Γιατί το Μέριλαντ ξεχωρίζει στο μωσαϊκό των πολιτειακών νόμων απορρήτου

Οι περισσότεροι πολιτειακοί νόμοι απορρήτου των ΗΠΑ που ψηφίστηκαν από το 2021 ακολουθούν ένα γνωστό πρότυπο: ένα σύνολο δικαιωμάτων των καταναλωτών, δυνατότητα εξαίρεσης (opt-out) από τη στοχευμένη διαφήμιση και τις πωλήσεις, συναίνεση opt-in για τα ευαίσθητα δεδομένα και επιβολή από τον γενικό εισαγγελέα της πολιτείας. Ο Maryland Online Data Privacy Act (MODPA), που υπογράφηκε τον Μάιο του 2024, δανείζεται αυτό το πρότυπο αλλά σφίγγει αρκετά βασικά σημεία του. Για τους εκδότες που βασίζονται στις διαφημίσεις, οι διαφορές δεν είναι θεωρητικές — επηρεάζουν το τι επιτρέπεται να συλλέγετε, το τι δεν επιτρέπεται ποτέ να πουλήσετε και το πώς αντιμετωπίζετε τους νεότερους επισκέπτες.

Ο νόμος τέθηκε σε ισχύ την 1η Οκτωβρίου 2025 και εφαρμόζεται στις δραστηριότητες επεξεργασίας προσωπικών δεδομένων από την 1η Απριλίου 2026. Αν έχετε επισκέπτες από το Μέριλαντ, αποτελεί πλέον μέρος του κανονικού λειτουργικού σας περιβάλλοντος και όχι ένα μελλοντικό στοιχείο του οδικού χάρτη.

Σε ποιους εφαρμόζεται ο νόμος

Ο MODPA καλύπτει επιχειρήσεις που δραστηριοποιούνται στο Μέριλαντ ή απευθύνουν προϊόντα και υπηρεσίες σε κατοίκους του Μέριλαντ και οι οποίες, το προηγούμενο ημερολογιακό έτος, είτε:

• έλεγχαν ή επεξεργάζονταν τα προσωπικά δεδομένα τουλάχιστον 35.000 καταναλωτών του Μέριλαντ (εξαιρουμένων των δεδομένων που υποβάλλονται σε επεξεργασία αποκλειστικά για την ολοκλήρωση μιας συναλλαγής πληρωμής), είτε
• έλεγχαν ή επεξεργάζονταν τα προσωπικά δεδομένα τουλάχιστον 10.000 καταναλωτών και αντλούσαν πάνω από το 20% των ακαθάριστων εσόδων από την πώληση προσωπικών δεδομένων.

Τα όρια αυτά είναι χαμηλότερα από εκείνα πολλών άλλων πολιτειών. Το Μέριλαντ έχει πληθυσμό περίπου έξι εκατομμυρίων, οπότε ένας μεσαίου μεγέθους ιστότοπος περιεχομένου με εθνική εμβέλεια μπορεί να περάσει το όριο των 35.000 καταναλωτών με την κανονική επισκεψιμότητα, ειδικά όταν τα αναγνωριστικά cookie και συσκευών υπολογίζονται ως προσωπικά δεδομένα.

Οι διατάξεις που μετρούν περισσότερο για τους εκδότες

Ελαχιστοποίηση δεδομένων συνδεδεμένη με τη ζητούμενη υπηρεσία

Πολλοί πολιτειακοί νόμοι επιτρέπουν σε μια επιχείρηση να συλλέγει ό,τι αναφέρει στην ειδοποίηση απορρήτου της. Ο MODPA αντίθετα περιορίζει τη συλλογή προσωπικών δεδομένων σε ό,τι είναι εύλογα απαραίτητο και αναλογικό για την παροχή ή τη διατήρηση ενός προϊόντος ή μιας υπηρεσίας που ζήτησε ο καταναλωτής. Για τα ευαίσθητα δεδομένα το όριο είναι υψηλότερο: η συλλογή και η επεξεργασία πρέπει να είναι απολύτως απαραίτητες για τον σκοπό αυτό. Στην πράξη, αυτό ωθεί τους εκδότες να δικαιολογούν κάθε tag και κάθε στοιχείο δεδομένων σε σχέση με το γιατί ήρθε πραγματικά ο αναγνώστης, και όχι σε σχέση με ό,τι τυχαίνει να λέει η ειδοποίηση.

