100,000 उपभोक्ता
Minnesota के कम से कम 1 लाख उपभोक्ताओं का डेटा नियंत्रित या प्रोसेस करता है। सिर्फ भुगतान पूरा करने के लिए इस्तेमाल हुआ डेटा नहीं गिना जाता।
गाइड · अमेरिकी राज्य का कानून
Minnesota Consumer Data Privacy Act 31 जुलाई 2025 से लागू है और ऐसे अधिकार लाया जो दूसरे राज्यों में नहीं थे, जैसे स्वचालित प्रोफाइल के नतीजे को चुनौती देना। इस गाइड में समझें कि किसे पालन करना है, डेटा इन्वेंटरी, जरूरी GPC और AdSense या Ad Manager वाली साइट के लिए क्या बदलता है।
यह क्या है
Minnesota Consumer Data Privacy Act, यानी MCDPA, Minnesota का सामान्य प्राइवेसी कानून है। इस पर 19 मई 2024 को हस्ताक्षर हुए, यह राज्य के कानूनों के अध्याय 325M में है और 31 जुलाई 2025 से लागू हुआ। राज्य द्वारा नियंत्रित उच्च शिक्षा संस्थानों को सिर्फ 31 जुलाई 2029 से पालन करना होगा।
आधार Connecticut और Colorado के कानूनों जैसा है: एक्सेस, सुधार, मिटाना, पोर्टेबिलिटी और टारगेटेड विज्ञापन, बिक्री और स्वचालित प्रोफाइल से इनकार। कवर की गई साइट को GPC जैसे यूनिवर्सल opt-out संकेतों का भी सम्मान करना होगा।
Minnesota दो बातों में आगे गया। उपभोक्ता किसी स्वचालित प्रोफाइल के नतीजे को चुनौती दे सकता है जिससे उसके बारे में कोई अहम फैसला हुआ। और कंपनी को जो डेटा प्रोसेस करती है उसकी इन्वेंटरी रखनी होगी और अपनी प्राइवेसी नीतियों को जिम्मेदार के नाम के साथ दस्तावेज करना होगा।
विज्ञापन वाली साइट के लिए सबसे ज्यादा मायने वही रखता है जो हमेशा रखता है: काम करने वाला opt-out, माना गया GPC और पूरा प्राइवेसी पेज। लेकिन नई आंतरिक जिम्मेदारियां दिखाती हैं कि Minnesota उनसे ज्यादा व्यवस्था की उम्मीद करता है जो बड़े पैमाने पर डेटा प्रोसेस करते हैं।
चेकलिस्ट
अगर आपकी साइट MCDPA की सीमाएँ पार करती है, तो ये बातें काम कर रही होनी चाहिए।
साइट को GPC जैसे प्राथमिकता संकेत से भेजा गया ऑप्ट-आउट स्वीकार करना होगा, जिसे विज़िटर ने खुद चालू किया हो। संकेत डिफ़ॉल्ट रूप से चालू नहीं आना चाहिए।
GPC चालू वाला विज़िटर: साइट सिर्फ़ उसके लिए Google की प्रतिबंधित डेटा प्रोसेसिंग चालू करती है।
<!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
data-restrict-data-processing="1"></ins>
// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
'restrictDataProcessing': true
});जो डेटा बेचता है, लक्षित विज्ञापन या प्रोफ़ाइलिंग करता है, उसे सूचना के पाठ के बाहर इनकार का साफ़ और दिखने वाला तरीका चाहिए।
फ़ुटर में Your Opt-Out Rights या Your Privacy Rights नाम का लिंक।
गोपनीयता सूचना होमपेज से एक दिखने वाले लिंक पर होनी चाहिए, जिसमें privacy शब्द हो।
होमपेज के फ़ुटर में Privacy Policy लिंक।
AdSense माँगता है कि गोपनीयता नीति Google और दूसरे विक्रेताओं की विज्ञापन कुकीज़ के बारे में बताए। उसमें यह भी बताना होगा कि विज़िटर वैयक्तिकृत विज्ञापनों से इनकार कैसे करे।
Google सहित तीसरे पक्ष के विक्रेता आपकी साइट या दूसरी साइटों पर पिछली विज़िट के आधार पर विज्ञापन दिखाने के लिए कुकीज़ का उपयोग करते हैं। आप Google की विज्ञापन सेटिंग में जाकर वैयक्तिकृत विज्ञापन बंद कर सकते हैं।
