Rozporządzenie27 paź 2026 | FlexyConsent

Minnesota Consumer Data Privacy Act: co muszą wiedzieć wydawcy utrzymujący się z reklam

Kolejny stan, kilka nowych elementów

Ustawa Minnesota Consumer Data Privacy Act (MCDPA) weszła w życie 31 lipca 2025 r. Na pierwszy rzut oka podąża za modelem wspólnym dla większości amerykańskich stanowych ustaw o prywatności: prawa dostępu do danych, ich poprawiania i usuwania oraz prawo do rezygnacji z reklam ukierunkowanych, sprzedaży danych osobowych i niektórych form profilowania. Minnesota dodała jednak kilka wymogów idących dalej niż u sąsiadów, a niektóre z nich sięgają do tego, jak wydawcy dokumentują i wyjaśniają swoje praktyki dotyczące danych.

Ten artykuł omawia to, co powinni wiedzieć wydawcy utrzymujący się z reklam. To przegląd, a nie porada prawna.

Kogo dotyczy

MCDPA ma zastosowanie do organizacji, które prowadzą działalność w Minnesocie lub oferują produkty albo usługi skierowane do mieszkańców Minnesoty i które w roku kalendarzowym albo:

Małe przedsiębiorstwa w rozumieniu definicji US Small Business Administration są co do zasady zwolnione, ale nie mogą sprzedawać danych wrażliwych bez zgody konsumenta. W przypadku wydawcy “konsumentami” mogą być odwiedzający witrynę i aplikację identyfikowani przez pliki cookie lub identyfikatory urządzeń, więc nawet witryna ze skromnym ruchem z Minnesoty może osiągnąć próg.

Prawa, które wydawcy muszą wspierać

Mieszkańcy Minnesoty otrzymują znany zestaw praw:

Dla wydawców utrzymujących się z reklam to rezygnacje z reklam ukierunkowanych i ze sprzedaży dotykają stosu reklamowego codziennie.

Co wyróżnia Minnesotę

Prawo do zakwestionowania profilowania

Jeśli konsument został poddany profilowaniu, które doprowadziło do decyzji wywołującej skutki prawne lub podobnie istotne, może zakwestionować wynik, uzyskać informację o powodach, a jeśli decyzja opierała się na niedokładnych danych, doprowadzić do ich poprawienia i ponownej oceny decyzji. Większość wydawców nie podejmuje tego rodzaju decyzji w sprawie odwiedzających, ale warto potwierdzić, że żadne z Twoich narzędzi tego nie robi.

Lista konkretnych podmiotów trzecich

Konsumenci mogą żądać listy konkretnych podmiotów trzecich, którym administrator ujawnił ich dane osobowe, albo, jeśli administrator nie prowadzi takich informacji w odniesieniu do poszczególnych konsumentów, listy konkretnych podmiotów trzecich, którym ujawnił dane osobowe w ogóle. Dla wydawców współpracujących z wieloma partnerami ad tech oznacza to, że dokładny rejestr dostawców staje się praktyczną koniecznością.

Inwentarz danych

Administratorzy muszą prowadzić inwentarz przetwarzanych danych osobowych. W połączeniu z wymogiem listy podmiotów trzecich popycha to wydawców ku udokumentowanej wiedzy o tym, które tagi zbierają co i dokąd to trafia.

Uniwersalne mechanizmy rezygnacji

Administratorzy muszą honorować rezygnację konsumenta przesłaną za pośrednictwem uznanego uniwersalnego mechanizmu rezygnacji, takiego jak sygnał prywatności przeglądarki. Witryny powinny traktować takie sygnały jako rezygnację z reklam ukierunkowanych i sprzedaży dla użytkowników z Minnesoty.

Oceny ochrony danych

Przetwarzanie na potrzeby reklam ukierunkowanych, sprzedaży danych osobowych, profilowania o istotnym ryzyku oraz przetwarzanie danych wrażliwych wymaga udokumentowanej oceny prywatności i ochrony danych.

Egzekwowanie

Ustawę egzekwuje prokurator generalny Minnesoty; nie istnieje prywatne prawo do wniesienia powództwa. 30-dniowy okres naprawczy dla naruszeń obowiązywał jedynie do 31 stycznia 2026 r., więc od tego czasu prokurator generalny nie musi już oferować możliwości naprawienia problemu przed podjęciem działań. Kary cywilne mogą sięgać 7 500 USD za naruszenie.

Co wydawcy powinni sprawdzić

  1. Próg. Oszacuj, o ilu konsumentach z Minnesoty przetwarzasz dane rocznie, w tym zidentyfikowane urządzenia.
  2. Link i przepływ rezygnacji. Upewnij się, że amerykańscy odwiedzający mogą zrezygnować z reklam ukierunkowanych i sprzedaży, a wybór dociera do partnerów reklamowych.
  3. Sygnały. Honoruj sygnały rezygnacji z przeglądarki, takie jak Global Privacy Control, i przekazuj wynikający z nich wybór dalej przez IAB Global Privacy Platform (GPP) lub inny sygnał odczytywany przez Twoich partnerów.
  4. Rejestr dostawców. Prowadź aktualną listę każdego podmiotu trzeciego otrzymującego dane osobowe, gotową do odpowiedzi na żądanie listy podmiotów trzecich.
  5. Inwentarz danych. Udokumentuj, co zbiera każdy tag i SDK oraz dlaczego.
  6. Oceny. Sporządź i przechowuj ocenę ochrony danych obejmującą reklamy ukierunkowane.
  7. Informacja o prywatności. Zaktualizuj ją, aby opisywała prawa w Minnesocie i sposób ich wykonywania.

Wpisanie Minnesoty w konfigurację wielostanową

Zamiast budować osobne doświadczenie dla każdego stanu, większość wydawców prowadzi jeden amerykański przepływ rezygnacji, który obejmuje najsurowsze wspólne wymogi, a następnie dodaje szczegóły specyficzne dla stanu tam, gdzie potrzeba. Dodatki Minnesoty — lista podmiotów trzecich, inwentarz danych i prawo dotyczące profilowania — to głównie obowiązki dokumentacyjne i obsługi żądań, a nie zmiany w banerze, więc praca trafia do osoby, która odpowiada za rejestr dostawców i żądania dotyczące prywatności.

Najważniejsze wnioski

← Blog Czytaj wszystko →