Abrir workspace

Guia · Lei estadual dos EUA

MCDPA: a lei de Minnesota e seus direitos inéditos

A Minnesota Consumer Data Privacy Act vale desde 31 de julho de 2025 e trouxe direitos que outros estados não tinham, como questionar o resultado de um perfil automatizado. Neste guia você entende quem precisa cumprir, o inventário de dados, o GPC obrigatório e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUALer o guia
  • ✓Baseado no capítulo 325M das leis de Minnesota e no procurador-geral do estado
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
100 milconsumidores de Minnesota por ano: o limite principal da lei
25%da receita vinda da venda de dados: com isso, 25 mil consumidores bastam
45 diaspara responder pedidos e para aplicar um opt-out
US$ 7.500de multa civil máxima por violação

O que é

Uma lei de privacidade com direitos que vão além do opt-out

A Minnesota Consumer Data Privacy Act, ou MCDPA, é a lei geral de privacidade de Minnesota. Ela foi sancionada em 19 de maio de 2024, fica no capítulo 325M das leis do estado e entrou em vigor em 31 de julho de 2025. Instituições de ensino superior reguladas pelo estado só precisam cumprir a partir de 31 de julho de 2029.

A base é a mesma das leis de Connecticut e do Colorado: acesso, correção, exclusão, portabilidade e recusa de publicidade direcionada, de venda e de perfis automatizados. O site coberto também precisa respeitar sinais universais de opt-out, como o GPC.

Minnesota foi além em dois pontos. O consumidor pode questionar o resultado de um perfil automatizado que gerou uma decisão importante sobre ele. E a empresa precisa manter um inventário dos dados que trata e documentar suas políticas de privacidade, com o nome do responsável.

Para um site com anúncios, a parte que mais pesa é a de sempre: opt-out que funciona, GPC respeitado e página de privacidade completa. Mas os novos deveres internos mostram que Minnesota espera mais organização de quem trata dados em volume.

Checklist

O que você precisa cumprir

Se o seu site passa dos limites da MCDPA, estes pontos precisam estar funcionando.

  1. Respeitar o sinal universal de opt-out

    O site precisa aceitar o opt-out enviado por um sinal de preferência, como o GPC, ligado pelo próprio visitante. O sinal não pode vir ligado por padrão.

    Exemplo

    Visitante com GPC ligado: o site liga o processamento restrito de dados do Google só para ele.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Opt-out fora do aviso de privacidade

    Quem vende dados, faz publicidade direcionada ou perfis precisa de um método claro e visível para recusar, fora do texto do aviso.

    Exemplo

    Um link no rodapé chamado Your Opt-Out Rights ou Your Privacy Rights.

  3. Link com a palavra privacy

    O aviso de privacidade precisa estar num link visível, com a palavra privacy, a partir da página inicial.

    Exemplo

    Link Privacy Policy no rodapé da página inicial.

  4. Política com as frases que o Google exige

    O AdSense exige que a política de privacidade avise sobre os cookies de anúncios do Google e de outros fornecedores. Ela também precisa dizer como o visitante recusa os anúncios personalizados.

    Exemplo

    Fornecedores terceiros, incluindo o Google, usam cookies para mostrar anúncios com base em visitas anteriores ao seu site ou a outros sites. Você pode desativar a publicidade personalizada nas Configurações de anúncios do Google.

  5. Prazo de 45 dias

    O opt-out vale o quanto antes, em no máximo 45 dias. Os outros pedidos também têm 45 dias, com uma prorrogação possível.

  6. Consentimento para dados sensíveis

    Dados sensíveis só podem ser tratados com consentimento. Se o visitante retirar o consentimento, o uso para em até 15 dias.

    Exemplo

    Retirar o consentimento tem de ser tão fácil quanto dar, por exemplo com o mesmo botão no mesmo lugar.

  7. Adolescentes de 13 a 16 anos

    Se você sabe que o visitante tem de 13 a 16 anos, precisa do consentimento dele para usar os dados em publicidade direcionada ou vendê-los.

