Соответствие требованиям Montana Consumer Data Privacy Act с ConsentX

Montana Consumer Data Privacy Act (MCDPA) - это комплексный закон штата Монтана о приватности потребителей. Он вступил в силу 1 октября 2024 года и закрепляет права жителей Монтаны в сфере приватности, а также обязанности подпадающих под него компаний. Впоследствии Монтана внесла в закон поправки, существенные изменения из которых вступают в силу 1 октября 2025 года.

Жители Монтаны, как правило, имеют право узнать, обрабатываются ли их персональные данные, получить к ним доступ, исправить неточные персональные данные, запросить их удаление, получить копию своих персональных данных, отказаться от таргетированной рекламы, отказаться от продажи персональных данных и отказаться от профилирования в целях принятия отдельных автоматизированных решений.

MCDPA не требует согласия для каждого вида обработки персональных данных. Однако согласие необходимо до обработки отдельных чувствительных данных. Дополнительные требования о согласии действуют для отдельных операций с данными несовершеннолетних.

К чувствительным данным относятся отдельные категории персональной информации, создающие повышенные риски для приватности: сведения о расовом или этническом происхождении, религиозных убеждениях, психическом или физическом здоровье, сексуальной ориентации, гражданстве или иммиграционном статусе, генетические или биометрические данные, используемые для идентификации, точная геолокация и персональные данные детей.

Да. Жители Монтаны имеют право отказаться от обработки своих персональных данных в целях таргетированной рекламы.

Да. Потребители имеют право отказаться от продажи своих персональных данных.

Да. Потребители могут отказаться от профилирования, проводимого в целях принятия решений, влекущих юридические или иные аналогично значимые последствия для них.

Организациям следует оценивать сигналы универсального отказа во взаимосвязи с MCDPA и требованиями других применимых законов штатов о приватности. Нормативную базу Монтаны не следует считать идентичной законодательству Калифорнии или других штатов, где требования об универсальном отказе закреплены прямо.

MCDPA регулирует обработку персональных данных, а не файлы cookie как отдельную технологию. Тем не менее файлы cookie, пиксели, рекламные теги, SDK и другие отслеживающие технологии могут собирать либо обрабатывать персональные данные или обеспечивать таргетированную рекламу. Поэтому обнаружение трекеров, управление настройками приватности и применение выбора потребителей могут быть важными элементами программы соблюдения MCDPA.

Да. Контролёры обязаны предоставлять потребителям разумно доступное и понятное уведомление о приватности с описанием соответствующих категорий и целей обработки персональных данных, а также информации о применимых правах потребителей.

Да. Контролёры обязаны проводить оценки защиты данных для отдельных видов обработки, создающих повышенные риски для потребителей, включая соответствующую таргетированную рекламу, профилирование, продажу персональных данных и обработку чувствительных данных.

Контролёры, как правило, обязаны ответить на запрос потребителя в течение 45 дней с момента его получения. Этот срок обычно может быть продлён ещё на 45 дней, когда это разумно необходимо, с учётом применимых требований.

Да. Потребители имеют право обжаловать отказ контролёра совершить действия по запросу о реализации их прав на приватность.

Да. Изменённый MCDPA существенно расширяет защиту несовершеннолетних. Несовершеннолетним обычно считается лицо младше 18 лет, а дети младше 13 лет получают дополнительную защиту. Компании, которые знают или разумно должны знать, что обрабатывают персональные данные несовершеннолетних, обязаны проявлять разумную осмотрительность во избежание повышенных рисков причинения вреда. Дополнительные требования о согласии могут применяться к обработке данных несовершеннолетнего в целях таргетированной рекламы, продажи, отдельных видов автоматизированного профилирования, обработки точной геолокации, продлённого хранения, а также к отдельным решениям в дизайне систем, направленным на существенное повышение или поддержание вовлечённости несовершеннолетнего.

Общая применимость MCDPA определяется прежде всего объёмом обрабатываемых данных жителей Монтаны, а для компаний, получающих более 25 % выручки от продажи персональных данных, действует пониженный порог по числу потребителей. По действующему закону общие пороги составляют 25 000 потребителей либо 15 000 потребителей, если более 25 % валовой выручки получено от продажи персональных данных.

Полномочия по применению MCDPA принадлежат Генеральному прокурору Монтаны. Управление по защите прав потребителей Монтаны предоставляет информацию и материалы по вопросам приватности потребителей штата.

ConsentX помогает практически реализовать важные механизмы контроля приватности: управление согласием, обнаружение трекеров, блокировку скриптов до согласия, обработку отказов потребителей, рабочие процессы по запросам о правах и формирование доказательств для аудита. Однако никакое программное обеспечение само по себе не может гарантировать соблюдение закона. Организациям следует оценить свою программу приватности в целом на соответствие MCDPA и всем другим применимым законам.