打开空间

指南 · 美国州法律

MCDPA：明尼苏达州法律及其前所未有的权利

Minnesota Consumer Data Privacy Act 自 2025 年 7 月 31 日起生效，带来了其他州所没有的权利，例如对自动化画像的结果提出质疑。在本指南中，您可以了解谁需要遵守、数据清单、强制性的 GPC，以及这对使用 AdSense 或 Ad Manager 的网站有什么变化。

为美国站点审核我的网站阅读指南
  • ✓基于明尼苏达州法律第 325M 章和该州总检察长的资料
  • ✓面向有广告网站的实用示例
  • ✓只读审核，不修改网站
10 万每年的明尼苏达州消费者数量：该法律的主要门槛
25%来自数据出售的收入比例：达到这一比例时，2.5 万名消费者即可适用
45 天答复请求以及执行选择退出的期限
7,500 美元每次违规的最高民事罚款

是什么

一部权利超出选择退出的隐私法

Minnesota Consumer Data Privacy Act，即 MCDPA，是明尼苏达州的综合性隐私法。它于 2024 年 5 月 19 日签署，位于该州法律的第 325M 章，2025 年 7 月 31 日生效。受该州监管的高等教育机构要到 2029 年 7 月 31 日起才需遵守。

其基础与康涅狄格州和科罗拉多州的法律相同：访问、更正、删除、可携带，以及拒绝定向广告、出售和自动化画像。受涵盖的网站还必须尊重 GPC 等通用选择退出信号。

明尼苏达州在两点上更进了一步。消费者可以对导致对其作出重要决定的自动化画像的结果提出质疑。而且企业必须保存其处理数据的清单，并记录其隐私政策，写明负责人的姓名。

对有广告的网站来说，最重要的仍然是老几样：有效的选择退出、尊重 GPC，以及完整的隐私页面。但新的内部义务表明，明尼苏达州期望大量处理数据的人更有条理。

清单

你需要做到的事项

如果您的网站超过 MCDPA 的门槛，这些要点必须到位。

  1. 尊重通用退出信号

    网站必须接受由访客自己开启的 GPC 等偏好信号所发出的退出请求。该信号不能默认开启。

    示例

    开启 GPC 的访客：网站只对他开启 Google 的受限数据处理。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. 隐私通知之外的退出方式

    出售数据、做定向广告或画像的一方，需要在通知文本之外提供清晰、显眼的退出方法。

    示例

    页脚中有一个名为 Your Opt-Out Rights 或 Your Privacy Rights 的链接。

  3. 带有 privacy 一词的链接

    隐私通知必须放在一个显眼的链接中，从首页就能进入，链接中包含 privacy 一词。

    示例

    首页页脚中的 Privacy Policy 链接。

  4. 包含 Google 要求的语句的政策

    AdSense 要求隐私政策提示 Google 和其他供应商的广告 cookie。政策还必须说明访客如何拒绝个性化广告。

    示例

    包括 Google 在内的第三方供应商会使用 cookie，根据用户之前对您的网站或其他网站的访问来投放广告。您可以在 Google 的广告设置中停用个性化广告。

  5. 45 天期限

    退出应尽快生效，最迟 45 天。其他请求同样有 45 天，并可延长一次。

  6. 敏感数据需要同意

    敏感数据只有在取得同意后才能处理。如果访客撤回同意，使用须在 15 天内停止。

    示例

    撤回同意必须和给予同意一样容易，例如在同一个位置使用同一个按钮。

  7. 13 至 16 岁的青少年

    如果你知道访客是 13 至 16 岁，就需要他的同意，才能把数据用于定向广告或出售。

  8. 数据清单和有文档记录的政策

    维护一份网站所处理数据的清单。记录隐私政策，并写明负责人的姓名和联系方式。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对明尼苏达没有要求使用认证 CMP，也没有要求 GPP，所以您可以使用 Google 自己的消息，或带 GPP 的 CMP。

谁需要遵守，以及定义

MCDPA 的门槛和法律中的关键词

该法律适用于在明尼苏达州开展业务、或提供面向该州居民的产品和服务，并且在某一日历年超过以下任一门槛的人。非营利实体没有普遍豁免。个人数据是与个人相关联或可关联的任何信息，例如 Cookie 和广告标识符。

