Minnesota
¿Qué es la Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA)?
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 8 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA), codificada en las secciones 325M.10 a 325M.21 de los Estatutos de Minnesota, entró en vigor el 31 de julio de 2025 para la mayoría de los responsables del tratamiento, con una fecha de cumplimiento retrasada al 31 de julio de 2029 para las instituciones postsecundarias reguladas por la Oficina de Educación Superior y las corporaciones sin fines de lucro regidas por el Capítulo 317A. Promulgada en 2024 como parte de una medida general (HF 4757) y firmada por el gobernador Tim Walz, otorga a los residentes de Minnesota un conjunto completo de derechos de datos más dos características que pocos otros estados igualan: el derecho a obtener una lista de los terceros específicos que recibieron sus datos, y el derecho a cuestionar el resultado de una decisión de perfilado automatizado.
A partir de 2026, el Fiscal General de Minnesota tiene autoridad exclusiva de aplicación de la ley y puede buscar sanciones civiles de hasta $7,500 por infracción según Minn. Stat. 325M.20. El derecho de subsanación de 30 días en el que confiaban los responsables del tratamiento hasta 2025 venció el 31 de enero de 2026, por lo que una empresa ya no puede contar con un período de gracia garantizado antes de que el estado actúe.
Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos del Consumidor de Minnesota (Minn. Stat. 325M.10 a 325M.21). Es información legal general, no asesoría legal.
Qué es la MCDPA: estatuto, promulgación y fechas de vigencia
La Ley de Privacidad de Datos del Consumidor de Minnesota es la primera ley integral de privacidad de datos del consumidor de Minnesota. Está codificada en las secciones 325M.10 a 325M.21 de los Estatutos de Minnesota. La Sección 325M.10 limita la cláusula de cita propia de la ley a esas secciones, lo cual es importante porque la parte anterior del Capítulo 325M, las secciones 325M.01 a 325M.09, es una ley de privacidad de proveedores de servicios de internet distinta de 2002 que define a un consumidor como un suscriptor de un proveedor de acceso a internet. La ley se aprobó en la sesión legislativa de 2024 como parte de una gran medida general, el House File 4757. El gobernador Tim Walz la firmó como ley, y la mayoría de sus obligaciones sustantivas entraron en vigor el 31 de julio de 2025.
La ley utiliza una fecha de cumplimiento retrasada para una categoría de organización. Según la disposición de fecha de vigencia de la ley, las instituciones postsecundarias reguladas por la Oficina de Educación Superior no están obligadas a cumplir hasta el 31 de julio de 2029. Todos los demás responsables del tratamiento cubiertos han estado sujetos a la MCDPA desde el 31 de julio de 2025.
A partir de 2026, la MCDPA coloca a Minnesota entre los aproximadamente veinte estados que han promulgado estatutos integrales de privacidad del consumidor. Lo que distingue a Minnesota no es la amplitud de sus derechos, que siguen el modelo ahora común de Virginia, sino dos adiciones distintivas: un derecho a la lista de terceros específicos y un derecho único en su tipo a cuestionar las decisiones de perfilado automatizado.
Para conocer las obligaciones completas del responsable y el encargado del tratamiento, las reglas de contenido del aviso de privacidad, y los requisitos de evaluación de protección de datos, consulte la página principal de leyes de privacidad de datos de Minnesota.
A quién cubre la MCDPA: umbrales de aplicabilidad
La prueba de aplicabilidad de la MCDPA se encuentra en Minn. Stat. 325M.12. La ley se aplica a una persona que realiza negocios en Minnesota, o que produce productos o servicios dirigidos a los residentes de Minnesota, y que durante un año calendario cumple con una de dos pruebas de volumen de datos.
El primer activador es controlar o procesar los datos personales de 100,000 o más consumidores. Los datos procesados únicamente para completar una transacción de pago no cuentan para esta cifra, por lo que un minorista no supera el umbral solo por los datos de tarjetas de compras individuales.