ऑप्ट-आउट जितनी जल्दी हो सके लागू हो, अधिकतम 45 दिनों में। बाकी अनुरोधों की भी 45 दिन की समय-सीमा है, और एक विस्तार संभव है।
संवेदनशील डेटा सिर्फ़ सहमति से प्रोसेस हो सकता है। अगर विज़िटर सहमति वापस ले ले, तो उपयोग 15 दिनों के भीतर रुक जाता है।
सहमति वापस लेना देने जितना आसान होना चाहिए, जैसे उसी जगह पर उसी बटन से।
अगर आप जानते हैं कि विज़िटर 13 से 16 साल का है, तो उसके डेटा को लक्षित विज्ञापन में इस्तेमाल करने या बेचने के लिए उसकी सहमति चाहिए।
साइट जो डेटा प्रोसेस करती है उसकी एक सूची रखें। गोपनीयता नीतियों को ज़िम्मेदार व्यक्ति के नाम और संपर्क के साथ दर्ज करें।
असल में
आधिकारिक टूल
Google मिनेसोटा के लिए प्रमाणित CMP या GPP नहीं माँगता, इसलिए आप Google का अपना संदेश या GPP वाला CMP इस्तेमाल कर सकते हैं।
किसे पालन करना है और परिभाषाएं
कानून उन पर लागू होता है जो Minnesota में कारोबार करते हैं या राज्य के निवासियों को लक्षित उत्पाद और सेवाएं देते हैं और एक कैलेंडर साल में नीचे की सीमाओं में से किसी से ऊपर जाते हैं। गैर-लाभकारी संस्थाओं के लिए कोई सामान्य छूट नहीं है। निजी डेटा वह कोई भी जानकारी है जो किसी व्यक्ति से जुड़ी हो या जुड़ सके, जैसे cookies और विज्ञापन आईडी।
Minnesota के कम से कम 1 लाख उपभोक्ताओं का डेटा नियंत्रित या प्रोसेस करता है। सिर्फ भुगतान पूरा करने के लिए इस्तेमाल हुआ डेटा नहीं गिना जाता।
कम से कम 25 हजार उपभोक्ताओं का डेटा नियंत्रित या प्रोसेस करता है और निजी डेटा की बिक्री से सकल राजस्व का 25% से ज्यादा पाता है।
अमेरिकी संघीय परिभाषा के हिसाब से छोटी कंपनियां कानून के ज्यादातर हिस्से से बाहर हैं, लेकिन पहले की सहमति के बिना संवेदनशील डेटा नहीं बेच सकतीं।
नस्लीय या जातीय मूल, धार्मिक विश्वास, स्वास्थ्य, यौन अभिविन्यास, आप्रवासन स्थिति, व्यक्ति की पहचान करने वाला बायोमेट्रिक या जेनेटिक डेटा, जाने-पहचाने बच्चे का डेटा और सटीक जियोलोकेशन।
निजी डेटा का पैसे या किसी दूसरी मूल्यवान चीज के बदले आदान-प्रदान। ऑपरेटरों, एक ही समूह की कंपनियों और विलय में दिया गया डेटा बाहर है।
ऐसा विज्ञापन जो दूसरी कंपनियों की साइटों और ऐप्स पर समय के साथ विज़िटर की गतिविधि के डेटा से चुना जाए। अपने विज्ञापन, कंटेक्स्चुअल विज्ञापन और प्रदर्शन की माप शामिल नहीं हैं।
लोगों के अधिकार
जवाब 45 दिन के भीतर आना चाहिए, और अगर पहली समयसीमा में बताया जाए तो 45 दिन की और बढ़ोतरी हो सकती है। साल में दो अनुरोध मुफ्त हैं। opt-out के लिए पहचान का सबूत नहीं मांगा जाता।
जानना कि कंपनी उसका डेटा प्रोसेस करती है या नहीं और प्रोसेस हुए डेटा की श्रेणियां जानना।
गलत डेटा सुधारना, मिटाने की मांग करना और डेटा की पोर्टेबल कॉपी पाना।
मांग करना कि डेटा टारगेटेड विज्ञापन के लिए इस्तेमाल न हो और बेचा न जाए, GPC जैसे यूनिवर्सल सिग्नल से भी।
ऐसी प्रोफाइलिंग से इनकार करना जो कानूनी असर वाले या मिलते-जुलते असर वाले फैसलों में इस्तेमाल हो, जैसे आवास, बीमा, शिक्षा, रोजगार, स्वास्थ्य या वित्तीय सेवाएं।
ऐसी प्रोफाइल के नतीजे को चुनौती देना जिससे कोई अहम फैसला हुआ, कारण समझना और इस्तेमाल हुए डेटा की समीक्षा करना।
