¿Qué es la Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA)?

La Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA), codificada en las secciones 325M.10 a 325M.21 de los Estatutos de Minnesota, entró en vigor el 31 de julio de 2025 para la mayoría de los responsables del tratamiento, con una fecha de cumplimiento retrasada al 31 de julio de 2029 para las instituciones postsecundarias reguladas por la Oficina de Educación Superior y las corporaciones sin fines de lucro regidas por el Capítulo 317A. Promulgada en 2024 como parte de una medida general (HF 4757) y firmada por el gobernador Tim Walz, otorga a los residentes de Minnesota un conjunto completo de derechos de datos más dos características que pocos otros estados igualan: el derecho a obtener una lista de los terceros específicos que recibieron sus datos, y el derecho a cuestionar el resultado de una decisión de perfilado automatizado.

A partir de 2026, el Fiscal General de Minnesota tiene autoridad exclusiva de aplicación de la ley y puede buscar sanciones civiles de hasta $7,500 por infracción según Minn. Stat. 325M.20. El derecho de subsanación de 30 días en el que confiaban los responsables del tratamiento hasta 2025 venció el 31 de enero de 2026, por lo que una empresa ya no puede contar con un período de gracia garantizado antes de que el estado actúe.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos del Consumidor de Minnesota (Minn. Stat. 325M.10 a 325M.21). Es información legal general, no asesoría legal.

Qué es la MCDPA: estatuto, promulgación y fechas de vigencia

La Ley de Privacidad de Datos del Consumidor de Minnesota es la primera ley integral de privacidad de datos del consumidor de Minnesota. Está codificada en las secciones 325M.10 a 325M.21 de los Estatutos de Minnesota. La Sección 325M.10 limita la cláusula de cita propia de la ley a esas secciones, lo cual es importante porque la parte anterior del Capítulo 325M, las secciones 325M.01 a 325M.09, es una ley de privacidad de proveedores de servicios de internet distinta de 2002 que define a un consumidor como un suscriptor de un proveedor de acceso a internet. La ley se aprobó en la sesión legislativa de 2024 como parte de una gran medida general, el House File 4757. El gobernador Tim Walz la firmó como ley, y la mayoría de sus obligaciones sustantivas entraron en vigor el 31 de julio de 2025.

La ley utiliza una fecha de cumplimiento retrasada para una categoría de organización. Según la disposición de fecha de vigencia de la ley, las instituciones postsecundarias reguladas por la Oficina de Educación Superior no están obligadas a cumplir hasta el 31 de julio de 2029. Todos los demás responsables del tratamiento cubiertos han estado sujetos a la MCDPA desde el 31 de julio de 2025.

A partir de 2026, la MCDPA coloca a Minnesota entre los aproximadamente veinte estados que han promulgado estatutos integrales de privacidad del consumidor. Lo que distingue a Minnesota no es la amplitud de sus derechos, que siguen el modelo ahora común de Virginia, sino dos adiciones distintivas: un derecho a la lista de terceros específicos y un derecho único en su tipo a cuestionar las decisiones de perfilado automatizado.

Para conocer las obligaciones completas del responsable y el encargado del tratamiento, las reglas de contenido del aviso de privacidad, y los requisitos de evaluación de protección de datos, consulte la página principal de leyes de privacidad de datos de Minnesota.

A quién cubre la MCDPA: umbrales de aplicabilidad

La prueba de aplicabilidad de la MCDPA se encuentra en Minn. Stat. 325M.12. La ley se aplica a una persona que realiza negocios en Minnesota, o que produce productos o servicios dirigidos a los residentes de Minnesota, y que durante un año calendario cumple con una de dos pruebas de volumen de datos.

El primer activador es controlar o procesar los datos personales de 100,000 o más consumidores. Los datos procesados únicamente para completar una transacción de pago no cuentan para esta cifra, por lo que un minorista no supera el umbral solo por los datos de tarjetas de compras individuales.

El segundo activador es controlar o procesar los datos personales de 25,000 o más consumidores mientras se obtiene más del 25 por ciento de los ingresos brutos de la venta de datos personales. Este umbral más bajo de número de consumidores captura a las empresas basadas en datos cuyo modelo depende de la venta de información personal.

