Še ena zvezna država, nekaj novih posebnosti

Zakon Minnesote o zasebnosti podatkov potrošnikov (MCDPA) je začel veljati 31. julija 2025. Na prvi pogled sledi modelu, ki ga delijo večina ameriških zveznih zakonov o zasebnosti: pravice do dostopa, popravka in izbrisa podatkov ter pravica do odjave od ciljanega oglaševanja, prodaje osebnih podatkov in določenega profiliranja. A Minnesota je dodala več zahtev, ki gredo dlje od sosed, nekatere od njih pa posegajo v to, kako izdajatelji dokumentirajo in pojasnjujejo svoje prakse s podatki.

Ta članek zajema, kaj morajo vedeti izdajatelji, ki se financirajo z oglasi. To je pregled, ne pravni nasvet.

Koga zajema

MCDPA se uporablja za organizacije, ki poslujejo v Minnesoti ali ponujajo izdelke ali storitve, namenjene prebivalcem Minnesote, in ki v koledarskem letu bodisi:

• nadzirajo ali obdelujejo osebne podatke 100.000 ali več potrošnikov iz Minnesote, razen podatkov, obdelanih izključno za dokončanje plačilne transakcije; ali
• ustvarijo več kot 25 % bruto prihodkov s prodajo osebnih podatkov in nadzirajo ali obdelujejo osebne podatke 25.000 ali več potrošnikov iz Minnesote.

Mala podjetja, kot jih opredeljuje ameriška Uprava za mala podjetja (Small Business Administration), so praviloma izvzeta, vendar ne smejo prodajati občutljivih podatkov brez privolitve potrošnika. Pri izdajatelju lahko “potrošniki” vključujejo obiskovalce spletnih mest in aplikacij, identificirane s piškotki ali ID-ji naprav, zato lahko tudi spletno mesto s skromnim prometom iz Minnesote doseže prag.

Pravice, ki jih morajo izdajatelji podpirati

Prebivalci Minnesote dobijo znani nabor pravic:

• Potrditi, ali se njihovi podatki obdelujejo, in dostopati do njih.
• Popraviti netočne podatke in izbrisati podatke.
• Pridobiti prenosljivo kopijo.
• Odjaviti se od ciljanega oglaševanja, prodaje osebnih podatkov in profiliranja za odločitve, ki imajo pravne ali podobno pomembne učinke.

Za izdajatelje, ki se financirajo z oglasi, se odjava od ciljanega oglaševanja in prodaje vsak dan dotika oglasnega sklada.

Kaj je posebnega v Minnesoti

Pravica do izpodbijanja profiliranja

Kadar je bil potrošnik profiliran na način, ki je privedel do odločitve s pravnimi ali podobno pomembnimi učinki, lahko izpodbija rezultat, dobi pojasnilo razlogov in, če je odločitev temeljila na netočnih podatkih, zahteva popravek podatkov in ponovno presojo odločitve. Večina izdajateljev takšnih odločitev o obiskovalcih ne sprejema, a vredno je potrditi, da jih ne sprejema nobeno od vaših orodij.

Seznam konkretnih tretjih oseb

Potrošniki lahko zahtevajo seznam konkretnih tretjih oseb, katerim je upravljavec razkril njihove osebne podatke, ali, če upravljavec teh informacij ne vodi po potrošniku, seznam konkretnih tretjih oseb, katerim je na splošno razkril osebne podatke. Za izdajatelje, ki sodelujejo s številnimi ad tech partnerji, to natančen register dobaviteljev spremeni v praktično nujnost.

Popis podatkov

Upravljavci morajo voditi popis osebnih podatkov, ki jih obdelujejo. V kombinaciji z zahtevo po seznamu tretjih oseb to izdajatelje potiska k dokumentiranemu poznavanju, katere oznake kaj zbirajo in kam to gre.

Univerzalni mehanizmi odjave

Upravljavci morajo upoštevati odjavo potrošnika, poslano prek priznanega univerzalnega mehanizma odjave, kot je signal zasebnosti brskalnika. Spletna mesta naj takšne signale obravnavajo kot odjavo od ciljanega oglaševanja in prodaje za uporabnike iz Minnesote.

Ocene varstva podatkov

Obdelava za ciljano oglaševanje, prodaja osebnih podatkov, profiliranje z znatnimi tveganji in obdelava občutljivih podatkov zahtevajo dokumentirano oceno zasebnosti in varstva podatkov.

Izvrševanje

Zakon izvršuje generalni državni tožilec Minnesote; zasebne pravice do tožbe ni. 30-dnevno obdobje za odpravo kršitev je veljalo samo do 31. januarja 2026, zato od takrat generalni tožilec ni več dolžan ponuditi priložnosti za odpravo težave, preden ukrepa. Civilne kazni lahko dosežejo do 7.500 USD na kršitev.

Kaj naj izdajatelji preverijo

1. Prag. Ocenite, o koliko potrošnikih iz Minnesote letno obdelujete podatke, vključno z identificiranimi napravami.
2. Povezava in potek odjave. Poskrbite, da se lahko obiskovalci iz ZDA odjavijo od ciljanega oglaševanja in prodaje ter da izbira doseže vaše oglasne partnerje.
3. Signali. Upoštevajte signale odjave brskalnika, kot je Global Privacy Control, in nastalo izbiro posredujte prek IAB Global Privacy Platform (GPP) ali signala, ki ga berejo vaši partnerji.
4. Register dobaviteljev. Vodite posodobljen seznam vsake tretje osebe, ki prejema osebne podatke, pripravljen za odgovor na zahtevo po seznamu tretjih oseb.
5. Popis podatkov. Dokumentirajte, kaj vsaka oznaka in SDK zbira in zakaj.
6. Ocene. Napišite in hranite oceno varstva podatkov, ki zajema ciljano oglaševanje.
7. Obvestilo o zasebnosti. Posodobite ga, da opisuje pravice v Minnesoti in kako jih uveljavljati.

Vključevanje Minnesote v nastavitev za več zveznih držav

Namesto gradnje ločene izkušnje za vsako zvezno državo večina izdajateljev vodi en ameriški potek odjave, ki pokriva najstrožje skupne zahteve, nato pa po potrebi doda podrobnosti, specifične za državo. Dodatki Minnesote — seznam tretjih oseb, popis podatkov in pravica do profiliranja — so večinoma obveznosti dokumentacije in obravnave zahtevkov in ne spremembe pasice, zato delo pripade tistemu, ki je lastnik vašega registra dobaviteljev in zahtevkov glede zasebnosti.

Ključne ugotovitve

• MCDPA se od 31. julija 2025 uporablja za organizacije, ki izpolnjujejo praga 100.000 potrošnikov ali 25.000 in 25 % prihodkov.
• Odjave zajemajo ciljano oglaševanje, prodajo in pomembno profiliranje, univerzalne signale odjave pa je treba upoštevati.
• Potrošniki lahko zahtevajo seznam konkretnih tretjih oseb, ki so prejele njihove podatke.
• Popis podatkov in ocene varstva podatkov so obvezni.
• Obdobje za odpravo kršitev se je končalo 31. januarja 2026; izvršuje generalni državni tožilec.