Apri lo spazio

Guida · Legge statale degli USA

MCDPA: la legge del Minnesota e i suoi diritti inediti

La Minnesota Consumer Data Privacy Act è in vigore dal 31 luglio 2025 e ha portato diritti che altri stati non avevano, come contestare il risultato di una profilazione automatizzata. In questa guida capisci chi deve rispettarla, l'inventario dei dati, il GPC obbligatorio e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul capitolo 325M delle leggi del Minnesota e sul procuratore generale dello stato
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
100 milaconsumatori del Minnesota all'anno: la soglia principale della legge
25%dei ricavi derivanti dalla vendita di dati: con questo, bastano 25.000 consumatori
45 giorniper rispondere alle richieste e per applicare un opt-out
7.500 USDdi multa civile massima per violazione

Che cos'è

Una legge sulla privacy con diritti che vanno oltre l'opt-out

La Minnesota Consumer Data Privacy Act, o MCDPA, è la legge generale sulla privacy del Minnesota. È stata firmata il 19 maggio 2024, si trova nel capitolo 325M delle leggi dello stato ed è entrata in vigore il 31 luglio 2025. Gli istituti di istruzione superiore regolati dallo stato devono rispettarla solo dal 31 luglio 2029.

La base è la stessa delle leggi del Connecticut e del Colorado: accesso, correzione, cancellazione, portabilità e rifiuto di pubblicità mirata, vendita e profilazione automatizzata. Il sito coperto deve anche rispettare i segnali universali di opt-out, come il GPC.

Il Minnesota è andato oltre in due punti. Il consumatore può contestare il risultato di una profilazione automatizzata che ha generato una decisione importante su di lui. E l'azienda deve mantenere un inventario dei dati che tratta e documentare le proprie politiche sulla privacy, con il nome del responsabile.

Per un sito con annunci, la parte che pesa di più è la solita: opt-out che funziona, GPC rispettato e pagina della privacy completa. Ma i nuovi doveri interni mostrano che il Minnesota si aspetta più organizzazione da chi tratta dati in volume.

Checklist

Cosa devi rispettare

Se il tuo sito supera le soglie della MCDPA, questi punti devono funzionare.

  1. Rispettare il segnale universale di opt-out

    Il sito deve accettare l'opt-out inviato da un segnale di preferenza, come il GPC, attivato dal visitatore stesso. Il segnale non può essere attivo per impostazione predefinita.

    Esempio

    Visitatore con GPC attivo: il sito attiva il trattamento limitato dei dati di Google solo per lui.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Opt-out fuori dall'informativa sulla privacy

    Chi vende dati, fa pubblicità mirata o profilazione deve avere un metodo chiaro e visibile per rifiutare, fuori dal testo dell'informativa.

    Esempio

    Un link nel footer chiamato Your Opt-Out Rights o Your Privacy Rights.

  3. Link con la parola privacy

    L'informativa sulla privacy deve stare in un link visibile, con la parola privacy, a partire dalla home page.

    Esempio

    Link Privacy Policy nel footer della home page.

  4. Informativa con le frasi che Google richiede

    AdSense richiede che l'informativa sulla privacy avvisi dei cookie pubblicitari di Google e di altri fornitori. Deve anche dire come il visitatore rifiuta gli annunci personalizzati.

    Esempio

    Fornitori terzi, tra cui Google, usano i cookie per mostrare annunci in base alle visite precedenti al tuo sito o ad altri siti. Puoi disattivare la pubblicità personalizzata nelle Impostazioni annunci di Google.

  5. Termine di 45 giorni

    L'opt-out vale il prima possibile, al massimo entro 45 giorni. Anche le altre richieste hanno 45 giorni, con una possibile proroga.

  6. Consenso per i dati sensibili

    I dati sensibili possono essere trattati solo con il consenso. Se il visitatore revoca il consenso, l'uso si interrompe entro 15 giorni.

    Esempio

    Revocare il consenso deve essere facile quanto darlo, ad esempio con lo stesso pulsante nello stesso posto.

  7. Adolescenti da 13 a 16 anni

    Se sai che il visitatore ha tra 13 e 16 anni, serve il suo consenso per usare i dati nella pubblicità mirata o per venderli.