  8. Inventário e políticas documentadas

    Mantenha um inventário dos dados que o site trata. Documente as políticas de privacidade com o nome e o contato do responsável.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para Minnesota, então você pode usar a mensagem do próprio Google ou uma CMP com GPP.

Quem precisa cumprir e definições

Os limites da MCDPA e as palavras-chave da lei

A lei vale para quem faz negócios em Minnesota ou oferece produtos e serviços direcionados aos moradores do estado e, num ano civil, passa de um dos limites abaixo. Não há isenção geral para entidades sem fins lucrativos. Dado pessoal é qualquer informação ligada ou que possa ser ligada a uma pessoa, como cookies e identificadores de anúncio.

100 mil consumidores

Controla ou trata dados de pelo menos 100 mil consumidores de Minnesota. Dados usados só para concluir um pagamento não contam.

25 mil e venda de dados

Controla ou trata dados de pelo menos 25 mil consumidores e tira mais de 25% da receita bruta da venda de dados pessoais.

Pequena empresa

Pequenas empresas pela definição federal americana ficam fora da maior parte da lei, mas não podem vender dados sensíveis sem consentimento prévio.

Dado sensível

Origem racial ou étnica, crença religiosa, saúde, orientação sexual, situação migratória, dados biométricos ou genéticos que identificam a pessoa, dados de criança conhecida e geolocalização específica.

Venda

A troca de dados pessoais por dinheiro ou por outra contrapartida de valor. Repasses a operadores, a empresas do mesmo grupo e em fusões ficam de fora.

Publicidade direcionada

Anúncio escolhido com dados da atividade do visitante ao longo do tempo em sites e apps de outras empresas. Anúncios próprios, contextuais e a medição de desempenho não entram.

Direitos das pessoas

O que o morador de Minnesota pode pedir

A resposta deve sair em até 45 dias, com uma prorrogação de mais 45 se for avisada no prazo inicial. Dois pedidos por ano são gratuitos. O opt-out não exige comprovação de identidade.

Confirmar e acessar

Saber se a empresa trata dados dele e conhecer as categorias de dados tratados.

Corrigir, excluir e levar

Corrigir dados errados, pedir a exclusão e receber uma cópia portátil dos dados.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos, inclusive por sinal universal como o GPC.

Recusar perfil automatizado

Recusar perfis usados em decisões com efeito legal ou de impacto parecido, como moradia, seguro, educação, emprego, saúde ou serviços financeiros.

Questionar um perfil

Questionar o resultado de um perfil que gerou uma decisão importante, entender os motivos e revisar os dados usados.

Lista de terceiros

Receber a lista dos terceiros específicos que receberam os dados dele, ou a lista de todos os terceiros, se a empresa não registra por pessoa.

O que Minnesota tem de diferente

Questionar perfis e manter um inventário de dados

O direito de questionar perfis é a maior novidade da lei. Quando um perfil automatizado leva a uma decisão com efeito legal ou de impacto parecido, o consumidor pode questionar o resultado, saber os motivos e, quando possível, o que poderia ter feito para conseguir outra decisão. Ele também pode revisar os dados usados e, se estiverem errados, pedir a correção e uma nova avaliação.

O procurador-geral de Minnesota destacou que esses direitos valem com ou sem inteligência artificial. Para a maioria dos sites de conteúdo, esse direito aparece pouco, mas ele importa para sites que fazem pré-análise de crédito, cotação de seguro ou triagem de vagas.

A segunda novidade é interna. A lei pede segurança razoável, incluindo um inventário dos dados que a empresa trata. Também pede que a empresa documente suas políticas e procedimentos de privacidade, com o nome e o contato do responsável principal, como um encarregado de privacidade, quando houver.

Para quem vive de anúncios, o inventário é um bom exercício: listar quais scripts e parceiros de anúncio rodam no site, quais dados cada um recebe e para onde vão. É o mesmo mapa que ajuda a responder a lista de terceiros que o consumidor pode pedir.