10 万名消费者

控制或处理至少 10 万名明尼苏达州消费者的数据。仅用于完成付款的数据不计算在内。

2.5 万名和数据出售

控制或处理至少 2.5 万名消费者的数据，且超过 25% 的总收入来自出售个人数据。

小企业

按美国联邦定义属于小企业的，不受该法律大部分条款约束，但未经事先同意不得出售敏感数据。

敏感数据

种族或民族出身、宗教信仰、健康、性取向、移民身份、可识别个人的生物识别或基因数据、已知儿童的数据和具体地理位置。

出售

以个人数据换取金钱或其他有价值的对价。向处理者、同一集团的公司提供，以及在并购中提供的情形除外。

定向广告

根据访客在其他公司的网站和应用中一段时间内的活动数据来选择的广告。自身广告、上下文广告和效果衡量不在此列。

个人的权利

明尼苏达州居民可以提出什么要求

答复应在 45 天内发出，如果在最初期限内通知，可再延长 45 天。每年两次请求免费。选择退出不需要身份证明。

确认和访问

了解企业是否在处理其数据，并了解所处理数据的类别。

更正、删除与携带

更正错误的数据、要求删除，并获取数据的可携带副本。

拒绝定向广告和数据出售

要求不将数据用于定向广告，也不出售，包括通过 GPC 等通用信号。

拒绝自动化画像

拒绝用于产生法律效果或类似重大影响的决定的画像，例如住房、保险、教育、就业、健康或金融服务。

质疑画像

对导致重要决定的画像结果提出质疑，了解原因，并复查所使用的数据。

第三方清单

获取接收过其数据的具体第三方清单，如果企业没有按个人记录，则获取所有第三方的清单。

明尼苏达州有什么不同

质疑画像与保存数据清单

质疑画像的权利是该法律最大的新意。当自动化画像导致产生法律效果或类似重大影响的决定时，消费者可以质疑结果，了解原因，并在可能的情况下了解自己本可以怎样做才能得到不同的决定。他们还可以复查所使用的数据，如果有误，要求更正并重新评估。

明尼苏达州总检察长强调，无论是否涉及人工智能，这些权利都适用。对大多数内容网站来说，这项权利很少出现，但对于做信用预审、保险报价或职位筛选的网站则很重要。

第二个新意在内部。该法律要求合理的安全措施，包括企业所处理数据的清单。它还要求企业记录其隐私政策和程序，并写明主要负责人的姓名和联系方式，例如隐私负责人（如有）。

对靠广告谋生的人来说，清单是个好的练习：列出网站上运行的脚本和广告合作伙伴、每一方接收哪些数据，以及数据去往何处。这同一份清单也有助于回应消费者可以索取的第三方清单。

网站的义务

适用的网站需要保证正常运行的事项

  1. 完整的隐私声明通知必须包含数据类别和目的、如何行使权利和申诉、被出售或共享的数据类别以及接收方、一个带邮箱或在线方式的联系方式、保留政策，以及最后更新日期。
  2. 带有 privacy 一词的链接通知必须通过首页上带有 privacy 字样的可见链接来链接，在应用中还要通过设置来链接。
  3. 声明之外的退出方式出售数据、进行定向广告或画像的人，必须在政策文本之外提供选择退出，例如通过名为 Your Opt-Out Rights 或 Your Privacy Rights 的链接。
  4. 没有花招的同意敏感数据只有在取得同意时才能处理，通过误导性默认设置或对一般条款的接受获得的同意无效。如果消费者撤回同意，使用必须在 15 天内停止。
  5. 保护青少年如果企业知道消费者年龄在 13 至 16 岁之间，则未经同意不得将其数据用于定向广告或出售。
  6. 数据保护评估定向广告、出售、敏感数据和高风险画像，需要有记录的评估，总检察长可以在调查中要求提供。

执法和罚款

谁来执法，出错的代价有多大

只有明尼苏达州总检察长负责执行该法律。申诉被拒的消费者可以向总检察长投诉。

整改期已结束

在最初的六个月，总检察长必须发出通知并给予 30 天的整改期。这项规则已于 2026 年 1 月 31 日失效。

每次违规最高 7,500 美元

民事罚款最高可达每次违规 7,500 美元，另加制止该做法的法院命令。

诉讼费用

如果该州胜诉，法官可以责令企业支付部分或全部诉讼费用。

申诉记录

企业须在 45 天内对申诉作出决定，可再延长 60 天，并将申诉记录至少保存 24 个月。

时间线

MCDPA 的重要日期

2026 年 11 月，该法律已生效一年多，整改期已经结束。

  1. 2024 年 5 月 19 日

    签署

    明尼苏达州通过 Consumer Data Privacy Act。

  2. 2025 年 7 月 31 日

    生效

    该法律生效，GPC 成为强制要求，并设有 30 天的整改期。

  3. 2026 年 1 月 31 日

    整改期取消

    要求总检察长在采取行动之前给予 30 天整改期的规则失效。

  4. 2029 年 7 月 31 日

    高等教育

    受该州监管的高等教育机构开始必须遵守该法律。

使用 AdSense 和 Ad Manager 的网站

强制 GPC，以及退出请求传到 Google 的路径

在明尼苏达州，受涵盖的网站必须尊重在访客同意下发送的通用选择退出信号，例如 Global Privacy Control，即 GPC。法律规定，IP 地址足以判断访客是否居住在该州。如果该信号与忠诚度计划冲突，以信号为准，网站可以请求确认。

