Hvorfor Maryland skiller sig ud i klatæppet af amerikanske statslove

De fleste amerikanske staters privatlivslove siden 2021 følger en velkendt skabelon: et sæt forbrugerrettigheder, en opt-out for målrettet annoncering og salg, opt-in-samtykke til følsomme data og håndhævelse ved statens generaladvokat. Maryland Online Data Privacy Act (MODPA), underskrevet i maj 2024, låner den skabelon, men skærper flere af dens centrale dele. For annoncefinansierede udgivere er forskellene ikke akademiske — de påvirker, hvad du må indsamle, hvad du aldrig må sælge, og hvordan du behandler yngre besøgende.

Loven trådte i kraft den 1. oktober 2025 og gælder for behandlingsaktiviteter af personoplysninger fra den 1. april 2026. Hvis du har besøgende fra Maryland, er den nu en del af dit normale driftsmiljø og ikke længere et fremtidigt punkt på køreplanen.

Hvem loven gælder for

MODPA omfatter virksomheder, der driver forretning i Maryland eller retter produkter og tjenester mod indbyggere i Maryland, og som i det foregående kalenderår enten:

• kontrollerede eller behandlede personoplysninger om mindst 35.000 forbrugere i Maryland (bortset fra data, der udelukkende blev behandlet for at gennemføre en betaling), eller
• kontrollerede eller behandlede personoplysninger om mindst 10.000 forbrugere og fik mere end 20 % af bruttoindtægten fra salg af personoplysninger.

Disse tærskler er lavere end i mange andre stater. Maryland har cirka seks millioner indbyggere, så et mellemstort indholdssite med landsdækkende rækkevidde kan krydse grænsen på 35.000 forbrugere med almindelig trafik, især når cookie-id'er og enhedsidentifikatorer tæller som personoplysninger.

De bestemmelser, der betyder mest for udgivere

Dataminimering knyttet til den ønskede tjeneste

Mange statslove lader en virksomhed indsamle, hvad den oplyser i sin privatlivspolitik. MODPA begrænser i stedet indsamlingen af personoplysninger til det, der er rimeligt nødvendigt og proportionalt for at levere eller opretholde et produkt eller en tjeneste, forbrugeren har bedt om. For følsomme data er kravet højere: indsamling og behandling skal være strengt nødvendig til det formål. I praksis får det udgivere til at begrunde hvert tag og datapunkt over for det, læseren faktisk kom for, frem for over for det, politikken tilfældigvis siger.

Intet salg af følsomme data

Andre steder kræver salg af følsomme data normalt opt-in-samtykke. Maryland går videre og forbyder direkte salg af følsomme data. Følsomme data omfatter kategorier som sundhedsoplysninger, præcis geolokation, race eller etnisk oprindelse, religiøse overbevisninger, seksuel orientering, biometriske og genetiske data samt data om en forbruger, der vides at være et barn. Udgivere inden for sundhed, wellness og lokalnyheder bør kortlægge, hvilke målgruppesegmenter der kan udledes af deres indhold, og sikre, at ingen af dem flyder til partnere på en måde, der svarer til et salg.

Strengere regler for mindreårige

MODPA forbyder at sælge personoplysninger eller behandle dem til målrettet annoncering, når virksomheden vidste eller burde have vidst, at forbrugeren er under 18. Standarden “burde have vidst” er bredere end testene for faktisk viden i mange andre stater. Sites med indhold til teenagere — gaming, lektiehjælp, musik, sport — har brug for en forsvarlig tilgang til alderssignaler og til, hvilke annonceoplevelser disse sektioner får.

Opt-outs og universelle signaler

Forbrugere kan fravælge målrettet annoncering, salg af personoplysninger og visse former for profilering. Virksomheder skal desuden respektere universelle opt-out-mekanismer som browsersignalet Global Privacy Control. Hvis dit site endnu ikke læser GPC og omsætter det til en opt-out for den relevante behandling, er Maryland endnu en grund til at lukke det hul.

Håndhævelse

MODPA håndhæves af Consumer Protection Division hos Marylands generaladvokat. Loven selv giver ingen privat søgsmålsret. I en indledende periode kan afdelingen give virksomheder mulighed for at afhjælpe en overtrædelse, før den griber ind, men det er skønsmæssigt og midlertidigt, så det er ikke en strategi at bygge på.

En praktisk handlingsplan

1. Tjek tærsklerne. Anslå rækkevidden i Maryland ud fra analytics og medregn identifikatorer på enhedsniveau, ikke kun loggede brugere.
2. Gennemfør en minimeringsgennemgang. List hvert tag, hver SDK og hvert datafelt og notér, hvilken af læseren efterspurgt tjeneste hver understøtter. Fjern det, du ikke kan begrunde.
3. Gennemgå følsomme kategorier. Identificér indholdsområder, der kan give følsomme slutninger, og bekræft, at disse segmenter aldrig sælges eller deles med henblik på salg.
4. Gennemgå alderssignaler. Beslut, hvordan sektioner med mange teenagere håndteres, og om målrettet annoncering bør slås fra der.
5. Forbind GPC og opt-out-linket. Sørg for, at et GPC-signal eller et klik på dit opt-out-link afspejles i de signaler, der sendes til annoncepartnere, for eksempel gennem IAB GPP-strengen.
6. Opdatér din privatlivspolitik. Beskriv kategorier af data, formål, tredjeparter og hvordan rettigheder udøves, i et sprog, en læser kan følge.

Sådan hjælper FlexyConsent

FlexyConsent understøtter IAB Global Privacy Platform (GPP) v1.1 med US National-sektionen og 16 amerikanske statslove, så opt-out-valg kan videregives til dine annoncepartnere i det standardformat, de forventer. Det samme banner kan på 57 sprog vise forskellige oplevelser til amerikanske, europæiske og andre besøgende, og alle abonnementer indeholder det fulde funktionssæt, også det gratis.

Vigtigste pointer

• MODPA trådte i kraft den 1. oktober 2025 og gælder for behandlingsaktiviteter fra den 1. april 2026.
• Tærsklerne er lave: 35.000 forbrugere i Maryland eller 10.000 plus mere end 20 % af indtægten fra datasalg.
• Indsamling er begrænset til det, der er rimeligt nødvendigt for den ønskede tjeneste, og til det strengt nødvendige for følsomme data.
• Følsomme data må slet ikke sælges, og under-18-årige må ikke målrettes, når du vidste eller burde have vidst deres alder.
• Respektér universelle opt-out-signaler som GPC og videregiv opt-outs via GPP.