Miksi Maryland erottuu osavaltioiden tietosuojalakien kirjosta

Useimmat vuoden 2021 jälkeen säädetyt Yhdysvaltain osavaltioiden tietosuojalait noudattavat tuttua mallia: kuluttajan oikeudet, kielto kohdennetulle mainonnalle ja myynnille, ennakkosuostumus arkaluonteisille tiedoille ja osavaltion oikeusministerin suorittama täytäntöönpano. Toukokuussa 2024 allekirjoitettu Marylandin verkkotietosuojalaki (MODPA) lainaa tämän mallin, mutta tiukentaa useita sen keskeisiä osia. Mainosrahoitteisille julkaisijoille erot eivät ole teoreettisia — ne vaikuttavat siihen, mitä saatte kerätä, mitä ette saa koskaan myydä ja miten kohtelette nuorempia kävijöitä.

Laki tuli voimaan 1. lokakuuta 2025 ja sitä sovelletaan henkilötietojen käsittelytoimiin 1. huhtikuuta 2026 alkaen. Jos sivustollanne on Marylandin kävijöitä, se on nyt osa normaalia toimintaympäristöänne eikä tulevaisuuden tiekartan kohta.

Keihin laki soveltuu

MODPA kattaa yritykset, jotka toimivat Marylandissa tai kohdistavat tuotteita ja palveluita Marylandin asukkaille ja jotka edellisen kalenterivuoden aikana joko:

• hallinnoivat tai käsittelivät vähintään 35 000 Marylandin kuluttajan henkilötietoja (pois lukien tiedot, joita käsiteltiin vain maksutapahtuman loppuun saattamiseksi), tai
• hallinnoivat tai käsittelivät vähintään 10 000 kuluttajan henkilötietoja ja saivat yli 20 % bruttotuloistaan henkilötietojen myynnistä.

Nämä kynnykset ovat alhaisemmat kuin monissa muissa osavaltioissa. Marylandissa on noin kuusi miljoonaa asukasta, joten valtakunnallisesti tavoittava keskikokoinen sisältösivusto voi ylittää 35 000 kuluttajan rajan tavallisella liikenteellä, varsinkin kun evästetunnisteet ja laitetunnisteet lasketaan henkilötiedoiksi.

Julkaisijoille tärkeimmät säännökset

Tietojen minimointi sidottuna pyydettyyn palveluun

Monet osavaltioiden lait sallivat yrityksen kerätä kaiken, mitä se ilmoittaa tietosuojaselosteessaan. MODPA sen sijaan rajoittaa henkilötietojen keruun siihen, mikä on kohtuudella tarpeellista ja oikeasuhteista kuluttajan pyytämän tuotteen tai palvelun tarjoamiseksi tai ylläpitämiseksi. Arkaluonteisille tiedoille rima on korkeammalla: keruun ja käsittelyn on oltava tähän tarkoitukseen ehdottoman välttämätöntä. Käytännössä tämä pakottaa julkaisijat perustelemaan jokaisen tagin ja tietopisteen sillä, mitä lukija todella tuli hakemaan, eikä sillä, mitä seloste sattuu sanomaan.

Arkaluonteisten tietojen myynti kielletty

Muualla arkaluonteisten tietojen myynti vaatii yleensä ennakkosuostumuksen. Maryland menee pidemmälle ja kieltää arkaluonteisten tietojen myynnin kokonaan. Arkaluonteisia tietoja ovat esimerkiksi terveystiedot, tarkka geopaikannus, rotuun tai etniseen alkuperään liittyvät tiedot, uskonnollinen vakaumus, seksuaalinen suuntautuminen, biometriset ja geneettiset tiedot sekä sellaisen kuluttajan tiedot, jonka tiedetään olevan lapsi. Terveys-, hyvinvointi- ja paikallisuutisjulkaisijoiden tulisi kartoittaa, mitä yleisösegmenttejä sisällöstä voitaisiin päätellä, ja varmistaa, ettei mikään niistä päädy kumppaneille tavalla, joka merkitsee myyntiä.

