Bir Eyalet Daha, Bazı Yeni Detaylar

Minnesota Tüketici Veri Gizliliği Yasası (MCDPA) 31 Temmuz 2025'te yürürlüğe girdi. İlk bakışta, ABD eyalet gizlilik yasalarının çoğunun paylaştığı modeli izler: verilere erişim, verileri düzeltme ve silme hakları ile hedefli reklamcılıktan, kişisel verilerin satışından ve belirli profillemeden vazgeçme hakkı. Ancak Minnesota, komşularından daha ileri giden birkaç şart ekledi ve bunların bazıları yayıncıların veri uygulamalarını belgeleme ve açıklama biçimine kadar uzanıyor.

Bu makale, reklam destekli yayıncıların bilmesi gerekenleri kapsar. Genel bir bakıştır, hukuki danışmanlık değildir.

Kimler Kapsamda

MCDPA, Minnesota'da iş yapan ya da Minnesota sakinlerini hedefleyen ürün veya hizmetler sunan ve bir takvim yılı içinde şunlardan birini yapan kuruluşlara uygulanır:

• yalnızca bir ödeme işlemini tamamlamak için işlenen veriler hariç, 100.000 veya daha fazla Minnesota tüketicisinin kişisel verilerini kontrol etmek veya işlemek; veya
• brüt gelirinin %25'inden fazlasını kişisel verilerin satışından elde etmek ve 25.000 veya daha fazla Minnesota tüketicisinin kişisel verilerini kontrol etmek veya işlemek.

ABD Küçük İşletme İdaresi'nin tanımladığı küçük işletmeler genellikle muaftır, ancak tüketicinin onayı olmadan hassas verileri satamazlar. Bir yayıncı için “tüketiciler” çerezler veya cihaz kimlikleriyle tanımlanan web sitesi ve uygulama ziyaretçilerini içerebilir; dolayısıyla Minnesota trafiği mütevazı bir site bile eşiğe ulaşabilir.

Yayıncıların Desteklemesi Gereken Haklar

Minnesota sakinleri tanıdık bir haklar kümesine sahiptir:

• Verilerinin işlenip işlenmediğini doğrulamak ve bunlara erişmek.
• Hatalı verileri düzeltmek ve verileri silmek.
• Taşınabilir bir kopya almak.
• Hedefli reklamcılıktan, kişisel verilerin satışından ve hukuki ya da benzer ölçüde önemli sonuçlar doğuran kararların yönlendirilmesinde profillemeden vazgeçmek.

Reklam destekli yayıncılar için reklam yığınına her gün dokunanlar hedefli reklamcılık ve satıştan vazgeçme haklarıdır.

Minnesota'yı Farklı Kılan Nedir

Profillemeyi sorgulama hakkı

Bir tüketici, hukuki ya da benzer ölçüde önemli sonuçları olan bir karara yol açan bir şekilde profillenmişse, sonucu sorgulayabilir, gerekçelerinin kendisine bildirilmesini isteyebilir ve karar hatalı verilere dayanıyorsa verilerin düzeltilmesini ve kararın yeniden değerlendirilmesini talep edebilir. Çoğu yayıncı ziyaretçiler hakkında bu türden kararlar vermez, ancak hiçbir aracınızın bunu yapmadığını doğrulamaya değer.

Belirli üçüncü tarafların listesi

Tüketiciler, veri sorumlusunun kişisel verilerini ifşa ettiği belirli üçüncü tarafların bir listesini ya da veri sorumlusu bu bilgiyi tüketici bazında tutmuyorsa genel olarak kişisel verileri ifşa ettiği belirli üçüncü tarafların bir listesini isteyebilir. Çok sayıda reklam teknolojisi ortağıyla çalışan yayıncılar için bu, doğru bir satıcı sicilini pratik bir zorunluluk haline getirir.