Google 在 AdSense 和 Ad Manager 的隐私权和消息功能中提供美国州级法规消息，明尼苏达州属于所支持的州。该消息会显示 Do Not Sell or Share 链接。拒绝会开启受限数据处理，即 RDP，Google 将不再利用以往的行为来选择广告。

关于 GPC，Google 表示，已实现该信号的合作伙伴可以选择在收到 GPC 退出信号时开启 RDP。配置由网站或 CMP 负责，也可以在标签中完成，使用 GPT 的 restrictDataProcessing 参数或 AdSense 的 data-restrict-data-processing 属性。

IAB Tech Lab 已经发布了明尼苏达州专属的 GPP 部分，但它不在 Google 接受的部分清单中。对 Google 来说，途径是 US National 部分，其中拒绝出售、共享或定向广告会开启 RDP。

实际案例

在明尼苏达州的允许与不允许

适用于有明尼苏达州流量、通过程序化广告变现的网站的示例。

可以

  • 使用 IP 地址识别明尼苏达州的访客并应用 GPC
  • 对拒绝了或带着开启的 GPC 到来的访问者，展示上下文广告
  • 在页脚放置一个名为 Your Privacy Rights 的链接，用于选择退出
  • 如果网站不按个人记录，则向消费者提供所有第三方的清单
  • 使用为其他州所做的评估，前提是涵盖相同的处理

不可以

  • 要求出示身份证件才接受选择退出
  • 使用误导性按钮来骗取敏感数据的同意
  • 未经同意，将 13 至 16 岁青少年的数据用于定向广告
  • 发布没有保留政策、也没有更新日期的政策
  • 执行选择退出请求超过 45 天

常见错误

网站在明尼苏达州法律上容易出错的地方

与大多数州相比，明尼苏达州要求政策中包含更多项目，内部管理也更有条理。

政策不完整

隐私页面没有谈到数据保留，也没有显示最后更新日期，而这些是明尼苏达州所要求的项目。

没有数据清单

没有人能说清网站上运行着哪些广告脚本以及每个脚本接收什么。因此无法回应第三方清单的请求。

GPC 只在加利福尼亚州生效

CMP 只对加利福尼亚州应用 GPC，而忽略了明尼苏达州访客的信号。

有繁琐手续的选择退出

选择退出表单要求登录或出示证件。法律规定，选择退出不需要身份验证。

GPP 里只有州分段

CMP 只发送明尼苏达州部分，而 Google 不会读取它。没有 US National，选择退出就无法传达给 Google。

退出后广告没有变化

访问者拒绝了，但广告请求仍然没有 RDP，GPP 字符串里也没有退出标记。

在 ConsentMode 中

审核会针对明尼苏达州检查什么

  • 以美国访问者的身份打开网站，在首页查找退出链接和带有 privacy 一词的链接。
  • 在审核浏览器中开启 GPC 信号，并比较有信号和无信号时的页面和广告请求。
  • 读取 GPP 字符串，检查是否存在 US National 分段，并记录退出请求。
  • 列出页面上加载的脚本和广告合作伙伴，作为数据清单的起点。
  • 检查隐私页面是否包含类别、目的、第三方、权利、申诉、联系方式、保留和更新日期。
开始审核查看所有检查项

常见问题

质疑画像的权利会影响内容网站吗？

在大多数情况下影响很小。它适用于导致产生法律效果或类似影响的决定的画像，例如信贷、保险、住房或就业。选择广告通常不属于这类决定，但做信用预审或职位筛选的网站需要做好准备。

在明尼苏达州我必须尊重 GPC 吗？

是的，如果该法律适用于您的网站。法律要求尊重通用选择退出信号，并接受用 IP 地址判断访客是否居住在该州。

什么是数据清单？

这是企业保存的、记录其所处理数据的清单。法律将该清单列为合理安全措施的一部分。

我的企业很小。我就不受影响了吗？

基本上是。按美国联邦定义属于小企业的，不受该法律大部分条款约束，但未经事先同意不得出售敏感数据。

收到通知之后还有整改期吗？

没有了。30 天的期限有效至 2026 年 1 月 31 日。此后，总检察长无需给予该期限即可采取行动。

ConsentMode 能让我的网站合规吗？

ConsentMode 不是 CMP，也不是律师事务所。审核会显示网站对退出链接、GPC、GPP 和隐私页面实际做了什么，方便你与供应商和律师一起修正。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

查看您的网站是否符合明尼苏达州的要求

审核会以美国访问者的身份、在有和没有 GPC 的情况下打开网站，并告诉你要修正什么，不会改动任何内容。

开始审核