El segundo activador es controlar o procesar los datos personales de 25,000 o más consumidores mientras se obtiene más del 25 por ciento de los ingresos brutos de la venta de datos personales. Este umbral más bajo de número de consumidores captura a las empresas basadas en datos cuyo modelo depende de la venta de información personal.
Minnesota también exime a las pequeñas empresas según la definición de la Administración de Pequeñas Empresas de Estados Unidos, aunque incluso una pequeña empresa exenta no puede vender los datos sensibles de un consumidor sin antes obtener su consentimiento. A diferencia de muchos estados similares, la exención para organizaciones sin fines de lucro de Minnesota es inusualmente estrecha: cubre únicamente a las organizaciones sin fines de lucro establecidas para detectar y prevenir el fraude de seguros (Minn. Stat. 325M.12), por lo que una organización sin fines de lucro ordinaria que cumpla con los umbrales sigue estando cubierta. La MCDPA también conlleva las exenciones familiares a nivel de entidad y de datos para los datos y entidades reguladas bajo la Ley Gramm-Leach-Bliley y la Ley de Portabilidad y Responsabilidad del Seguro Médico, entre otras.
El derecho a la lista de terceros específicos
La primera característica principal de la MCDPA es la capacidad de conocer exactamente qué terceros recibieron los datos de un consumidor. Según Minn. Stat. 325M.14, un consumidor de Minnesota puede obtener una lista de los terceros específicos a los que el responsable del tratamiento ha divulgado los datos personales del consumidor. El estatuto permite una excepción limitada: si el responsable del tratamiento no mantiene esa información en un formato específico para el consumidor, puede proporcionar en su lugar una lista de los terceros específicos a los que ha divulgado los datos personales de cualquier consumidor. Esa es una condición derivada de cómo se mantiene el registro, no una opción libre para el responsable del tratamiento.
Esto es significativamente diferente de la divulgación que exige la mayoría de las leyes estatales de privacidad. Bajo el modelo más común, un consumidor puede conocer solo las categorías de terceros, como "socios publicitarios" o "proveedores de análisis". Minnesota, al igual que Oregon, va más allá y permite al consumidor solicitar las entidades nombradas y específicas.
Para las empresas, el derecho a la lista de terceros específicos es una de las obligaciones más difíciles de diseñar de la MCDPA, porque requiere rastrear las divulgaciones a nivel de destinatarios nombrados en lugar de categorías amplias. Para los consumidores, ofrece mucha más transparencia sobre dónde realmente viajaron sus datos. La guía de derechos del consumidor bajo la MCDPA de Minnesota cubre este derecho y el procedimiento de respuesta en profundidad.
El derecho a cuestionar un resultado de perfilado: la característica distintiva de Minnesota
El derecho más distintivo de la MCDPA no tenía paralelo en la ley de privacidad de ningún otro estado cuando entró en vigor, y solo Connecticut lo ha igualado desde entonces. Cuando un consumidor está sujeto a perfilado en apoyo de decisiones que producen efectos legales o de importancia similar, Minn. Stat. 325M.14 otorga al consumidor cuatro derechos interrelacionados vinculados a ese perfilado.
El consumidor puede cuestionar el resultado del perfilado. Se le puede informar al consumidor sobre la razón por la cual el perfilado resultó en la decisión, y, si es factible, se le puede informar qué acciones podría tomar el consumidor para obtener una decisión diferente en el futuro. El consumidor puede revisar los datos personales utilizados en el perfilado, y puede lograr que esos datos se corrijan y que la decisión se reevalúe si se basó en datos inexactos.
