Por qué Maryland destaca en el mosaico de leyes estatales

La mayoría de las leyes estatales de privacidad de EE. UU. aprobadas desde 2021 siguen un modelo conocido: un conjunto de derechos del consumidor, una exclusión voluntaria (opt-out) para la publicidad dirigida y las ventas, consentimiento previo (opt-in) para los datos sensibles y aplicación a cargo del fiscal general del estado. La Maryland Online Data Privacy Act (MODPA), firmada en mayo de 2024, toma ese modelo pero endurece varias de sus partes clave. Para los publishers financiados por publicidad, las diferencias no son académicas — afectan a lo que puedes recopilar, a lo que nunca puedes vender y a cómo tratas a los visitantes más jóvenes.

La ley entró en vigor el 1 de octubre de 2025 y se aplica a las actividades de tratamiento de datos personales a partir del 1 de abril de 2026. Si tienes visitantes de Maryland, ahora forma parte de tu entorno operativo normal y no de un punto futuro de la hoja de ruta.

A quién se aplica la ley

La MODPA cubre a las empresas que operan en Maryland o dirigen productos y servicios a residentes de Maryland y que, en el año natural anterior, hayan:

• controlado o tratado los datos personales de al menos 35 000 consumidores de Maryland (excluyendo los datos tratados únicamente para completar una transacción de pago), o bien
• controlado o tratado los datos personales de al menos 10 000 consumidores y obtenido más del 20 % de sus ingresos brutos de la venta de datos personales.

Estos umbrales son inferiores a los de muchos otros estados. Maryland tiene una población de aproximadamente seis millones de personas, así que un sitio de contenidos de tamaño medio con alcance nacional puede superar el umbral de 35 000 consumidores con tráfico ordinario, sobre todo cuando los identificadores de cookies y de dispositivo se cuentan como datos personales.

Las disposiciones que más importan a los publishers

Minimización de datos vinculada al servicio solicitado

Muchas leyes estatales permiten a una empresa recopilar lo que indique en su aviso de privacidad. La MODPA, en cambio, limita la recopilación de datos personales a lo que sea razonablemente necesario y proporcionado para prestar o mantener un producto o servicio que el consumidor haya solicitado. Para los datos sensibles, el listón es más alto: la recopilación y el tratamiento deben ser estrictamente necesarios para esa finalidad. En la práctica, esto empuja a los publishers a justificar cada etiqueta y cada dato en función de lo que el lector vino a buscar, y no de lo que casualmente dice el aviso.

Prohibida la venta de datos sensibles

En otros lugares, vender datos sensibles suele requerir consentimiento previo. Maryland va más lejos y prohíbe por completo la venta de datos sensibles. Los datos sensibles incluyen categorías como la información de salud, la geolocalización precisa, el origen racial o étnico, las creencias religiosas, la orientación sexual, los datos biométricos y genéticos, y los datos de un consumidor que se sabe que es un menor. Los publishers de salud, bienestar y noticias locales deberían identificar qué segmentos de audiencia podrían inferirse de sus contenidos y asegurarse de que ninguno llegue a los socios de una manera que equivalga a una venta.

Normas más estrictas para menores

La MODPA prohíbe vender datos personales, o tratarlos para publicidad dirigida, cuando la empresa sabía o debería haber sabido que el consumidor es menor de 18 años. El criterio de «debería haber sabido» es más amplio que los criterios de conocimiento efectivo de muchos otros estados. Los sitios con contenido para adolescentes — videojuegos, ayuda con los deberes, música, deportes — necesitan un enfoque defendible sobre las señales de edad y sobre las experiencias publicitarias que reciben esas secciones.

Exclusiones y señales universales

Los consumidores pueden optar por no recibir publicidad dirigida, por que no se vendan sus datos personales y por no ser objeto de ciertos perfilados. Las empresas también deben respetar los mecanismos universales de exclusión, como la señal de navegador Global Privacy Control. Si tu sitio todavía no lee el GPC y lo traduce en una exclusión para el tratamiento correspondiente, Maryland es una razón más para cerrar esa brecha.

Aplicación

La MODPA es aplicada por la División de Protección del Consumidor de la Fiscalía General de Maryland. La propia ley no prevé ninguna acción privada. Durante un periodo inicial, la División puede ofrecer a las empresas la oportunidad de subsanar una infracción antes de actuar, pero es discrecional y temporal, así que no es una estrategia en la que confiar.

Un plan de acción práctico

1. Comprueba los umbrales. Estima tu alcance en Maryland a partir de la analítica e incluye los identificadores a nivel de dispositivo, no solo a los usuarios con sesión iniciada.
2. Haz una revisión de minimización. Enumera cada etiqueta, SDK y campo de datos, y anota qué servicio solicitado por el lector respalda cada uno. Elimina lo que no puedas justificar.
3. Audita las categorías sensibles. Identifica las temáticas de contenido que podrían generar inferencias sensibles y confirma que esos segmentos nunca se venden ni se comparten para su venta.
4. Revisa las señales de edad. Decide cómo se tratan las secciones con muchos adolescentes y si la publicidad dirigida debe desactivarse allí.
5. Conecta el GPC y el enlace de exclusión. Asegúrate de que una señal GPC o un clic en tu enlace de exclusión se refleje en las señales enviadas a los socios publicitarios, por ejemplo a través de la cadena IAB GPP.
6. Actualiza tu aviso de privacidad. Describe las categorías de datos, las finalidades, los terceros y cómo ejercer los derechos, con un lenguaje que un lector pueda seguir.

Cómo ayuda FlexyConsent

FlexyConsent admite el IAB Global Privacy Platform (GPP) v1.1 con la sección nacional de EE. UU. y 16 leyes estatales estadounidenses, de modo que las exclusiones pueden transmitirse a tus socios publicitarios en el formato estándar que esperan. El mismo banner, en 57 idiomas, puede mostrar experiencias distintas a los visitantes de EE. UU., de la UE y de otros lugares, y todos los planes incluyen el conjunto completo de funciones, también el plan gratuito.

Conclusiones clave

• La MODPA entró en vigor el 1 de octubre de 2025 y se aplica a las actividades de tratamiento a partir del 1 de abril de 2026.
• Los umbrales son bajos: 35 000 consumidores de Maryland, o 10 000 más un 20 % de los ingresos procedente de la venta de datos.
• La recopilación se limita a lo razonablemente necesario para el servicio solicitado, y a lo estrictamente necesario para los datos sensibles.
• Los datos sensibles no pueden venderse en absoluto, y los menores de 18 años no pueden ser objeto de segmentación cuando sabías o deberías haber sabido su edad.
• Respeta las señales universales de exclusión como el GPC y transmite las exclusiones aguas abajo mediante GPP.