Vēl viens štats, daži jauni akcenti

Minesotas Patērētāju datu privātuma likums (MCDPA) stājās spēkā 2025. gada 31. jūlijā. No pirmā acu uzmetiena tas atbilst modelim, ko dala lielākā daļa ASV štatu privātuma likumu: tiesības piekļūt datiem, tos labot un dzēst, kā arī tiesības atteikties no mērķētās reklāmas, personas datu pārdošanas un noteiktas profilēšanas. Taču Minesota pievienoja vairākas prasības, kas iet tālāk nekā tās kaimiņu štati, un dažas no tām skar to, kā izdevēji dokumentē un izskaidro savu datu praksi.

Šajā rakstā apskatīts, kas jāzina reklāmu finansētiem izdevējiem. Tas ir pārskats, nevis juridisks padoms.

Uz ko likums attiecas

MCDPA attiecas uz organizācijām, kas veic uzņēmējdarbību Minesotā vai piedāvā produktus vai pakalpojumus, kas vērsti uz Minesotas iedzīvotājiem, un kuras kalendārā gada laikā:

• kontrolē vai apstrādā 100 000 vai vairāk Minesotas patērētāju personas datus, neskaitot datus, kas apstrādāti tikai maksājuma darījuma pabeigšanai; vai
• gūst vairāk nekā 25% no bruto ieņēmumiem no personas datu pārdošanas un kontrolē vai apstrādā 25 000 vai vairāk Minesotas patērētāju personas datus.

Mazie uzņēmumi, kā tos definē ASV Mazo uzņēmumu pārvalde, parasti ir atbrīvoti, taču tie nedrīkst pārdot sensitīvus datus bez patērētāja piekrišanas. Izdevējam “patērētāji” var ietvert vietnes un lietotņu apmeklētājus, kas identificēti ar sīkdatnēm vai ierīču ID, tāpēc arī vietne ar pieticīgu trafiku no Minesotas var sasniegt slieksni.

Tiesības, kuras izdevējiem jāatbalsta

Minesotas iedzīvotājiem ir pazīstamais tiesību kopums:

• Apstiprināt, vai viņu dati tiek apstrādāti, un piekļūt tiem.
• Labot neprecīzus datus un dzēst datus.
• Saņemt pārnesamu kopiju.
• Atteikties no mērķētās reklāmas, personas datu pārdošanas un profilēšanas, kas veicina lēmumus ar juridisku vai līdzīgi būtisku ietekmi.

Reklāmu finansētiem izdevējiem ikdienā ar reklāmu steku saistīti ir atteikšanās no mērķētās reklāmas un pārdošanas.

Kas Minesotā ir īpašs

Tiesības apšaubīt profilēšanu

Ja patērētājs ir profilēts tā, ka tas noveda pie lēmuma ar juridisku vai līdzīgi būtisku ietekmi, viņš var apšaubīt rezultātu, uzzināt iemeslus un, ja lēmums balstījās uz neprecīziem datiem, panākt datu labošanu un lēmuma pārvērtēšanu. Lielākā daļa izdevēju par apmeklētājiem šādus lēmumus nepieņem, taču ir vērts pārliecināties, ka neviens no jūsu rīkiem to nedara.

Konkrētu trešo personu saraksts

Patērētāji var pieprasīt to konkrēto trešo personu sarakstu, kurām pārzinis ir izpaudis viņu personas datus, vai, ja pārzinis šādu informāciju neuztur par katru patērētāju, to konkrēto trešo personu sarakstu, kurām tas vispār ir izpaudis personas datus. Izdevējiem, kas strādā ar daudziem reklāmu tehnoloģiju partneriem, tas padara precīzu pārdevēju reģistru par praktisku nepieciešamību.

Datu inventārs

Pārziņiem jāuztur apstrādāto personas datu inventārs. Kopā ar prasību par trešo personu sarakstu tas virza izdevējus uz dokumentētām zināšanām par to, kuri tagi ko vāc un kur tas nonāk.

Universālie atteikšanās mehānismi

Pārziņiem jāievēro patērētāja atteikšanās, kas nosūtīta, izmantojot atzītu universālu atteikšanās mehānismu, piemēram, pārlūka privātuma signālu. Vietnēm šādi signāli jāuztver kā atteikšanās no mērķētās reklāmas un pārdošanas Minesotas lietotājiem.

Datu aizsardzības novērtējumi

Apstrādei mērķētās reklāmas nolūkos, personas datu pārdošanai, profilēšanai ar būtiskiem riskiem un sensitīvu datu apstrādei nepieciešams dokumentēts datu privātuma un aizsardzības novērtējums.

Izpilde

Likuma izpildi nodrošina Minesotas ģenerālprokurors; privātas prasības tiesības nepastāv. 30 dienu labošanas periods pārkāpumiem bija spēkā tikai līdz 2026. gada 31. janvārim, tāpēc kopš tā laika ģenerālprokuroram vairs nav jāpiedāvā iespēja novērst problēmu pirms rīcības. Civilsodi var sasniegt līdz 7500 USD par pārkāpumu.

Ko izdevējiem vajadzētu pārbaudīt

1. Slieksnis. Novērtējiet, par cik Minesotas patērētājiem apstrādājat datus katru gadu, ieskaitot identificētās ierīces.
2. Atteikšanās saite un plūsma. Pārliecinieties, ka ASV apmeklētāji var atteikties no mērķētās reklāmas un pārdošanas un ka izvēle sasniedz jūsu reklāmu partnerus.
3. Signāli. Ievērojiet pārlūka atteikšanās signālus, piemēram, Global Privacy Control, un nododiet iegūto izvēli tālāk caur IAB Global Privacy Platform (GPP) vai jebkuru signālu, ko lasa jūsu partneri.
4. Pārdevēju reģistrs. Uzturiet aktuālu sarakstu ar katru trešo personu, kas saņem personas datus, gatavu atbildēt uz trešo personu saraksta pieprasījumu.
5. Datu inventārs. Dokumentējiet, ko vāc katrs tags un SDK un kāpēc.
6. Novērtējumi. Sagatavojiet un glabājiet datu aizsardzības novērtējumu, kas aptver mērķēto reklāmu.
7. Privātuma paziņojums. Atjauniniet to, lai aprakstītu Minesotas tiesības un to īstenošanas veidu.

Minesotas iekļaušana vairāku štatu iestatījumos

Tā vietā, lai veidotu atsevišķu pieredzi katram štatam, lielākā daļa izdevēju izmanto vienu ASV atteikšanās plūsmu, kas aptver visstingrākās kopīgās prasības, un pēc tam pievieno štatam specifiskas detaļas, kur nepieciešams. Minesotas papildinājumi — trešo personu saraksts, datu inventārs un profilēšanas tiesības — pārsvarā ir dokumentācijas un pieprasījumu apstrādes pienākumi, nevis banera izmaiņas, tāpēc darbs nonāk pie tā, kam pieder jūsu pārdevēju reģistrs un privātuma pieprasījumi.

Galvenie secinājumi

• MCDPA ir piemērojams kopš 2025. gada 31. jūlija organizācijām, kas atbilst 100 000 vai 25 000 plus 25% ieņēmumu slieksnim.
• Atteikšanās aptver mērķēto reklāmu, pārdošanu un būtisku profilēšanu, un universālie atteikšanās signāli ir jāievēro.
• Patērētāji var pieprasīt to konkrēto trešo personu sarakstu, kas saņēmušas viņu datus.
• Nepieciešams datu inventārs un datu aizsardzības novērtējumi.
• Labošanas periods beidzās 2026. gada 31. janvārī; izpildi nodrošina ģenerālprokurors.