Derechos del Consumidor bajo la MCDPA de Minnesota (Minn. Stat. 325M.14)

La Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA), codificada en Minn. Stat. secs. 325M.10 a 325M.21 con los derechos del consumidor establecidos en Minn. Stat. 325M.14, otorga a los residentes de Minnesota los derechos de confirmar el procesamiento y acceder a las categorías de datos personales que se tienen sobre ellos, corregir, eliminar y transferir sus datos personales, además del derecho a optar por no participar en la publicidad dirigida, la venta de sus datos, y el perfilado. Dos derechos van más allá que casi cualquier otro estado: el derecho a obtener una lista de los terceros específicos que recibieron sus datos, y la versión más amplia del país del derecho a cuestionar el resultado de una decisión de perfilado automatizado.

Un responsable del tratamiento generalmente debe responder a una solicitud de derechos del consumidor dentro de 45 días, y los consumidores pueden apelar un rechazo. A partir de 2026, el Fiscal General de Minnesota aplica estos derechos según Minn. Stat. 325M.20, con sanciones civiles de hasta $7,500 por infracción y sin derecho de acción privado.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos del Consumidor de Minnesota (Minn. Stat. secs. 325M.10 a 325M.21). Es información legal general, no asesoría legal.

Los derechos fundamentales del consumidor bajo la MCDPA

Los consumidores de Minnesota poseen un conjunto familiar de derechos fundamentales según Minn. Stat. 325M.14, aunque uno de ellos está definido de manera más limitada que en la mayoría de las leyes estatales integrales de privacidad. El primero es el derecho a confirmar si un responsable del tratamiento está procesando datos personales del consumidor y a acceder a las categorías de datos personales que el responsable del tratamiento está procesando. Esto alcanza las categorías y no los datos en sí, lo cual es más limitado que en un estado como Connecticut, cuya ley permite a un consumidor acceder a los datos personales mismos.

El segundo es el derecho a corregir inexactitudes en los datos personales del consumidor, teniendo en cuenta la naturaleza de los datos y los propósitos del procesamiento. El tercero es el derecho a eliminar los datos personales relativos al consumidor.

El cuarto es el derecho a la portabilidad de datos: obtener una copia de los datos personales que el consumidor proporcionó previamente, en un formato portátil y, en la medida técnicamente posible, fácilmente utilizable, que permita al consumidor transmitir los datos a otro responsable del tratamiento sin obstáculos. Estos cuatro derechos forman la columna vertebral de una solicitud de datos en Minnesota, pero la MCDPA agrega derechos que la mayoría de los estados no ofrecen.

El derecho a una lista de terceros específicos

Una de las dos características que distinguen a Minnesota es la capacidad de conocer exactamente qué terceros recibieron los datos de un consumidor. Según Minn. Stat. 325M.14, un consumidor de Minnesota puede obtener una lista de los terceros específicos a los que el responsable del tratamiento ha divulgado los datos personales del consumidor.

A opción del responsable del tratamiento, este puede en su lugar proporcionar una lista de los terceros específicos a los que ha divulgado cualquier dato personal. De cualquier manera, la divulgación identifica a destinatarios nombrados en lugar de grupos amplios.

Esto va mucho más allá del modelo más común. La mayoría de las leyes estatales de privacidad permiten a un consumidor conocer solo las categorías de terceros, como "redes publicitarias" o "proveedores de servicios". Minnesota, al igual que Oregon, exige entidades nombradas. Para los consumidores, esta es una ventana mucho más significativa hacia dónde realmente viajaron sus datos. Para los responsables del tratamiento, es uno de los derechos más difíciles de satisfacer, porque requiere rastrear las divulgaciones a nivel de destinatario.

El derecho a cuestionar un resultado de perfilado: el más amplio del país

El derecho principal de la MCDPA es la versión más amplia de su tipo en cualquier ley estatal de privacidad, y solo otro estado, Connecticut, otorga algo comparable. Se aplica cuando un consumidor está sujeto a perfilado en apoyo de decisiones que producen efectos legales relativos al consumidor o efectos de importancia similar, como decisiones sobre crédito, vivienda, seguros, educación o empleo.

En esa situación, Minn. Stat. 325M.14 otorga al consumidor el derecho a cuestionar el resultado del perfilado. El consumidor también tiene derecho a que se le informe la razón por la cual el perfilado resultó en la decisión, incluyendo, si es factible, el tipo de datos utilizados y cómo fueron relevantes.

Minnesota va aún más lejos. El consumidor tiene derecho, si es factible, a que se le informe qué acciones podría haber tomado para obtener una decisión diferente, y qué acciones podría tomar para obtener una decisión diferente en el futuro. Y el consumidor tiene derecho a revisar los datos personales utilizados en el perfilado, a corregir esos datos, y a que la decisión se reevalúe si se basó en datos inexactos.

La mayoría de las leyes estatales se limitan a permitir que un consumidor opte por no participar en el perfilado antes de que ocurra. Minnesota permite a un consumidor que ya ha sido perfilado impugnar el resultado en sí y exigir el razonamiento. Connecticut se convirtió en el segundo estado en hacerlo: la Ley Pública 25-113 reescribió el Conn. Gen. Stat. sec. 42-518, vigente a partir del 1 de julio de 2026, para otorgar a los consumidores el derecho, si es factible, a cuestionar el resultado del perfilado, a que se les informe la razón por la que produjo la decisión, y a revisar los datos utilizados. La versión de Connecticut se queda corta frente a la de Minnesota en dos aspectos: no exige informar al consumidor qué acciones podrían haber producido una decisión diferente, y limita la corrección y reevaluación a decisiones de perfilado relacionadas con la vivienda. El derecho de Minnesota sigue siendo el más amplio del país para cuestionar un perfilado y el elemento práctico central de la MCDPA.