Καμία πώληση ευαίσθητων δεδομένων

Αλλού, η πώληση ευαίσθητων δεδομένων απαιτεί συνήθως συναίνεση opt-in. Το Μέριλαντ προχωρά παραπέρα και απαγορεύει πλήρως την πώληση ευαίσθητων δεδομένων. Τα ευαίσθητα δεδομένα περιλαμβάνουν κατηγορίες όπως πληροφορίες υγείας, ακριβή γεωγραφική θέση, φυλετική ή εθνοτική καταγωγή, θρησκευτικές πεποιθήσεις, σεξουαλικό προσανατολισμό, βιομετρικά και γενετικά δεδομένα και δεδομένα καταναλωτή που είναι γνωστό ότι είναι παιδί. Οι εκδότες περιεχομένου υγείας, ευεξίας και τοπικών ειδήσεων πρέπει να χαρτογραφήσουν ποια τμήματα κοινού θα μπορούσαν να συναχθούν από το περιεχόμενό τους και να βεβαιωθούν ότι κανένα δεν καταλήγει σε συνεργάτες με τρόπο που ισοδυναμεί με πώληση.

Αυστηρότεροι κανόνες για ανηλίκους

Ο MODPA απαγορεύει την πώληση προσωπικών δεδομένων, ή την επεξεργασία τους για στοχευμένη διαφήμιση, όταν η επιχείρηση γνώριζε ή όφειλε να γνωρίζει ότι ο καταναλωτής είναι κάτω των 18 ετών. Το κριτήριο “όφειλε να γνωρίζει” είναι ευρύτερο από τα κριτήρια πραγματικής γνώσης σε πολλές άλλες πολιτείες. Οι ιστότοποι με περιεχόμενο για εφήβους — παιχνίδια, βοήθεια για τα μαθήματα, μουσική, αθλητισμός — χρειάζονται μια υπερασπίσιμη προσέγγιση για τα σήματα ηλικίας και για το ποιες διαφημιστικές εμπειρίες λαμβάνουν αυτά τα τμήματα.

Opt-out και καθολικά σήματα

Οι καταναλωτές μπορούν να εξαιρεθούν από τη στοχευμένη διαφήμιση, την πώληση προσωπικών δεδομένων και ορισμένες μορφές κατάρτισης προφίλ. Οι επιχειρήσεις πρέπει επίσης να τιμούν τους καθολικούς μηχανισμούς opt-out, όπως το σήμα προγράμματος περιήγησης Global Privacy Control. Αν ο ιστότοπός σας δεν διαβάζει ακόμη το GPC και δεν το μετατρέπει σε opt-out για τη σχετική επεξεργασία, το Μέριλαντ είναι ένας ακόμη λόγος να κλείσετε αυτό το κενό.

Επιβολή

Ο MODPA επιβάλλεται από το Τμήμα Προστασίας Καταναλωτών του γενικού εισαγγελέα του Μέριλαντ. Ο ίδιος ο νόμος δεν προβλέπει ιδιωτικό δικαίωμα προσφυγής. Για μια αρχική περίοδο το Τμήμα μπορεί να δώσει στις επιχειρήσεις την ευκαιρία να άρουν μια παράβαση πριν προβεί σε ενέργειες, αλλά αυτό είναι διακριτικό και προσωρινό, άρα δεν είναι στρατηγική στην οποία μπορεί κανείς να βασιστεί.

