Мой кабинет

Руководство · Закон штата США

MCDPA: закон Миннесоты и его невиданные права

Minnesota Consumer Data Privacy Act действует с 31 июля 2025 года и принёс права, которых не было в других штатах, например право оспорить результат автоматизированного профиля. Здесь вы узнаете, кто должен соблюдать, об инвентаризации данных, обязательном GPC и о том, что меняется для сайта с AdSense или Ad Manager.

Проверить мой сайт для СШАЧитать руководство
  • ✓Основано на главе 325M законов Миннесоты и генеральном прокуроре штата
  • ✓Практические примеры для сайтов с рекламой
  • ✓Проверка только для чтения, без изменения сайта
100 тысячпотребителей Миннесоты в год: главный порог закона
25%выручки от продажи данных: при этом достаточно 25 тысяч потребителей
45 дн.на ответ на запросы и на применение opt-out
7 500 долл. СШАмаксимальный гражданский штраф за нарушение

Что это

Закон о конфиденциальности с правами, выходящими за рамки opt-out

Minnesota Consumer Data Privacy Act, или MCDPA, это общий закон Миннесоты о конфиденциальности. Он подписан 19 мая 2024 года, находится в главе 325M законов штата и вступил в силу 31 июля 2025 года. Высшие учебные заведения, регулируемые штатом, должны соблюдать его только с 31 июля 2029 года.

Основа та же, что в законах Коннектикута и Колорадо: доступ, исправление, удаление, переносимость и отказ от таргетированной рекламы, продажи и автоматизированного профилирования. Охваченный сайт также должен уважать универсальные сигналы opt-out, такие как GPC.

Миннесота пошла дальше в двух пунктах. Потребитель может оспорить результат автоматизированного профиля, который привёл к важному решению о нём. А компания должна вести инвентаризацию обрабатываемых данных и документировать свои политики конфиденциальности с именем ответственного.

Для сайта с рекламой самое весомое всё то же: работающий opt-out, соблюдаемый GPC и полная страница конфиденциальности. Но новые внутренние обязанности показывают, что Миннесота ожидает большей организованности от тех, кто обрабатывает данные в большом объёме.

Чек-лист

Что нужно выполнить

Если ваш сайт превышает пороги MCDPA, всё это должно работать.

  1. Соблюдать универсальный сигнал отказа

    Сайт должен принимать отказ (opt-out), отправленный сигналом предпочтений, например GPC, включённым самим посетителем. Сигнал не должен быть включён по умолчанию.

    Пример

    Посетитель с включённым GPC: сайт включает ограниченную обработку данных Google только для него.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Opt-out вне уведомления о конфиденциальности

    Тот, кто продаёт данные, показывает таргетированную рекламу или создаёт профили, должен предоставить понятный и заметный способ отказа вне текста уведомления.

    Пример

    Ссылка в подвале с названием Your Opt-Out Rights или Your Privacy Rights.

  3. Ссылка со словом privacy

    Уведомление о конфиденциальности должно быть по видимой ссылке со словом privacy, начиная с главной страницы.

    Пример

    Ссылка Privacy Policy в подвале главной страницы.

  4. Политика с фразами, которые требует Google

    AdSense требует, чтобы политика конфиденциальности предупреждала о рекламных cookie Google и других поставщиков. В ней также должно быть сказано, как посетитель отказывается от персонализированной рекламы.

    Пример

    Сторонние поставщики, включая Google, используют cookie для показа рекламы на основе предыдущих посещений вашего сайта или других сайтов. Вы можете отключить персонализированную рекламу в настройках рекламы Google.

  5. Срок 45 дней

    Opt-out действует как можно скорее, не позднее 45 дней. Остальные запросы тоже получают 45 дней, с возможным продлением.

  6. Согласие на чувствительные данные

    Чувствительные данные можно обрабатывать только с согласия. Если посетитель отзывает согласие, использование прекращается в течение 15 дней.

    Пример

    Отозвать согласие нужно так же легко, как дать, например той же кнопкой в том же месте.

  7. Подростки от 13 до 16 лет

    Если вы знаете, что посетителю от 13 до 16 лет, вам нужно его согласие, чтобы использовать данные в таргетированной рекламе или продавать их.