उन खास थर्ड पार्टी की सूची पाना जिन्हें उसका डेटा मिला, या सभी थर्ड पार्टी की सूची, अगर कंपनी व्यक्ति के हिसाब से रिकॉर्ड नहीं रखती।
Minnesota में क्या अलग है
प्रोफाइल को चुनौती देने का अधिकार कानून की सबसे बड़ी नई बात है। जब स्वचालित प्रोफाइल से कानूनी या मिलते-जुलते असर वाला फैसला हो, तो उपभोक्ता नतीजे को चुनौती दे सकता है, कारण जान सकता है और, जब संभव हो, यह भी कि दूसरा फैसला पाने के लिए वह क्या कर सकता था। वह इस्तेमाल हुए डेटा की समीक्षा भी कर सकता है और गलत होने पर सुधार और नया आकलन मांग सकता है।
Minnesota के महान्यायवादी ने बताया कि ये अधिकार आर्टिफिशियल इंटेलिजेंस के साथ या उसके बिना लागू होते हैं। ज्यादातर कंटेंट साइटों के लिए यह अधिकार कम दिखता है, लेकिन उन साइटों के लिए अहम है जो क्रेडिट का पूर्व-विश्लेषण, बीमा का कोट या नौकरी की छंटनी करती हैं।
दूसरी नई बात आंतरिक है। कानून उचित सुरक्षा मांगता है, जिसमें कंपनी जो डेटा प्रोसेस करती है उसकी इन्वेंटरी शामिल है। वह यह भी मांगता है कि कंपनी अपनी प्राइवेसी नीतियां और प्रक्रियाएं दस्तावेज करे, मुख्य जिम्मेदार के नाम और संपर्क के साथ, जैसे प्राइवेसी अधिकारी, अगर हो।
विज्ञापनों से कमाने वालों के लिए इन्वेंटरी एक अच्छा अभ्यास है: सूची बनाएं कि साइट पर कौन से स्क्रिप्ट और विज्ञापन पार्टनर चलते हैं, हर एक को कौन सा डेटा मिलता है और वह कहां जाता है। यही नक्शा थर्ड पार्टी की उस सूची का जवाब देने में काम आता है जो उपभोक्ता मांग सकता है।
साइट की ज़िम्मेदारियां
निगरानी और जुर्माने
कानून सिर्फ Minnesota के महान्यायवादी लागू करवाते हैं। जिस उपभोक्ता की अपील ठुकराई गई, वह महान्यायवादी से शिकायत कर सकता है।
पहले छह महीनों में महान्यायवादी को नोटिस भेजकर सुधार के लिए 30 दिन देने होते थे। यह नियम 31 जनवरी 2026 को खत्म हो गया।
सिविल जुर्माना प्रति उल्लंघन US$ 7.500 तक हो सकता है, साथ में प्रथा रोकने का अदालती आदेश।
अगर राज्य जीतता है, तो जज कंपनी को कार्यवाही का पूरा या कुछ खर्च देने का आदेश दे सकता है।
कंपनी 45 दिन में अपील पर फैसला देती है, जिसे 60 दिन और बढ़ाया जा सकता है, और अपीलों का रिकॉर्ड कम से कम 24 महीने रखती है।
टाइमलाइन
नवंबर 2026 में कानून को लागू हुए एक साल से ज्यादा हो गया है और सुधार की अवधि खत्म हो चुकी है।
Minnesota Consumer Data Privacy Act पास करता है।
कानून लागू होता है, जरूरी GPC और 30 दिन की सुधार अवधि के साथ।
वह नियम खत्म होता है जिसमें महान्यायवादी को कार्रवाई से पहले सुधार के लिए 30 दिन देने होते थे।
राज्य द्वारा नियंत्रित उच्च शिक्षा संस्थानों को कानून का पालन करना शुरू करना होता है।
AdSense और Ad Manager वाली साइटें
Minnesota में कवर की गई साइट को विज़िटर की सहमति से भेजे गए यूनिवर्सल opt-out संकेतों का सम्मान करना होगा, जैसे Global Privacy Control, यानी GPC। कानून कहता है कि यह जानने के लिए कि विज़िटर राज्य में रहता है, IP पता काफी है। अगर संकेत किसी लॉयल्टी प्रोग्राम से टकराए, तो संकेत ही मान्य है, और साइट पुष्टि मांग सकती है।