Minnesota fue el primer estado en otorgar a un consumidor un derecho afirmativo a impugnar el resultado de una decisión automatizada y exigir el razonamiento detrás de ella. Connecticut ha adoptado desde entonces una versión muy similar: la Ley Pública 25-113 de Connecticut de 2025 (Sec. 8) derogó y sustituyó el Conn. Gen. Stat. 42-518, vigente desde el 1 de julio de 2026, y la nueva subdivisión (a)(6) permite a un consumidor cuyos datos fueron perfilados en apoyo de una decisión automatizada con efectos legales o de importancia similar cuestionar el resultado del perfilado, ser informado de la razón por la que se produjo la decisión, y revisar los datos personales utilizados. Los dos estados difieren en el remedio: Connecticut permite al consumidor corregir datos incorrectos y que se reevalúe la decisión únicamente cuando la decisión de perfilado se refiera a vivienda, mientras que Minnesota permite la corrección y reevaluación para cualquier decisión de perfilado que se demuestre basada en datos inexactos. La mayoría de las demás leyes estatales integrales aún se limitan a permitir que un consumidor opte por no participar en el perfilado, por lo que Minnesota permanece a la vanguardia de la regulación de decisiones automatizadas.
La obligación de inventario de datos: una obligación afirmativa poco común
La MCDPA también impone un deber de documentación que pocas otras leyes estatales de privacidad exigen. Según Minn. Stat. 325M.18, un responsable del tratamiento debe establecer, implementar y mantener prácticas razonables de seguridad de datos administrativas, técnicas y físicas, y como parte de ese programa debe mantener un inventario de los datos personales que debe administrar para cumplir con sus obligaciones.
Los responsables del tratamiento también deben documentar y mantener una descripción de las políticas y procedimientos que el responsable del tratamiento ha adoptado para cumplir con la ley, incluyendo una descripción de las prácticas de minimización y retención de datos y el nombre y la información de contacto del director de privacidad del responsable del tratamiento u otra persona responsable. Esto a veces se describe como el primer requisito estatal en exigir un inventario de datos documentado de este tipo, una obligación conocida desde hace mucho tiempo bajo el Reglamento General de Protección de Datos de la Unión Europea.
La consecuencia práctica es que un responsable del tratamiento de Minnesota no puede tratar la privacidad como un conjunto de respuestas puntuales a las solicitudes del consumidor. Debe construir y documentar un programa de gobernanza continuo. La lista de verificación de cumplimiento de la MCDPA de Minnesota explica cómo construir ese inventario y ese programa.
MCDPA vs. CCPA: las diferencias clave
La MCDPA de Minnesota y la CCPA de California son a menudo comparadas por las empresas que operan a nivel nacional. La página de comparación de leyes estatales de privacidad de datos cubre el panorama más amplio entre estados, pero varias diferencias entre la MCDPA y la CCPA de California se destacan.
| Característica | MCDPA de Minnesota | CCPA/CPRA de California |
|---|---|---|
| Umbral de cobertura | 100,000 consumidores, o 25,000 más del 25% de ingresos por venta de datos; pequeñas empresas de la SBA exentas | $25M de ingresos, 100,000 consumidores, o 50% de ingresos por venta de datos |
| Cuestionar un resultado de perfilado | Sí (Minn. Stat. 325M.14), primero en el país | No |
| Derecho de divulgación a terceros | Terceros específicos nombrados (Minn. Stat. 325M.14) | Categorías de terceros |
| Obligación de inventario de datos | Requerida (Minn. Stat. 325M.18) | No requerida como obligación independiente |
| Datos sensibles | Se requiere consentimiento previo | Derecho a limitar el uso; modelo de exclusión |
| Derecho de acción privado | Ninguno | Limitado, para ciertas violaciones de datos |
Las diferencias más consecuentes son el derecho a cuestionar el perfilado y el derecho a la lista de terceros, ninguno de los cuales ofrece la CCPA, y la obligación afirmativa de inventario de datos. Las dos leyes también difieren en cuanto a los datos sensibles: California utiliza un "derecho a limitar" de exclusión, mientras que Minnesota exige el consentimiento previo antes de que los datos sensibles puedan procesarse en absoluto.