Minnesota también exime a las pequeñas empresas según la definición de la Administración de Pequeñas Empresas de Estados Unidos, aunque incluso una pequeña empresa exenta no puede vender los datos sensibles de un consumidor sin antes obtener su consentimiento. A diferencia de muchos estados similares, la exención para organizaciones sin fines de lucro de Minnesota es inusualmente estrecha: cubre únicamente a las organizaciones sin fines de lucro establecidas para detectar y prevenir el fraude de seguros (Minn. Stat. 325M.12), por lo que una organización sin fines de lucro ordinaria que cumpla con los umbrales sigue estando cubierta. La MCDPA también conlleva las exenciones familiares a nivel de entidad y de datos para los datos y entidades reguladas bajo la Ley Gramm-Leach-Bliley y la Ley de Portabilidad y Responsabilidad del Seguro Médico, entre otras.

El derecho a la lista de terceros específicos

La primera característica principal de la MCDPA es la capacidad de conocer exactamente qué terceros recibieron los datos de un consumidor. Según Minn. Stat. 325M.14, un consumidor de Minnesota puede obtener una lista de los terceros específicos a los que el responsable del tratamiento ha divulgado los datos personales del consumidor. El estatuto permite una excepción limitada: si el responsable del tratamiento no mantiene esa información en un formato específico para el consumidor, puede proporcionar en su lugar una lista de los terceros específicos a los que ha divulgado los datos personales de cualquier consumidor. Esa es una condición derivada de cómo se mantiene el registro, no una opción libre para el responsable del tratamiento.

Esto es significativamente diferente de la divulgación que exige la mayoría de las leyes estatales de privacidad. Bajo el modelo más común, un consumidor puede conocer solo las categorías de terceros, como "socios publicitarios" o "proveedores de análisis". Minnesota, al igual que Oregon, va más allá y permite al consumidor solicitar las entidades nombradas y específicas.

Para las empresas, el derecho a la lista de terceros específicos es una de las obligaciones más difíciles de diseñar de la MCDPA, porque requiere rastrear las divulgaciones a nivel de destinatarios nombrados en lugar de categorías amplias. Para los consumidores, ofrece mucha más transparencia sobre dónde realmente viajaron sus datos. La guía de derechos del consumidor bajo la MCDPA de Minnesota cubre este derecho y el procedimiento de respuesta en profundidad.

El derecho a cuestionar un resultado de perfilado: la característica distintiva de Minnesota

El derecho más distintivo de la MCDPA no tenía paralelo en la ley de privacidad de ningún otro estado cuando entró en vigor, y solo Connecticut lo ha igualado desde entonces. Cuando un consumidor está sujeto a perfilado en apoyo de decisiones que producen efectos legales o de importancia similar, Minn. Stat. 325M.14 otorga al consumidor cuatro derechos interrelacionados vinculados a ese perfilado.

El consumidor puede cuestionar el resultado del perfilado. Se le puede informar al consumidor sobre la razón por la cual el perfilado resultó en la decisión, y, si es factible, se le puede informar qué acciones podría tomar el consumidor para obtener una decisión diferente en el futuro. El consumidor puede revisar los datos personales utilizados en el perfilado, y puede lograr que esos datos se corrijan y que la decisión se reevalúe si se basó en datos inexactos.

Minnesota fue el primer estado en otorgar a un consumidor un derecho afirmativo a impugnar el resultado de una decisión automatizada y exigir el razonamiento detrás de ella. Connecticut ha adoptado desde entonces una versión muy similar: la Ley Pública 25-113 de Connecticut de 2025 (Sec. 8) derogó y sustituyó el Conn. Gen. Stat. 42-518, vigente desde el 1 de julio de 2026, y la nueva subdivisión (a)(6) permite a un consumidor cuyos datos fueron perfilados en apoyo de una decisión automatizada con efectos legales o de importancia similar cuestionar el resultado del perfilado, ser informado de la razón por la que se produjo la decisión, y revisar los datos personales utilizados. Los dos estados difieren en el remedio: Connecticut permite al consumidor corregir datos incorrectos y que se reevalúe la decisión únicamente cuando la decisión de perfilado se refiera a vivienda, mientras que Minnesota permite la corrección y reevaluación para cualquier decisión de perfilado que se demuestre basada en datos inexactos. La mayoría de las demás leyes estatales integrales aún se limitan a permitir que un consumidor opte por no participar en el perfilado, por lo que Minnesota permanece a la vanguardia de la regulación de decisiones automatizadas.