Los derechos de exclusión y el mecanismo universal de exclusión

Más allá de los derechos de tipo acceso, los consumidores de Minnesota pueden optar por no participar en tres actividades específicas de procesamiento según Minn. Stat. 325M.14: la publicidad dirigida, la venta de datos personales, y el perfilado en apoyo de decisiones que produzcan efectos legales o de importancia similar.

Para hacer que estas exclusiones sean utilizables a gran escala, la MCDPA exige que los responsables del tratamiento reconozcan un mecanismo universal de exclusión, a veces llamado señal de preferencia de exclusión, como el Control de Privacidad Global. Un consumidor que configura una señal de navegador o dispositivo puede comunicar una exclusión de la venta y la publicidad dirigida sin presentar una solicitud separada a cada responsable del tratamiento. Este requisito se aplica como parte de las obligaciones de la ley que entraron en vigor con ella.

El procesamiento de datos sensibles conlleva un estándar más alto. Los datos sensibles, que incluyen datos que revelan el origen racial o étnico, las creencias religiosas, una condición o diagnóstico de salud mental o física, la orientación sexual, la ciudadanía o el estatus migratorio, los datos genéticos o biométricos, la geolocalización precisa, y los datos personales de un menor conocido, no pueden procesarse sin el consentimiento previo del consumidor. Un responsable del tratamiento no puede simplemente ofrecer una exclusión para los datos sensibles; primero debe obtener un permiso afirmativo. El consentimiento también sigue siendo revocable: según Minn. Stat. 325M.16, una vez que usted revoca el consentimiento, el responsable del tratamiento debe dejar de procesar sus datos tan pronto como sea posible, y a más tardar 15 días después de recibir la solicitud.

Cómo ejercer sus derechos y el plazo de 45 días

Un consumidor de Minnesota ejerce estos derechos presentando una solicitud al responsable del tratamiento a través de un método que este designe, el cual debe describirse en su aviso de privacidad. Un responsable del tratamiento puede necesitar verificar la identidad del consumidor antes de actuar.

El responsable del tratamiento generalmente debe responder dentro de 45 días de recibir la solicitud. Cuando sea razonablemente necesario, el responsable del tratamiento puede extender ese período una vez por otros 45 días, siempre que informe al consumidor sobre la extensión y el motivo dentro de los primeros 45 días. La información generalmente debe proporcionarse de forma gratuita hasta dos veces por consumidor al año, aunque un responsable del tratamiento puede cobrar una tarifa razonable, o negarse a actuar, cuando una solicitud sea manifiestamente infundada o excesiva.

Si un responsable del tratamiento se niega a actuar sobre una solicitud, debe informar al consumidor sin demora indebida y explicar el motivo. El consumidor entonces tiene derecho a apelar.

Apelaciones y cómo involucrar al Fiscal General

La MCDPA otorga a los consumidores una vía de apelación cuando un responsable del tratamiento se niega a actuar. Un responsable del tratamiento debe establecer un proceso para que un consumidor apele el rechazo del responsable del tratamiento a tomar medidas sobre una solicitud, y ese proceso debe estar visiblemente disponible y ser similar al proceso para presentar la solicitud original.

Dentro de 45 días de recibir una apelación (con una posible extensión de hasta 60 días adicionales cuando sea razonablemente necesario, según Minn. Stat. 325M.14 subd. 5(c)), el responsable del tratamiento debe responder por escrito, explicando la medida tomada o no tomada y las razones. Si el responsable del tratamiento deniega la apelación, debe proporcionar al consumidor un método para contactar al Fiscal General de Minnesota y presentar una queja.

Esa remisión importa porque el Fiscal General es el único aplicador de la MCDPA según Minn. Stat. 325M.20. No existe un derecho de acción privado, por lo que un consumidor no puede demandar personalmente a un responsable del tratamiento por una infracción de la MCDPA. El estado tiene disponibles sanciones civiles de hasta $7,500 por infracción. El derecho de subsanación de 30 días en el que confiaban los responsables del tratamiento hasta 2025 venció el 31 de enero de 2026, por lo que un responsable del tratamiento ya no puede contar con un período de gracia garantizado.

Más Leyes de Minnesota

• Leyes de Grabación de Reuniones con IA de Minnesota
• Leyes de Pensión Alimenticia de Minnesota
• Leyes de Empleo a Voluntad de Minnesota
• Leyes de Accidentes Automovilísticos de Minnesota
• Leyes de Asientos de Seguridad para Niños de Minnesota
• Leyes de Custodia de Menores de Minnesota
• Leyes de Manutención Infantil de Minnesota
• Leyes de Matrimonio de Hecho de Minnesota
• Leyes sobre Deepfakes de Minnesota
• Leyes de Divorcio de Minnesota
• Leyes sobre Mordeduras de Perro de Minnesota
• Leyes de Emancipación de Minnesota
• Leyes de Eliminación de Antecedentes Penales de Minnesota
• Leyes de Fuga del Lugar del Accidente de Minnesota
• Leyes de Propietarios e Inquilinos de Minnesota
• Leyes del Limón de Minnesota

Guías relacionadas

• Leyes de privacidad de datos de Minnesota centro principal
• ¿Qué es la MCDPA de Minnesota?
• Lista de verificación de cumplimiento de la MCDPA de Minnesota
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?