Regulation27 okt 2026 | FlexyConsent

Minnesota's Consumer Data Privacy Act: wat door advertenties gefinancierde uitgevers moeten weten

Nog een staat, enkele nieuwe wendingen

De Minnesota Consumer Data Privacy Act (MCDPA) is op 31 juli 2025 in werking getreden. Op het eerste gezicht volgt hij het model dat de meeste Amerikaanse staatsprivacywetten delen: rechten op inzage, correctie en verwijdering van gegevens, en een recht om je af te melden voor gerichte advertenties, de verkoop van persoonsgegevens en bepaalde profilering. Maar Minnesota heeft een aantal vereisten toegevoegd die verder gaan dan die van zijn buren, en sommige daarvan raken aan hoe uitgevers hun gegevenspraktijken documenteren en toelichten.

Dit artikel behandelt wat door advertenties gefinancierde uitgevers moeten weten. Het is een overzicht, geen juridisch advies.

Wie onder de wet valt

De MCDPA is van toepassing op organisaties die zaken doen in Minnesota of producten of diensten aanbieden die gericht zijn op inwoners van Minnesota, en die in een kalenderjaar ofwel:

Kleine bedrijven zoals gedefinieerd door de Amerikaanse Small Business Administration zijn over het algemeen vrijgesteld, maar mogen geen gevoelige gegevens verkopen zonder toestemming van de consument. Voor een uitgever kunnen “consumenten” ook website- en appbezoekers zijn die worden geïdentificeerd via cookies of apparaat-ID's, dus een site met bescheiden verkeer uit Minnesota kan de drempel toch halen.

De rechten die uitgevers moeten ondersteunen

Inwoners van Minnesota krijgen de bekende reeks rechten:

Voor door advertenties gefinancierde uitgevers raken de opt-outs voor gerichte advertenties en verkoop dagelijks aan de advertentiestack.

Wat Minnesota onderscheidt

Het recht om profilering ter discussie te stellen

Wanneer een consument is geprofileerd op een manier die leidde tot een beslissing met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen, kan hij het resultaat ter discussie stellen, de redenen vernemen en, als de beslissing op onjuiste gegevens was gebaseerd, de gegevens laten corrigeren en de beslissing opnieuw laten beoordelen. De meeste uitgevers nemen over bezoekers geen beslissingen van dat soort, maar het is verstandig te bevestigen dat geen van je tools dat doet.

Een lijst van specifieke derden

Consumenten kunnen vragen om een lijst van de specifieke derden aan wie de verwerkingsverantwoordelijke hun persoonsgegevens heeft verstrekt, of, als de verantwoordelijke die informatie niet per consument bijhoudt, een lijst van de specifieke derden aan wie hij in het algemeen persoonsgegevens heeft verstrekt. Voor uitgevers die met veel adtech-partners werken, maakt dit een nauwkeurig vendorregister een praktische noodzaak.

Een gegevensinventaris

Verantwoordelijken moeten een inventaris bijhouden van de persoonsgegevens die ze verwerken. In combinatie met de eis van de lijst van derden dwingt dit uitgevers tot gedocumenteerde kennis van welke tags wat verzamelen en waar het heen gaat.

Universele opt-outmechanismen

Verantwoordelijken moeten de opt-out van een consument respecteren die via een erkend universeel opt-outmechanisme wordt verzonden, zoals een privacysignaal van de browser. Sites moeten zulke signalen behandelen als een opt-out van gerichte advertenties en verkoop voor gebruikers uit Minnesota.

Beoordelingen van gegevensbescherming

Verwerking voor gerichte advertenties, de verkoop van persoonsgegevens, profilering met aanzienlijke risico's en de verwerking van gevoelige gegevens vereist een gedocumenteerde beoordeling van gegevensprivacy en gegevensbescherming.

Handhaving

De wet wordt gehandhaafd door de Attorney General van Minnesota; er is geen particulier klachtrecht. Een hersteltermijn van 30 dagen voor overtredingen gold slechts tot 31 januari 2026, dus sindsdien hoeft de Attorney General niet meer de kans te bieden een probleem te herstellen voordat hij optreedt. Civiele boetes kunnen oplopen tot $7.500 per overtreding.

Wat uitgevers moeten controleren

  1. Drempel. Schat in over hoeveel consumenten uit Minnesota je jaarlijks gegevens verwerkt, inclusief geïdentificeerde apparaten.
  2. Opt-outlink en -flow. Zorg dat Amerikaanse bezoekers zich kunnen afmelden voor gerichte advertenties en verkoop, en dat de keuze je advertentiepartners bereikt.
  3. Signalen. Respecteer opt-outsignalen van de browser zoals Global Privacy Control en geef de resulterende keuze door via het IAB Global Privacy Platform (GPP) of het signaal dat je partners lezen.
  4. Vendorregister. Houd een actuele lijst bij van elke derde partij die persoonsgegevens ontvangt, klaar om een verzoek om een lijst van derden te beantwoorden.
  5. Gegevensinventaris. Documenteer wat elke tag en SDK verzamelt en waarom.
  6. Beoordelingen. Schrijf en bewaar een beoordeling van gegevensbescherming die gerichte advertenties dekt.
  7. Privacyverklaring. Werk die bij zodat ze de rechten in Minnesota en de uitoefening ervan beschrijft.

Minnesota inpassen in een setup voor meerdere staten

In plaats van voor elke staat een aparte ervaring te bouwen, draaien de meeste uitgevers één Amerikaanse opt-outflow die de strengste gemeenschappelijke vereisten dekt, en voegen ze waar nodig staatspecifieke details toe. De toevoegingen van Minnesota — de lijst van derden, de gegevensinventaris en het profileringsrecht — zijn vooral documentatie- en verzoekafhandelingsplichten en geen bannerwijzigingen, dus het werk komt terecht bij wie je vendorregister en privacyverzoeken beheert.

Belangrijkste punten

← Blog Alles lezen →