Montana Consumer Data Privacy Act 合规，从 ConsentX 开始

Montana Consumer Data Privacy Act (MCDPA) 是蒙大拿州的综合性消费者隐私法。该法于 2024 年 10 月 1 日生效，确立了蒙大拿州消费者的隐私权利以及受监管企业的义务。蒙大拿州此后对该法进行了修订，重大修改自 2025 年 10 月 1 日起生效。

蒙大拿州消费者通常有权知悉其个人数据是否正在被处理、访问其个人数据、更正不准确的个人数据、请求删除其个人数据、获取其个人数据的副本、退出定向广告、退出个人数据的出售，以及退出用于特定自动化决策的画像分析。

MCDPA 并未要求对每一类个人数据处理都取得同意。但在处理特定敏感数据之前必须取得同意。涉及未成年人的特定处理活动还适用额外的同意要求。

敏感数据包括可能带来较高隐私风险的特定类别个人信息，包括涉及种族或民族出身、宗教信仰、身心健康、性取向、公民身份或移民身份的信息，用于身份识别的基因或生物识别数据、精确地理位置，以及儿童的个人数据。

是的。蒙大拿州消费者有权退出为定向广告目的对其个人数据的处理。

可以。消费者有权退出其个人数据的出售。

是的。消费者可以退出用于作出对其产生法律效果或类似重大影响之决定的画像分析。

组织应结合 MCDPA 以及其他适用州隐私法的要求，评估通用退出信号的处理方式。不应将蒙大拿州的隐私框架等同于加利福尼亚州或其他明确规定通用退出要求的州法律。

MCDPA 规范的是个人数据处理，而非将 Cookie 作为一项独立技术加以规范。但 Cookie、像素、广告标签、SDK 及其他追踪技术仍可能收集或处理个人数据，或为定向广告提供支持。因此，追踪技术发现、隐私偏好管理以及消费者选择的强制执行，可以成为 MCDPA 合规方案的重要组成部分。

是的。控制者必须向消费者提供合理可获取且清晰的隐私告知，说明个人数据处理的相关类别与目的，以及适用的消费者权利信息。

是的。对于对消费者存在较高风险的特定处理活动，控制者必须开展数据保护评估，包括相关的定向广告、画像分析、个人数据出售以及敏感数据处理。

控制者通常必须在收到请求后 45 天内作出响应。在合理必要的情况下，该期限通常可再延长 45 天，但须符合适用要求。

是的。对于控制者拒绝处理其隐私权利行使请求的决定，消费者有权提出申诉。

是的。修订后的 MCDPA 大幅扩展了对未成年人的保护。未成年人通常指 18 岁以下的个人，而 13 岁以下的儿童还享有额外保护。明知或理应知道自己正在处理未成年人个人数据的企业，必须采取合理注意以避免加重的损害风险。对于将未成年人数据用于定向广告、出售、特定自动化画像分析、特定精确地理位置处理、延长留存期限，以及旨在显著提升或维持未成年人使用黏性的特定系统设计，还可能适用额外的同意要求。

MCDPA 的一般适用性主要取决于所处理的蒙大拿州消费者数据数量；对于超过 25% 收入来自出售个人数据的企业，则适用更低的消费者数量门槛。根据现行法律，一般门槛为 25,000 名消费者；若超过 25% 的总收入来自出售个人数据，则为 15,000 名消费者。

蒙大拿州总检察长依据 MCDPA 拥有执法权。蒙大拿州消费者保护办公室（Office of Consumer Protection）提供有关蒙大拿州消费者隐私的信息与资源。

ConsentX 可以帮助落实同意管理、追踪技术发现、脚本预先拦截、消费者退出管理、权利请求工作流以及审计证据等重要隐私控制措施。但任何软件都无法单独保证法律合规。组织应对照 MCDPA 及所有其他适用法律，评估其完整的隐私合规体系。