Ouvrir l'espace

Guide · Loi d'un État américain

MCDPA : la loi du Minnesota et ses droits inédits

La Minnesota Consumer Data Privacy Act s'applique depuis le 31 juillet 2025 et a apporté des droits que d'autres États n'avaient pas, comme contester le résultat d'un profilage automatisé. Dans ce guide, vous comprendrez qui doit se conformer, l'inventaire des données, le GPC obligatoire et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le chapitre 325M des lois du Minnesota et sur le procureur général de l'État
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
100 000consommateurs du Minnesota par an : le principal seuil de la loi
25%du revenu provenant de la vente de données : avec cela, 25 000 consommateurs suffisent
45 jourspour répondre aux demandes et pour appliquer un opt-out
7 500 USDd'amende civile maximale par violation

Définition

Une loi de confidentialité avec des droits qui vont au-delà de l'opt-out

La Minnesota Consumer Data Privacy Act, ou MCDPA, est la loi générale de confidentialité du Minnesota. Elle a été promulguée le 19 mai 2024, figure au chapitre 325M des lois de l'État et est entrée en vigueur le 31 juillet 2025. Les établissements d'enseignement supérieur réglementés par l'État ne doivent s'y conformer qu'à partir du 31 juillet 2029.

La base est la même que celle des lois du Connecticut et du Colorado : accès, rectification, suppression, portabilité et refus de la publicité ciblée, de la vente et du profilage automatisé. Le site couvert doit aussi respecter les signaux universels d'opt-out, comme le GPC.

Le Minnesota est allé plus loin sur deux points. Le consommateur peut contester le résultat d'un profilage automatisé qui a produit une décision importante à son sujet. Et l'entreprise doit tenir un inventaire des données qu'elle traite et documenter ses politiques de confidentialité, avec le nom du responsable.

Pour un site avec annonces, la partie qui pèse le plus est la même que d'habitude : opt-out qui fonctionne, GPC respecté et page de confidentialité complète. Mais les nouveaux devoirs internes montrent que le Minnesota attend plus d'organisation de la part de ceux qui traitent des données en volume.

Checklist

Ce que vous devez respecter

Si votre site dépasse les seuils de la MCDPA, ces points doivent fonctionner.

  1. Respecter le signal universel d'opt-out

    Le site doit accepter l'opt-out envoyé par un signal de préférence, comme le GPC, activé par le visiteur lui-même. Le signal ne peut pas être activé par défaut.

    Exemple

    Visiteur avec GPC activé : le site active le traitement restreint des données de Google seulement pour lui.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Opt-out en dehors de l'avis de confidentialité

    Celui qui vend des données, fait de la publicité ciblée ou du profilage doit offrir une méthode claire et visible pour refuser, en dehors du texte de l'avis.

    Exemple

    Un lien en pied de page appelé Your Opt-Out Rights ou Your Privacy Rights.

  3. Lien avec le mot privacy

    L'avis de confidentialité doit se trouver derrière un lien visible, avec le mot privacy, à partir de la page d'accueil.

    Exemple

    Lien Privacy Policy dans le pied de page de la page d'accueil.

  4. Politique avec les phrases que Google exige

    AdSense exige que la politique de confidentialité signale les cookies publicitaires de Google et d'autres fournisseurs. Elle doit aussi dire comment le visiteur refuse les annonces personnalisées.

    Exemple

    Des fournisseurs tiers, dont Google, utilisent des cookies pour afficher des annonces selon des visites précédentes sur votre site ou sur d'autres sites. Vous pouvez désactiver la publicité personnalisée dans les Paramètres des annonces Google.

  5. Délai de 45 jours

    L'opt-out s'applique dès que possible, en 45 jours au maximum. Les autres demandes ont aussi 45 jours, avec une prolongation possible.

  6. Consentement pour les données sensibles

    Les données sensibles ne peuvent être traitées qu'avec consentement. Si le visiteur retire son consentement, l'usage s'arrête sous 15 jours.

    Exemple

    Retirer le consentement doit être aussi facile que le donner, par exemple avec le même bouton au même endroit.

  7. Adolescents de 13 à 16 ans

    Si vous savez que le visiteur a entre 13 et 16 ans, vous avez besoin de son consentement pour utiliser ses données en publicité ciblée ou les vendre.

