Ще один штат, кілька нових деталей

Minnesota Consumer Data Privacy Act (MCDPA) набув чинності 31 липня 2025 року. На перший погляд він іде за моделлю, спільною для більшості законів про приватність у штатах США: права на доступ, виправлення та видалення даних і право відмовитися від таргетованої реклами, продажу персональних даних і певного профілювання. Але Міннесота додала низку вимог, які йдуть далі, ніж у сусідів, і деякі з них стосуються того, як видавці документують і пояснюють свою роботу з даними.

У цій статті розповідається, що слід знати видавцям із рекламною моделлю. Це огляд, а не юридична консультація.

Кого це стосується

MCDPA застосовується до організацій, які ведуть діяльність у Міннесоті або пропонують продукти чи послуги, орієнтовані на мешканців Міннесоти, і які протягом календарного року або:

• контролюють чи обробляють персональні дані 100 000 і більше споживачів Міннесоти, за винятком даних, що обробляються виключно для завершення платіжної транзакції; або
• отримують понад 25% валового доходу від продажу персональних даних і контролюють чи обробляють персональні дані 25 000 і більше споживачів Міннесоти.

Малий бізнес у розумінні Управління у справах малого бізнесу США, як правило, звільнений, але не може продавати чутливі дані без згоди споживача. Для видавця «споживачі» можуть включати відвідувачів сайту та застосунку, ідентифікованих за cookie чи ідентифікаторами пристроїв, тому сайт зі скромним трафіком із Міннесоти все одно може досягти порогу.

Права, які мають підтримувати видавці

Мешканці Міннесоти отримують звичний набір прав:

• Підтвердити, чи обробляються їхні дані, і отримати до них доступ.
• Виправити неточні дані та видалити дані.
• Отримати переносну копію.
• Відмовитися від таргетованої реклами, продажу персональних даних і профілювання, що слугує основою для рішень, які породжують юридичні чи аналогічно значущі наслідки.

Для видавців із рекламною моделлю відмови від таргетованої реклами та продажу стосуються рекламного стеку щодня.

Що особливого в Міннесоті

Право оспорити профілювання

Якщо споживача було піддано профілюванню, яке призвело до рішення з юридичними чи аналогічно значущими наслідками, він може оспорити результат, отримати пояснення причин і, якщо рішення ґрунтувалося на неточних даних, домогтися виправлення даних і повторної оцінки рішення. Більшість видавців не ухвалюють таких рішень щодо відвідувачів, але варто переконатися, що жоден із ваших інструментів цього не робить.

Список конкретних третіх сторін

Споживачі можуть запросити список конкретних третіх сторін, яким контролер розкрив їхні персональні дані, або, якщо контролер не зберігає таку інформацію щодо кожного споживача, список конкретних третіх сторін, яким він загалом розкривав персональні дані. Для видавців, що працюють із багатьма рекламними технологічними партнерами, це робить точний реєстр вендорів практичною необхідністю.

Інвентаризація даних

Контролери зобов’язані вести інвентарний перелік оброблюваних персональних даних. У поєднанні з вимогою щодо списку третіх сторін це підштовхує видавців до документованого знання про те, які теги що збирають і куди це потрапляє.

Універсальні механізми відмови

Контролери зобов’язані дотримуватися відмови споживача, надісланої через визнаний універсальний механізм відмови, наприклад сигнал приватності браузера. Сайтам слід розглядати такі сигнали як відмову від таргетованої реклами та продажу для користувачів із Міннесоти.

Оцінки захисту даних

Обробка для таргетованої реклами, продажу персональних даних, профілювання зі значними ризиками та обробка чутливих даних потребують документованої оцінки конфіденційності та захисту даних.

Правозастосування

Закон застосовується генеральним прокурором Міннесоти; права на приватний позов немає. 30-денний строк для усунення порушень діяв лише до 31 січня 2026 року, тому відтоді генеральний прокурор не зобов’язаний давати можливість виправити проблему, перш ніж діяти. Цивільні штрафи можуть сягати 7 500 доларів за порушення.

Що видавцям варто перевірити

1. Поріг. Оцініть, дані скількох споживачів Міннесоти ви обробляєте щороку, включно з ідентифікованими пристроями.
2. Посилання та процес відмови. Переконайтеся, що відвідувачі зі США можуть відмовитися від таргетованої реклами та продажу і що вибір доходить до ваших рекламних партнерів.
3. Сигнали. Дотримуйтеся сигналів відмови браузера, як-от Global Privacy Control, і передавайте отриманий вибір далі через IAB Global Privacy Platform (GPP) або той сигнал, який читають ваші партнери.
4. Реєстр вендорів. Тримайте актуальний список усіх третіх сторін, що отримують персональні дані, готовий до відповіді на запит про список третіх сторін.
5. Інвентаризація даних. Документуйте, що збирає кожен тег і SDK та навіщо.
6. Оцінки. Складіть і зберігайте оцінку захисту даних, що охоплює таргетовану рекламу.
7. Повідомлення про конфіденційність. Оновіть його, описавши права в Міннесоті та способи їх реалізації.

Як вписати Міннесоту в багатоштатне налаштування

Замість окремого користувацького шляху для кожного штату більшість видавців використовують один американський процес відмови, що охоплює найсуворіші спільні вимоги, і додають специфіку штатів там, де потрібно. Доповнення Міннесоти — список третіх сторін, інвентаризація даних і право щодо профілювання — це здебільшого обов’язки з документування та обробки запитів, а не зміни банера, тому робота лягає на того, хто відповідає за ваш реєстр вендорів і запити щодо приватності.

Головні висновки

• MCDPA діє з 31 липня 2025 року для організацій, що досягають порогів 100 000 споживачів або 25 000 плюс 25% доходу.
• Відмови охоплюють таргетовану рекламу, продаж і значне профілювання, а універсальні сигнали відмови необхідно дотримуватися.
• Споживачі можуть запросити список конкретних третіх сторін, що отримали їхні дані.
• Потрібні інвентаризація даних та оцінки захисту даних.
• Строк для усунення порушень закінчився 31 січня 2026 року; правозастосування здійснює генеральний прокурор.