「你有权追问算法为什么拒了你」：明尼苏达 MCDPA（Minn. Stat. § 325M.14，2025年7月31日生效）——全美唯一的画像结果质询权、首创的数据清册与首席隐私官义务，中资企业的第 385 天补课清单
2026 年 8 月 20 日，是《明尼苏达消费者数据隐私法》（Minnesota Consumer Data Privacy Act，MCDPA）生效的第 385 天，也是其 30 日整改宽限期（cure period）终止后的第 201 天。这两个数字合在一起意味着：明尼苏达州总检察长现在可以不发警告函、不给整改机会，直接就单次违规主张最高 7,500 美元的民事罚款。
MCDPA 于 2025 年 5 月签署、2025 年 7 月 31 日对多数被覆盖主体生效，使明尼苏达成为全美第 18 个通过综合性消费者隐私法的州。但它值得单独拿出来讲，不是因为它是第 18 个，而是因为它写进了三项全美其他州都没有的义务——而这三项恰好都是结构性的，无法靠改一版隐私政策蒙过去。
一、适用门槛：先确认你是否被管到
MCDPA 适用于在明尼苏达州开展业务、或提供针对明州居民的产品与服务，且在上一个日历年度满足以下任一门槛的法律实体：
（1）控制或处理 100,000 名及以上明州消费者的个人数据——其中仅为完成支付交易而控制或处理的个人数据可予排除；或
（2）从个人数据的出售中获得超过 25% 的总收入，且控制或处理 25,000 名及以上明州消费者的个人数据。
注意第一项门槛没有营收下限。对做跨境电商、社交应用、内容平台的中资企业而言，10 万名用户是一个很容易越过的数字，而「我们在明尼苏达没有实体」并不构成抗辩——法条锚定的是「针对明州居民提供产品或服务」。与多数州法一致，MCDPA 对受特定联邦法与州法覆盖的数据及主体设有豁免。
二、全美唯一：画像结果的"质询权"（Minn. Stat. § 325M.14）
与多数州法一样，MCDPA 赋予消费者退出（opt out）为"画像"（profiling）目的处理其个人数据的权利，前提是该画像用于产生法律效果或类似重大效果的自动化决策。这一条不新鲜。
新鲜的是叠加在退出权之上的质询权。当消费者的个人数据被用于画像、并促成产生法律效果或类似重大效果的决策时，该消费者有权：
（1）被告知画像之所以得出该决策的原因；并在可行的情况下，被告知其原本可以采取何种行动以获得不同结果、以及今后可以采取何种行动以获得不同结果；
（2）查阅该次画像所使用的其本人个人数据；
（3）若认定该决策系基于不准确的个人数据作出，则有权要求更正数据，并基于更正后的数据重新评估该决策。
这里有一个极易被忽略的范围差：退出权只适用于构成"自动化决策"的画像，而质询权适用于任何产生上述效果的决策。换言之，即使企业在流程中保留了人工复核环节、从而主张该决策不是"自动化决策"，质询权依然成立。人在环（human-in-the-loop）在明尼苏达不是豁免通道。
此外，MCDPA 对"画像"的定义相当宽：为评估、分析或预测某一已识别或可识别自然人的经济状况、健康、个人偏好、兴趣、可靠性、行为、位置或行动轨迹而进行的任何形式的个人数据自动化处理。风控评分、信用预审、租户筛查、保费定价、账号封禁与限流、履约能力评估，都可能落入其中。
三、首创义务之一：强制数据清册（data inventory）
与多数州一样，MCDPA 要求控制者建立、实施并维持合理的数据安全措施，以保护个人数据的保密性、完整性与可访问性。明尼苏达多走了一步：要求被覆盖主体创建并维持"为履行上述职责所必须管理的数据清册"（an inventory of data that must be managed to exercise these responsibilities）。
这是美国第一部把数据清册/数据地图写成法定义务的州级隐私法。GDPR 项下的数据映射义务早已存在，其余各州则一直把它当作最佳实践而非硬性要求。需要提醒的是：法条并未定义清册的具体范围与格式，也没有给出指引。这种"义务明确、标准留白"的立法方式，在执法阶段的实际效果是把举证压力转移给企业——你必须自己论证你的清册是充分的。
四、首创义务之二：书面政策程序与首席隐私官
MCDPA 同时要求控制者记录并维持其为遵守本法而采纳的政策与程序的说明，且该说明必须包含控制者首席隐私官（chief privacy officer）或其他对政策程序负主要责任者的姓名与联系方式。
这同样是美国州级隐私法中的首例，其概念对应 GDPR 项下的数据保护官（DPO）设置义务。对中资企业的实际含义是：明尼苏达要求一个具名的、可被追责的自然人。这不是一个可以由"合规部"或"法务邮箱"承接的义务，而且一旦具名，该人员在后续执法与诉讼中就是当然的问询对象。
五、其余四项差异条款