La obligación de inventario de datos: una obligación afirmativa poco común

La MCDPA también impone un deber de documentación que pocas otras leyes estatales de privacidad exigen. Según Minn. Stat. 325M.18, un responsable del tratamiento debe establecer, implementar y mantener prácticas razonables de seguridad de datos administrativas, técnicas y físicas, y como parte de ese programa debe mantener un inventario de los datos personales que debe administrar para cumplir con sus obligaciones.

Los responsables del tratamiento también deben documentar y mantener una descripción de las políticas y procedimientos que el responsable del tratamiento ha adoptado para cumplir con la ley, incluyendo una descripción de las prácticas de minimización y retención de datos y el nombre y la información de contacto del director de privacidad del responsable del tratamiento u otra persona responsable. Esto a veces se describe como el primer requisito estatal en exigir un inventario de datos documentado de este tipo, una obligación conocida desde hace mucho tiempo bajo el Reglamento General de Protección de Datos de la Unión Europea.

La consecuencia práctica es que un responsable del tratamiento de Minnesota no puede tratar la privacidad como un conjunto de respuestas puntuales a las solicitudes del consumidor. Debe construir y documentar un programa de gobernanza continuo. La lista de verificación de cumplimiento de la MCDPA de Minnesota explica cómo construir ese inventario y ese programa.

MCDPA vs. CCPA: las diferencias clave

La MCDPA de Minnesota y la CCPA de California son a menudo comparadas por las empresas que operan a nivel nacional. La página de comparación de leyes estatales de privacidad de datos cubre el panorama más amplio entre estados, pero varias diferencias entre la MCDPA y la CCPA de California se destacan.

Las diferencias más consecuentes son el derecho a cuestionar el perfilado y el derecho a la lista de terceros, ninguno de los cuales ofrece la CCPA, y la obligación afirmativa de inventario de datos. Las dos leyes también difieren en cuanto a los datos sensibles: California utiliza un "derecho a limitar" de exclusión, mientras que Minnesota exige el consentimiento previo antes de que los datos sensibles puedan procesarse en absoluto.

Más Leyes de Minnesota

• Leyes de Grabación de Reuniones con IA de Minnesota
• Leyes de Pensión Alimenticia de Minnesota
• Leyes de Empleo a Voluntad de Minnesota
• Leyes de Accidentes Automovilísticos de Minnesota
• Leyes de Asientos de Seguridad para Niños de Minnesota
• Leyes de Custodia de Menores de Minnesota
• Leyes de Manutención Infantil de Minnesota
• Leyes de Matrimonio de Hecho de Minnesota
• Leyes sobre Deepfakes de Minnesota
• Leyes de Divorcio de Minnesota
• Leyes sobre Mordeduras de Perro de Minnesota
• Leyes de Emancipación de Minnesota
• Leyes de Eliminación de Antecedentes Penales de Minnesota
• Leyes de Fuga del Lugar del Accidente de Minnesota
• Leyes de Propietarios e Inquilinos de Minnesota
• Leyes del Limón de Minnesota

Guías relacionadas

• Leyes de privacidad de datos de Minnesota centro principal
• Derechos del consumidor bajo la MCDPA de Minnesota
• Lista de verificación de cumplimiento de la MCDPA de Minnesota
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué es la Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA)?

La MCDPA es la ley integral de privacidad de datos del consumidor de Minnesota, codificada en Minn. Stat. 325M.10 a 325M.21. Se promulgó en 2024 como parte del proyecto de ley general HF 4757, firmado por el gobernador Tim Walz, y entró en vigor el 31 de julio de 2025 para la mayoría de los responsables del tratamiento. Otorga a los residentes de Minnesota derechos sobre sus datos personales y exige que las empresas cubiertas sean transparentes sobre cómo los recopilan, usan y divulgan. Tenga en cuenta que Minnesota comparte las siglas MCDPA con la ley de Montana, por lo que esta guía siempre se refiere a la ley de Minnesota.