Bir veri envanteri

Veri sorumluları, işledikleri kişisel verilerin bir envanterini tutmak zorundadır. Üçüncü taraf listesi şartıyla birleştiğinde bu, yayıncıları hangi etiketlerin ne topladığına ve nereye gittiğine dair belgelenmiş bilgiye doğru iter.

Evrensel vazgeçme mekanizmaları

Veri sorumluları, bir tarayıcı gizlilik sinyali gibi tanınmış bir evrensel vazgeçme mekanizması aracılığıyla gönderilen tüketici tercihine uymak zorundadır. Siteler bu tür sinyalleri Minnesota kullanıcıları için hedefli reklamcılıktan ve satıştan vazgeçme olarak ele almalıdır.

Veri koruma değerlendirmeleri

Hedefli reklamcılık, kişisel verilerin satışı, önemli riskler taşıyan profilleme ve hassas verilerin işlenmesi, belgelenmiş bir veri gizliliği ve koruma değerlendirmesi gerektirir.

Uygulama

Yasa Minnesota Başsavcısı tarafından uygulanır; özel dava hakkı yoktur. İhlaller için 30 günlük bir düzeltme süresi yalnızca 31 Ocak 2026'ya kadar geçerliydi; dolayısıyla o tarihten bu yana Başsavcı'nın harekete geçmeden önce bir sorunu düzeltme fırsatı sunması gerekmiyor. Hukuki yaptırımlar ihlal başına 7.500 dolara kadar çıkabilir.

Yayıncıların Kontrol Etmesi Gerekenler

1. Eşik. Her yıl hakkında veri işlediğiniz Minnesota tüketicilerinin sayısını, tanımlanan cihazlar dahil, tahmin edin.
2. Vazgeçme bağlantısı ve akışı. ABD'li ziyaretçilerin hedefli reklamcılıktan ve satıştan vazgeçebildiğinden ve tercihin reklam ortaklarınıza ulaştığından emin olun.
3. Sinyaller. Global Privacy Control gibi tarayıcı vazgeçme sinyallerine uyun ve ortaya çıkan tercihi IAB Global Privacy Platform (GPP) veya ortaklarınızın okuduğu sinyal aracılığıyla iletin.
4. Satıcı sicili. Kişisel veri alan her üçüncü tarafın güncel bir listesini, bir üçüncü taraf listesi talebini yanıtlamaya hazır tutun.
5. Veri envanteri. Her etiketin ve SDK'nın ne topladığını ve nedenini belgeleyin.
6. Değerlendirmeler. Hedefli reklamcılığı kapsayan bir veri koruma değerlendirmesi yazın ve saklayın.
7. Gizlilik bildirimi. Minnesota haklarını ve bunların nasıl kullanılacağını açıklayacak şekilde güncelleyin.

Minnesota'yı Çok Eyaletli Bir Kuruluma Oturtmak

Her eyalet için ayrı bir deneyim kurmak yerine çoğu yayıncı, en katı ortak şartları kapsayan tek bir ABD vazgeçme akışı işletir, ardından gerektiğinde eyalete özgü ayrıntılar ekler. Minnesota'nın eklemeleri — üçüncü taraf listesi, veri envanteri ve profilleme hakkı — banner değişikliklerinden çok belgeleme ve talep işleme görevleridir; dolayısıyla iş, satıcı sicilinizin ve gizlilik taleplerinizin sahibi kime düşerse ona kalır.

Önemli Çıkarımlar

• MCDPA, 31 Temmuz 2025'ten beri, 100.000 veya 25.000 artı %25 gelir eşiklerini karşılayan kuruluşlara uygulanmaktadır.
• Vazgeçme hakları hedefli reklamcılığı, satışı ve önemli profillemeyi kapsar; evrensel vazgeçme sinyallerine uyulmalıdır.
• Tüketiciler, verilerini alan belirli üçüncü tarafların bir listesini talep edebilir.
• Bir veri envanteri ve veri koruma değerlendirmeleri zorunludur.
• Düzeltme süresi 31 Ocak 2026'da sona erdi; uygulama Başsavcı tarafından yapılır.