特定第三方接收方的具名权。与多数州法不同，MCDPA 赋予消费者请求获知其个人数据被披露给哪些具体第三方的权利；若该信息无法提供，则控制者须提供其向任何个人披露过个人数据的具体第三方名单。俄勒冈州法有类似规定。
13 至 16 岁的定向广告禁令。"已知儿童"的个人数据被列为敏感数据，处理前须取得家长或法定监护人同意。MCDPA 比其他综合性州法更明确地禁止控制者在明知消费者年龄处于 13 至 16 岁之间时，为定向广告目的处理其个人数据。
反歧视条款的实体化。州隐私法通常仅禁止以违反反歧视法的方式处理个人数据。MCDPA 进一步明确禁止基于种族、族裔、宗教、原国籍、性别、性别认同、性取向、家庭状况、合法收入来源或残疾等实际或被认知的特征处理个人数据，以致在住房、就业、信贷、教育或公共场所服务方面构成非法歧视。
六、执法与罚则
MCDPA 不设私人诉权，由明尼苏达州总检察长专属执法，救济方式包括禁令与最高每次违规 7,500 美元的民事罚款。
关键的时间线是整改宽限期：法律生效后六个月内（即至 2026 年 1 月 31 日）设有 30 日整改期，执法须以总检察长的警告函开始；该条款已于 2026 年 1 月 31 日日落失效。此后发生的违规不再享有法定整改机会。截至今日，明尼苏达应被视为"无强制整改期"的活跃执法州。
七、对中资企业的合规要点
1. 先做门槛测算，并保留测算过程。按"上一个日历年度"逐年重算两项门槛，并把"仅为完成支付交易"的排除口径写清楚——这项排除对交易量大、注册用户少的跨境电商可能决定适用与否。测算结论应形成书面记录，而非口头判断。
2. 建立画像决策台账，并为质询权准备"可解释的答复"。逐一梳理所有产生法律效果或类似重大效果的决策场景（风控拒绝、账号封禁、限额、拒保、拒租、拒贷），登记每个场景的输入字段、模型或规则、以及人工介入环节。对每个场景预先准备三段式答复模板：决策原因、可采取的改变行动、所用数据的查阅路径。切记人工复核不能豁免质询权。
3. 把数据清册从表格升级为可审计的制度。清册需覆盖数据类别、来源、处理目的、留存期限、存储位置、接收方与跨境流向，并明确更新频率与责任人。由于法条未定标准，建议以 GDPR 第 30 条的记录结构作为参照基线，并保留版本历史以证明持续维护。
4. 指定并公示首席隐私官，同时厘清其权责边界。需要一个具名自然人及其联系方式，且该信息须记入书面政策程序说明。对中资企业而言，还应事先明确该人员与中国境内个人信息保护负责人之间的分工、汇报线与授权范围，避免出现"具名者无权决策"的结构性风险。
5. 打通第三方接收方名单与留存政策披露。具名权要求企业能按消费者维度输出"数据给了谁"，这在使用大量 SDK、广告平台与数据处理服务商的技术栈中通常需要新建映射能力。同时更新隐私声明，补入留存政策说明与最后更新日期两项。
6. 关闭 13–16 岁的定向广告链路。若产品存在年龄信号（注册年龄、学校信息、家长同意流程），须在广告投放侧建立硬性拦截，而不只是在政策中声明不投放。
八、格知律所如何协助
格知律师事务所（Getech Law）在数据合规方向为中资出海企业提供的服务，与 MCDPA 的上述义务逐项对应：适用门槛评估与书面测算备忘，覆盖明尼苏达及其余各州综合隐私法的并行门槛；算法与画像治理程序的搭建，包括画像决策场景台账、质询权答复模板、以及"人工复核不构成豁免"前提下的流程重设计；数据清册（data inventory）与数据地图的编制，以 GDPR 第 30 条结构为基线并适配美国州法的留存与跨境披露要求；首席隐私官职责框架与书面政策程序说明的起草，含中美两侧负责人的权责划分与授权文件；第三方接收方映射与 SDK / 供应商 DPA 审查，以支撑具名权响应；以及隐私声明与青少年广告合规的改版。事务所位于芝加哥 203 N LaSalle Ste 2100，团队同时熟悉美国州级隐私执法实践与中国《个人信息保护法》项下的自动化决策说明义务，可在同一套治理文档中兼顾两侧要求。
九、结语
把 MCDPA 与中国《个人信息保护法》放在一起看，会发现一个有意思的收敛：《个保法》第 24 条要求通过自动化决策方式作出对个人权益有重大影响的决定时，个人有权要求说明，并有权拒绝仅通过自动化决策的方式作出决定；MCDPA § 325M.14 的质询权在结构上高度相似，但把"仅通过自动化决策"这一限定去掉了——保留人工环节在明尼苏达不再是安全港。
对已经为《个保法》建过自动化决策说明机制的中资企业，这是一个成本较低的复用机会：底层能力（决策日志、字段可追溯、说明模板）是共通的，需要补的是范围扩张与英文答复口径。而对尚未建立该能力的企业，明尼苏达的三项首创义务——数据清册、具名首席隐私官、画像质询权——恰好构成一份最小可行的数据治理骨架。第 385 天补课，仍然比第一封总检察长问询函之后补课便宜。