Obrigações do site

O que o site coberto precisa ter funcionando

  1. Aviso de privacidade completoO aviso precisa trazer as categorias de dados e as finalidades, como exercer os direitos e recorrer, as categorias de dados vendidos ou compartilhados e de quem recebe, um contato com e-mail ou meio online, a política de retenção e a data da última atualização.
  2. Link com a palavra privacyO aviso precisa estar ligado por um link visível com a palavra privacy na página inicial e, em apps, também nas configurações.
  3. Opt-out fora do avisoQuem vende dados, faz publicidade direcionada ou perfis precisa oferecer o opt-out fora do texto da política, por exemplo num link chamado Your Opt-Out Rights ou Your Privacy Rights.
  4. Consentimento sem truquesDados sensíveis só com consentimento, que não vale se for obtido por padrão enganoso nem por aceite de termos gerais. Se o consumidor retirar o consentimento, o uso precisa parar em até 15 dias.
  5. Proteção para adolescentesSe a empresa sabe que o consumidor tem de 13 a 16 anos, não pode usar os dados dele para publicidade direcionada nem vendê-los sem consentimento.
  6. Avaliação de proteção de dadosPublicidade direcionada, venda, dados sensíveis e perfis arriscados exigem avaliação registrada, que o procurador-geral pode pedir numa investigação.

Fiscalização e multas

Quem fiscaliza e quanto custa errar

Só o procurador-geral de Minnesota fiscaliza a lei. O consumidor que teve um recurso negado pode reclamar ao procurador-geral.

Prazo de correção acabou

Nos primeiros seis meses, o procurador-geral precisava enviar um aviso e dar 30 dias para corrigir. Essa regra expirou em 31 de janeiro de 2026.

Até US$ 7.500 por violação

A multa civil pode chegar a US$ 7.500 por violação, além de ordem judicial para parar a prática.

Custos do processo

Se o estado vencer, o juiz pode mandar a empresa pagar parte ou todo o custo do processo.

Recurso registrado

A empresa decide o recurso em até 45 dias, prorrogáveis por mais 60, e guarda o registro dos recursos por pelo menos 24 meses.

Linha do tempo

As datas da MCDPA

Em novembro de 2026, a lei está em vigor há mais de um ano e o prazo de correção já acabou.

  1. 19 de maio de 2024

    Sanção

    Minnesota aprova a Consumer Data Privacy Act.

  2. 31 de julho de 2025

    Entrada em vigor

    A lei passa a valer, com GPC obrigatório e prazo de correção de 30 dias.

  3. 31 de janeiro de 2026

    Fim do prazo de correção

    Expira a regra que obrigava o procurador-geral a dar 30 dias para corrigir antes de agir.

  4. 31 de julho de 2029

    Ensino superior

    Instituições de ensino superior reguladas pelo estado passam a ter de cumprir a lei.

Sites com AdSense e Ad Manager

GPC obrigatório e o caminho do opt-out até o Google

Em Minnesota, o site coberto precisa respeitar sinais universais de opt-out enviados com o consentimento do visitante, como o Global Privacy Control, ou GPC. A lei diz que o endereço IP basta para saber se o visitante mora no estado. Se o sinal entrar em conflito com um programa de fidelidade, vale o sinal, e o site pode pedir confirmação.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Minnesota está entre os estados atendidos. A mensagem mostra o link Do Not Sell or Share. A recusa liga o processamento restrito de dados, chamado RDP, e o Google deixa de usar o comportamento anterior para escolher anúncios.

Sobre o GPC, o Google diz que o parceiro que implementou o sinal pode escolher ligar o RDP ao receber um GPC de opt-out. A configuração fica com o site ou com a CMP, e pode ser feita na tag, com o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense.

A IAB Tech Lab já publicou uma seção do GPP específica de Minnesota, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National, em que a recusa de venda, compartilhamento ou publicidade direcionada liga o RDP.

