Negeri Lain, Beberapa Perkara Baharu

Minnesota Consumer Data Privacy Act (MCDPA) berkuat kuasa pada 31 Julai 2025. Sekali imbas ia mengikut model yang dikongsi kebanyakan undang-undang privasi negeri AS: hak untuk mengakses, membetulkan dan memadam data, serta hak untuk menolak pengiklanan bersasar, penjualan data peribadi dan pemprofilan tertentu. Tetapi Minnesota menambah beberapa keperluan yang melangkaui negeri jirannya, dan sebahagiannya menjangkau cara penerbit mendokumenkan dan menerangkan amalan datanya.

Artikel ini merangkumi apa yang patut diketahui penerbit bersokongan iklan. Ia gambaran keseluruhan, bukan nasihat undang-undang.

Siapa yang Dilindungi

MCDPA terpakai kepada organisasi yang menjalankan perniagaan di Minnesota atau menawarkan produk atau perkhidmatan yang disasarkan kepada penduduk Minnesota, dan yang dalam setahun kalendar sama ada:

• mengawal atau memproses data peribadi 100,000 atau lebih pengguna Minnesota, tidak termasuk data yang diproses semata-mata untuk melengkapkan transaksi pembayaran; atau
• memperoleh lebih 25% hasil kasar daripada penjualan data peribadi dan mengawal atau memproses data peribadi 25,000 atau lebih pengguna Minnesota.

Perniagaan kecil seperti yang ditakrifkan oleh US Small Business Administration umumnya dikecualikan, tetapi mereka tidak boleh menjual data sensitif tanpa persetujuan pengguna. Bagi penerbit, “pengguna” boleh merangkumi pelawat tapak web dan aplikasi yang dikenal pasti melalui kuki atau ID peranti, jadi tapak dengan trafik Minnesota yang sederhana pun masih boleh mencapai ambang.

Hak yang Mesti Disokong Penerbit

Penduduk Minnesota mendapat set hak yang biasa:

• Mengesahkan sama ada data mereka diproses dan mengaksesnya.
• Membetulkan data yang tidak tepat dan memadam data.
• Mendapatkan salinan yang boleh dipindahkan.
• Menolak pengiklanan bersasar, penjualan data peribadi, dan pemprofilan bagi menyokong keputusan yang menghasilkan kesan undang-undang atau kesan penting yang serupa.

Bagi penerbit bersokongan iklan, opt-out pengiklanan bersasar dan penjualan ialah yang menyentuh tindanan iklan setiap hari.

Apa yang Tersendiri tentang Minnesota

Hak mempersoalkan pemprofilan

Jika seorang pengguna telah diprofilkan dengan cara yang membawa kepada keputusan dengan kesan undang-undang atau kesan penting yang serupa, mereka boleh mempersoalkan hasilnya, dimaklumkan sebab-sebabnya, dan, jika keputusan itu berdasarkan data yang tidak tepat, meminta data dibetulkan dan keputusan dinilai semula. Kebanyakan penerbit tidak membuat keputusan sedemikian tentang pelawat, tetapi wajar disahkan bahawa tiada alat anda yang berbuat demikian.

Senarai pihak ketiga tertentu

Pengguna boleh meminta senarai pihak ketiga tertentu yang kepadanya pengawal telah mendedahkan data peribadi mereka, atau, jika pengawal tidak menyimpan maklumat itu bagi setiap pengguna, senarai pihak ketiga tertentu yang kepadanya ia telah mendedahkan data peribadi secara umum. Bagi penerbit yang bekerjasama dengan ramai rakan ad tech, ini menjadikan daftar vendor yang tepat satu keperluan praktikal.

Inventori data

Pengawal mesti menyelenggara inventori data peribadi yang mereka proses. Digabungkan dengan keperluan senarai pihak ketiga, ini mendorong penerbit ke arah pengetahuan berdokumen tentang tag mana mengumpul apa, dan ke mana ia pergi.

Mekanisme opt-out universal

Pengawal mesti menghormati opt-out pengguna yang dihantar melalui mekanisme opt-out universal yang diiktiraf, seperti isyarat privasi pelayar. Tapak harus menganggap isyarat sedemikian sebagai opt-out daripada pengiklanan bersasar dan penjualan bagi pengguna Minnesota.

Penilaian perlindungan data

Pemprosesan untuk pengiklanan bersasar, penjualan data peribadi, pemprofilan dengan risiko ketara dan pemprosesan data sensitif memerlukan penilaian privasi dan perlindungan data yang didokumenkan.

Penguatkuasaan

Undang-undang ini dikuatkuasakan oleh Peguam Negara Minnesota; tiada hak tindakan persendirian. Tempoh pembetulan 30 hari bagi pelanggaran hanya terpakai sehingga 31 Januari 2026, jadi sejak itu Peguam Negara tidak lagi dikehendaki menawarkan peluang membetulkan masalah sebelum bertindak. Penalti sivil boleh mencecah $7,500 bagi setiap pelanggaran.

Apa yang Patut Disemak Penerbit

1. Ambang. Anggarkan berapa ramai pengguna Minnesota yang datanya anda proses setiap tahun, termasuk peranti yang dikenal pasti.
2. Pautan dan aliran opt-out. Pastikan pelawat AS boleh menolak pengiklanan bersasar dan penjualan, dan pilihan itu sampai kepada rakan iklan anda.
3. Isyarat. Hormati isyarat opt-out pelayar seperti Global Privacy Control, dan serahkan pilihan yang terhasil melalui IAB Global Privacy Platform (GPP) atau apa jua isyarat yang dibaca rakan kongsi anda.
4. Daftar vendor. Simpan senarai terkini setiap pihak ketiga yang menerima data peribadi, sedia menjawab permintaan senarai pihak ketiga.
5. Inventori data. Dokumenkan apa yang dikumpul oleh setiap tag dan SDK serta sebabnya.
6. Penilaian. Tulis dan simpan penilaian perlindungan data yang meliputi pengiklanan bersasar.
7. Notis privasi. Kemas kininya untuk menerangkan hak Minnesota dan cara menggunakannya.

Memuatkan Minnesota dalam Persediaan Berbilang Negeri

Daripada membina pengalaman berasingan bagi setiap negeri, kebanyakan penerbit menjalankan satu aliran opt-out AS yang meliputi keperluan bersama paling ketat, kemudian menambah butiran khusus negeri jika perlu. Tambahan Minnesota — senarai pihak ketiga, inventori data dan hak pemprofilan — kebanyakannya tugas dokumentasi dan pengendalian permintaan dan bukannya perubahan sepanduk, jadi kerjanya jatuh kepada sesiapa yang memiliki daftar vendor dan permintaan privasi anda.

Perkara Utama

• MCDPA terpakai sejak 31 Julai 2025 kepada organisasi yang memenuhi ambang 100,000 atau 25,000 ditambah 25% hasil.
• Opt-out meliputi pengiklanan bersasar, penjualan dan pemprofilan ketara, dan isyarat opt-out universal mesti dihormati.
• Pengguna boleh meminta senarai pihak ketiga tertentu yang menerima data mereka.
• Inventori data dan penilaian perlindungan data diwajibkan.
• Tempoh pembetulan tamat pada 31 Januari 2026; penguatkuasaan dilakukan oleh Peguam Negara.