Tiukemmat säännöt alaikäisille

MODPA kieltää henkilötietojen myynnin tai niiden käsittelyn kohdennettuun mainontaan, kun yritys tiesi tai sen olisi pitänyt tietää, että kuluttaja on alle 18-vuotias. “Olisi pitänyt tietää” -mittapuu on laajempi kuin monen muun osavaltion tosiasiallisen tiedon testit. Sivustoilla, joilla on nuorille suunnattua sisältöä — pelit, kotitehtäväapu, musiikki, urheilu — tarvitaan puolustettavissa oleva lähestymistapa ikäsignaaleihin ja siihen, minkä mainoskokemuksen nämä osiot saavat.

Kieltäytymiset ja yleiset signaalit

Kuluttajat voivat kieltäytyä kohdennetusta mainonnasta, henkilötietojen myynnistä ja tietystä profiloinnista. Yritysten on myös noudatettava yleisiä kieltäytymismekanismeja, kuten Global Privacy Control -selainsignaalia. Jos sivustonne ei vielä lue GPC:tä ja käännä sitä kieltäytymiseksi asianomaisesta käsittelystä, Maryland on yksi syy lisää sulkea tämä aukko.

Täytäntöönpano

MODPA:n täytäntöönpanosta vastaa Marylandin oikeusministerin kuluttajansuojaosasto. Itse lain nojalla ei ole yksityistä kanneoikeutta. Alkuvaiheessa osasto voi tarjota yrityksille mahdollisuuden korjata rikkomus ennen toimiin ryhtymistä, mutta tämä on harkinnanvaraista ja väliaikaista, joten siihen ei kannata luottaa strategiana.

Käytännön toimintasuunnitelma

1. Tarkista kynnykset. Arvioi Marylandin tavoittavuus analytiikasta ja sisällytä laitetason tunnisteet, älä vain kirjautuneita käyttäjiä.
2. Tee minimointikatselmus. Listaa jokainen tagi, SDK ja tietokenttä ja kirjaa, mitä lukijan pyytämää palvelua kukin tukee. Poista se, mitä et voi perustella.
3. Auditoi arkaluonteiset luokat. Tunnista sisältövertikaalit, jotka voivat tuottaa arkaluonteisia päätelmiä, ja varmista, ettei näitä segmenttejä myydä tai jaeta myyntiä varten.
4. Tarkista ikäsignaalit. Päätä, miten nuoria paljon houkuttelevia osioita käsitellään ja pitäisikö kohdennettu mainonta kytkeä niissä pois.
5. Kytke GPC ja kieltäytymislinkki. Varmista, että GPC-signaali tai napsautus kieltäytymislinkkiisi heijastuu mainoskumppaneille lähetettyihin signaaleihin, esimerkiksi IAB GPP -merkkijonon kautta.
6. Päivitä tietosuojaselosteesi. Kuvaa tietoluokat, tarkoitukset, kolmannet osapuolet ja oikeuksien käyttäminen kielellä, jota lukija pystyy seuraamaan.

Miten FlexyConsent auttaa

FlexyConsent tukee IAB Global Privacy Platform (GPP) v1.1:tä Yhdysvaltain kansallisen osion ja 16 osavaltion lain kanssa, jotta kieltäytymisvalinnat voidaan välittää mainoskumppaneille niiden odottamassa vakiomuodossa. Sama banneri 57 kielellä voi näyttää eri kokemuksen Yhdysvaltain, EU:n ja muille kävijöille, ja jokainen paketti, myös ilmainen, sisältää koko ominaisuusvalikoiman.

Keskeiset opit

• MODPA tuli voimaan 1. lokakuuta 2025 ja sitä sovelletaan käsittelytoimiin 1. huhtikuuta 2026 alkaen.
• Kynnykset ovat matalat: 35 000 Marylandin kuluttajaa tai 10 000 sekä yli 20 % tuloista tietojen myynnistä.
• Keruu rajoitetaan siihen, mikä on kohtuudella tarpeen pyydetylle palvelulle, ja arkaluonteisten tietojen osalta ehdottoman välttämättömään.
• Arkaluonteisia tietoja ei saa myydä lainkaan, eikä alle 18-vuotiaita saa kohdentaa, kun tiesitte tai teidän olisi pitänyt tietää heidän ikänsä.
• Noudata yleisiä kieltäytymissignaaleja, kuten GPC:tä, ja välitä kieltäytymiset eteenpäin GPP:n kautta.