Cumplimiento de la Minnesota Consumer Data Privacy Act (MCDPA)

¿Qué es la MCDPA?

La Minnesota Consumer Data Privacy Act (MCDPA), ley de privacidad de datos del consumidor de Minnesota, es la ley integral de privacidad del consumidor de Minnesota. Otorga a los residentes de Minnesota derechos sobre sus datos personales y establece obligaciones para las empresas que los recogen y tratan. La ley de privacidad de Montana comparte las mismas siglas, pero esta página trata únicamente de la ley de Minnesota.

La ley de Minnesota sigue el modelo general de otras leyes estatales de privacidad de EE. UU., con algunas características que van más allá. Los residentes de Minnesota tienen derecho a:

• Confirmar si una empresa trata sus datos personales y acceder a esos datos
• Rectificar los datos personales inexactos
• Suprimir sus datos personales
• Obtener una copia portable de sus datos personales
• Excluirse de la publicidad dirigida, de la venta de sus datos personales y de determinados tipos de elaboración de perfiles
• Obtener una lista de los terceros concretos a los que la empresa ha comunicado sus datos personales
• Cuestionar el resultado de una decisión basada en la elaboración de perfiles que tenga efectos jurídicos o efectos igualmente significativos, conocer los motivos que la sustentan y obtener una nueva evaluación si se basó en datos inexactos

Las empresas también deben obtener el consentimiento antes de tratar datos sensibles, como datos de salud, geolocalización precisa, datos biométricos o datos que revelen el origen racial o étnico. Deben limitar la recogida de datos a lo que sea adecuado, pertinente y razonablemente necesario para los fines que comunican, y mantener un inventario de los datos personales que gestionan como parte de sus prácticas de seguridad de datos.

¿Qué ocurre si no cumplo la MCDPA?

El Fiscal General de Minnesota es quien aplica la ley. Aspectos clave sobre su aplicación:

• Una empresa que infrinja la ley puede enfrentarse a una medida cautelar y a una sanción civil de hasta 7.500 $ por infracción.
• La ley no crea un derecho de acción privado, por lo que los consumidores no pueden demandar directamente a las empresas en virtud de ella.
• Hasta el 31 de enero de 2026, el Fiscal General debía enviar una carta de advertencia y conceder 30 días para corregir una infracción antes de actuar. Ese plazo de subsanación ha vencido, por lo que el Fiscal General ya puede emprender acciones de ejecución sin aviso previo.

Cómo cumplir la MCDPA

Si su tienda online vende a residentes de Minnesota y alcanza los umbrales anteriores, la mayor parte del trabajo práctico tiene que ver con las cookies y el seguimiento. Los píxeles de marketing, las etiquetas de analítica y las cookies publicitarias suelen considerarse publicidad dirigida o una “venta” de datos personales según las leyes estatales de privacidad, por lo que deben respetar las decisiones de cada visitante.

Entre los pasos prácticos para una tienda Shopify se incluyen:

• Ofrezca una exclusión clara. Facilite a los visitantes una forma sencilla de excluirse de la publicidad dirigida y de la venta de sus datos personales, como un enlace “No vender ni compartir mi información personal”, y asegúrese de que el seguimiento se detiene cuando lo hacen.
• Respete las señales universales de exclusión. La ley de Minnesota exige a las empresas que permitan a los consumidores excluirse mediante un mecanismo universal de exclusión enviado por su navegador o dispositivo, como Global Privacy Control (GPC).
• Obtenga el consentimiento para los datos sensibles. No trate datos sensibles sin el consentimiento del consumidor, y revise sus apps y formularios en busca de cualquier elemento que los recoja.
• Mantenga un inventario de datos. Documente qué datos personales recoge su tienda, dónde se almacenan y qué apps y socios los reciben. Esto también facilita entregar a los clientes la lista de terceros concretos que tienen derecho a solicitar.
• Actualice su aviso de privacidad. Explique qué datos personales recoge, por qué, quién los recibe, cuánto tiempo los conserva y cómo pueden los consumidores ejercer sus derechos, incluido su derecho a cuestionar las decisiones basadas en la elaboración de perfiles.
• Atienda las solicitudes de los consumidores. Establezca una forma fiable para que los clientes soliciten el acceso, la rectificación, la supresión o una copia de sus datos, y responda dentro del plazo exigido.

Una plataforma de gestión del consentimiento facilita mucho el mantenimiento de estos pasos. Pandectes GDPR Compliance está diseñada para tiendas Shopify y ofrece un banner de cookies con opciones de exclusión para los estados de EE. UU., un enlace “No vender ni compartir mi información personal” y compatibilidad con la señal Global Privacy Control. Analiza y clasifica automáticamente las cookies de su tienda, genera una declaración de cookies, conserva registros de consentimiento y le ayuda a gestionar las solicitudes de los interesados. La configuración del banner por región utiliza la geolocalización para mostrar la experiencia adecuada a los visitantes de Minnesota y de otros estados.

Las leyes de privacidad difieren en sus detalles y siguen cambiando, así que revise su configuración con un asesor legal cuando proceda.