  8. Реестр данных и задокументированные политики

    Ведите реестр данных, которые обрабатывает сайт. Задокументируйте политики конфиденциальности с именем и контактом ответственного.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для Миннесоты, поэтому можно использовать сообщение самого Google или CMP с GPP.

Кто должен соблюдать и определения

Пороги MCDPA и ключевые слова закона

Закон действует для тех, кто ведёт бизнес в Миннесоте или предлагает товары и услуги, ориентированные на жителей штата, и за календарный год превышает один из порогов ниже. Общего исключения для некоммерческих организаций нет. Персональные данные это любая информация, связанная или способная быть связанной с человеком, например cookie и рекламные идентификаторы.

100 тысяч потребителей

Контролирует или обрабатывает данные не менее 100 тысяч потребителей Миннесоты. Данные, используемые только для завершения платежа, не считаются.

25 тысяч и продажа данных

Контролирует или обрабатывает данные не менее 25 тысяч потребителей и получает более 25% валовой выручки от продажи персональных данных.

Малый бизнес

Малые предприятия по федеральному определению США остаются вне большей части закона, но не могут продавать конфиденциальные данные без предварительного согласия.

Чувствительные данные

Расовое или этническое происхождение, религиозные убеждения, здоровье, сексуальная ориентация, миграционный статус, биометрические или генетические данные, идентифицирующие человека, данные известного ребёнка и конкретная геолокация.

Продажа

Обмен персональных данных на деньги или иное ценное встречное предоставление. Передача операторам, компаниям той же группы и при слияниях не входит.

Таргетированная реклама

Реклама, выбранная на основе данных об активности посетителя со временем на сайтах и в приложениях других компаний. Собственная, контекстная реклама и измерение эффективности не входят.

Права людей

Что может потребовать житель Миннесоты

Ответ должен прийти в течение 45 дней, с продлением ещё на 45, если об этом уведомили в первоначальный срок. Два запроса в год бесплатны. Opt-out не требует подтверждения личности.

Подтверждение и доступ

Узнать, обрабатывает ли компания его данные, и узнать категории обрабатываемых данных.

Исправить, удалить и перенести

Исправить неверные данные, просить удалить и получить переносимую копию данных.

Отказ от таргетированной рекламы и продажи

Потребовать, чтобы данные не использовались для таргетированной рекламы и не продавались, в том числе универсальным сигналом, таким как GPC.

Отказ от автоматизированного профилирования

Отказаться от профилей, используемых в решениях с юридическим или схожим по значимости эффектом, таких как жильё, страхование, образование, работа, здоровье или финансовые услуги.

Оспорить профиль

Оспорить результат профиля, приведшего к важному решению, понять причины и проверить использованные данные.

Список третьих лиц

Получить список конкретных третьих лиц, получивших его данные, или список всех третьих лиц, если компания не ведёт учёт по людям.

Чем отличается Миннесота

Оспаривание профилей и ведение инвентаризации данных

Право оспаривать профили это главная новинка закона. Когда автоматизированный профиль приводит к решению с юридическим или схожим по значимости эффектом, потребитель может оспорить результат, узнать причины и, когда возможно, что он мог сделать, чтобы получить другое решение. Он также может проверить использованные данные и, если они неверны, просить исправить и провести новую оценку.

Генеральный прокурор Миннесоты подчеркнул, что эти права действуют независимо от наличия искусственного интеллекта. Для большинства сайтов с контентом это право встречается редко, но оно важно для сайтов, которые делают предварительный кредитный анализ, расчёт страховки или отбор вакансий.

Второе новшество внутреннее. Закон требует разумной безопасности, включая инвентаризацию обрабатываемых компанией данных. Он также требует, чтобы компания документировала свои политики и процедуры конфиденциальности с именем и контактом главного ответственного, например ответственного за конфиденциальность, если он есть.

Для тех, кто живёт за счёт рекламы, инвентаризация это хорошее упражнение: перечислить, какие скрипты и рекламные партнёры работают на сайте, какие данные получает каждый и куда они уходят. Это та же карта, которая помогает ответить на список третьих лиц, который может запросить потребитель.

