En stat til, noen nye vrier

Minnesota Consumer Data Privacy Act (MCDPA) trådte i kraft 31. juli 2025. Ved første øyekast følger den modellen de fleste amerikanske delstatslover om personvern deler: rett til innsyn i, retting og sletting av data, og rett til å reservere seg mot målrettet annonsering, salg av personopplysninger og visse former for profilering. Men Minnesota la til flere krav som går lenger enn nabostatene, og noen av dem rekker inn i hvordan utgivere dokumenterer og forklarer sin datapraksis.

Denne artikkelen tar for seg hva annonsefinansierte utgivere bør vite. Det er en oversikt, ikke juridisk rådgivning.

Hvem som omfattes

MCDPA gjelder for organisasjoner som driver virksomhet i Minnesota eller tilbyr produkter eller tjenester rettet mot innbyggere i Minnesota, og som i et kalenderår enten:

• kontrollerer eller behandler personopplysninger om 100 000 eller flere forbrukere i Minnesota, unntatt data som behandles utelukkende for å gjennomføre en betalingstransaksjon; eller
• henter mer enn 25 % av bruttoinntektene fra salg av personopplysninger og kontrollerer eller behandler personopplysninger om 25 000 eller flere forbrukere i Minnesota.

Små bedrifter som definert av den amerikanske Small Business Administration er generelt unntatt, men de kan ikke selge sensitive data uten forbrukerens samtykke. For en utgiver kan “forbrukere” omfatte nettsted- og appbesøkende som identifiseres gjennom informasjonskapsler eller enhets-ID-er, så et nettsted med beskjeden trafikk fra Minnesota kan likevel nå terskelen.

Rettighetene utgivere må støtte

Innbyggere i Minnesota får det velkjente settet med rettigheter:

• Bekrefte om dataene deres behandles, og få tilgang til dem.
• Rette uriktige data og slette data.
• Få en overførbar kopi.
• Reservere seg mot målrettet annonsering, salg av personopplysninger og profilering som ledd i avgjørelser med rettsvirkning eller tilsvarende betydelig virkning.

For annonsefinansierte utgivere er det opt-outs fra målrettet annonsering og salg som berører annonsestacken hver dag.

Hva som er særegent ved Minnesota

Retten til å stille spørsmål ved profilering

Der en forbruker er profilert på en måte som førte til en avgjørelse med rettsvirkning eller tilsvarende betydelig virkning, kan vedkommende stille spørsmål ved resultatet, få oppgitt årsakene og, hvis avgjørelsen bygde på uriktige data, få dataene rettet og avgjørelsen vurdert på nytt. De fleste utgivere tar ikke slike avgjørelser om besøkende, men det er verdt å bekrefte at ingen av verktøyene dine gjør det.

En liste over bestemte tredjeparter

Forbrukere kan be om en liste over de bestemte tredjepartene den behandlingsansvarlige har utlevert personopplysningene deres til, eller, hvis den behandlingsansvarlige ikke fører den informasjonen per forbruker, en liste over de bestemte tredjepartene den generelt har utlevert personopplysninger til. For utgivere som arbeider med mange adtech-partnere gjør dette et nøyaktig leverandørregister til en praktisk nødvendighet.

En dataoversikt

Behandlingsansvarlige må føre en oversikt over personopplysningene de behandler. Sammen med kravet om listen over tredjeparter skyver dette utgivere mot dokumentert kunnskap om hvilke tagger som samler inn hva, og hvor det går.

Universelle opt-out-mekanismer

Behandlingsansvarlige må respektere en forbrukers opt-out som sendes via en anerkjent universell opt-out-mekanisme, som et personvernsignal fra nettleseren. Nettsteder bør behandle slike signaler som en opt-out fra målrettet annonsering og salg for brukere i Minnesota.

Vurderinger av databeskyttelse

Behandling for målrettet annonsering, salg av personopplysninger, profilering med betydelig risiko og behandling av sensitive data krever en dokumentert vurdering av datapersonvern og databeskyttelse.

Håndheving

Loven håndheves av Minnesotas Attorney General; det finnes ingen privat søksmålsrett. En utbedringsfrist på 30 dager ved brudd gjaldt bare frem til 31. januar 2026, så siden da må ikke Attorney General lenger tilby en sjanse til å rette opp et problem før han eller hun griper inn. Sivile bøter kan nå opptil 7 500 dollar per brudd.

Hva utgivere bør sjekke

1. Terskel. Anslå hvor mange forbrukere i Minnesota du behandler data om hvert år, inkludert identifiserte enheter.
2. Opt-out-lenke og -flyt. Sørg for at amerikanske besøkende kan reservere seg mot målrettet annonsering og salg, og at valget når annonsepartnerne dine.
3. Signaler. Respekter nettleserens opt-out-signaler som Global Privacy Control, og send det resulterende valget videre gjennom IAB Global Privacy Platform (GPP) eller signalet partnerne dine leser.
4. Leverandørregister. Før en oppdatert liste over hver tredjepart som mottar personopplysninger, klar til å besvare en forespørsel om en liste over tredjeparter.
5. Dataoversikt. Dokumenter hva hver tagg og SDK samler inn, og hvorfor.
6. Vurderinger. Skriv og oppbevar en databeskyttelsesvurdering som dekker målrettet annonsering.
7. Personvernerklæring. Oppdater den slik at den beskriver rettighetene i Minnesota og hvordan de utøves.

Å tilpasse Minnesota til et oppsett for flere stater

I stedet for å bygge en egen opplevelse for hver stat kjører de fleste utgivere én amerikansk opt-out-flyt som dekker de strengeste felles kravene, og legger deretter til delstatsspesifikke detaljer ved behov. Minnesotas tillegg — listen over tredjeparter, dataoversikten og profileringsretten — er for det meste dokumentasjons- og forespørselshåndteringsplikter og ikke bannerendringer, så arbeidet havner hos den som eier leverandørregisteret og personvernforespørslene dine.

Viktigste poenger

• MCDPA har gjeldt siden 31. juli 2025 for organisasjoner som oppfyller terskelene på 100 000 eller 25 000 pluss 25 % av inntektene.
• Opt-outs dekker målrettet annonsering, salg og betydelig profilering, og universelle opt-out-signaler må respekteres.
• Forbrukere kan be om en liste over de bestemte tredjepartene som mottok dataene deres.
• En dataoversikt og vurderinger av databeskyttelse er påkrevd.
• Utbedringsfristen utløp 31. januar 2026; håndhevingen ligger hos Attorney General.