Más Leyes de Minnesota
- Leyes de Grabación de Reuniones con IA de Minnesota
- Leyes de Pensión Alimenticia de Minnesota
- Leyes de Empleo a Voluntad de Minnesota
- Leyes de Accidentes Automovilísticos de Minnesota
- Leyes de Asientos de Seguridad para Niños de Minnesota
- Leyes de Custodia de Menores de Minnesota
- Leyes de Manutención Infantil de Minnesota
- Leyes de Matrimonio de Hecho de Minnesota
- Leyes sobre Deepfakes de Minnesota
- Leyes de Divorcio de Minnesota
- Leyes sobre Mordeduras de Perro de Minnesota
- Leyes de Emancipación de Minnesota
- Leyes de Eliminación de Antecedentes Penales de Minnesota
- Leyes de Fuga del Lugar del Accidente de Minnesota
- Leyes de Propietarios e Inquilinos de Minnesota
- Leyes del Limón de Minnesota
Guías relacionadas
Preguntas frecuentes
¿Qué es la Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA)?
La MCDPA es la ley integral de privacidad de datos del consumidor de Minnesota, codificada en Minn. Stat. 325M.10 a 325M.21. Se promulgó en 2024 como parte del proyecto de ley general HF 4757, firmado por el gobernador Tim Walz, y entró en vigor el 31 de julio de 2025 para la mayoría de los responsables del tratamiento. Otorga a los residentes de Minnesota derechos sobre sus datos personales y exige que las empresas cubiertas sean transparentes sobre cómo los recopilan, usan y divulgan. Tenga en cuenta que Minnesota comparte las siglas MCDPA con la ley de Montana, por lo que esta guía siempre se refiere a la ley de Minnesota.
¿Cuándo entró en vigor la MCDPA de Minnesota?
La MCDPA entró en vigor el 31 de julio de 2025 para la mayoría de los responsables del tratamiento. Las instituciones postsecundarias reguladas por la Oficina de Educación Superior tienen una fecha de cumplimiento retrasada al 31 de julio de 2029. A partir de 2026, la fecha de vigencia general ya pasó, por lo que la mayoría de las empresas cubiertas están plenamente sujetas a la ley.
¿Quién debe cumplir con la MCDPA de Minnesota?
Según Minn. Stat. 325M.12, la MCDPA cubre a un responsable del tratamiento que realiza negocios en Minnesota o se dirige a los residentes de Minnesota y que, en un año calendario, controla o procesa los datos personales de 100,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene más del 25 por ciento de los ingresos brutos de la venta de datos personales. Las pequeñas empresas según la definición de la Administración de Pequeñas Empresas de EE. UU. están exentas, aunque todavía necesitan consentimiento para vender datos sensibles.
¿Cuál es el derecho de Minnesota a cuestionar un resultado de perfilado?
Según Minn. Stat. 325M.14, cuando un consumidor está sujeto a perfilado que produce efectos legales o de importancia similar, el consumidor puede cuestionar el resultado del perfilado, que se le informe la razón por la que se llegó a ese resultado, saber qué acciones podría tomar para obtener una decisión diferente en el futuro, y revisar y corregir los datos utilizados. Minnesota fue el primer estado en otorgar este derecho; Connecticut adoptó una versión muy similar, vigente desde el 1 de julio de 2026 (Conn. Gen. Stat. 42-518(a)(6), enmendado por la Ley Pública 25-113 de Connecticut de 2025, Sec. 8), aunque Connecticut limita el paso de corrección y reevaluación a las decisiones sobre vivienda, mientras que el de Minnesota se aplica a cualquier decisión de perfilado basada en datos inexactos.
¿Qué es el derecho de Minnesota a la lista de terceros específicos?
Según Minn. Stat. 325M.14, un consumidor de Minnesota puede obtener una lista de los terceros específicos a los que el responsable del tratamiento ha divulgado los datos personales del consumidor. Solo si el responsable del tratamiento no mantiene esa información en un formato específico para el consumidor puede proporcionar en su lugar una lista de los terceros específicos a los que ha divulgado los datos personales de cualquier consumidor. Esto es más amplio que la divulgación a nivel de categoría que exige la mayoría de las leyes estatales, porque identifica a los destinatarios nombrados en lugar de grupos amplios. Solo un puñado de estados, incluido Oregon, otorgan este derecho.
