Per què Maryland destaca dins del mosaic de lleis estatals de privacitat

La majoria de lleis estatals de privacitat dels EUA aprovades des del 2021 segueixen un model conegut: un conjunt de drets del consumidor, una baixa per a la publicitat segmentada i les vendes, consentiment previ per a les dades sensibles i aplicació per part del fiscal general de l'estat. La Maryland Online Data Privacy Act (MODPA), signada el maig del 2024, pren aquest model però n'estreny diverses parts clau. Per als editors que viuen de la publicitat, les diferències no són teòriques — afecten què pots recollir, què no pots vendre mai i com tractes els visitants més joves.

La llei va entrar en vigor l'1 d'octubre del 2025 i s'aplica a les activitats de tractament de dades personals a partir de l'1 d'abril del 2026. Si tens visitants de Maryland, ja forma part del teu entorn operatiu habitual, no és un element futur de la planificació.

A qui s'aplica la llei

La MODPA cobreix les empreses que operen a Maryland o dirigeixen productes i serveis a residents de Maryland i que, durant l'any natural anterior, o bé:

• van controlar o tractar les dades personals d'almenys 35.000 consumidors de Maryland (excloent les dades tractades únicament per completar una transacció de pagament), o bé
• van controlar o tractar les dades personals d'almenys 10.000 consumidors i van obtenir més del 20% dels ingressos bruts de la venda de dades personals.

Aquests llindars són més baixos que els de molts altres estats. Maryland té una població d'uns sis milions d'habitants, de manera que un lloc de contingut mitjà amb abast nacional pot superar el límit dels 35.000 consumidors amb tràfic ordinari, sobretot quan els identificadors de galetes i de dispositiu es compten com a dades personals.

Les disposicions que més importen als editors

Minimització de dades lligada al servei sol·licitat

Moltes lleis estatals permeten a una empresa recollir tot allò que indica a l'avís de privacitat. La MODPA, en canvi, limita la recollida de dades personals al que és raonablement necessari i proporcionat per prestar o mantenir un producte o servei que el consumidor ha sol·licitat. Per a les dades sensibles, el llistó és més alt: la recollida i el tractament han de ser estrictament necessaris per a aquesta finalitat. A la pràctica, això empeny els editors a justificar cada etiqueta i cada dada segons allò a què ha vingut realment el lector, no segons el que l'avís diu.

Cap venda de dades sensibles

En altres llocs, vendre dades sensibles sol requerir consentiment previ. Maryland va més enllà i prohibeix de ple la venda de dades sensibles. Les dades sensibles inclouen categories com la informació de salut, la geolocalització precisa, l'origen racial o ètnic, les creences religioses, l'orientació sexual, les dades biomètriques i genètiques, i les dades d'un consumidor que se sap que és un menor. Els editors de salut, benestar i notícies locals haurien de cartografiar quins segments d'audiència es poden deduir del seu contingut i assegurar-se que cap d'ells arribi als socis de manera que equivalgui a una venda.

Normes més estrictes per a menors

La MODPA prohibeix vendre dades personals, o tractar-les per a publicitat segmentada, quan l'empresa sabia o hauria d'haver sabut que el consumidor és menor de 18 anys. El criteri “hauria d'haver sabut” és més ampli que les proves de coneixement efectiu de molts altres estats. Els llocs amb contingut orientat a adolescents — jocs, ajuda amb els deures, música, esports — necessiten un enfocament defensable sobre els senyals d'edat i sobre quines experiències publicitàries reben aquestes seccions.

Baixes i senyals universals

Els consumidors poden optar per no rebre publicitat segmentada, per no permetre la venda de dades personals i per excloure's de certes elaboracions de perfils. Les empreses també han d'honorar els mecanismes universals de baixa, com el senyal del navegador Global Privacy Control. Si el teu lloc encara no llegeix el GPC i el tradueix en una baixa per al tractament corresponent, Maryland és un motiu més per tancar aquesta bretxa.

Aplicació de la llei

La MODPA l'aplica la Divisió de Protecció del Consumidor de la Fiscalia General de Maryland. La llei mateixa no preveu cap dret d'acció privada. Durant un període inicial la Divisió pot oferir a les empreses l'oportunitat de corregir una infracció abans d'actuar, però és discrecional i temporal, de manera que no és una estratègia en què confiar.

Un pla d'acció pràctic

1. Comprova els llindars. Estima l'abast a Maryland a partir de les analítiques i inclou els identificadors a nivell de dispositiu, no només els usuaris identificats.
2. Fes una revisió de minimització. Enumera cada etiqueta, SDK i camp de dades, i anota quin servei sol·licitat pel lector dona suport cadascun. Elimina el que no puguis justificar.
3. Audita les categories sensibles. Identifica les verticals de contingut que podrien produir deduccions sensibles i confirma que aquests segments mai es venen ni es comparteixen per vendre.
4. Revisa els senyals d'edat. Decideix com es tracten les seccions amb molts adolescents i si s'hi ha de desactivar la publicitat segmentada.
5. Connecta el GPC i l'enllaç de baixa. Assegura't que un senyal GPC o un clic al teu enllaç de baixa quedi reflectit en els senyals enviats als socis publicitaris, per exemple mitjançant la cadena IAB GPP.
6. Actualitza l'avís de privacitat. Descriu les categories de dades, les finalitats, els tercers i com exercir els drets, en un llenguatge que un lector pugui seguir.

Com ajuda FlexyConsent

FlexyConsent admet l'IAB Global Privacy Platform (GPP) v1.1 amb la secció US National i 16 lleis estatals dels EUA, de manera que les opcions de baixa es poden transmetre als teus socis publicitaris en el format estàndard que esperen. El mateix bàner, en 57 idiomes, pot mostrar experiències diferents als visitants dels EUA, de la UE i d'altres llocs, i tots els plans inclouen el conjunt complet de funcions, també el pla gratuït.

Punts clau

• La MODPA va entrar en vigor l'1 d'octubre del 2025 i s'aplica als tractaments a partir de l'1 d'abril del 2026.
• Els llindars són baixos: 35.000 consumidors de Maryland, o 10.000 més d'un 20% dels ingressos procedents de la venda de dades.
• La recollida es limita al que és raonablement necessari per al servei sol·licitat, i estrictament necessari per a les dades sensibles.
• Les dades sensibles no es poden vendre en absolut, i els menors de 18 anys no es poden segmentar quan sabies o hauries d'haver sabut la seva edat.
• Honora els senyals universals de baixa com el GPC i transmet les baixes cap avall mitjançant GPP.