Na prática

O que pode e o que não pode em Minnesota

Exemplos para um site com tráfego de Minnesota que monetiza com anúncios programáticos.

Pode

  • Usar o endereço IP para identificar visitantes de Minnesota e aplicar o GPC
  • Mostrar anúncios contextuais para quem recusou ou chegou com GPC ligado
  • Colocar no rodapé um link chamado Your Privacy Rights para o opt-out
  • Entregar ao consumidor a lista de todos os terceiros, se o site não registra por pessoa
  • Usar avaliações feitas para outros estados, se cobrirem o mesmo tratamento

Não pode

  • Pedir documento de identidade para aceitar um opt-out
  • Usar botões enganosos para arrancar consentimento de dados sensíveis
  • Usar dados de adolescentes de 13 a 16 anos para anúncios direcionados sem consentimento
  • Publicar política sem política de retenção e sem data de atualização
  • Demorar mais de 45 dias para aplicar um pedido de opt-out

Erros comuns

Onde os sites tropeçam com a lei de Minnesota

Minnesota pede mais itens na política e mais organização interna do que a maioria dos estados.

Política incompleta

A página de privacidade não fala de retenção dos dados nem mostra a data da última atualização, itens exigidos em Minnesota.

Sem inventário de dados

Ninguém sabe dizer quais scripts de anúncio rodam no site e o que cada um recebe. Fica impossível responder a lista de terceiros.

GPC só na Califórnia

A CMP aplica o GPC apenas para a Califórnia e ignora o sinal de visitantes de Minnesota.

Opt-out com burocracia

O formulário de opt-out exige login ou documento. A lei diz que o opt-out não precisa de autenticação.

Seção estadual sozinha no GPP

A CMP envia só a seção de Minnesota, que o Google não lê. Sem a US National, o opt-out não chega ao Google.

Opt-out que não muda os anúncios

O visitante recusa, mas os pedidos de anúncio continuam sem RDP e sem opt-out na string GPP.

No ConsentMode

O que a auditoria confere para Minnesota

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out e o link com a palavra privacy na página inicial.
  • Ativa o sinal GPC no navegador da auditoria e compara a página e os pedidos de anúncio com e sem o sinal.
  • Lê a string GPP e confere se a seção US National existe e registra o opt-out.
  • Lista os scripts e parceiros de anúncio que carregam na página, um ponto de partida para o inventário de dados.
  • Confere se a página de privacidade traz categorias, finalidades, terceiros, direitos, recurso, contato, retenção e data de atualização.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

O direito de questionar perfis afeta um site de conteúdo?

Pouco, na maioria dos casos. Ele vale para perfis que levam a decisões com efeito legal ou parecido, como crédito, seguro, moradia ou emprego. Escolher anúncios não costuma ser esse tipo de decisão, mas sites que fazem pré-análise de crédito ou triagem de vagas precisam se preparar.

Sou obrigado a respeitar o GPC em Minnesota?

Sim, se a lei se aplica ao seu site. A lei exige respeitar sinais universais de opt-out e aceita o endereço IP para saber se o visitante mora no estado.

O que é o inventário de dados?

É uma lista mantida pela empresa com os dados que ela trata. A lei coloca o inventário como parte das práticas de segurança razoáveis.

Minha empresa é pequena. Estou livre?

Quase. Pequenas empresas pela definição federal americana ficam fora da maior parte da lei, mas não podem vender dados sensíveis sem consentimento prévio.

Ainda existe prazo para corrigir depois de um aviso?

Não. O prazo de 30 dias valia até 31 de janeiro de 2026. Desde então, o procurador-geral pode agir sem dar esse prazo.

O ConsentMode deixa meu site em conformidade?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o opt-out, o GPC, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o seu site atende Minnesota

A auditoria abre o site como visitante dos EUA, com e sem GPC, e mostra o que corrigir, sem alterar nada.

Começar a auditoria