Ďalší štát, niekoľko nových prvkov

Zákon Minnesota Consumer Data Privacy Act (MCDPA) nadobudol účinnosť 31. júla 2025. Na prvý pohľad sleduje model, ktorý majú spoločný väčšina amerických štátnych zákonov o súkromí: práva na prístup k údajom, ich opravu a vymazanie a právo odhlásiť sa z cielenej reklamy, predaja osobných údajov a určitého profilovania. Minnesota však pridala niekoľko požiadaviek, ktoré idú ďalej než u susedov, a niektoré z nich zasahujú do toho, ako vydavatelia dokumentujú a vysvetľujú svoje praktiky s údajmi.

Tento článok pokrýva to, čo by mali vydavatelia financovaní reklamou vedieť. Ide o prehľad, nie o právne poradenstvo.

Koho sa týka

MCDPA sa vzťahuje na organizácie, ktoré podnikajú v Minnesote alebo ponúkajú produkty či služby zamerané na obyvateľov Minnesoty a ktoré v kalendárnom roku buď:

• kontrolujú alebo spracúvajú osobné údaje 100 000 alebo viacerých spotrebiteľov z Minnesoty, okrem údajov spracúvaných výlučne na dokončenie platobnej transakcie; alebo
• získavajú viac než 25 % hrubých príjmov z predaja osobných údajov a kontrolujú alebo spracúvajú osobné údaje 25 000 alebo viacerých spotrebiteľov z Minnesoty.

Malé podniky v zmysle definície US Small Business Administration sú vo všeobecnosti vyňaté, ale nesmú predávať citlivé údaje bez súhlasu spotrebiteľa. Pre vydavateľa môžu “spotrebitelia” zahŕňať návštevníkov webu a aplikácií identifikovaných cookies alebo ID zariadení, takže aj web so skromnou návštevnosťou z Minnesoty môže dosiahnuť prah.

Práva, ktoré musia vydavatelia podporovať

Obyvatelia Minnesoty dostávajú známu sadu práv:

• Potvrdiť, či sa ich údaje spracúvajú, a získať k nim prístup.
• Opraviť nepresné údaje a vymazať údaje.
• Získať prenosnú kópiu.
• Odhlásiť sa z cielenej reklamy, predaja osobných údajov a profilovania v záujme rozhodnutí, ktoré majú právne alebo podobne významné účinky.

Pre vydavateľov financovaných reklamou sú práve odhlásenia z cielenej reklamy a z predaja tým, čo sa dotýka reklamného stacku každý deň.

Čo je na Minnesote osobitné

Právo spochybniť profilovanie

Ak bol spotrebiteľ profilovaný spôsobom, ktorý viedol k rozhodnutiu s právnymi alebo podobne významnými účinkami, môže výsledok spochybniť, nechať si oznámiť dôvody a, ak bolo rozhodnutie založené na nepresných údajoch, dať údaje opraviť a rozhodnutie prehodnotiť. Väčšina vydavateľov takéto rozhodnutia o návštevníkoch nerobí, no oplatí sa potvrdiť, že žiadny z vašich nástrojov nie.

Zoznam konkrétnych tretích strán

Spotrebitelia môžu požiadať o zoznam konkrétnych tretích strán, ktorým prevádzkovateľ poskytol ich osobné údaje, alebo, ak prevádzkovateľ tieto informácie nevedie podľa jednotlivých spotrebiteľov, o zoznam konkrétnych tretích strán, ktorým poskytol osobné údaje všeobecne. Pre vydavateľov spolupracujúcich s mnohými partnermi v ad techu to robí z presného registra dodávateľov praktickú nevyhnutnosť.

Inventár údajov

Prevádzkovatelia musia viesť inventár osobných údajov, ktoré spracúvajú. V kombinácii s požiadavkou na zoznam tretích strán to vedie vydavateľov k zdokumentovanej znalosti o tom, ktoré tagy zbierajú čo a kam to ide.

Univerzálne mechanizmy odhlásenia

Prevádzkovatelia musia rešpektovať odhlásenie spotrebiteľa odoslané cez uznávaný univerzálny mechanizmus odhlásenia, napríklad signál súkromia v prehliadači. Weby by mali takéto signály považovať za odhlásenie z cielenej reklamy a predaja pre používateľov z Minnesoty.

Posúdenia ochrany údajov

Spracúvanie na účely cielenej reklamy, predaja osobných údajov, profilovania so závažnými rizikami a spracúvanie citlivých údajov vyžaduje zdokumentované posúdenie ochrany súkromia a údajov.

Presadzovanie

Zákon presadzuje generálny prokurátor Minnesoty; neexistuje súkromné právo žaloby. 30-dňová lehota na nápravu porušení platila len do 31. januára 2026, takže odvtedy už generálny prokurátor nemusí ponúknuť možnosť problém napraviť, než zasiahne. Občianskoprávne pokuty môžu dosiahnuť až 7 500 USD za porušenie.

Čo by mali vydavatelia skontrolovať

1. Prah. Odhadnite, o koľkých spotrebiteľoch z Minnesoty ročne spracúvate údaje, vrátane identifikovaných zariadení.
2. Odkaz a tok odhlásenia. Uistite sa, že americkí návštevníci sa môžu odhlásiť z cielenej reklamy a predaja a že sa voľba dostane k vašim reklamným partnerom.
3. Signály. Rešpektujte signály odhlásenia v prehliadači, ako Global Privacy Control, a výslednú voľbu odovzdajte ďalej cez IAB Global Privacy Platform (GPP) alebo signál, ktorý čítajú vaši partneri.
4. Register dodávateľov. Udržiavajte aktuálny zoznam každej tretej strany, ktorá dostáva osobné údaje, pripravený na odpoveď na žiadosť o zoznam tretích strán.
5. Inventár údajov. Zdokumentujte, čo každý tag a SDK zbiera a prečo.
6. Posúdenia. Vypracujte a uchovávajte posúdenie ochrany údajov pokrývajúce cielenú reklamu.
7. Oznámenie o ochrane súkromia. Aktualizujte ho tak, aby popisovalo práva v Minnesote a spôsob ich uplatnenia.

Začlenenie Minnesoty do viacštátneho nastavenia

Namiesto budovania samostatného zážitku pre každý štát väčšina vydavateľov prevádzkuje jeden americký tok odhlásenia, ktorý pokrýva najprísnejšie spoločné požiadavky, a potom pridáva podrobnosti špecifické pre štát tam, kde treba. Doplnky Minnesoty — zoznam tretích strán, inventár údajov a právo týkajúce sa profilovania — sú väčšinou povinnosti dokumentácie a vybavovania žiadostí, nie zmeny bannera, takže práca pripadne tomu, kto vlastní váš register dodávateľov a žiadosti o súkromie.

Kľúčové poznatky

• MCDPA sa od 31. júla 2025 vzťahuje na organizácie spĺňajúce prahy 100 000 alebo 25 000 plus 25 % príjmov.
• Odhlásenia pokrývajú cielenú reklamu, predaj a významné profilovanie a univerzálne signály odhlásenia sa musia rešpektovať.
• Spotrebitelia môžu požiadať o zoznam konkrétnych tretích strán, ktoré dostali ich údaje.
• Vyžaduje sa inventár údajov a posúdenia ochrany údajov.
• Lehota na nápravu skončila 31. januára 2026; presadzuje generálny prokurátor.