžiui, naršyklės privatumo signalą. Svetainės tokius signalus turėtų laikyti Minesotos vartotojų atsisakymu nuo tikslinės reklamos ir pardavimo.

Duomenų apsaugos vertinimai

Tvarkant duomenis tikslinei reklamai, asmens duomenų pardavimui, profiliavimui su didele rizika ir tvarkant jautrius duomenis reikia dokumentuoto duomenų privatumo ir apsaugos vertinimo.

Vykdymo užtikrinimas

Įstatymą vykdo Minesotos generalinis prokuroras; privačios ieškinio teisės nėra. 30 dienų pažeidimų ištaisymo laikotarpis galiojo tik iki 2026 m. sausio 31 d., todėl nuo tada generalinio prokuroro nebereikalaujama suteikti galimybės problemą ištaisyti prieš imantis veiksmų. Civilinės baudos gali siekti iki 7 500 USD už pažeidimą.

Ką turėtų patikrinti leidėjai

1. Riba. Įvertinkite, kiek Minesotos vartotojų duomenis tvarkote per metus, įskaitant identifikuotus įrenginius.
2. Atsisakymo nuoroda ir eiga. Įsitikinkite, kad JAV lankytojai gali atsisakyti tikslinės reklamos ir pardavimo ir kad pasirinkimas pasiekia jūsų reklamos partnerius.
3. Signalai. Gerbkite naršyklės atsisakymo signalus, pavyzdžiui, Global Privacy Control, ir gautą pasirinkimą perduokite per IAB Global Privacy Platform (GPP) arba signalą, kurį skaito jūsų partneriai.
4. Tiekėjų registras. Tvarkykite aktualų kiekvienos asmens duomenis gaunančios trečiosios šalies sąrašą, paruoštą atsakyti į trečiųjų šalių sąrašo prašymą.
5. Duomenų inventorius. Dokumentuokite, ką renka kiekviena žymė ir SDK bei kodėl.
6. Vertinimai. Parašykite ir saugokite duomenų apsaugos vertinimą, apimantį tikslinę reklamą.
7. Privatumo pranešimas. Atnaujinkite jį, kad aprašytų Minesotos teises ir kaip jomis pasinaudoti.

Minesotos įtraukimas į kelių valstijų sąranką

Užuot kūrę atskirą patirtį kiekvienai valstijai, dauguma leidėjų naudoja vieną JAV atsisakymo eigą, apimančią griežčiausius bendrus reikalavimus, o tada prideda valstijai specifinių detalių ten, kur reikia. Minesotos papildymai — trečiųjų šalių sąrašas, duomenų inventorius ir profiliavimo teisė — daugiausia yra dokumentavimo ir prašymų tvarkymo pareigos, o ne reklamjuostės pakeitimai, todėl darbas atitenka tam, kas valdo jūsų tiekėjų registrą ir privatumo prašymus.

Pagrindinės išvados

• MCDPA nuo 2025 m. liepos 31 d. taikomas organizacijoms, atitinkančioms 100 000 arba 25 000 plius 25 % pajamų ribas.
• Atsisakymai apima tikslinę reklamą, pardavimą ir reikšmingą profiliavimą, o universalių atsisakymo signalų reikia paisyti.
• Vartotojai gali prašyti konkrečių trečiųjų šalių, gavusių jų duomenis, sąrašo.
• Reikalingas duomenų inventorius ir duomenų apsaugos vertinimai.
• Ištaisymo laikotarpis baigėsi 2026 m. sausio 31 d.; įstatymą vykdo generalinis prokuroras.