Закон Минесоте о приватности података потрошача: шта издавачи који се финансирају огласима треба да знају
Још једна држава, нека нова обележја
Закон Минесоте о приватности података потрошача (MCDPA) ступио је на снагу 31. јула 2025. На први поглед следи модел који деле већина америчких државних закона о приватности: права на приступ, исправку и брисање података и право да се одустане од циљаног оглашавања, продаје личних података и одређеног профилисања. Али Минесота је додала неколико захтева који иду даље од њених суседа, а неки од њих задиру у то како издавачи документују и објашњавају своје праксе са подацима.
Овај чланак обухвата оно што издавачи који се финансирају огласима треба да знају. То је преглед, а не правни савет.
Ко је обухваћен
MCDPA се примењује на организације које послују у Минесоти или нуде производе или услуге намењене становницима Минесоте, и које у календарској години или:
- контролишу или обрађују личне податке 100.000 или више потрошача из Минесоте, изузимајући податке обрађене искључиво ради завршетка платне трансакције; или
- остварују више од 25% бруто прихода од продаје личних података и контролишу или обрађују личне податке 25.000 или више потрошача из Минесоте.
Мала предузећа како их дефинише америчка Управа за мала предузећа (Small Business Administration) углавном су изузета, али не смеју продавати осетљиве податке без сагласности потрошача. За издавача, “потрошачи” могу укључивати посетиоце веб-сајта и апликација идентификоване колачићима или ID-овима уређаја, па сајт са скромним саобраћајем из Минесоте и даље може достићи праг.
Права која издавачи морају да подрже
Становници Минесоте добијају познат скуп права:
- Да потврде да ли се њихови подаци обрађују и да им приступе.
- Да исправе нетачне податке и да обришу податке.
- Да добију преносиву копију.
- Да одустану од циљаног оглашавања, продаје личних података и профилисања ради одлука које производе правне или слично значајне ефекте.
За издаваче који се финансирају огласима, одустајање од циљаног оглашавања и продаје додирује оглашивачки стек сваког дана.
Шта је посебно у Минесоти
Право да се доведе у питање профилисање
Када је потрошач профилисан на начин који је довео до одлуке са правним или слично значајним ефектима, може довести у питање резултат, бити обавештен о разлозима и, ако је одлука заснована на нетачним подацима, затражити исправку података и поновно разматрање одлуке. Већина издавача не доноси одлуке те врсте о посетиоцима, али вреди потврдити да ниједан од ваших алата то не ради.
Листа конкретних трећих страна
Потрошачи могу затражити листу конкретних трећих страна којима је руковалац открио њихове личне податке или, ако руковалац те информације не води по потрошачу, листу конкретних трећих страна којима је уопште открио личне податке. За издаваче који раде са многим ad tech партнерима, то тачан регистар добављача чини практичном нужношћу.
Инвентар података
Руковаоци морају водити инвентар личних података које обрађују. У комбинацији са захтевом за листу трећих страна, то издаваче гура ка документованом знању о томе који тагови шта прикупљају и куда то иде.
Универзални механизми одустајања
Руковаоци морају поштовати одустајање потрошача послато преко признатог универзалног механизма одустајања, као што је сигнал приватности прегледача. Сајтови треба да такве сигнале третирају као одустајање од циљаног оглашавања и продаје за кориснике из Минесоте.
Процене заштите података
Обрада за циљано оглашавање, продаја личних података, профилисање са значајним ризицима и обрада осетљивих података захтевају документовану процену приватности и заштите података.
Спровођење
Закон спроводи генерални тужилац Минесоте; не постоји приватно право на тужбу. Рок од 30 дана за исправљање прекршаја важио је само до 31. јануара 2026., па од тада генерални тужилац више није у обавези да понуди прилику да се проблем исправи пре него што делује. Грађанске казне могу достићи до 7.500 долара по прекршају.
Шта издавачи треба да провере
- Праг. Процените колико потрошача из Минесоте годишње обрађујете, укључујући идентификоване уређаје.
- Веза и ток за одустајање. Побрините се да посетиоци из САД могу да одустану од циљаног оглашавања и продаје и да избор стигне до ваших оглашивачких партнера.
- Сигнали. Поштујте сигнале прегледача за одустајање као што је Global Privacy Control и проследите добијени избор преко IAB Global Privacy Platform-а (GPP) или било ког сигнала који ваши партнери читају.
- Регистар добављача. Водите ажурну листу сваке треће стране која прима личне податке, спремну да одговори на захтев за листу трећих страна.
- Инвентар података. Документујте шта сваки таг и SDK прикупља и зашто.
- Процене. Напишите и чувајте процену заштите података која обухвата циљано оглашавање.
- Обавештење о приватности. Ажурирајте га да опише права у Минесоти и како се она остварују.
Уклапање Минесоте у подешавање за више држава
Уместо да граде посебно искуство за сваку државу, већина издавача води један амерички ток одустајања који покрива најстроже заједничке захтеве, па додаје појединости специфичне за државу где је потребно. Додаци Минесоте — листа трећих страна, инвентар података и право на профилисање — углавном су обавезе документације и обраде захтева, а не промене банера, па посао припада ономе ко поседује ваш регистар добављача и захтеве за приватност.
Кључни закључци
- MCDPA се од 31. јула 2025. примењује на организације које испуњавају прагове од 100.000 потрошача или 25.000 плус 25% прихода.
- Одустајања обухватају циљано оглашавање, продају и значајно профилисање, а универзални сигнали одустајања морају се поштовати.
- Потрошачи могу затражити листу конкретних трећих страна које су примиле њихове податке.
- Инвентар података и процене заштите података су обавезни.
- Рок за исправљање окончан је 31. јануара 2026; спровођење је у надлежности генералног тужиоца.