قانون حریم خصوصی داده‌های آنلاین مریلند: آنچه ناشران مبتنی بر تبلیغات باید بدانند
چرا مریلند در تکه‌تکه‌بودن حریم خصوصی ایالت‌ها متمایز است
بیشتر قوانین حریم خصوصی ایالت‌های آمریکا که از سال ۲۰۲۱ تصویب شده‌اند از الگویی آشنا پیروی می‌کنند: مجموعه‌ای از حقوق مصرف‌کننده، انصراف از تبلیغات هدفمند و فروش، رضایت صریح برای داده‌های حساس، و اجرا توسط دادستان کل ایالت. قانون حریم خصوصی داده‌های آنلاین مریلند (MODPA) که در مه ۲۰۲۴ امضا شد، این الگو را وام می‌گیرد اما چند بخش کلیدی آن را سخت‌تر می‌کند. برای ناشران مبتنی بر تبلیغات، این تفاوت‌ها نظری نیستند — بر آنچه می‌توانید جمع کنید، آنچه هرگز نباید بفروشید و نحوه برخورد با بازدیدکنندگان جوان‌تر اثر می‌گذارند.
این قانون از ۱ اکتبر ۲۰۲۵ اجرایی شد و از ۱ آوریل ۲۰۲۶ بر فعالیت‌های پردازش داده‌های شخصی اعمال می‌شود. اگر بازدیدکننده مریلندی دارید، اکنون بخشی از محیط عادی کار شماست، نه موردی آینده در نقشه راه.
این قانون شامل چه کسانی می‌شود
MODPA کسب‌وکارهایی را پوشش می‌دهد که در مریلند فعالیت می‌کنند یا محصولات و خدمات خود را برای ساکنان مریلند هدف می‌گیرند و در سال تقویمی قبل یکی از این دو را داشته‌اند:
- داده‌های شخصی دست‌کم ۳۵٬۰۰۰ مصرف‌کننده مریلندی را کنترل یا پردازش کرده‌اند (به‌جز داده‌هایی که صرفاً برای تکمیل تراکنش پرداخت پردازش شده‌اند)، یا
- داده‌های شخصی دست‌کم ۱۰٬۰۰۰ مصرف‌کننده را کنترل یا پردازش کرده‌اند و بیش از ۲۰٪ از درآمد ناخالص را از فروش داده‌های شخصی کسب کرده‌اند.
این آستانه‌ها از آستانه بسیاری از ایالت‌های دیگر پایین‌تر است. جمعیت مریلند حدود شش میلیون نفر است، بنابراین یک سایت محتوایی متوسط با دسترسی سراسری می‌تواند با ترافیک عادی از مرز ۳۵٬۰۰۰ مصرف‌کننده بگذرد، به‌ویژه وقتی شناسه‌های کوکی و شناسه‌های دستگاه هم داده شخصی به‌شمار می‌آیند.
مقرراتی که برای ناشران بیشترین اهمیت را دارند
حداقل‌سازی داده مرتبط با خدمت درخواست‌شده
بسیاری از قوانین ایالتی به کسب‌وکار اجازه می‌دهند هر چه را در اعلامیه حریم خصوصی خود افشا می‌کند جمع کند. MODPA در عوض جمع‌آوری داده‌های شخصی را به آنچه به‌طور معقول ضروری و متناسب برای ارائه یا حفظ محصول یا خدمتی است که مصرف‌کننده درخواست کرده محدود می‌کند. برای داده‌های حساس، معیار بالاتر است: جمع‌آوری و پردازش باید برای آن هدف کاملاً ضروری باشد. در عمل، این ناشران را وامی‌دارد هر تگ و هر داده را با آنچه خواننده واقعاً برایش آمده توجیه کنند، نه با آنچه اعلامیه اتفاقاً می‌گوید.
ممنوعیت فروش داده‌های حساس
در جاهای دیگر، فروش داده‌های حساس معمولاً به رضایت صریح نیاز دارد. مریلند فراتر می‌رود و فروش داده‌های حساس را به‌کلی ممنوع می‌کند. داده‌های حساس شامل دسته‌هایی مانند اطلاعات سلامت، موقعیت جغرافیایی دقیق، منشأ نژادی یا قومی، باورهای دینی، گرایش جنسی، داده‌های زیستی و ژنتیکی و داده‌های مصرف‌کننده‌ای است که کودک بودنش مشخص است. ناشران حوزه سلامت، تندرستی و اخبار محلی باید مشخص کنند کدام بخش‌های مخاطب را می‌توان از محتوایشان استنباط کرد و مطمئن شوند هیچ‌کدام به شکلی که معادل فروش باشد به شرکا نمی‌رسد.