Google AdSense और Ad Manager में अमेरिकी राज्य नियमों का एक संदेश देता है, प्राइवेसी और संदेश में, और Minnesota उन राज्यों में शामिल है। संदेश Do Not Sell or Share लिंक दिखाता है। इनकार प्रतिबंधित डेटा प्रोसेसिंग, यानी RDP, चालू करता है और Google विज्ञापन चुनने के लिए पिछले व्यवहार का इस्तेमाल बंद कर देता है।
GPC के बारे में Google कहता है कि जिस पार्टनर ने सिग्नल लागू किया है, वह opt-out वाला GPC मिलने पर RDP चालू करना चुन सकता है। सेटिंग साइट या CMP के पास रहती है, और टैग में हो सकती है, GPT के restrictDataProcessing पैरामीटर या AdSense के data-restrict-data-processing एट्रिब्यूट से।
IAB Tech Lab ने GPP का Minnesota के लिए खास सेक्शन प्रकाशित कर दिया है, लेकिन वह Google के स्वीकार किए सेक्शन की सूची में नहीं है। Google के लिए रास्ता US National सेक्शन है, जिसमें बिक्री, साझा करने या टारगेटेड विज्ञापन से इनकार RDP चालू करता है।
असल में
Minnesota ट्रैफ़िक वाली साइट के उदाहरण जो प्रोग्रामैटिक विज्ञापनों से कमाती है।
आम गलतियां
Minnesota ज्यादातर राज्यों से ज्यादा चीजें पॉलिसी में और ज्यादा आंतरिक व्यवस्था मांगता है।
प्राइवेसी पेज डेटा रिटेंशन के बारे में नहीं बताता और आखिरी अपडेट की तारीख नहीं दिखाता, जो Minnesota में जरूरी चीजें हैं।
कोई नहीं बता पाता कि साइट पर कौन से विज्ञापन स्क्रिप्ट चलते हैं और हर एक को क्या मिलता है। थर्ड पार्टी की सूची का जवाब देना असंभव हो जाता है।
CMP GPC सिर्फ कैलिफ़ोर्निया के लिए लागू करता है और Minnesota के विज़िटरों का संकेत अनदेखा कर देता है।
opt-out का फ़ॉर्म लॉगिन या दस्तावेज मांगता है। कानून कहता है कि opt-out के लिए प्रमाणीकरण जरूरी नहीं।
CMP सिर्फ Minnesota का सेक्शन भेजता है, जिसे Google नहीं पढ़ता। US National के बिना opt-out Google तक नहीं पहुंचता।
विज़िटर मना करता है, लेकिन विज्ञापन अनुरोध बिना RDP और GPP string में बिना opt-out के जाते रहते हैं।
ConsentMode में
ज्यादातर मामलों में कम। यह उन प्रोफाइल पर लागू होता है जो कानूनी या मिलते-जुलते असर वाले फैसलों तक ले जाती हैं, जैसे क्रेडिट, बीमा, आवास या रोजगार। विज्ञापन चुनना आमतौर पर ऐसा फैसला नहीं होता, लेकिन जो साइटें क्रेडिट का पूर्व-विश्लेषण या नौकरी की छंटनी करती हैं उन्हें तैयार रहना होगा।
हां, अगर कानून आपकी साइट पर लागू होता है। कानून यूनिवर्सल opt-out संकेतों का सम्मान करना मांगता है और यह जानने के लिए IP पता मानता है कि विज़िटर राज्य में रहता है।
यह कंपनी की रखी सूची है कि वह कौन सा डेटा प्रोसेस करती है। कानून इन्वेंटरी को उचित सुरक्षा के तरीकों का हिस्सा मानता है।
लगभग। अमेरिकी संघीय परिभाषा के हिसाब से छोटी कंपनियां कानून के ज्यादातर हिस्से से बाहर हैं, लेकिन पहले की सहमति के बिना संवेदनशील डेटा नहीं बेच सकतीं।
नहीं। 30 दिन की अवधि 31 जनवरी 2026 तक थी। तब से महान्यायवादी यह अवधि दिए बिना कार्रवाई कर सकते हैं।
ConsentMode न CMP है और न लॉ फ़र्म। ऑडिट दिखाता है कि साइट opt-out, GPC, GPP और प्राइवेसी पेज के साथ असल में क्या करती है, ताकि आप अपने वेंडर और वकील के साथ उसे ठीक करें।
लाइब्रेरी
यह गाइड इन आधिकारिक पेजों से लिखी गई है। सीधे स्रोत पर पढ़ें:
ऑडिट साइट को अमेरिकी विज़िटर की तरह, GPC के साथ और बिना, खोलता है और बिना कुछ बदले बताता है कि क्या सुधारना है।