Ещё один штат, несколько новых деталей

Minnesota Consumer Data Privacy Act (MCDPA) вступил в силу 31 июля 2025 года. На первый взгляд он следует модели, общей для большинства законов о приватности в штатах США: права на доступ, исправление и удаление данных и право отказаться от таргетированной рекламы, продажи персональных данных и определённого профилирования. Но Миннесота добавила ряд требований, идущих дальше, чем у соседей, и некоторые из них затрагивают то, как издатели документируют и объясняют свою работу с данными.

В этой статье рассказывается, что следует знать издателям с рекламной моделью. Это обзор, а не юридическая консультация.

На кого распространяется

MCDPA применяется к организациям, которые ведут деятельность в Миннесоте или предлагают продукты или услуги, ориентированные на жителей Миннесоты, и которые в течение календарного года либо:

• контролируют или обрабатывают персональные данные 100 000 и более потребителей Миннесоты, за исключением данных, обрабатываемых исключительно для завершения платёжной транзакции; либо
• получают более 25% валовой выручки от продажи персональных данных и контролируют или обрабатывают персональные данные 25 000 и более потребителей Миннесоты.

Малый бизнес в понимании Управления по делам малого бизнеса США, как правило, освобождён, но не может продавать чувствительные данные без согласия потребителя. Для издателя «потребители» могут включать посетителей сайта и приложения, идентифицируемых по cookie или идентификаторам устройств, поэтому сайт с умеренным трафиком из Миннесоты всё же может достичь порога.

Права, которые должны поддерживать издатели

Жители Миннесоты получают привычный набор прав:

• Подтвердить, обрабатываются ли их данные, и получить к ним доступ.
• Исправить неточные данные и удалить данные.
• Получить переносимую копию.
• Отказаться от таргетированной рекламы, продажи персональных данных и профилирования, служащего основой для решений, порождающих юридические или аналогично значимые последствия.

Для издателей с рекламной моделью отказы от таргетированной рекламы и продажи касаются рекламного стека ежедневно.

Что особенного в Миннесоте

Право оспорить профилирование

Если потребитель был подвергнут профилированию, которое привело к решению с юридическими или аналогично значимыми последствиями, он может оспорить результат, получить объяснение причин и, если решение основывалось на неточных данных, добиться исправления данных и повторной оценки решения. Большинство издателей не принимают таких решений о посетителях, но стоит убедиться, что ни один из ваших инструментов этого не делает.

Список конкретных третьих сторон

Потребители могут запросить список конкретных третьих сторон, которым контролёр раскрыл их персональные данные, или, если контролёр не хранит такую информацию по каждому потребителю, список конкретных третьих сторон, которым он вообще раскрывал персональные данные. Для издателей, работающих со многими рекламными технологическими партнёрами, это делает точный реестр вендоров практической необходимостью.

Инвентаризация данных

Контролёры обязаны вести инвентарный перечень обрабатываемых персональных данных. В сочетании с требованием о списке третьих сторон это подталкивает издателей к документированному знанию о том, какие теги что собирают и куда это попадает.

Универсальные механизмы отказа

Контролёры обязаны соблюдать отказ потребителя, отправленный через признанный универсальный механизм отказа, например сигнал приватности браузера. Сайтам следует рассматривать такие сигналы как отказ от таргетированной рекламы и продажи для пользователей из Миннесоты.

Оценки защиты данных

Обработка для таргетированной рекламы, продажи персональных данных, профилирования со значительными рисками и обработка чувствительных данных требуют документированной оценки конфиденциальности и защиты данных.

Правоприменение

Закон применяется генеральным прокурором Миннесоты; права на частный иск нет. 30-дневный срок для устранения нарушений действовал только до 31 января 2026 года, поэтому с тех пор генеральный прокурор не обязан давать возможность исправить проблему, прежде чем действовать. Гражданские штрафы могут достигать 7 500 долларов за нарушение.

Что издателям стоит проверить

1. Порог. Оцените, данные скольких потребителей Миннесоты вы обрабатываете ежегодно, включая идентифицированные устройства.
2. Ссылка и процесс отказа. Убедитесь, что посетители из США могут отказаться от таргетированной рекламы и продажи и что выбор доходит до ваших рекламных партнёров.
3. Сигналы. Соблюдайте сигналы отказа браузера, такие как Global Privacy Control, и передавайте полученный выбор дальше через IAB Global Privacy Platform (GPP) или тот сигнал, который читают ваши партнёры.
4. Реестр вендоров. Держите актуальный список всех третьих сторон, получающих персональные данные, готовый к ответу на запрос о списке третьих сторон.
5. Инвентаризация данных. Документируйте, что собирает каждый тег и SDK и зачем.
6. Оценки. Составьте и храните оценку защиты данных, охватывающую таргетированную рекламу.
7. Уведомление о конфиденциальности. Обновите его, описав права в Миннесоте и способы их реализации.

Как вписать Миннесоту в многоштатную настройку

Вместо отдельного пользовательского пути для каждого штата большинство издателей используют один американский процесс отказа, охватывающий самые строгие общие требования, и добавляют специфику штатов там, где нужно. Дополнения Миннесоты — список третьих сторон, инвентаризация данных и право на профилирование — это в основном обязанности по документированию и обработке запросов, а не изменения баннера, поэтому работа ложится на того, кто отвечает за ваш реестр вендоров и запросы по приватности.

Главные выводы

• MCDPA действует с 31 июля 2025 года для организаций, достигающих порогов 100 000 потребителей или 25 000 плюс 25% выручки.
• Отказы охватывают таргетированную рекламу, продажу и значимое профилирование, а универсальные сигналы отказа необходимо соблюдать.
• Потребители могут запросить список конкретных третьих сторон, получивших их данные.
• Требуются инвентаризация данных и оценки защиты данных.
• Срок для устранения нарушений закончился 31 января 2026 года; правоприменение осуществляет генеральный прокурор.