明尼苏达州消费者数据隐私法：广告支持型发布商须知
又一个州，一些新花样
明尼苏达州消费者数据隐私法（MCDPA）于2025年7月31日生效。乍一看，它沿用了美国多数州隐私法共有的模式：访问、更正和删除数据的权利，以及选择退出定向广告、个人数据出售和某些画像的权利。但明尼苏达州增加了几项比其邻州走得更远的要求，其中一些延伸到了发布商如何记录和说明其数据做法。
本文介绍广告支持型发布商应当了解的内容。这是一份概述，不构成法律建议。
适用对象
MCDPA适用于在明尼苏达州开展业务或提供面向明尼苏达州居民的产品或服务的组织，并且这些组织在一个日历年内满足以下任一条件：
- 控制或处理10万名或以上明尼苏达州消费者的个人数据（仅为完成支付交易而处理的数据除外）；或
- 从出售个人数据中获得超过25%的总收入，并控制或处理2.5万名或以上明尼苏达州消费者的个人数据。
美国小企业管理局所定义的小型企业通常可获豁免，但未经消费者同意，不得出售敏感数据。对发布商而言，“消费者”可包括通过cookie或设备ID识别的网站和应用访客，因此明尼苏达州流量不大的网站仍有可能达到门槛。
发布商必须支持的权利
明尼苏达州居民享有一套熟悉的权利：
- 确认其数据是否被处理并访问这些数据。
- 更正不准确的数据并删除数据。
- 获取可携带的副本。
- 选择退出定向广告、个人数据的出售，以及为作出产生法律或类似重大影响的决定而进行的画像。
对广告支持型发布商而言，每天都会触及广告技术栈的是定向广告和出售方面的退出权。
明尼苏达州的独特之处
质疑画像的权利
如果消费者被画像并因此导致了产生法律或类似重大影响的决定，他们可以对结果提出质疑、被告知理由，并且如果该决定基于不准确的数据，可以要求更正数据并重新评估决定。大多数发布商不会就访客作出此类决定，但值得确认你的工具中没有任何一个会这样做。
特定第三方的清单
消费者可以要求获得控制者向其披露其个人数据的特定第三方清单；如果控制者没有按消费者分别保存这些信息，则可以要求获得其披露过个人数据的特定第三方的一般清单。对于与众多广告技术合作伙伴合作的发布商，这使得准确的供应商登记册成为实际所需。
数据清单
控制者必须维护其处理的个人数据清单。结合第三方清单的要求，这促使发布商以文档形式掌握哪些标签收集了什么、数据又去向何处。
通用退出机制
控制者必须遵守消费者通过公认的通用退出机制（例如浏览器隐私信号）发出的退出请求。网站应将此类信号视为明尼苏达州用户对定向广告和出售的退出。
数据保护评估
用于定向广告、个人数据出售、具有重大风险的画像以及敏感数据处理的数据处理，需要有书面的数据隐私与保护评估。
执法
该法由明尼苏达州总检察长执行；不设私人诉权。针对违规的30天补救期仅适用至2026年1月31日，因此自那以后，总检察长在采取行动之前不再需要给予改正问题的机会。民事处罚最高可达每次违规7,500美元。
发布商应检查什么
- 门槛。估算你每年处理的明尼苏达州消费者数据数量，包括已识别的设备。
- 退出链接与流程。确保美国访客可以选择退出定向广告和出售，并且该选择能传达到你的广告合作伙伴。
- 信号。遵守浏览器的退出信号，例如Global Privacy Control，并通过IAB全球隐私平台（GPP）或你的合作伙伴读取的任何信号传递由此产生的选择。
- 供应商登记册。保持一份接收个人数据的所有第三方的最新清单，随时准备应对第三方清单请求。
- 数据清单。记录每个标签和SDK收集什么以及原因。
- 评估。撰写并保存涵盖定向广告的数据保护评估。
- 隐私声明。更新它，以说明明尼苏达州的权利及其行使方式。
把明尼苏达州纳入多州设置
大多数发布商不会为每个州单独构建一套体验，而是运行一套覆盖最严格共同要求的美国退出流程，再在需要时补充各州的具体细节。明尼苏达州新增的内容——第三方清单、数据清单和画像权利——主要是文档记录和请求处理方面的义务，而非横幅变更，因此这项工作会落到负责你的供应商登记册和隐私请求的人身上。
核心要点
- MCDPA自2025年7月31日起适用于满足10万名消费者，或2.5万名且收入占比超过25%这两个门槛的组织。
- 退出权涵盖定向广告、出售和重大画像，并且必须遵守通用退出信号。
- 消费者可以要求获得接收了其数据的特定第三方清单。
- 需要数据清单和数据保护评估。
- 补救期已于2026年1月31日结束；由总检察长执法。