¿Exige la MCDPA de Minnesota un inventario de datos?
Sí. Según Minn. Stat. 325M.18, un responsable del tratamiento debe mantener un inventario de los datos personales que administra y documentar sus políticas y procedimientos de privacidad y seguridad de datos, incluyendo las prácticas de minimización y retención de datos y la información de contacto de su director de privacidad. Esta obligación documentada de inventario y gobernanza es poco común entre las leyes estatales de privacidad de EE. UU. y a menudo se describe como una primicia.
¿En qué se diferencia la MCDPA de Minnesota de la CCPA?
Diferencias clave: Minnesota permite a los consumidores cuestionar el resultado de una decisión de perfilado automatizado y solicitar una lista de terceros específicos nombrados, ninguno de los cuales ofrece la CCPA de California; Minnesota impone una obligación afirmativa de inventario de datos; Minnesota exige el consentimiento previo para los datos sensibles mientras que California utiliza un derecho de exclusión a limitar; y California tiene un derecho de acción privado limitado para ciertas violaciones mientras que Minnesota no tiene ninguno.
¿Quién aplica la MCDPA de Minnesota?
El Fiscal General de Minnesota tiene autoridad exclusiva de aplicación de la ley según Minn. Stat. 325M.20. No existe un derecho de acción privado. Las sanciones civiles alcanzan hasta $7,500 por infracción. El derecho de subsanación de 30 días en el que confiaban los responsables del tratamiento hasta 2025 venció el 31 de enero de 2026, por lo que ya no existe un período de subsanación garantizado a partir de 2026.
Actualizaciones
Se corrigió la afirmación de que Minnesota es el único estado que permite a un consumidor cuestionar el resultado de una decisión de perfilado automatizado, ya que Connecticut adoptó un derecho similar vigente desde el 1 de julio de 2026; se aclaró que la excepción en el derecho a la lista de terceros específicos es una condición y no una opción del responsable del tratamiento; y se precisó la cita de la ley a las secciones 325M.10 a 325M.21 en lugar de todo el Capítulo 325M.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
Minnesota Statutes, Chapter 325M: CONSUMER DIGITAL AND DATA PRIVACY
§ 325M.14CONSUMER PERSONAL DATA RIGHTSVigentecitada en 5 de nuestros artículos
Subdivision 1. Consumer rights provided. (a) Except as provided in sections 325M.10 to 325M.21, a controller must comply with a request to exercise the consumer rights provided in this subdivision. (b) A consumer has the right to confirm whether or not a controller is processing personal data concerning the consumer and access the categories of personal data the controller is processing. (c) A consumer has the right to correct inaccurate personal data concerning the consumer, taking into account the nature of the personal data and the purposes of the processing of the personal data. (d) A consumer has the right to delete personal data concerning the consumer. (e) A consumer has the right to obtain personal data concerning the consumer, which the consumer previously provided to the controller, in a portable and, to the extent technically feasible, readily usable format that allows the consumer to transmit the data to another controller without hindrance, where the processing is carried out by automated means.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en revisor.mn.gov
§ 325M.12SCOPE; EXCLUSIONSVigentecitada en 5 de nuestros artículos
Subdivision 1. Scope. (a) Sections 325M.10 to 325M.21 apply to legal entities that conduct business in Minnesota or produce products or services that are targeted to residents of Minnesota, and that satisfy one or more of the following thresholds: (1) during a calendar year, controls or processes personal data of 100,000 consumers or more, excluding personal data controlled or processed solely for the purpose of completing a payment transaction; or (2) derives over 25 percent of gross revenue from the sale of personal data and processes or controls personal data of 25,000 consumers or more. (b) A controller or processor acting as a technology provider under section 13.32 shall comply with sections 13.32 and 325M.10 to 325M.21, except that when the provisions of section 13.32 conflict with sections 325M.10 to 325M.21, section 13.32 prevails. Subd. 2. Exclusions.