Ένα πρακτικό πλάνο δράσης

1. Ελέγξτε τα όρια. Εκτιμήστε την εμβέλεια στο Μέριλαντ από τα analytics και συμπεριλάβετε αναγνωριστικά επιπέδου συσκευής, όχι μόνο τους συνδεδεμένους χρήστες.
2. Κάντε έλεγχο ελαχιστοποίησης. Καταγράψτε κάθε tag, SDK και πεδίο δεδομένων και σημειώστε ποια υπηρεσία που ζήτησε ο αναγνώστης υποστηρίζει το καθένα. Αφαιρέστε ό,τι δεν μπορείτε να δικαιολογήσετε.
3. Ελέγξτε τις ευαίσθητες κατηγορίες. Εντοπίστε τις θεματικές περιεχομένου που θα μπορούσαν να παράγουν ευαίσθητα συμπεράσματα και επιβεβαιώστε ότι αυτά τα τμήματα δεν πωλούνται ούτε μοιράζονται ποτέ προς πώληση.
4. Εξετάστε τα σήματα ηλικίας. Αποφασίστε πώς αντιμετωπίζονται τα τμήματα με πολλούς εφήβους και αν η στοχευμένη διαφήμιση πρέπει να απενεργοποιηθεί εκεί.
5. Συνδέστε το GPC και τον σύνδεσμο opt-out. Βεβαιωθείτε ότι ένα σήμα GPC ή ένα κλικ στον σύνδεσμο opt-out αντικατοπτρίζεται στα σήματα που αποστέλλονται στους διαφημιστικούς συνεργάτες, για παράδειγμα μέσω του IAB GPP string.
6. Ενημερώστε την ειδοποίηση απορρήτου. Περιγράψτε τις κατηγορίες δεδομένων, τους σκοπούς, τους τρίτους και τον τρόπο άσκησης των δικαιωμάτων, με γλώσσα που μπορεί να παρακολουθήσει ένας αναγνώστης.

Πώς βοηθά το FlexyConsent

Το FlexyConsent υποστηρίζει το IAB Global Privacy Platform (GPP) v1.1 με την ενότητα US National και 16 πολιτειακούς νόμους των ΗΠΑ, ώστε οι επιλογές opt-out να μπορούν να διαβιβάζονται στους διαφημιστικούς συνεργάτες σας στην τυπική μορφή που αναμένουν. Το ίδιο banner, σε 57 γλώσσες, μπορεί να εμφανίζει διαφορετικές εμπειρίες σε επισκέπτες από ΗΠΑ, ΕΕ και άλλες περιοχές, και κάθε πλάνο περιλαμβάνει το πλήρες σύνολο λειτουργιών, συμπεριλαμβανομένου του δωρεάν πλάνου.

Βασικά συμπεράσματα

• Ο MODPA τέθηκε σε ισχύ την 1η Οκτωβρίου 2025 και εφαρμόζεται στις δραστηριότητες επεξεργασίας από την 1η Απριλίου 2026.
• Τα όρια είναι χαμηλά: 35.000 καταναλωτές του Μέριλαντ, ή 10.000 συν πάνω από 20% των εσόδων από πωλήσεις δεδομένων.
• Η συλλογή περιορίζεται σε ό,τι είναι εύλογα απαραίτητο για τη ζητούμενη υπηρεσία και απολύτως απαραίτητο για τα ευαίσθητα δεδομένα.
• Τα ευαίσθητα δεδομένα δεν επιτρέπεται να πωληθούν καθόλου και οι κάτω των 18 δεν επιτρέπεται να στοχεύονται όταν γνωρίζατε ή όφειλατε να γνωρίζετε την ηλικία τους.
• Τιμήστε καθολικά σήματα opt-out όπως το GPC και διαβιβάστε τα opt-out προς τα κάτω μέσω του GPP.