Conformité au Minnesota Consumer Data Privacy Act (MCDPA)

Qu’est-ce que le MCDPA ?

Le Minnesota Consumer Data Privacy Act (MCDPA) est la loi complète du Minnesota sur la protection de la vie privée des consommateurs. Il donne aux résidents du Minnesota des droits sur leurs données personnelles et fixe des obligations aux entreprises qui les collectent et les traitent. La loi du Montana sur la vie privée porte le même sigle, mais cette page ne traite que de la loi du Minnesota.

La loi du Minnesota suit le modèle général des autres lois des États américains sur la vie privée, avec quelques dispositions qui vont plus loin. Les résidents du Minnesota ont le droit de :

• Savoir si une entreprise traite leurs données personnelles, et accéder à ces données
• Faire corriger des données personnelles inexactes
• Faire supprimer leurs données personnelles
• Obtenir une copie portable de leurs données personnelles
• S’opposer (opt-out) à la publicité ciblée, à la vente de leurs données personnelles et à certains types de profilage
• Obtenir la liste des tiers précis auxquels l’entreprise a communiqué leurs données personnelles
• Contester le résultat d’une décision de profilage produisant des effets juridiques ou des effets significatifs similaires, en connaître les raisons et obtenir son réexamen si elle reposait sur des données inexactes

Les entreprises doivent aussi obtenir le consentement avant de traiter des données sensibles, comme les données de santé, la géolocalisation précise, les données biométriques ou les données révélant l’origine raciale ou ethnique. Elles doivent limiter la collecte de données à ce qui est adéquat, pertinent et raisonnablement nécessaire aux finalités annoncées, et tenir un inventaire des données personnelles qu’elles gèrent dans le cadre de leurs pratiques de sécurité des données.

Que se passe-t-il si je ne respecte pas le MCDPA ?

L’Attorney General du Minnesota fait appliquer la loi. Les points essentiels en matière d’application sont les suivants :

• Une entreprise qui enfreint la loi s’expose à une injonction et à une sanction civile pouvant atteindre 7 500 $ par infraction.
• La loi ne crée pas de droit d’action privé : les consommateurs ne peuvent donc pas poursuivre directement les entreprises sur son fondement.
• Jusqu’au 31 janvier 2026, l’Attorney General devait adresser une lettre d’avertissement et accorder 30 jours pour remédier à une infraction avant d’agir. Ce délai de régularisation a expiré : l’Attorney General peut désormais engager des actions sans avis préalable.

Se conformer au MCDPA

Si votre boutique en ligne vend à des résidents du Minnesota et atteint les seuils ci-dessus, l’essentiel du travail concret porte sur les cookies et le suivi. Les pixels marketing, les balises d’analyse et les cookies publicitaires relèvent souvent de la publicité ciblée ou d’une « vente » de données personnelles au sens des lois des États sur la vie privée : ils doivent donc respecter les choix de chaque visiteur.

Pour une boutique Shopify, les mesures concrètes sont notamment les suivantes :

• Proposez un opt-out clair. Offrez aux visiteurs un moyen simple de s’opposer à la publicité ciblée et à la vente de leurs données personnelles, comme un lien « Ne pas vendre ni partager mes informations personnelles », et assurez-vous que le suivi s’arrête dès qu’ils l’utilisent.
• Respectez les signaux d’opt-out universels. La loi du Minnesota impose aux entreprises de permettre aux consommateurs d’exercer leur opt-out au moyen d’un mécanisme universel envoyé par leur navigateur ou leur appareil, comme Global Privacy Control (GPC).
• Obtenez le consentement pour les données sensibles. Ne traitez pas de données sensibles sans le consentement du consommateur, et passez en revue vos applications et formulaires pour repérer tout ce qui en collecte.
• Tenez un inventaire des données. Documentez les données personnelles que votre boutique collecte, l’endroit où elles sont stockées et les applications et partenaires qui les reçoivent. Il vous sera aussi plus facile de fournir aux clients la liste des tiers précis qu’ils ont le droit de demander.
• Mettez à jour votre politique de confidentialité. Expliquez quelles données personnelles vous collectez, pourquoi, qui les reçoit, combien de temps vous les conservez et comment les consommateurs peuvent exercer leurs droits, y compris leur droit de contester les décisions de profilage.
• Traitez les demandes des consommateurs. Mettez en place un moyen fiable permettant aux clients de demander l’accès à leurs données, leur rectification, leur suppression ou une copie, et répondez dans les délais impartis.

Une plateforme de gestion du consentement facilite grandement le suivi de ces mesures dans la durée. Pandectes GDPR Compliance est conçue pour les boutiques Shopify et fournit une bannière de cookies avec des options d’opt-out pour les États américains, un lien « Ne pas vendre ni partager mes informations personnelles » et la prise en charge du signal Global Privacy Control. Elle scanne et classe automatiquement les cookies de votre boutique, génère une déclaration de cookies, conserve des registres de consentement et vous aide à traiter les demandes des personnes concernées. Les paramètres de bannière propres à chaque région utilisent la géolocalisation pour proposer l’expérience adaptée aux visiteurs du Minnesota et des autres États.

Les lois sur la vie privée diffèrent dans leurs détails et continuent d’évoluer : faites vérifier votre configuration par un conseiller juridique si nécessaire.