Обязанности сайта

Что должно работать на сайте, подпадающем под закон

  1. Полное уведомление о конфиденциальностиУведомление должно содержать категории данных и цели, способы реализации прав и обжалования, категории проданных или переданных данных и получателей, контакт с e-mail или онлайн-способом, политику хранения и дату последнего обновления.
  2. Ссылка со словом privacyУведомление должно быть связано заметной ссылкой со словом privacy на главной странице, а в приложениях также в настройках.
  3. Отказ вне уведомленияТот, кто продаёт данные, занимается таргетированной рекламой или профилированием, должен предложить opt-out вне текста политики, например по ссылке Your Opt-Out Rights или Your Privacy Rights.
  4. Согласие без уловокКонфиденциальные данные только с согласием, которое недействительно, если получено обманным вариантом по умолчанию или принятием общих условий. Если потребитель отзывает согласие, использование должно прекратиться в течение 15 дней.
  5. Защита подростковЕсли компания знает, что потребителю от 13 до 16 лет, она не может использовать его данные для таргетированной рекламы и продавать их без согласия.
  6. Оценка защиты данныхТаргетированная реклама, продажа, конфиденциальные данные и рискованное профилирование требуют зафиксированной оценки, которую генеральный прокурор может запросить при расследовании.

Контроль и штрафы

Кто контролирует и сколько стоит ошибка

Закон контролирует только генеральный прокурор Миннесоты. Потребитель, которому отказали в апелляции, может пожаловаться генеральному прокурору.

Срок на исправление закончился

В первые шесть месяцев генеральный прокурор обязан был направить уведомление и дать 30 дней на исправление. Это правило истекло 31 января 2026 года.

До 7 500 долл. США за нарушение

Гражданский штраф может достигать 7 500 долларов США за нарушение, а также судебный приказ о прекращении практики.

Судебные издержки

Если штат выиграет, судья может обязать компанию оплатить часть или все судебные издержки.

Зарегистрированная апелляция

Компания решает апелляцию в течение 45 дней, с продлением ещё на 60, и хранит запись об апелляциях не менее 24 месяцев.

Хронология

Даты MCDPA

В ноябре 2026 года закон действует больше года, а срок на исправление уже закончился.

  1. 19 мая 2024 года

    Подписание

    Миннесота принимает Consumer Data Privacy Act.

  2. 31 июля 2025 года

    Вступление в силу

    Закон начинает действовать, с обязательным GPC и сроком на исправление в 30 дней.

  3. 31 января 2026 года

    Конец срока на исправление

    Истекает правило, обязывавшее генерального прокурора давать 30 дней на исправление перед действиями.

  4. 31 июля 2029 года

    Высшее образование

    Высшие учебные заведения, регулируемые штатом, начинают обязаны соблюдать закон.

Сайты с AdSense и Ad Manager

Обязательный GPC и путь отказа до Google

В Миннесоте охваченный сайт должен уважать универсальные сигналы opt-out, отправленные с согласия посетителя, такие как Global Privacy Control, или GPC. Закон говорит, что IP-адреса достаточно, чтобы узнать, живёт ли посетитель в штате. Если сигнал конфликтует с программой лояльности, действует сигнал, а сайт может запросить подтверждение.

Google предлагает в AdSense и Ad Manager сообщение о нормативных актах штатов США в разделе «Конфиденциальность и сообщения», и Миннесота входит в число обслуживаемых штатов. Сообщение показывает ссылку Do Not Sell or Share. Отказ включает ограниченную обработку данных, называемую RDP, и Google перестаёт использовать прежнее поведение для выбора рекламы.

Что касается GPC, Google говорит, что партнер, реализовавший сигнал, может включить RDP при получении GPC с отказом. Настройка остается за сайтом или CMP и может быть сделана в теге, с параметром restrictDataProcessing в GPT или атрибутом data-restrict-data-processing в AdSense.

IAB Tech Lab уже опубликовал раздел GPP, специфичный для Миннесоты, но его нет в списке разделов, которые принимает Google. Для Google путь это раздел US National, в котором отказ от продажи, передачи или таргетированной рекламы включает RDP.