  8. Inventario e politiche documentate

    Mantieni un inventario dei dati che il sito tratta. Documenta le politiche sulla privacy con il nome e il contatto del responsabile.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per il Minnesota, quindi puoi usare il messaggio di Google o una CMP con GPP.

Chi deve rispettarla e definizioni

Le soglie della MCDPA e le parole chiave della legge

La legge vale per chi fa affari nel Minnesota o offre prodotti e servizi rivolti ai residenti dello stato e, in un anno solare, supera una delle soglie seguenti. Non c'è un'esenzione generale per le organizzazioni senza scopo di lucro. Dato personale è qualsiasi informazione collegata o collegabile a una persona, come cookie e identificatori pubblicitari.

100 mila consumatori

Controlla o tratta dati di almeno 100.000 consumatori del Minnesota. I dati usati solo per completare un pagamento non contano.

25 mila e vendita di dati

Controlla o tratta dati di almeno 25.000 consumatori e ricava oltre il 25% dei ricavi lordi dalla vendita di dati personali.

Piccola impresa

Le piccole imprese secondo la definizione federale americana restano fuori dalla maggior parte della legge, ma non possono vendere dati sensibili senza consenso preventivo.

Dato sensibile

Origine razziale o etnica, credenze religiose, salute, orientamento sessuale, status migratorio, dati biometrici o genetici che identificano la persona, dati di un minore noto e geolocalizzazione specifica.

Vendita

Lo scambio di dati personali con denaro o altro corrispettivo di valore. I trasferimenti a responsabili del trattamento, ad aziende dello stesso gruppo e nelle fusioni sono esclusi.

Pubblicità mirata

Annuncio scelto con dati dell'attività del visitatore nel tempo su siti e app di altre aziende. Gli annunci propri, contestuali e la misurazione delle prestazioni non rientrano.

Diritti delle persone

Cosa può chiedere il residente del Minnesota

La risposta deve arrivare entro 45 giorni, con una proroga di altri 45 se comunicata entro il termine iniziale. Due richieste all'anno sono gratuite. L'opt-out non richiede la prova dell'identità.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e conoscere le categorie di dati trattati.

Correggere, cancellare e portare

Correggere dati errati, chiedere la cancellazione e ricevere una copia portabile dei dati.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti, anche tramite un segnale universale come il GPC.

Rifiutare la profilazione automatizzata

Rifiutare profilazioni usate in decisioni con effetto giuridico o di impatto simile, come alloggio, assicurazione, istruzione, lavoro, salute o servizi finanziari.

Contestare una profilazione

Contestare il risultato di una profilazione che ha generato una decisione importante, capirne i motivi e rivedere i dati usati.

Elenco dei terzi

Ricevere l'elenco dei terzi specifici che hanno ricevuto i suoi dati, o l'elenco di tutti i terzi, se l'azienda non li registra per persona.

Cosa ha di diverso il Minnesota

Contestare le profilazioni e mantenere un inventario dei dati

Il diritto di contestare le profilazioni è la novità più grande della legge. Quando una profilazione automatizzata porta a una decisione con effetto giuridico o di impatto simile, il consumatore può contestare il risultato, conoscerne i motivi e, quando possibile, cosa avrebbe potuto fare per ottenere un'altra decisione. Può anche rivedere i dati usati e, se sono errati, chiederne la correzione e una nuova valutazione.

Il procuratore generale del Minnesota ha sottolineato che questi diritti valgono con o senza intelligenza artificiale. Per la maggior parte dei siti di contenuti, questo diritto compare poco, ma è importante per i siti che fanno pre-analisi del credito, preventivi assicurativi o selezione di offerte di lavoro.

La seconda novità è interna. La legge richiede una sicurezza ragionevole, compreso un inventario dei dati che l'azienda tratta. Richiede anche che l'azienda documenti le proprie politiche e procedure sulla privacy, con nome e contatto del responsabile principale, come un responsabile della privacy, quando esiste.

Per chi vive di annunci, l'inventario è un buon esercizio: elencare quali script e partner pubblicitari girano sul sito, quali dati riceve ciascuno e dove vanno. È la stessa mappa che aiuta a rispondere all'elenco dei terzi che il consumatore può chiedere.