¿Cuándo entró en vigor la MCDPA de Minnesota?

La MCDPA entró en vigor el 31 de julio de 2025 para la mayoría de los responsables del tratamiento. Las instituciones postsecundarias reguladas por la Oficina de Educación Superior tienen una fecha de cumplimiento retrasada al 31 de julio de 2029. A partir de 2026, la fecha de vigencia general ya pasó, por lo que la mayoría de las empresas cubiertas están plenamente sujetas a la ley.

¿Quién debe cumplir con la MCDPA de Minnesota?

Según Minn. Stat. 325M.12, la MCDPA cubre a un responsable del tratamiento que realiza negocios en Minnesota o se dirige a los residentes de Minnesota y que, en un año calendario, controla o procesa los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene más del 25 por ciento de los ingresos brutos de la venta de datos personales. Las pequeñas empresas según la definición de la Administración de Pequeñas Empresas de EE. UU. están exentas, aunque todavía necesitan consentimiento para vender datos sensibles.

¿Cuál es el derecho de Minnesota a cuestionar un resultado de perfilado?

Según Minn. Stat. 325M.14, cuando un consumidor está sujeto a perfilado que produce efectos legales o de importancia similar, el consumidor puede cuestionar el resultado del perfilado, que se le informe la razón por la que se llegó a ese resultado, saber qué acciones podría tomar para obtener una decisión diferente en el futuro, y revisar y corregir los datos utilizados. Minnesota fue el primer estado en otorgar este derecho; Connecticut adoptó una versión muy similar, vigente desde el 1 de julio de 2026 (Conn. Gen. Stat. 42-518(a)(6), enmendado por la Ley Pública 25-113 de Connecticut de 2025, Sec. 8), aunque Connecticut limita el paso de corrección y reevaluación a las decisiones sobre vivienda, mientras que el de Minnesota se aplica a cualquier decisión de perfilado basada en datos inexactos.

¿Qué es el derecho de Minnesota a la lista de terceros específicos?

Según Minn. Stat. 325M.14, un consumidor de Minnesota puede obtener una lista de los terceros específicos a los que el responsable del tratamiento ha divulgado los datos personales del consumidor. Solo si el responsable del tratamiento no mantiene esa información en un formato específico para el consumidor puede proporcionar en su lugar una lista de los terceros específicos a los que ha divulgado los datos personales de cualquier consumidor. Esto es más amplio que la divulgación a nivel de categoría que exige la mayoría de las leyes estatales, porque identifica a los destinatarios nombrados en lugar de grupos amplios. Solo un puñado de estados, incluido Oregon, otorgan este derecho.

¿Exige la MCDPA de Minnesota un inventario de datos?

Sí. Según Minn. Stat. 325M.18, un responsable del tratamiento debe mantener un inventario de los datos personales que administra y documentar sus políticas y procedimientos de privacidad y seguridad de datos, incluyendo las prácticas de minimización y retención de datos y la información de contacto de su director de privacidad. Esta obligación documentada de inventario y gobernanza es poco común entre las leyes estatales de privacidad de EE. UU. y a menudo se describe como una primicia.

¿En qué se diferencia la MCDPA de Minnesota de la CCPA?

Diferencias clave: Minnesota permite a los consumidores cuestionar el resultado de una decisión de perfilado automatizado y solicitar una lista de terceros específicos nombrados, ninguno de los cuales ofrece la CCPA de California; Minnesota impone una obligación afirmativa de inventario de datos; Minnesota exige el consentimiento previo para los datos sensibles mientras que California utiliza un derecho de exclusión a limitar; y California tiene un derecho de acción privado limitado para ciertas violaciones mientras que Minnesota no tiene ninguno.

¿Quién aplica la MCDPA de Minnesota?

El Fiscal General de Minnesota tiene autoridad exclusiva de aplicación de la ley según Minn. Stat. 325M.20. No existe un derecho de acción privado. Las sanciones civiles alcanzan hasta $7,500 por infracción. El derecho de subsanación de 30 días en el que confiaban los responsables del tratamiento hasta 2025 venció el 31 de enero de 2026, por lo que ya no existe un período de subsanación garantizado a partir de 2026.