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en revisor.mn.gov
§ 325M.18DATA PRIVACY POLICIES; DATA PRIVACY AND PROTECTION ASSESSMENTSVigentecitada en 4 de nuestros artículos
(a) A controller must document and maintain a description of the policies and procedures the controller has adopted to comply with sections 325M.10 to 325M.21. The description must include, where applicable: (1) the name and contact information for the controller's chief privacy officer or other individual with primary responsibility for directing the policies and procedures implemented to comply with the provisions of sections 325M.10 to 325M.21; and (2) a description of the controller's data privacy policies and procedures which reflect the requirements in section 325M.16, and any policies and procedures designed to: (i) reflect the requirements of sections 325M.10 to 325M.21 in the design of the controller's systems; (ii) identify and provide personal data to a consumer as required by sections 325M.10 to 325M.21; (iii) establish, implement, and maintain reasonable administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data, including the maintenance of an inventory of the data that must be managed to exercise the responsibilities under this item; (iv) limit the collection of personal data to what…
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en revisor.mn.gov
§ 325M.20ATTORNEY GENERAL ENFORCEMENTVigentecitada en 5 de nuestros artículos
(a) In the event that a controller or processor violates sections 325M.10 to 325M.21, the attorney general, prior to filing an enforcement action under paragraph (b), must provide the controller or processor with a warning letter identifying the specific provisions of sections 325M.10 to 325M.21 the attorney general alleges have been or are being violated. If, after 30 days of issuance of the warning letter, the attorney general believes the controller or processor has failed to cure any alleged violation, the attorney general may bring an enforcement action under paragraph (b). This paragraph expires January 31, 2026. (b) The attorney general may bring a civil action against a controller or processor to enforce a provision of sections 325M.10 to 325M.21 in accordance with section 8.31. If the state prevails in an action to enforce sections 325M.10 to 325M.21, the state may, in addition to penalties provided by paragraph (c) or other remedies provided by law, be allowed an amount determined by the court to be the reasonable value of all or part of the state's litigation expenses incurred.
Texto oficial (extracto) · verificado el 2026-07-29 · Lea el texto completo en nuestra biblioteca legal · Verifique en revisor.mn.gov
Explore la ley
Este artículo también se apoya en estas leyes y capítulos (abriendo en su primera sección): Minnesota Statutes, Chapter 325M: CONSUMER DIGITAL AND DATA PRIVACY § 325M.01 (DEFINITIONS)
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- Estatutos de Minnesota Capítulo 325M: Ley de Privacidad de Datos del Consumidor (Capítulo Completo)(revisor.mn.gov).gov
- Minn. Stat. 325M.12: Alcance; Exclusiones (Umbrales de Aplicabilidad)(revisor.mn.gov).gov
- Minn. Stat. 325M.14: Derechos de Datos Personales del Consumidor(revisor.mn.gov).gov
- Minn. Stat. 325M.18: Políticas de Privacidad de Datos; Evaluaciones de Protección y Privacidad de Datos(revisor.mn.gov).gov
- Minn. Stat. 325M.20: Aplicación de la Ley y Sanciones Civiles(revisor.mn.gov).gov
- Fiscal General de Minnesota: Privacidad de Datos del Consumidor(ag.state.mn.us).gov
- HF 4757 (Sesión Regular de 2024): Medida General de Promulgación(revisor.mn.gov).gov
- Fiscal General de Minnesota: Visión General de la Aplicación Empresarial de la MCDPA(ag.state.mn.us).gov
- Ley Pública 25-113 de Connecticut de 2025, Sec. 8 (Sustituto SB 1295): el Conn. Gen. Stat. 42-518 fue derogado y sustituido, vigente desde el 1 de julio de 2026 (derecho a cuestionar el perfilado)(cga.ct.gov)
- Minn. Stat. 325M.10: Cita (las secciones 325M.10 a 325M.21 pueden citarse como la Ley de Privacidad de Datos del Consumidor de Minnesota)(revisor.mn.gov)