Consumer Data Privacy Act ของมินนิโซตา: สิ่งที่ผู้เผยแพร่ที่พึ่งโฆษณาควรรู้
อีกหนึ่งรัฐ กับจุดเปลี่ยนใหม่บางอย่าง
Minnesota Consumer Data Privacy Act (MCDPA) มีผลบังคับใช้เมื่อวันที่ 31 กรกฎาคม 2025 เมื่อมองผ่านๆ กฎหมายนี้เป็นไปตามโมเดลที่กฎหมายความเป็นส่วนตัวของรัฐในสหรัฐส่วนใหญ่ใช้ร่วมกัน คือสิทธิเข้าถึง แก้ไข และลบข้อมูล และสิทธิ opt-out จากการโฆษณาแบบกำหนดเป้าหมาย การขายข้อมูลส่วนบุคคล และการทำโปรไฟล์บางประเภท แต่มินนิโซตาเพิ่มข้อกำหนดหลายข้อที่ไปไกลกว่ารัฐใกล้เคียง และบางข้อเข้าไปถึงวิธีที่ผู้เผยแพร่จัดทำเอกสารและอธิบายแนวปฏิบัติด้านข้อมูลของตน
บทความนี้ครอบคลุมสิ่งที่ผู้เผยแพร่ที่พึ่งโฆษณาควรรู้ เป็นภาพรวม ไม่ใช่คำปรึกษาทางกฎหมาย
ใครอยู่ในขอบเขต
MCDPA ใช้กับองค์กรที่ทำธุรกิจในมินนิโซตาหรือเสนอผลิตภัณฑ์หรือบริการที่มุ่งเป้าไปยังผู้อยู่อาศัยในมินนิโซตา และในปีปฏิทินหนึ่งเข้าเงื่อนไขข้อใดข้อหนึ่งต่อไปนี้:
- ควบคุมหรือประมวลผลข้อมูลส่วนบุคคลของผู้บริโภคในมินนิโซตาตั้งแต่ 100,000 รายขึ้นไป โดยไม่นับข้อมูลที่ประมวลผลเพื่อทำธุรกรรมการชำระเงินให้เสร็จสิ้นเท่านั้น หรือ
- ได้มากกว่า 25% ของรายได้รวมจากการขายข้อมูลส่วนบุคคล และควบคุมหรือประมวลผลข้อมูลส่วนบุคคลของผู้บริโภคในมินนิโซตาตั้งแต่ 25,000 รายขึ้นไป
ธุรกิจขนาดเล็กตามนิยามของ US Small Business Administration โดยทั่วไปได้รับการยกเว้น แต่ห้ามขายข้อมูลอ่อนไหวโดยไม่ได้รับความยินยอมจากผู้บริโภค สำหรับผู้เผยแพร่ “ผู้บริโภค” อาจรวมถึงผู้เข้าชมเว็บไซต์และแอปที่ระบุตัวได้ด้วยคุกกี้หรือ ID อุปกรณ์ ดังนั้นเว็บไซต์ที่มีทราฟฟิกจากมินนิโซตาไม่มากก็ยังอาจถึงเกณฑ์ได้
สิทธิที่ผู้เผยแพร่ต้องรองรับ
ผู้อยู่อาศัยในมินนิโซตาได้รับสิทธิชุดที่คุ้นเคย:
- ยืนยันว่าข้อมูลของตนถูกประมวลผลหรือไม่ และเข้าถึงข้อมูลนั้น
- แก้ไขข้อมูลที่ไม่ถูกต้องและลบข้อมูล
- รับสำเนาที่โอนย้ายได้
- opt-out จากการโฆษณาแบบกำหนดเป้าหมาย การขายข้อมูลส่วนบุคคล และการทำโปรไฟล์เพื่อประกอบการตัดสินใจที่ก่อให้เกิดผลทางกฎหมายหรือผลกระทบสำคัญในลักษณะคล้ายกัน
สำหรับผู้เผยแพร่ที่พึ่งโฆษณา การ opt-out จากการโฆษณาแบบกำหนดเป้าหมายและการขายคือสิ่งที่แตะสแต็กโฆษณาทุกวัน
จุดเด่นของมินนิโซตา
สิทธิตั้งคำถามต่อการทำโปรไฟล์
เมื่อผู้บริโภคถูกทำโปรไฟล์จนนำไปสู่การตัดสินใจที่มีผลทางกฎหมายหรือผลกระทบสำคัญในลักษณะคล้ายกัน เขามีสิทธิตั้งคำถามต่อผลลัพธ์ ได้รับแจ้งเหตุผล และหากการตัดสินใจอิงข้อมูลที่ไม่ถูกต้อง ก็ให้แก้ไขข้อมูลและประเมินการตัดสินใจใหม่ ผู้เผยแพร่ส่วนใหญ่ไม่ได้ตัดสินใจเช่นนั้นกับผู้เข้าชม แต่ควรยืนยันว่าไม่มีเครื่องมือใดของคุณทำเช่นนั้น
รายชื่อบุคคลที่สามโดยเฉพาะ
ผู้บริโภคขอรายชื่อบุคคลที่สามเฉพาะรายที่ผู้ควบคุมข้อมูลเปิดเผยข้อมูลส่วนบุคคลของตนให้ได้ หรือหากผู้ควบคุมข้อมูลไม่เก็บข้อมูลนั้นแยกรายผู้บริโภค ก็ขอรายชื่อบุคคลที่สามเฉพาะรายที่ตนเปิดเผยข้อมูลส่วนบุคคลให้โดยทั่วไป สำหรับผู้เผยแพร่ที่ทำงานกับพาร์ตเนอร์แอดเทคจำนวนมาก สิ่งนี้ทำให้ทะเบียนผู้ขายที่ถูกต้องกลายเป็นความจำเป็นในทางปฏิบัติ
บัญชีข้อมูล
