Marylandský zákon o online ochraně osobních údajů: co potřebují vědět vydavatelé financovaní z reklam
Proč Maryland v mozaice státních zákonů o soukromí vyniká
Většina amerických státních zákonů o soukromí přijatých od roku 2021 sleduje známý vzor: soubor spotřebitelských práv, odhlášení z cílené reklamy a prodeje, souhlas (opt-in) pro citlivé údaje a vymáhání státním návladním. Marylandský zákon o online ochraně osobních údajů (MODPA), podepsaný v květnu 2024, tento vzor přebírá, ale několik klíčových částí zpřísňuje. Pro vydavatele financované z reklam nejsou rozdíly teoretické — ovlivňují, co smíte sbírat, co nesmíte nikdy prodávat a jak zacházíte s mladšími návštěvníky.
Zákon vstoupil v účinnost 1. října 2025 a na činnosti zpracování osobních údajů se vztahuje od 1. dubna 2026. Pokud máte návštěvníky z Marylandu, je nyní součástí vašeho běžného provozního prostředí, nikoli budoucí položkou plánu.
Na koho se zákon vztahuje
MODPA se týká podniků, které působí v Marylandu nebo zaměřují produkty a služby na obyvatele Marylandu a které v předchozím kalendářním roce:
- kontrolovaly nebo zpracovávaly osobní údaje nejméně 35 000 spotřebitelů z Marylandu (kromě údajů zpracovaných výhradně k dokončení platební transakce), nebo
- kontrolovaly nebo zpracovávaly osobní údaje nejméně 10 000 spotřebitelů a získaly více než 20 % hrubých příjmů z prodeje osobních údajů.
Tyto prahy jsou nižší než v mnoha jiných státech. Maryland má zhruba šest milionů obyvatel, takže obsahový web střední velikosti s celostátním dosahem může hranici 35 000 spotřebitelů překročit běžným provozem, zvlášť když se cookie ID a identifikátory zařízení počítají jako osobní údaje.
Ustanovení, na kterých vydavatelům nejvíc záleží
Minimalizace údajů vázaná na požadovanou službu
Mnoho státních zákonů dovoluje podniku sbírat cokoli, co uvede v oznámení o ochraně soukromí. MODPA místo toho omezuje sběr osobních údajů na to, co je přiměřeně nezbytné a úměrné poskytování nebo udržování produktu či služby, kterou spotřebitel požadoval. U citlivých údajů je laťka výš: sběr a zpracování musí být pro daný účel naprosto nezbytné. V praxi to nutí vydavatele odůvodnit každý tag a každý údaj vůči tomu, kvůli čemu čtenář skutečně přišel, ne vůči tomu, co oznámení náhodou říká.
Zákaz prodeje citlivých údajů
Jinde prodej citlivých údajů obvykle vyžaduje souhlas (opt-in). Maryland jde dál a prodej citlivých údajů zcela zakazuje. Citlivé údaje zahrnují kategorie jako zdravotní informace, přesnou geolokaci, rasový nebo etnický původ, náboženské přesvědčení, sexuální orientaci, biometrické a genetické údaje a údaje spotřebitele, o kterém se ví, že je dítě. Vydavatelé zaměření na zdraví, wellness a místní zpravodajství by měli zmapovat, jaké segmenty publika lze z jejich obsahu odvodit, a zajistit, aby žádný z nich neplynul k partnerům způsobem, který představuje prodej.
Přísnější pravidla pro nezletilé
MODPA zakazuje prodávat osobní údaje nebo je zpracovávat pro cílenou reklamu, když podnik věděl nebo měl vědět, že spotřebiteli není 18 let. Standard “měl vědět” je širší než testy skutečné vědomosti v mnoha jiných státech. Weby s obsahem pro teenagery — hry, pomoc s úkoly, hudba, sport — potřebují obhajitelný přístup k signálům o věku a k tomu, jaké reklamní prostředí tyto sekce dostávají.
Odhlášení a univerzální signály
Spotřebitelé se mohou odhlásit z cílené reklamy, prodeje osobních údajů a určitého profilování. Podniky musí respektovat také univerzální mechanismy odhlášení, například signál prohlížeče Global Privacy Control. Pokud váš web zatím GPC nečte a nepřevádí ho na odhlášení z příslušného zpracování, je Maryland dalším důvodem, proč tuto mezeru zacelit.
Vymáhání
MODPA vymáhá Oddělení ochrany spotřebitele při státním návladním Marylandu. Samotný zákon nepřiznává právo soukromé žaloby. V počátečním období může oddělení podnikům nabídnout možnost porušení napravit, než přikročí k opatřením, ale je to na uvážení a dočasné, takže se na to jako na strategii nelze spoléhat.
Praktický akční plán
- Zkontrolujte prahy. Odhadněte dosah v Marylandu z analytiky a zahrňte identifikátory na úrovni zařízení, nejen přihlášené uživatele.
- Proveďte přezkum minimalizace. Vypište každý tag, SDK a datové pole a zaznamenejte, kterou čtenářem požadovanou službu každé z nich podporuje. Odstraňte, co neodůvodníte.
- Auditujte citlivé kategorie. Určete, které obsahové oblasti mohou vést k citlivým závěrům, a ověřte, že se tyto segmenty nikdy neprodávají ani nesdílejí za účelem prodeje.
- Zkontrolujte signály o věku. Rozhodněte, jak naložit se sekcemi, kde převažují teenageři, a zda tam cílenou reklamu vypnout.
- Zapojte GPC a odkaz pro odhlášení. Zajistěte, aby se signál GPC nebo kliknutí na odkaz pro odhlášení projevilo v signálech odesílaných reklamním partnerům, například prostřednictvím řetězce IAB GPP.
- Aktualizujte oznámení o ochraně soukromí. Popište kategorie údajů, účely, třetí strany a způsob uplatnění práv jazykem, kterému čtenář porozumí.
Jak pomáhá FlexyConsent
FlexyConsent podporuje IAB Global Privacy Platform (GPP) v1.1 s americkou národní sekcí a 16 zákony amerických států, takže volby odhlášení lze předat vašim reklamním partnerům ve standardním formátu, který očekávají. Stejný banner v 57 jazycích může americkým, evropským i dalším návštěvníkům zobrazit různá prostředí a každý tarif zahrnuje plnou sadu funkcí, včetně bezplatného tarifu.
Klíčové poznatky
- MODPA vstoupil v účinnost 1. října 2025 a na činnosti zpracování se vztahuje od 1. dubna 2026.
- Prahy jsou nízké: 35 000 spotřebitelů z Marylandu, nebo 10 000 a více než 20 % příjmů z prodeje údajů.
- Sběr je omezen na to, co je přiměřeně nezbytné pro požadovanou službu, a u citlivých údajů na to, co je naprosto nezbytné.
- Citlivé údaje se nesmějí prodávat vůbec a osoby mladší 18 let se nesmějí cílit, pokud jste jejich věk znali nebo znát měli.
- Respektujte univerzální signály odhlášení jako GPC a předávejte odhlášení dál přes GPP.