  8. Inventaire et politiques documentées

    Tenez un inventaire des données que le site traite. Documentez les politiques de confidentialité avec le nom et le contact du responsable.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour le Minnesota, donc vous pouvez utiliser le message de Google lui-même ou une CMP avec GPP.

Qui doit se conformer et définitions

Les seuils de la MCDPA et les mots-clés de la loi

La loi s'applique à ceux qui font des affaires au Minnesota ou proposent des produits et services destinés aux résidents de l'État et qui, sur une année civile, dépassent l'un des seuils ci-dessous. Il n'y a pas d'exemption générale pour les entités à but non lucratif. Une donnée personnelle est toute information liée ou pouvant être liée à une personne, comme les cookies et les identifiants publicitaires.

100 000 consommateurs

Contrôle ou traite les données d'au moins 100 000 consommateurs du Minnesota. Les données utilisées uniquement pour finaliser un paiement ne comptent pas.

25 000 et vente de données

Contrôle ou traite les données d'au moins 25 000 consommateurs et tire plus de 25 % du revenu brut de la vente de données personnelles.

Petite entreprise

Les petites entreprises au sens de la définition fédérale américaine sont exclues de la plus grande partie de la loi, mais ne peuvent pas vendre de données sensibles sans consentement préalable.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, santé, orientation sexuelle, statut migratoire, données biométriques ou génétiques qui identifient la personne, données d'un enfant connu et géolocalisation précise.

Vente

L'échange de données personnelles contre de l'argent ou une autre contrepartie de valeur. Les transferts à des sous-traitants, à des entreprises du même groupe et lors de fusions sont exclus.

Publicité ciblée

Annonce choisie à partir de données sur l'activité du visiteur au fil du temps sur des sites et applis d'autres entreprises. Les annonces propres, contextuelles et la mesure de performance ne sont pas concernées.

Droits des personnes

Ce que le résident du Minnesota peut demander

La réponse doit être donnée sous 45 jours, avec une prolongation de 45 jours si elle est annoncée dans le délai initial. Deux demandes par an sont gratuites. L'opt-out n'exige pas de justificatif d'identité.

Confirmer et accéder

Savoir si l'entreprise traite ses données et connaître les catégories de données traitées.

Corriger, supprimer et emporter

Corriger les données erronées, demander la suppression et recevoir une copie portable des données.

Refuser les publicités ciblées et la vente

Demander que les données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues, y compris par un signal universel comme le GPC.

Refuser le profilage automatisé

Refuser les profilages utilisés dans des décisions à effet juridique ou d'impact similaire, comme le logement, l'assurance, l'éducation, l'emploi, la santé ou les services financiers.

Contester un profilage

Contester le résultat d'un profilage qui a produit une décision importante, en comprendre les motifs et réviser les données utilisées.

Liste des tiers

Recevoir la liste des tiers précis qui ont reçu ses données, ou la liste de tous les tiers, si l'entreprise ne tient pas de registre par personne.

Ce que le Minnesota a de différent

Contester les profilages et tenir un inventaire des données

Le droit de contester les profilages est la plus grande nouveauté de la loi. Lorsqu'un profilage automatisé conduit à une décision à effet juridique ou d'impact similaire, le consommateur peut en contester le résultat, en connaître les motifs et, lorsque c'est possible, savoir ce qu'il aurait pu faire pour obtenir une autre décision. Il peut aussi réviser les données utilisées et, si elles sont erronées, demander leur correction et une nouvelle évaluation.

Le procureur général du Minnesota a souligné que ces droits s'appliquent avec ou sans intelligence artificielle. Pour la plupart des sites de contenu, ce droit apparaît peu, mais il compte pour les sites qui font de la préanalyse de crédit, des devis d'assurance ou un tri d'offres d'emploi.

La seconde nouveauté est interne. La loi demande une sécurité raisonnable, y compris un inventaire des données que l'entreprise traite. Elle demande aussi que l'entreprise documente ses politiques et procédures de confidentialité, avec le nom et le contact du responsable principal, comme un délégué à la confidentialité, lorsqu'il y en a un.

Pour ceux qui vivent des annonces, l'inventaire est un bon exercice : lister quels scripts et partenaires publicitaires tournent sur le site, quelles données chacun reçoit et où elles vont. C'est la même carte qui aide à répondre à la liste des tiers que le consommateur peut demander.