ผู้ควบคุมข้อมูลต้องจัดทำบัญชีข้อมูลส่วนบุคคลที่ตนประมวลผล เมื่อรวมกับข้อกำหนดเรื่องรายชื่อบุคคลที่สาม ผู้เผยแพร่ต้องมีความรู้ที่บันทึกไว้ว่าแท็กใดเก็บอะไร และข้อมูลไปที่ใด
กลไก opt-out สากล
ผู้ควบคุมข้อมูลต้องเคารพการ opt-out ของผู้บริโภคที่ส่งผ่านกลไก opt-out สากลที่ได้รับการยอมรับ เช่น สัญญาณความเป็นส่วนตัวของเบราว์เซอร์ เว็บไซต์ควรถือว่าสัญญาณดังกล่าวเป็นการ opt-out จากการโฆษณาแบบกำหนดเป้าหมายและการขายสำหรับผู้ใช้ในมินนิโซตา
การประเมินการคุ้มครองข้อมูล
การประมวลผลเพื่อการโฆษณาแบบกำหนดเป้าหมาย การขายข้อมูลส่วนบุคคล การทำโปรไฟล์ที่มีความเสี่ยงสำคัญ และการประมวลผลข้อมูลอ่อนไหว ต้องมีการประเมินความเป็นส่วนตัวและการคุ้มครองข้อมูลที่จัดทำเป็นเอกสาร
การบังคับใช้
กฎหมายนี้บังคับใช้โดยอัยการสูงสุดแห่งมินนิโซตา (Attorney General) และไม่มีสิทธิฟ้องร้องโดยเอกชน ระยะเวลาแก้ไขการละเมิด 30 วันใช้เฉพาะจนถึงวันที่ 31 มกราคม 2026 ตั้งแต่นั้น Attorney General ไม่จำเป็นต้องให้โอกาสแก้ไขปัญหาก่อนดำเนินการอีกต่อไป โทษปรับทางแพ่งอาจสูงถึง $7,500 ต่อการละเมิดหนึ่งครั้ง
สิ่งที่ผู้เผยแพร่ควรตรวจสอบ
- เกณฑ์ ประมาณจำนวนผู้บริโภคในมินนิโซตาที่คุณประมวลผลข้อมูลในแต่ละปี รวมถึงอุปกรณ์ที่ระบุตัวได้
- ลิงก์และขั้นตอน opt-out ตรวจให้แน่ใจว่าผู้เข้าชมในสหรัฐ opt-out จากการโฆษณาแบบกำหนดเป้าหมายและการขายได้ และตัวเลือกนั้นไปถึงพาร์ตเนอร์โฆษณาของคุณ
- สัญญาณ เคารพสัญญาณ opt-out ของเบราว์เซอร์ เช่น Global Privacy Control และส่งต่อทางเลือกที่ได้ผ่าน IAB Global Privacy Platform (GPP) หรือสัญญาณใดก็ตามที่พาร์ตเนอร์ของคุณอ่าน
- ทะเบียนผู้ขาย เก็บรายชื่อบุคคลที่สามทุกรายที่ได้รับข้อมูลส่วนบุคคลให้เป็นปัจจุบัน พร้อมตอบคำขอรายชื่อบุคคลที่สาม
- บัญชีข้อมูล จัดทำเอกสารว่าแท็กและ SDK แต่ละตัวเก็บอะไรและเพราะเหตุใด
- การประเมิน เขียนและเก็บการประเมินการคุ้มครองข้อมูลที่ครอบคลุมการโฆษณาแบบกำหนดเป้าหมาย
- ประกาศความเป็นส่วนตัว ปรับปรุงให้อธิบายสิทธิตามกฎหมายมินนิโซตาและวิธีใช้สิทธิ
การจัดมินนิโซตาให้เข้ากับการตั้งค่าหลายรัฐ
แทนที่จะสร้างประสบการณ์แยกสำหรับแต่ละรัฐ ผู้เผยแพร่ส่วนใหญ่ใช้ขั้นตอน opt-out ของสหรัฐเพียงขั้นตอนเดียวที่ครอบคลุมข้อกำหนดร่วมที่เข้มงวดที่สุด แล้วเพิ่มรายละเอียดเฉพาะรัฐเมื่อจำเป็น ส่วนที่มินนิโซตาเพิ่ม — รายชื่อบุคคลที่สาม บัญชีข้อมูล และสิทธิเกี่ยวกับการทำโปรไฟล์ — ส่วนใหญ่เป็นหน้าที่ด้านเอกสารและการจัดการคำขอ มากกว่าการเปลี่ยนแปลงแบนเนอร์ งานจึงตกอยู่กับผู้ที่ดูแลทะเบียนผู้ขายและคำขอด้านความเป็นส่วนตัวของคุณ
ประเด็นสำคัญ
- MCDPA มีผลบังคับใช้ตั้งแต่ 31 กรกฎาคม 2025 กับองค์กรที่ถึงเกณฑ์ 100,000 ราย หรือ 25,000 รายขึ้นไปพร้อมรายได้มากกว่า 25%
- สิทธิ opt-out ครอบคลุมการโฆษณาแบบกำหนดเป้าหมาย การขาย และการทำโปรไฟล์ที่มีนัยสำคัญ และต้องเคารพสัญญาณ opt-out สากล
- ผู้บริโภคขอรายชื่อบุคคลที่สามเฉพาะรายที่ได้รับข้อมูลของตนได้
- ต้องมีบัญชีข้อมูลและการประเมินการคุ้มครองข้อมูล
- ระยะเวลาแก้ไขสิ้นสุดเมื่อ 31 มกราคม 2026 และ Attorney General เป็นผู้บังคับใช้