Obblighi del sito

Cosa deve avere in funzione il sito coperto

  1. Informativa sulla privacy completaL'informativa deve riportare le categorie di dati e le finalità, come esercitare i diritti e fare ricorso, le categorie di dati venduti o condivisi e di chi li riceve, un contatto con e-mail o mezzo online, la politica di conservazione e la data dell'ultimo aggiornamento.
  2. Link con la parola privacyL'informativa deve essere collegata da un link visibile con la parola privacy nella home page e, nelle app, anche nelle impostazioni.
  3. Opt-out fuori dall'informativaChi vende dati, fa pubblicità mirata o profilazioni deve offrire l'opt-out fuori dal testo dell'informativa, ad esempio in un link chiamato Your Opt-Out Rights o Your Privacy Rights.
  4. Consenso senza trucchiDati sensibili solo con consenso, che non vale se ottenuto con impostazioni predefinite ingannevoli né con l'accettazione di termini generali. Se il consumatore revoca il consenso, l'uso deve cessare entro 15 giorni.
  5. Protezione degli adolescentiSe l'azienda sa che il consumatore ha tra 13 e 16 anni, non può usare i suoi dati per la pubblicità mirata né venderli senza consenso.
  6. Valutazione della protezione dei datiPubblicità mirata, vendita, dati sensibili e profilazioni a rischio richiedono una valutazione documentata, che il procuratore generale può richiedere in un'indagine.

Controlli e sanzioni

Chi controlla e quanto costa sbagliare

Solo il procuratore generale del Minnesota fa rispettare la legge. Il consumatore a cui è stato negato un ricorso può presentare reclamo al procuratore generale.

Termine di correzione terminato

Nei primi sei mesi, il procuratore generale doveva inviare un avviso e concedere 30 giorni per correggere. Questa regola è scaduta il 31 gennaio 2026.

Fino a 7.500 USD per violazione

La sanzione civile può arrivare a 7.500 USD per violazione, oltre a un ordine del tribunale di cessare la pratica.

Costi del procedimento

Se lo stato vince, il giudice può ordinare all'azienda di pagare in parte o per intero i costi del procedimento.

Ricorso registrato

L'azienda decide il ricorso entro 45 giorni, prorogabili di altri 60, e conserva la registrazione dei ricorsi per almeno 24 mesi.

Cronologia

Le date della MCDPA

A novembre 2026, la legge è in vigore da più di un anno e il termine di correzione è già scaduto.

  1. 19 maggio 2024

    Firma

    Il Minnesota approva la Consumer Data Privacy Act.

  2. 31 luglio 2025

    Entrata in vigore

    La legge entra in vigore, con GPC obbligatorio e termine di correzione di 30 giorni.

  3. 31 gennaio 2026

    Fine del termine di correzione

    Scade la regola che obbligava il procuratore generale a concedere 30 giorni per correggere prima di agire.

  4. 31 luglio 2029

    Istruzione superiore

    Gli istituti di istruzione superiore regolati dallo stato iniziano a dover rispettare la legge.

Siti con AdSense e Ad Manager

GPC obbligatorio e il percorso dell'opt-out fino a Google

Nel Minnesota, il sito coperto deve rispettare i segnali universali di opt-out inviati con il consenso del visitatore, come il Global Privacy Control, o GPC. La legge dice che l'indirizzo IP basta per sapere se il visitatore risiede nello stato. Se il segnale è in conflitto con un programma fedeltà, vale il segnale, e il sito può chiedere conferma.

Google offre in AdSense e in Ad Manager un messaggio sulle normative statali degli USA, in Privacy & messaging, e il Minnesota è tra gli stati coperti. Il messaggio mostra il link Do Not Sell or Share. Il rifiuto attiva il trattamento limitato dei dati, detto RDP, e Google smette di usare il comportamento precedente per scegliere gli annunci.

Sul GPC, Google dice che il partner che ha implementato il segnale può scegliere di attivare l'RDP quando riceve un GPC di opt-out. La configurazione spetta al sito o alla CMP, e può essere fatta nel tag, con il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense.

L'IAB Tech Lab ha già pubblicato una sezione del GPP specifica del Minnesota, ma non è nell'elenco delle sezioni accettate da Google. Per Google, il percorso è la sezione US National, in cui il rifiuto di vendita, condivisione o pubblicità mirata attiva l'RDP.

