Outro estado, algumas novidades

O Minnesota Consumer Data Privacy Act (MCDPA) entrou em vigor em 31 de julho de 2025. À primeira vista, segue o modelo que a maioria das leis estaduais de privacidade dos EUA compartilha: direitos de acessar, corrigir e excluir dados, e o direito de recusar publicidade direcionada, a venda de dados pessoais e certos tipos de criação de perfis. Mas Minnesota acrescentou vários requisitos que vão além dos de seus vizinhos, e alguns alcançam a forma como os editores documentam e explicam suas práticas de dados.

Este artigo cobre o que os editores financiados por anúncios devem saber. É uma visão geral, não aconselhamento jurídico.

Quem está coberto

O MCDPA se aplica a organizações que fazem negócios em Minnesota ou oferecem produtos ou serviços direcionados a residentes de Minnesota e que, em um ano civil, atendam a uma das condições:

• controlam ou processam os dados pessoais de 100.000 ou mais consumidores de Minnesota, excluindo os dados processados apenas para concluir uma transação de pagamento; ou
• obtêm mais de 25% da receita bruta com a venda de dados pessoais e controlam ou processam os dados pessoais de 25.000 ou mais consumidores de Minnesota.

As pequenas empresas, conforme definidas pela US Small Business Administration, geralmente estão isentas, mas não podem vender dados sensíveis sem o consentimento do consumidor. Para um editor, os “consumidores” podem incluir visitantes de sites e apps identificados por cookies ou IDs de dispositivo, de modo que um site com tráfego modesto de Minnesota ainda pode atingir o limite.

Os direitos que os editores devem atender

Os residentes de Minnesota recebem o conjunto familiar de direitos:

• Confirmar se seus dados são processados e acessá-los.
• Corrigir dados imprecisos e excluir dados.
• Obter uma cópia portátil.
• Recusar a publicidade direcionada, a venda de dados pessoais e a criação de perfis para fundamentar decisões que produzam efeitos jurídicos ou efeitos significativos semelhantes.

Para os editores financiados por anúncios, os opt-outs de publicidade direcionada e de venda são os que tocam a stack de anúncios todos os dias.

O que é distinto em Minnesota

O direito de questionar a criação de perfis

Quando um consumidor foi perfilado de uma forma que levou a uma decisão com efeitos jurídicos ou efeitos significativos semelhantes, ele pode questionar o resultado, ser informado das razões e, se a decisão se baseou em dados imprecisos, ter os dados corrigidos e a decisão reavaliada. A maioria dos editores não toma decisões desse tipo sobre os visitantes, mas vale confirmar que nenhuma das suas ferramentas toma.

Uma lista de terceiros específicos

Os consumidores podem pedir uma lista dos terceiros específicos para os quais o controlador divulgou seus dados pessoais ou, se o controlador não mantém essa informação por consumidor, uma lista dos terceiros específicos para os quais divulgou dados pessoais em geral. Para editores que trabalham com muitos parceiros de ad tech, isso torna um registro de fornecedores preciso uma necessidade prática.

Um inventário de dados

Os controladores devem manter um inventário dos dados pessoais que processam. Combinado com o requisito da lista de terceiros, isso empurra os editores a documentar quais tags coletam o quê e para onde vai.

Mecanismos universais de opt-out

Os controladores devem respeitar o opt-out de um consumidor enviado por meio de um mecanismo universal de opt-out reconhecido, como um sinal de privacidade do navegador. Os sites devem tratar esses sinais como uma recusa de publicidade direcionada e de venda para usuários de Minnesota.

Avaliações de proteção de dados

O processamento para publicidade direcionada, a venda de dados pessoais, a criação de perfis com riscos significativos e o processamento de dados sensíveis exigem uma avaliação documentada de privacidade e proteção de dados.

Fiscalização

A lei é aplicada pelo Procurador-Geral de Minnesota; não há direito de ação privado. Um prazo de 30 dias para sanar violações valeu apenas até 31 de janeiro de 2026, de modo que, desde então, o Procurador-Geral não é mais obrigado a oferecer a chance de corrigir um problema antes de agir. As penalidades civis podem chegar a US$ 7.500 por violação.

O que os editores devem verificar

1. Limite. Estime sobre quantos consumidores de Minnesota você processa dados a cada ano, incluindo dispositivos identificados.
2. Link e fluxo de opt-out. Garanta que os visitantes dos EUA possam recusar publicidade direcionada e venda e que a escolha chegue aos seus parceiros de anúncios.
3. Sinais. Respeite sinais de opt-out do navegador, como o Global Privacy Control, e repasse a escolha resultante pelo IAB Global Privacy Platform (GPP) ou pelo sinal que seus parceiros leem.
4. Registro de fornecedores. Mantenha uma lista atualizada de cada terceiro que recebe dados pessoais, pronta para responder a um pedido de lista de terceiros.
5. Inventário de dados. Documente o que cada tag e SDK coleta e por quê.
6. Avaliações. Escreva e mantenha uma avaliação de proteção de dados que cubra a publicidade direcionada.
7. Aviso de privacidade. Atualize-o para descrever os direitos de Minnesota e como exercê-los.

Encaixando Minnesota em uma configuração multiestadual

Em vez de criar uma experiência separada para cada estado, a maioria dos editores opera um único fluxo de opt-out para os EUA que cobre os requisitos comuns mais rigorosos e depois acrescenta detalhes específicos de cada estado quando necessário. Os acréscimos de Minnesota — a lista de terceiros, o inventário de dados e o direito sobre a criação de perfis — são principalmente deveres de documentação e de tratamento de solicitações, e não mudanças no banner; assim, o trabalho recai sobre quem cuida do seu registro de fornecedores e dos pedidos de privacidade.

Principais conclusões

• O MCDPA se aplica desde 31 de julho de 2025 às organizações que atingem os limites de 100.000 consumidores, ou de 25.000 consumidores e 25% da receita.
• Os opt-outs cobrem publicidade direcionada, venda e criação de perfis significativa, e os sinais universais de opt-out devem ser respeitados.
• Os consumidores podem solicitar uma lista dos terceiros específicos que receberam seus dados.
• Exigem-se um inventário de dados e avaliações de proteção de dados.
• O prazo para sanar violações terminou em 31 de janeiro de 2026; a fiscalização cabe ao Procurador-Geral.