Obligations du site

Ce que le site concerné doit avoir en place

  1. Avis de confidentialité completL'avis doit contenir les catégories de données et les finalités, la façon d'exercer les droits et de faire appel, les catégories de données vendues ou partagées et de leurs destinataires, un contact avec e-mail ou moyen en ligne, la politique de conservation et la date de la dernière mise à jour.
  2. Lien avec le mot privacyL'avis doit être relié par un lien visible contenant le mot privacy sur la page d'accueil et, dans les applis, aussi dans les paramètres.
  3. Opt-out en dehors de l'avisCelui qui vend des données, fait de la publicité ciblée ou du profilage doit offrir l'opt-out en dehors du texte de la politique, par exemple dans un lien appelé Your Opt-Out Rights ou Your Privacy Rights.
  4. Un consentement sans piègesDonnées sensibles uniquement avec consentement, qui n'est pas valable s'il est obtenu par un réglage par défaut trompeur ni par l'acceptation de conditions générales. Si le consommateur retire son consentement, l'utilisation doit cesser sous 15 jours.
  5. Protection des adolescentsSi l'entreprise sait que le consommateur a entre 13 et 16 ans, elle ne peut pas utiliser ses données pour la publicité ciblée ni les vendre sans consentement.
  6. Évaluation de la protection des donnéesLa publicité ciblée, la vente, les données sensibles et les profilages risqués exigent une évaluation consignée, que le procureur général peut demander lors d'une enquête.

Contrôle et amendes

Qui contrôle et combien coûte une erreur

Seul le procureur général du Minnesota fait appliquer la loi. Le consommateur dont le recours a été refusé peut se plaindre auprès du procureur général.

Délai de correction terminé

Pendant les six premiers mois, le procureur général devait envoyer un avis et accorder 30 jours pour corriger. Cette règle a expiré le 31 janvier 2026.

Jusqu'à 7 500 USD par violation

L'amende civile peut atteindre 7 500 $ US par violation, en plus d'une ordonnance judiciaire pour faire cesser la pratique.

Frais de procédure

Si l'État gagne, le juge peut ordonner à l'entreprise de payer une partie ou la totalité des frais de procédure.

Recours consigné

L'entreprise statue sur le recours sous 45 jours, prolongeables de 60 jours, et conserve le registre des recours pendant au moins 24 mois.

Chronologie

Les dates de la MCDPA

En novembre 2026, la loi est en vigueur depuis plus d'un an et le délai de correction est déjà terminé.

  1. 19 mai 2024

    Promulgation

    Le Minnesota adopte la Consumer Data Privacy Act.

  2. 31 juillet 2025

    Entrée en vigueur

    La loi entre en application, avec GPC obligatoire et délai de correction de 30 jours.

  3. 31 janvier 2026

    Fin du délai de correction

    Expiration de la règle qui obligeait le procureur général à accorder 30 jours pour corriger avant d'agir.

  4. 31 juillet 2029

    Enseignement supérieur

    Les établissements d'enseignement supérieur réglementés par l'État doivent désormais respecter la loi.

Sites avec AdSense et Ad Manager

GPC obligatoire et le chemin de l'opt-out jusqu'à Google

Au Minnesota, le site couvert doit respecter les signaux universels d'opt-out envoyés avec le consentement du visiteur, comme le Global Privacy Control, ou GPC. La loi dit que l'adresse IP suffit pour savoir si le visiteur vit dans l'État. Si le signal entre en conflit avec un programme de fidélité, c'est le signal qui prévaut, et le site peut demander une confirmation.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, sous Confidentialité et messages, et le Minnesota figure parmi les États pris en charge. Le message affiche le lien Do Not Sell or Share. Le refus active le traitement restreint des données, appelé RDP, et Google cesse d'utiliser le comportement antérieur pour choisir les annonces.

Concernant le GPC, Google indique que le partenaire qui a mis en œuvre le signal peut choisir d'activer le RDP en recevant un GPC d'opt-out. La configuration revient au site ou à la CMP, et peut se faire dans la balise, avec le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense.

L'IAB Tech Lab a déjà publié une section de la GPP propre au Minnesota, mais elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie est la section US National, où le refus de la vente, du partage ou de la publicité ciblée active le RDP.

