Un alt stat, câteva elemente noi

Minnesota Consumer Data Privacy Act (MCDPA) a intrat în vigoare la 31 iulie 2025. La prima vedere, urmează modelul pe care îl împart majoritatea legilor de confidențialitate ale statelor americane: drepturi de acces, rectificare și ștergere a datelor și un drept de a refuza publicitatea țintită, vânzarea datelor cu caracter personal și anumite forme de profilare. Dar Minnesota a adăugat mai multe cerințe care merg mai departe decât cele ale vecinilor săi, iar unele ajung până la modul în care editorii își documentează și își explică practicile privind datele.

Acest articol prezintă ce ar trebui să știe editorii finanțați din publicitate. Este o prezentare generală, nu consultanță juridică.

Cine este vizat

MCDPA se aplică organizațiilor care desfășoară activități în Minnesota sau oferă produse ori servicii destinate rezidenților din Minnesota și care, într-un an calendaristic, fie:

• controlează sau prelucrează datele cu caracter personal a 100.000 sau mai mulți consumatori din Minnesota, excluzând datele prelucrate exclusiv pentru finalizarea unei tranzacții de plată; fie
• obțin mai mult de 25% din venitul brut din vânzarea datelor cu caracter personal și controlează sau prelucrează datele cu caracter personal a 25.000 sau mai mulți consumatori din Minnesota.

Întreprinderile mici, așa cum sunt definite de Small Business Administration din SUA, sunt în general exceptate, dar nu pot vinde date sensibile fără consimțământul consumatorului. Pentru un editor, “consumatorii” pot include vizitatorii site-ului și ai aplicației identificați prin cookie-uri sau ID-uri de dispozitiv, așa că un site cu trafic modest din Minnesota poate totuși atinge pragul.

Drepturile pe care editorii trebuie să le susțină

Rezidenții din Minnesota au setul de drepturi familiar:

• Să confirme dacă datele lor sunt prelucrate și să le acceseze.
• Să corecteze datele inexacte și să șteargă datele.
• Să obțină o copie portabilă.
• Să refuze publicitatea țintită, vânzarea datelor cu caracter personal și profilarea în scopul unor decizii care produc efecte juridice sau efecte semnificative similare.

Pentru editorii finanțați din publicitate, refuzurile privind publicitatea țintită și vânzarea sunt cele care ating zilnic stiva publicitară.

Ce este distinctiv la Minnesota

Dreptul de a contesta profilarea

Atunci când un consumator a fost profilat într-un mod care a dus la o decizie cu efecte juridice sau efecte semnificative similare, acesta poate contesta rezultatul, i se pot comunica motivele și, dacă decizia s-a bazat pe date inexacte, datele pot fi corectate, iar decizia reevaluată. Majoritatea editorilor nu iau astfel de decizii despre vizitatori, dar merită confirmat că niciunul dintre instrumentele tale nu o face.

O listă de terți specifici

Consumatorii pot cere o listă a terților specifici cărora operatorul le-a dezvăluit datele lor cu caracter personal sau, dacă operatorul nu păstrează această informație pentru fiecare consumator, o listă a terților specifici cărora le-a dezvăluit date cu caracter personal în general. Pentru editorii care lucrează cu mulți parteneri de ad tech, aceasta face din evidența exactă a furnizorilor o necesitate practică.

Un inventar al datelor

Operatorii trebuie să mențină un inventar al datelor cu caracter personal pe care le prelucrează. Combinat cu cerința listei de terți, acest lucru îi împinge pe editori spre o cunoaștere documentată a ce colectează fiecare tag și încotro merg datele.

Mecanisme universale de opt-out

Operatorii trebuie să respecte refuzul unui consumator transmis printr-un mecanism universal de opt-out recunoscut, cum ar fi un semnal de confidențialitate al browserului. Site-urile ar trebui să trateze astfel de semnale ca pe un refuz al publicității țintite și al vânzării pentru utilizatorii din Minnesota.

Evaluări ale protecției datelor

Prelucrarea pentru publicitate țintită, vânzarea datelor cu caracter personal, profilarea cu riscuri semnificative și prelucrarea datelor sensibile necesită o evaluare documentată a confidențialității și protecției datelor.

Aplicarea

Legea este aplicată de procurorul general din Minnesota; nu există un drept privat de acțiune. O perioadă de remediere de 30 de zile pentru încălcări s-a aplicat doar până la 31 ianuarie 2026, deci de atunci procurorul general nu mai este obligat să ofere o șansă de a remedia o problemă înainte de a acționa. Sancțiunile civile pot ajunge până la 7.500 USD pe încălcare.

Ce ar trebui să verifice editorii

1. Pragul. Estimează despre câți consumatori din Minnesota prelucrezi date în fiecare an, inclusiv dispozitivele identificate.
2. Linkul și fluxul de opt-out. Asigură-te că vizitatorii din SUA pot refuza publicitatea țintită și vânzarea și că alegerea ajunge la partenerii tăi publicitari.
3. Semnale. Respectă semnalele de opt-out ale browserului, precum Global Privacy Control, și transmite alegerea rezultată prin IAB Global Privacy Platform (GPP) sau prin semnalul pe care îl citesc partenerii tăi.
4. Evidența furnizorilor. Păstrează o listă actualizată cu fiecare terț care primește date cu caracter personal, gata să răspundă la o cerere de listă a terților.
5. Inventarul datelor. Documentează ce colectează fiecare tag și SDK și de ce.
6. Evaluări. Redactează și păstrează o evaluare a protecției datelor care acoperă publicitatea țintită.
7. Notificarea de confidențialitate. Actualizeaz-o pentru a descrie drepturile din Minnesota și cum pot fi exercitate.

Integrarea Minnesota într-o configurare multi-stat

În loc să construiască o experiență separată pentru fiecare stat, majoritatea editorilor rulează un singur flux de opt-out pentru SUA, care acoperă cele mai stricte cerințe comune, apoi adaugă detalii specifice statelor acolo unde este nevoie. Completările din Minnesota — lista de terți, inventarul datelor și dreptul privind profilarea — sunt în mare parte obligații de documentare și de gestionare a cererilor, nu modificări de banner, așa că munca revine celui care răspunde de evidența furnizorilor și de cererile de confidențialitate.

Concluzii-cheie

• MCDPA se aplică din 31 iulie 2025 organizațiilor care îndeplinesc pragurile de 100.000 sau de 25.000 plus 25% din venituri.
• Refuzurile acoperă publicitatea țintită, vânzarea și profilarea semnificativă, iar semnalele universale de opt-out trebuie respectate.
• Consumatorii pot cere o listă a terților specifici care le-au primit datele.
• Sunt necesare un inventar al datelor și evaluări ale protecției datelor.
• Perioada de remediere s-a încheiat la 31 ianuarie 2026; aplicarea revine procurorului general.