In pratica

Cosa è consentito e cosa no nel Minnesota

Esempi per un sito con traffico dal Minnesota che monetizza con annunci programmatici.

Consentito

  • Usare l'indirizzo IP per identificare i visitatori del Minnesota e applicare il GPC
  • Mostrare annunci contestuali a chi ha rifiutato o è arrivato con GPC attivo
  • Mettere nel footer un link chiamato Your Privacy Rights per l'opt-out
  • Consegnare al consumatore l'elenco di tutti i terzi, se il sito non registra per persona
  • Usare valutazioni fatte per altri stati, se coprono lo stesso trattamento

Non consentito

  • Chiedere un documento d'identità per accettare un opt-out
  • Usare pulsanti ingannevoli per estorcere il consenso ai dati sensibili
  • Usare dati di adolescenti da 13 a 16 anni per annunci mirati senza consenso
  • Pubblicare un'informativa senza politica di conservazione e senza data di aggiornamento
  • Impiegare più di 45 giorni per applicare una richiesta di opt-out

Errori comuni

Dove i siti inciampano con la legge del Minnesota

Il Minnesota richiede più elementi nell'informativa e più organizzazione interna della maggior parte degli stati.

Informativa incompleta

La pagina della privacy non parla della conservazione dei dati né riporta la data dell'ultimo aggiornamento, elementi richiesti nel Minnesota.

Nessun inventario dei dati

Nessuno sa dire quali script pubblicitari girano sul sito e cosa riceve ciascuno. Diventa impossibile rispondere all'elenco dei terzi.

GPC solo in California

La CMP applica il GPC solo per la California e ignora il segnale dei visitatori del Minnesota.

Opt-out con burocrazia

Il modulo di opt-out richiede login o documento. La legge dice che l'opt-out non richiede autenticazione.

Sezione statale da sola nel GPP

La CMP invia solo la sezione del Minnesota, che Google non legge. Senza la US National, l'opt-out non arriva a Google.

Opt-out che non cambia gli annunci

Il visitatore rifiuta, ma le richieste di annunci continuano senza RDP e senza opt-out nella stringa GPP.

In ConsentMode

Cosa controlla l'audit per il Minnesota

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out e il link con la parola privacy nella home page.
  • Attiva il segnale GPC nel browser dell'audit e confronta la pagina e le richieste di annunci con e senza il segnale.
  • Legge la stringa GPP, controlla se la sezione US National esiste e registra l'opt-out.
  • Elenca gli script e i partner pubblicitari che si caricano nella pagina, un punto di partenza per l'inventario dei dati.
  • Verifica se la pagina della privacy riporta categorie, finalità, terzi, diritti, ricorso, contatto, conservazione e data di aggiornamento.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Il diritto di contestare le profilazioni riguarda un sito di contenuti?

Poco, nella maggior parte dei casi. Vale per le profilazioni che portano a decisioni con effetto giuridico o simile, come credito, assicurazione, alloggio o lavoro. La scelta degli annunci di solito non è questo tipo di decisione, ma i siti che fanno pre-analisi del credito o selezione di offerte di lavoro devono prepararsi.

Sono obbligato a rispettare il GPC nel Minnesota?

Sì, se la legge si applica al tuo sito. La legge richiede di rispettare i segnali universali di opt-out e accetta l'indirizzo IP per sapere se il visitatore risiede nello stato.

Cos'è l'inventario dei dati?

È un elenco mantenuto dall'azienda con i dati che tratta. La legge lo include tra le pratiche di sicurezza ragionevoli.

La mia azienda è piccola. Sono libero?

Quasi. Le piccole imprese secondo la definizione federale americana restano fuori dalla maggior parte della legge, ma non possono vendere dati sensibili senza consenso preventivo.

Esiste ancora un termine per correggere dopo un avviso?

No. Il termine di 30 giorni valeva fino al 31 gennaio 2026. Da allora, il procuratore generale può agire senza concedere questo termine.

ConsentMode rende il mio sito conforme?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con l'opt-out, il GPC, il GPP e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se il tuo sito rispetta il Minnesota

L'audit apre il sito come visitatore degli USA, con e senza GPC, e mostra cosa correggere, senza modificare nulla.

Avvia l'audit