На практике

Что можно и что нельзя в Миннесоте

Примеры для сайта с трафиком из Миннесоты, монетизирующегося программатик-рекламой.

Можно

  • Использовать IP-адрес для определения посетителей из Миннесоты и применения GPC
  • Показывать контекстную рекламу тем, кто отказался или пришел с включенным GPC
  • Поместить в футер ссылку Your Privacy Rights для opt-out
  • Предоставить потребителю список всех третьих лиц, если сайт не ведёт учёт по людям
  • Использовать оценки, сделанные для других штатов, если они покрывают ту же обработку

Нельзя

  • Требовать удостоверение личности, чтобы принять opt-out
  • Использовать обманные кнопки, чтобы выманить согласие на конфиденциальные данные
  • Использовать данные подростков от 13 до 16 лет для таргетированной рекламы без согласия
  • Публиковать политику без политики хранения и без даты обновления
  • Тянуть больше 45 дней с выполнением запроса opt-out

Частые ошибки

Где сайты спотыкаются с законом Миннесоты

Миннесота требует больше пунктов в политике и больше внутренней организации, чем большинство штатов.

Неполная политика

Страница конфиденциальности не говорит о хранении данных и не показывает дату последнего обновления, пункты, требуемые в Миннесоте.

Нет инвентаризации данных

Никто не может сказать, какие рекламные скрипты работают на сайте и что получает каждый. Ответить на список третьих лиц становится невозможно.

GPC только в Калифорнии

CMP применяет GPC только для Калифорнии и игнорирует сигнал посетителей из Миннесоты.

Opt-out с бюрократией

Форма opt-out требует вход или документ. Закон говорит, что opt-out не требует аутентификации.

Региональный раздел отдельно в GPP

CMP отправляет только раздел Миннесоты, который Google не читает. Без US National opt-out не доходит до Google.

Отказ, который не меняет рекламу

Посетитель отказывается, но рекламные запросы по-прежнему идут без RDP и без отказа в строке GPP.

В ConsentMode

Что аудит проверяет для Миннесоты

  • Открывает сайт как посетитель из США и ищет ссылку для отказа и ссылку со словом privacy на главной странице.
  • Включает сигнал GPC в браузере аудита и сравнивает страницу и рекламные запросы с сигналом и без него.
  • Читает строку GPP, проверяет, есть ли раздел US National и фиксирует ли он отказ.
  • Перечисляет скрипты и рекламных партнёров, загружающихся на странице, отправную точку для инвентаризации данных.
  • Проверяет, содержит ли страница конфиденциальности категории, цели, третьих лиц, права, апелляцию, контакт, хранение и дату обновления.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Влияет ли право оспаривать профили на сайт с контентом?

Мало, в большинстве случаев. Оно относится к профилям, ведущим к решениям с юридическим или схожим эффектом, например кредит, страхование, жильё или работа. Выбор рекламы обычно не является таким решением, но сайтам, которые делают предварительный кредитный анализ или отбор вакансий, нужно подготовиться.

Обязан ли я уважать GPC в Миннесоте?

Да, если закон применяется к вашему сайту. Закон требует уважать универсальные сигналы opt-out и принимает IP-адрес для определения, живёт ли посетитель в штате.

Что такое инвентаризация данных?

Это список, который ведёт компания, с данными, которые она обрабатывает. Закон считает инвентаризацию частью разумных мер безопасности.

Моя компания малая. Я свободен от закона?

Почти. Малые предприятия по федеральному определению США остаются вне большей части закона, но не могут продавать конфиденциальные данные без предварительного согласия.

Остаётся ли срок на исправление после уведомления?

Нет. Срок в 30 дней действовал до 31 января 2026 года. С тех пор генеральный прокурор может действовать, не давая этого срока.

Делает ли ConsentMode мой сайт соответствующим закону?

ConsentMode не CMP и не юридическая фирма. Аудит показывает, что сайт на самом деле делает с отказом, GPC, GPP и страницей конфиденциальности, чтобы вы могли исправить это вместе с вашим поставщиком и юристом.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Узнайте, соответствует ли ваш сайт закону Миннесоты

Аудит открывает сайт как посетитель из США, с GPC и без него, и показывает, что нужно исправить, ничего не меняя.

Начать аудит