En pratique

Ce qui est permis et ce qui ne l'est pas au Minnesota

Exemples pour un site avec du trafic du Minnesota qui se monétise avec de la publicité programmatique.

Autorisé

  • Utiliser l'adresse IP pour identifier les visiteurs du Minnesota et appliquer le GPC
  • Afficher des publicités contextuelles à ceux qui ont refusé ou sont arrivés avec le GPC activé
  • Placer en pied de page un lien appelé Your Privacy Rights pour l'opt-out
  • Fournir au consommateur la liste de tous les tiers, si le site ne tient pas de registre par personne
  • Utiliser des évaluations faites pour d'autres États, si elles couvrent le même traitement

Interdit

  • Demander une pièce d'identité pour accepter un opt-out
  • Utiliser des boutons trompeurs pour arracher le consentement pour des données sensibles
  • Utiliser les données d'adolescents de 13 à 16 ans pour des publicités ciblées sans consentement
  • Publier une politique sans politique de conservation et sans date de mise à jour
  • Mettre plus de 45 jours à appliquer une demande d'opt-out

Erreurs courantes

Là où les sites trébuchent avec la loi du Minnesota

Le Minnesota demande plus d'éléments dans la politique et plus d'organisation interne que la plupart des États.

Politique incomplète

La page de confidentialité ne parle pas de la conservation des données et n'indique pas la date de la dernière mise à jour, des éléments exigés au Minnesota.

Pas d'inventaire des données

Personne ne sait dire quels scripts d'annonces tournent sur le site et ce que chacun reçoit. Il devient impossible de répondre à la liste des tiers.

GPC uniquement en Californie

La CMP applique le GPC uniquement pour la Californie et ignore le signal des visiteurs du Minnesota.

Opt-out avec bureaucratie

Le formulaire d'opt-out exige une connexion ou un document. La loi dit que l'opt-out n'a pas besoin d'authentification.

Section d'État seule dans le GPP

La CMP n'envoie que la section du Minnesota, que Google ne lit pas. Sans la US National, l'opt-out n'atteint pas Google.

Opt-out qui ne change pas les publicités

Le visiteur refuse, mais les demandes de publicité continuent sans RDP et sans opt-out dans la string GPP.

Dans ConsentMode

Ce que l'audit vérifie pour le Minnesota

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out et le lien contenant le mot privacy sur la page d'accueil.
  • Active le signal GPC dans le navigateur de l'audit et compare la page et les demandes de publicité avec et sans le signal.
  • Lit la string GPP et vérifie que la section US National existe et enregistre l'opt-out.
  • Liste les scripts et partenaires publicitaires qui se chargent sur la page, un point de départ pour l'inventaire des données.
  • Vérifie si la page de confidentialité contient les catégories, finalités, tiers, droits, recours, contact, conservation et date de mise à jour.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Le droit de contester les profilages concerne-t-il un site de contenu ?

Peu, dans la plupart des cas. Il s'applique aux profilages qui mènent à des décisions à effet juridique ou similaire, comme le crédit, l'assurance, le logement ou l'emploi. Choisir des annonces n'est généralement pas ce type de décision, mais les sites qui font de la préanalyse de crédit ou du tri d'offres d'emploi doivent se préparer.

Suis-je obligé de respecter le GPC au Minnesota ?

Oui, si la loi s'applique à votre site. La loi exige de respecter les signaux universels d'opt-out et accepte l'adresse IP pour savoir si le visiteur vit dans l'État.

Qu'est-ce que l'inventaire des données ?

C'est une liste tenue par l'entreprise avec les données qu'elle traite. La loi place l'inventaire parmi les pratiques de sécurité raisonnables.

Mon entreprise est petite. Suis-je tranquille ?

Presque. Les petites entreprises au sens de la définition fédérale américaine sont exclues de la plus grande partie de la loi, mais ne peuvent pas vendre de données sensibles sans consentement préalable.

Existe-t-il encore un délai pour corriger après un avis ?

Non. Le délai de 30 jours valait jusqu'au 31 janvier 2026. Depuis, le procureur général peut agir sans accorder ce délai.

ConsentMode met-il mon site en conformité ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec l'opt-out, le GPC, le GPP et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Vérifiez si votre site est en règle pour le Minnesota

L'audit ouvre le site comme un visiteur des États-Unis, avec et sans GPC, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit