Abrir espacio

Guía · Ley estatal de EE. UU.

MCDPA: la ley de Minnesota y sus derechos inéditos

La Minnesota Consumer Data Privacy Act rige desde el 31 de julio de 2025 y trajo derechos que otros estados no tenían, como cuestionar el resultado de un perfil automatizado. En esta guía entenderás quién debe cumplir, el inventario de datos, el GPC obligatorio y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en el capítulo 325M de las leyes de Minnesota y en el fiscal general del estado
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
100 milconsumidores de Minnesota por año: el límite principal de la ley
25%de los ingresos provenientes de la venta de datos: con eso, bastan 25 mil consumidores
45 díaspara responder a las solicitudes y para aplicar un opt-out
US$ 7.500de multa civil máxima por infracción

Qué es

Una ley de privacidad con derechos que van más allá del opt-out

La Minnesota Consumer Data Privacy Act, o MCDPA, es la ley general de privacidad de Minnesota. Se sancionó el 19 de mayo de 2024, está en el capítulo 325M de las leyes del estado y entró en vigor el 31 de julio de 2025. Las instituciones de educación superior reguladas por el estado solo deben cumplirla a partir del 31 de julio de 2029.

La base es la misma que la de las leyes de Connecticut y Colorado: acceso, corrección, eliminación, portabilidad y rechazo de la publicidad dirigida, de la venta y de los perfiles automatizados. El sitio cubierto también debe respetar señales universales de opt-out, como el GPC.

Minnesota fue más allá en dos puntos. El consumidor puede cuestionar el resultado de un perfil automatizado que generó una decisión importante sobre él. Y la empresa debe mantener un inventario de los datos que trata y documentar sus políticas de privacidad, con el nombre del responsable.

Para un sitio con anuncios, lo que más pesa es lo de siempre: un opt-out que funcione, el GPC respetado y una página de privacidad completa. Pero los nuevos deberes internos muestran que Minnesota espera más organización de quienes tratan datos en volumen.

Lista de verificación

Lo que debes cumplir

Si tu sitio supera los límites de la MCDPA, estos puntos tienen que estar funcionando.

  1. Respetar la señal universal de opt-out

    El sitio tiene que aceptar el opt-out enviado por una señal de preferencia, como el GPC, activada por el propio visitante. La señal no puede venir activada por defecto.

    Ejemplo

    Visitante con GPC activado: el sitio activa el procesamiento restringido de datos de Google solo para él.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Opt-out fuera del aviso de privacidad

    Quien vende datos, hace publicidad dirigida o crea perfiles necesita un método claro y visible para rechazar, fuera del texto del aviso.

    Ejemplo

    Un enlace en el pie de página llamado Your Opt-Out Rights o Your Privacy Rights.

  3. Enlace con la palabra privacy

    El aviso de privacidad tiene que estar en un enlace visible, con la palabra privacy, desde la página principal.

    Ejemplo

    Enlace Privacy Policy en el pie de la página principal.

  4. Política con las frases que Google exige

    AdSense exige que la política de privacidad avise sobre las cookies de anuncios de Google y de otros proveedores. También tiene que decir cómo rechaza el visitante los anuncios personalizados.

    Ejemplo

    Proveedores terceros, incluido Google, usan cookies para mostrar anuncios según visitas anteriores a tu sitio o a otros sitios. Puedes desactivar la publicidad personalizada en la Configuración de anuncios de Google.

  5. Plazo de 45 días

    El opt-out vale lo antes posible, en un máximo de 45 días. Las demás solicitudes también tienen 45 días, con una prórroga posible.

  6. Consentimiento para datos sensibles

    Los datos sensibles solo pueden tratarse con consentimiento. Si el visitante retira el consentimiento, el uso se detiene en un máximo de 15 días.

    Ejemplo

    Retirar el consentimiento tiene que ser tan fácil como darlo, por ejemplo con el mismo botón en el mismo lugar.

  7. Adolescentes de 13 a 16 años

    Si sabes que el visitante tiene de 13 a 16 años, necesitas su consentimiento para usar los datos en publicidad dirigida o venderlos.

  8. Inventario y políticas documentadas

    Mantén un inventario de los datos que trata el sitio. Documenta las políticas de privacidad con el nombre y el contacto del responsable.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para Minnesota, así que puedes usar el mensaje del propio Google o una CMP con GPP.

Quién debe cumplir y definiciones

Los límites de la MCDPA y las palabras clave de la ley

La ley rige para quienes hacen negocios en Minnesota u ofrecen productos y servicios dirigidos a los residentes del estado y, en un año calendario, superan uno de los límites siguientes. No hay una exención general para las entidades sin fines de lucro. Un dato personal es cualquier información vinculada, o que pueda vincularse, a una persona, como las cookies y los identificadores de anuncios.

100 mil consumidores

Controla o trata datos de al menos 100 mil consumidores de Minnesota. Los datos usados solo para completar un pago no cuentan.

25 mil y venta de datos

Controla o trata datos de al menos 25 mil consumidores y obtiene más del 25% de los ingresos brutos de la venta de datos personales.

Pequeña empresa

Las pequeñas empresas según la definición federal estadounidense quedan fuera de la mayor parte de la ley, pero no pueden vender datos sensibles sin consentimiento previo.

Dato sensible

Origen racial o étnico, creencia religiosa, salud, orientación sexual, situación migratoria, datos biométricos o genéticos que identifican a la persona, datos de un niño conocido y geolocalización específica.

Venta

El intercambio de datos personales por dinero o por otra contraprestación de valor. Las transferencias a encargados, a empresas del mismo grupo y en fusiones quedan fuera.

Publicidad dirigida

Anuncio elegido con datos de la actividad del visitante a lo largo del tiempo en sitios y apps de otras empresas. Los anuncios propios, los contextuales y la medición del rendimiento no entran.

Derechos de las personas

Lo que puede pedir el residente de Minnesota

La respuesta debe salir en un máximo de 45 días, con una prórroga de 45 más si se avisa dentro del plazo inicial. Dos solicitudes por año son gratuitas. El opt-out no exige comprobar la identidad.

Confirmar y acceder

Saber si la empresa trata sus datos y conocer las categorías de datos tratados.

Corregir, eliminar y llevarse los datos

Corregir datos erróneos, pedir la eliminación y recibir una copia portátil de los datos.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan, incluso mediante una señal universal como el GPC.

Rechazar el perfilado automatizado

Rechazar perfiles usados en decisiones con efecto legal o de impacto similar, como vivienda, seguros, educación, empleo, salud o servicios financieros.

Cuestionar un perfil

Cuestionar el resultado de un perfil que generó una decisión importante, entender los motivos y revisar los datos usados.

Lista de terceros

Recibir la lista de los terceros específicos que recibieron sus datos, o la lista de todos los terceros, si la empresa no registra por persona.

Lo que Minnesota tiene de diferente

Cuestionar perfiles y mantener un inventario de datos

El derecho a cuestionar perfiles es la mayor novedad de la ley. Cuando un perfil automatizado lleva a una decisión con efecto legal o de impacto similar, el consumidor puede cuestionar el resultado, saber los motivos y, cuando sea posible, qué podría haber hecho para conseguir otra decisión. También puede revisar los datos usados y, si están erróneos, pedir la corrección y una nueva evaluación.

El fiscal general de Minnesota destacó que estos derechos rigen con o sin inteligencia artificial. Para la mayoría de los sitios de contenido, este derecho aparece poco, pero importa para los sitios que hacen preanálisis de crédito, cotización de seguros o selección de vacantes.

La segunda novedad es interna. La ley pide una seguridad razonable, incluido un inventario de los datos que trata la empresa. También pide que la empresa documente sus políticas y procedimientos de privacidad, con el nombre y el contacto del responsable principal, como un encargado de privacidad, cuando lo haya.

Para quienes viven de los anuncios, el inventario es un buen ejercicio: enumerar qué scripts y socios de anuncios corren en el sitio, qué datos recibe cada uno y adónde van. Es el mismo mapa que ayuda a responder la lista de terceros que puede pedir el consumidor.

Obligaciones del sitio

Lo que el sitio cubierto debe tener funcionando

  1. Aviso de privacidad completoEl aviso debe incluir las categorías de datos y las finalidades, cómo ejercer los derechos y apelar, las categorías de datos vendidos o compartidos y de quién los recibe, un contacto con correo electrónico o medio en línea, la política de retención y la fecha de la última actualización.
  2. Enlace con la palabra privacyEl aviso debe estar vinculado mediante un enlace visible con la palabra privacy en la página de inicio y, en las apps, también en la configuración.
  3. Opt-out fuera del avisoQuien vende datos, hace publicidad dirigida o perfiles debe ofrecer el opt-out fuera del texto de la política, por ejemplo en un enlace llamado Your Opt-Out Rights o Your Privacy Rights.
  4. Consentimiento sin trucosLos datos sensibles solo con consentimiento, que no vale si se obtiene por un valor predeterminado engañoso ni por la aceptación de términos generales. Si el consumidor retira el consentimiento, el uso debe detenerse en un máximo de 15 días.
  5. Protección para adolescentesSi la empresa sabe que el consumidor tiene de 13 a 16 años, no puede usar sus datos para publicidad dirigida ni venderlos sin consentimiento.
  6. Evaluación de protección de datosLa publicidad dirigida, la venta, los datos sensibles y los perfiles riesgosos exigen una evaluación registrada, que el fiscal general puede pedir en una investigación.

Supervisión y multas

Quién supervisa y cuánto cuesta equivocarse

Solo el fiscal general de Minnesota fiscaliza la ley. El consumidor al que se le negó una apelación puede reclamar ante el fiscal general.

El plazo de corrección terminó

En los primeros seis meses, el fiscal general debía enviar un aviso y dar 30 días para corregir. Esa regla venció el 31 de enero de 2026.

Hasta US$ 7.500 por infracción

La multa civil puede llegar a US$ 7.500 por infracción, además de una orden judicial para detener la práctica.

Costos del proceso

Si el estado gana, el juez puede ordenar a la empresa que pague parte o todo el costo del proceso.

Apelación registrada

La empresa decide la apelación en un máximo de 45 días, prorrogables por 60 más, y guarda el registro de las apelaciones por al menos 24 meses.

Cronología

Las fechas de la MCDPA

En noviembre de 2026, la ley lleva más de un año en vigor y el plazo de corrección ya terminó.

  1. 19 de mayo de 2024

    Sanción

    Minnesota aprueba la Consumer Data Privacy Act.

  2. 31 de julio de 2025

    Entrada en vigor

    La ley empieza a regir, con GPC obligatorio y un plazo de corrección de 30 días.

  3. 31 de enero de 2026

    Fin del plazo de corrección

    Vence la regla que obligaba al fiscal general a dar 30 días para corregir antes de actuar.

  4. 31 de julio de 2029

    Educación superior

    Las instituciones de educación superior reguladas por el estado pasan a tener que cumplir la ley.

Sitios con AdSense y Ad Manager

GPC obligatorio y el camino del opt-out hasta Google

En Minnesota, el sitio cubierto debe respetar las señales universales de opt-out enviadas con el consentimiento del visitante, como el Global Privacy Control, o GPC. La ley dice que la dirección IP basta para saber si el visitante vive en el estado. Si la señal entra en conflicto con un programa de fidelidad, vale la señal, y el sitio puede pedir una confirmación.

Google ofrece en AdSense y en Ad Manager un mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, y Minnesota está entre los estados atendidos. El mensaje muestra el enlace Do Not Sell or Share. El rechazo activa el procesamiento restringido de datos, llamado RDP, y Google deja de usar el comportamiento anterior para elegir anuncios.

Sobre el GPC, Google dice que el socio que implementó la señal puede elegir activar el RDP al recibir un GPC de opt-out. La configuración queda a cargo del sitio o de la CMP, y puede hacerse en la etiqueta, con el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense.

IAB Tech Lab ya publicó una sección de la GPP específica de Minnesota, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National, en la que el rechazo de la venta, el uso compartido o la publicidad dirigida activa el RDP.

En la práctica

Qué se puede y qué no se puede en Minnesota

Ejemplos para un sitio con tráfico de Minnesota que monetiza con anuncios programáticos.

Sí se puede

  • Usar la dirección IP para identificar a los visitantes de Minnesota y aplicar el GPC
  • Mostrar anuncios contextuales a quien rechazó o llegó con el GPC activado
  • Poner en el pie de página un enlace llamado Your Privacy Rights para el opt-out
  • Entregar al consumidor la lista de todos los terceros, si el sitio no registra por persona
  • Usar evaluaciones hechas para otros estados, si cubren el mismo tratamiento

No se puede

  • Pedir un documento de identidad para aceptar un opt-out
  • Usar botones engañosos para arrancar el consentimiento de datos sensibles
  • Usar datos de adolescentes de 13 a 16 años para anuncios dirigidos sin consentimiento
  • Publicar una política sin política de retención y sin fecha de actualización
  • Tardar más de 45 días en aplicar una solicitud de opt-out

Errores comunes

Dónde tropiezan los sitios con la ley de Minnesota

Minnesota pide más elementos en la política y más organización interna que la mayoría de los estados.

Política incompleta

La página de privacidad no habla de la retención de los datos ni muestra la fecha de la última actualización, elementos exigidos en Minnesota.

Sin inventario de datos

Nadie sabe decir qué scripts de anuncios corren en el sitio y qué recibe cada uno. Resulta imposible responder a la lista de terceros.

GPC solo en California

La CMP aplica el GPC solo para California e ignora la señal de los visitantes de Minnesota.

Opt-out con burocracia

El formulario de opt-out exige inicio de sesión o un documento. La ley dice que el opt-out no necesita autenticación.

Sección estatal sola en el GPP

La CMP envía solo la sección de Minnesota, que Google no lee. Sin la US National, el opt-out no llega a Google.

Opt-out que no cambia los anuncios

El visitante rechaza, pero las solicitudes de anuncios siguen sin RDP y sin opt-out en la cadena GPP.

En ConsentMode

Qué revisa la auditoría para Minnesota

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out y el enlace con la palabra privacy en la página de inicio.
  • Activa la señal GPC en el navegador de la auditoría y compara la página y las solicitudes de anuncios con la señal y sin ella.
  • Lee la cadena GPP, comprueba si existe la sección US National y registra el opt-out.
  • Enumera los scripts y socios de anuncios que cargan en la página, un punto de partida para el inventario de datos.
  • Comprueba si la página de privacidad incluye categorías, finalidades, terceros, derechos, apelación, contacto, retención y fecha de actualización.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

¿El derecho a cuestionar perfiles afecta a un sitio de contenido?

Poco, en la mayoría de los casos. Rige para los perfiles que llevan a decisiones con efecto legal o similar, como crédito, seguros, vivienda o empleo. Elegir anuncios no suele ser ese tipo de decisión, pero los sitios que hacen preanálisis de crédito o selección de vacantes deben prepararse.

¿Estoy obligado a respetar el GPC en Minnesota?

Sí, si la ley se aplica a tu sitio. La ley exige respetar las señales universales de opt-out y acepta la dirección IP para saber si el visitante vive en el estado.

¿Qué es el inventario de datos?

Es una lista que mantiene la empresa con los datos que trata. La ley coloca el inventario como parte de las prácticas de seguridad razonables.

Mi empresa es pequeña. ¿Estoy libre?

Casi. Las pequeñas empresas según la definición federal estadounidense quedan fuera de la mayor parte de la ley, pero no pueden vender datos sensibles sin consentimiento previo.

¿Todavía existe un plazo para corregir después de un aviso?

No. El plazo de 30 días valió hasta el 31 de enero de 2026. Desde entonces, el fiscal general puede actuar sin dar ese plazo.

¿ConsentMode deja mi sitio en cumplimiento?

ConsentMode no es una CMP ni un despacho de abogados. La auditoría muestra lo que el sitio realmente hace con el opt-out, el GPC, el GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu sitio cumple con Minnesota

La auditoría abre el sitio como visitante de EE. UU., con y sin GPC, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría