Ännu en delstat, några nya vändningar

Minnesota Consumer Data Privacy Act (MCDPA) trädde i kraft den 31 juli 2025. Vid första anblicken följer den modellen som de flesta amerikanska delstaters integritetslagar delar: rätt att få tillgång till, rätta och radera data, samt rätt att välja bort riktad reklam, försäljning av personuppgifter och viss profilering. Men Minnesota lade till flera krav som går längre än grannarnas, och några av dem sträcker sig in i hur utgivare dokumenterar och förklarar sin datahantering.

Den här artikeln går igenom vad annonsfinansierade utgivare bör veta. Det är en översikt, inte juridisk rådgivning.

Vem som omfattas

MCDPA gäller organisationer som bedriver verksamhet i Minnesota eller erbjuder produkter eller tjänster riktade till invånare i Minnesota, och som under ett kalenderår antingen:

• kontrollerar eller behandlar personuppgifter om 100 000 eller fler konsumenter i Minnesota, exklusive data som behandlas enbart för att slutföra en betalningstransaktion; eller
• får mer än 25 % av sina bruttointäkter från försäljning av personuppgifter och kontrollerar eller behandlar personuppgifter om 25 000 eller fler konsumenter i Minnesota.

Småföretag enligt definitionen från den amerikanska Small Business Administration är i allmänhet undantagna, men de får inte sälja känsliga uppgifter utan konsumentens samtycke. För en utgivare kan “konsumenter” inkludera webbplats- och appbesökare som identifierats via cookies eller enhets-ID:n, så en webbplats med måttlig trafik från Minnesota kan ändå nå tröskeln.

De rättigheter utgivare måste stödja

Invånare i Minnesota får den välbekanta uppsättningen rättigheter:

• Bekräfta om deras data behandlas och få tillgång till den.
• Rätta felaktiga data och radera data.
• Få en portabel kopia.
• Välja bort riktad reklam, försäljning av personuppgifter och profilering som ligger till grund för beslut med rättsliga eller liknande betydande följder.

För annonsfinansierade utgivare är bortvalen av riktad reklam och försäljning de som berör annonsstacken varje dag.

Vad som är utmärkande för Minnesota

Rätten att ifrågasätta profilering

Där en konsument har profilerats på ett sätt som ledde till ett beslut med rättsliga eller liknande betydande följder kan hen ifrågasätta resultatet, få veta skälen och, om beslutet byggde på felaktiga data, få uppgifterna rättade och beslutet omprövat. De flesta utgivare fattar inte beslut av det slaget om besökare, men det är värt att bekräfta att inget av dina verktyg gör det.

En lista över specifika tredje parter

Konsumenter kan begära en lista över de specifika tredje parter till vilka den personuppgiftsansvarige har lämnat ut deras personuppgifter, eller, om den personuppgiftsansvarige inte för den informationen per konsument, en lista över de specifika tredje parter till vilka den har lämnat ut personuppgifter i allmänhet. För utgivare som arbetar med många annonstekniska partner gör detta ett korrekt leverantörsregister till ett praktiskt behov.

En dataförteckning

Personuppgiftsansvariga måste föra en förteckning över de personuppgifter de behandlar. Tillsammans med kravet på tredjepartslistan driver detta utgivare mot dokumenterad kunskap om vilka taggar som samlar in vad, och vart det går.

Universella bortvalsmekanismer

Personuppgiftsansvariga måste respektera en konsuments bortval som skickats via en erkänd universell bortvalsmekanism, till exempel en integritetssignal i webbläsaren. Webbplatser bör behandla sådana signaler som ett bortval av riktad reklam och försäljning för användare i Minnesota.

Konsekvensbedömningar för dataskydd

Behandling för riktad reklam, försäljning av personuppgifter, profilering med betydande risker och behandling av känsliga uppgifter kräver en dokumenterad bedömning av dataintegritet och dataskydd.

Tillsyn

Lagen upprätthålls av Minnesotas justitieminister (Attorney General); det finns ingen privat talerätt. En 30 dagars rättelseperiod för överträdelser gällde endast till och med 31 januari 2026, så sedan dess behöver justitieministern inte längre erbjuda en chans att åtgärda ett problem innan hen agerar. Civilrättsliga sanktioner kan uppgå till 7 500 USD per överträdelse.

Vad utgivare bör kontrollera

1. Tröskeln. Uppskatta hur många konsumenter i Minnesota du behandlar data varje år, inklusive identifierade enheter.
2. Bortvalslänk och flöde. Se till att amerikanska besökare kan välja bort riktad reklam och försäljning, och att valet når dina annonspartner.
3. Signaler. Respektera bortvalssignaler i webbläsaren, såsom Global Privacy Control, och för det resulterande valet vidare via IAB Global Privacy Platform (GPP) eller vilken signal dina partner läser.
4. Leverantörsregister. Håll en aktuell lista över varje tredje part som får personuppgifter, redo att besvara en begäran om tredjepartslista.
5. Dataförteckning. Dokumentera vad varje tagg och SDK samlar in och varför.
6. Bedömningar. Upprätta och behåll en konsekvensbedömning för dataskydd som täcker riktad reklam.
7. Integritetsmeddelande. Uppdatera det så att det beskriver rättigheterna i Minnesota och hur de utövas.

Att passa in Minnesota i en uppsättning för flera delstater

I stället för att bygga en separat upplevelse för varje delstat kör de flesta utgivare ett enda amerikanskt bortvalsflöde som täcker de strängaste gemensamma kraven, och lägger sedan till delstatsspecifika detaljer där det behövs. Minnesotas tillägg — tredjepartslistan, dataförteckningen och profileringsrätten — är mestadels dokumentations- och ärendehanteringsskyldigheter snarare än bannerändringar, så arbetet hamnar hos den som äger ditt leverantörsregister och integritetsförfrågningar.

Viktiga slutsatser

• MCDPA har gällt sedan 31 juli 2025 för organisationer som uppfyller tröskeln på 100 000 eller 25 000 plus 25 % av intäkterna.
• Bortval omfattar riktad reklam, försäljning och betydande profilering, och universella bortvalssignaler måste respekteras.
• Konsumenter kan begära en lista över de specifika tredje parter som fått deras data.
• En dataförteckning och konsekvensbedömningar för dataskydd krävs.
• Rättelseperioden upphörde den 31 januari 2026; tillsynen sköts av justitieministern.