قواعد سخت‌گیرانه‌تر برای افراد زیر سن قانونی
MODPA فروش داده‌های شخصی یا پردازش آن برای تبلیغات هدفمند را زمانی ممنوع می‌کند که کسب‌وکار می‌دانست یا باید می‌دانست که مصرف‌کننده زیر ۱۸ سال است. معیار “باید می‌دانست” گسترده‌تر از آزمون‌های علم واقعی در بسیاری از ایالت‌های دیگر است. سایت‌هایی با محتوای نوجوان‌محور — بازی، کمک در تکالیف، موسیقی، ورزش — به رویکردی قابل‌دفاع نسبت به سیگنال‌های سن و نسبت به تجربه‌های تبلیغاتی آن بخش‌ها نیاز دارند.
انصراف و سیگنال‌های جهانی
مصرف‌کنندگان می‌توانند از تبلیغات هدفمند، فروش داده‌های شخصی و برخی انواع پروفایل‌سازی انصراف دهند. کسب‌وکارها همچنین باید به سازوکارهای جهانی انصراف مانند سیگنال مرورگر Global Privacy Control احترام بگذارند. اگر سایت شما هنوز GPC را نمی‌خواند و آن را به انصراف از پردازش مربوط تبدیل نمی‌کند، مریلند دلیلی دیگر برای بستن این شکاف است.
اجرا
MODPA توسط بخش حمایت از مصرف‌کننده در دفتر دادستان کل مریلند اجرا می‌شود. خود این قانون حق شکایت خصوصی ایجاد نمی‌کند. برای یک دوره آغازین، این بخش ممکن است پیش از اقدام به کسب‌وکارها فرصت رفع تخلف بدهد، اما این اختیاری و موقت است و راهبردی برای تکیه کردن نیست.
برنامه عمل عملی
- آستانه‌ها را بررسی کنید. دسترسی خود در مریلند را از روی تحلیل‌ها برآورد کنید و شناسه‌های سطح دستگاه را هم لحاظ کنید، نه فقط کاربران واردشده.
- بازبینی حداقل‌سازی انجام دهید. هر تگ، SDK و فیلد داده را فهرست کنید و ثبت کنید هر کدام از کدام خدمت درخواست‌شده توسط خواننده پشتیبانی می‌کند. آنچه را نمی‌توانید توجیه کنید حذف کنید.
- دسته‌های حساس را ممیزی کنید. حوزه‌های محتوایی را که می‌توانند استنباط‌های حساس تولید کنند شناسایی کنید و مطمئن شوید آن بخش‌ها هرگز فروخته یا برای فروش به اشتراک گذاشته نمی‌شوند.
- سیگنال‌های سن را بازبینی کنید. تصمیم بگیرید بخش‌های پرنوجوان چگونه اداره شوند و آیا تبلیغات هدفمند باید در آن‌ها خاموش شود.
- GPC و پیوند انصراف را متصل کنید. مطمئن شوید سیگنال GPC یا کلیک روی پیوند انصراف در سیگنال‌های ارسالی به شرکای تبلیغاتی منعکس می‌شود، مثلاً از طریق رشته IAB GPP.
- اعلامیه حریم خصوصی را به‌روز کنید. دسته‌های داده، اهداف، اشخاص ثالث و نحوه اعمال حقوق را به زبانی که خواننده بتواند دنبال کند توصیف کنید.
FlexyConsent چگونه کمک می‌کند
FlexyConsent از IAB Global Privacy Platform (GPP) v1.1 با بخش ملی آمریکا و ۱۶ قانون ایالتی آمریکا پشتیبانی می‌کند، بنابراین انتخاب‌های انصراف را می‌توان با قالب استانداردی که شرکای تبلیغاتی انتظار دارند به آن‌ها منتقل کرد. همان بنر، در ۵۷ زبان، می‌تواند به بازدیدکنندگان آمریکا، اتحادیه اروپا و سایر مناطق تجربه‌های متفاوتی نشان دهد و هر طرح، از جمله طرح رایگان، مجموعه کامل ویژگی‌ها را دارد.
نکات کلیدی
- MODPA از ۱ اکتبر ۲۰۲۵ اجرایی شد و از ۱ آوریل ۲۰۲۶ بر فعالیت‌های پردازش اعمال می‌شود.
- آستانه‌ها پایین است: ۳۵٬۰۰۰ مصرف‌کننده مریلندی، یا ۱۰٬۰۰۰ به‌علاوه بیش از ۲۰٪ درآمد از فروش داده.
- جمع‌آوری به آنچه برای خدمت درخواست‌شده به‌طور معقول ضروری است محدود می‌شود، و برای داده‌های حساس به آنچه کاملاً ضروری است.
- داده‌های حساس به‌هیچ‌وجه نباید فروخته شوند و افراد زیر ۱۸ سال را نباید هدف گرفت وقتی سن آن‌ها را می‌دانستید یا باید می‌دانستید.
- به سیگنال‌های جهانی انصراف مانند GPC احترام بگذارید و انصراف‌ها را از طریق GPP به پایین‌دست منتقل کنید.