Online Data Privacy Act ng Maryland: Ang Dapat Malaman ng mga Publisher na Umaasa sa Ads
Bakit Namumukod-tangi ang Maryland sa Patchwork ng mga Batas sa Privacy ng mga Estado
Karamihan sa mga batas sa privacy ng mga estado sa US na ipinasa mula 2021 ay sumusunod sa pamilyar na template: isang hanay ng mga karapatan ng consumer, opt-out para sa targeted advertising at pagbebenta, opt-in na consent para sa sensitibong data, at pagpapatupad ng attorney general ng estado. Hinihiram ng Maryland Online Data Privacy Act (MODPA), na nilagdaan noong Mayo 2024, ang template na iyon ngunit pinahihigpit ang ilan sa mahahalagang bahagi nito. Para sa mga publisher na umaasa sa ads, hindi lang teorya ang mga pagkakaiba — naaapektuhan nito kung ano ang maaari mong kolektahin, ano ang hindi mo kailanman maaaring ibenta, at kung paano mo tinatrato ang mga nakababatang bisita.
Nagkabisa ang batas noong Oktubre 1, 2025, at ipinapatupad sa mga aktibidad sa pagproseso ng personal na data mula Abril 1, 2026. Kung may mga bisita kang taga-Maryland, bahagi na ito ng karaniwan mong kapaligiran sa operasyon sa halip na isang bagay sa hinaharap sa roadmap.
Kung Sino ang Sakop ng Batas
Sinasaklaw ng MODPA ang mga negosyong tumatakbo sa Maryland o nagta-target ng mga produkto at serbisyo sa mga residente ng Maryland at na, sa naunang taon ng kalendaryo, ay alinman sa:
- kumokontrol o nagpoproseso ng personal na data ng hindi bababa sa 35,000 consumer sa Maryland (hindi kasama ang data na pinoproseso para lang makumpleto ang transaksyon sa pagbabayad), o
- kumokontrol o nagpoproseso ng personal na data ng hindi bababa sa 10,000 consumer at kumita ng higit sa 20% ng gross revenue mula sa pagbebenta ng personal na data.
Mas mababa ang mga threshold na ito kaysa sa maraming ibang estado. May populasyong humigit-kumulang anim na milyon ang Maryland, kaya ang katamtamang laking content site na may pambansang abot ay maaaring lumampas sa 35,000 consumer sa karaniwang traffic, lalo na kapag binibilang bilang personal na data ang mga cookie ID at device identifier.
Ang mga Probisyong Pinakamahalaga sa mga Publisher
Data minimisation na nakatali sa hiniling na serbisyo
Pinapayagan ng maraming batas ng estado ang negosyong mangolekta ng anumang isiniwalat nito sa privacy notice. Sa halip, nililimitahan ng MODPA ang pangongolekta ng personal na data sa makatwirang kinakailangan at proporsyonal para magbigay o magpanatili ng produkto o serbisyong hiniling ng consumer. Para sa sensitibong data, mas mataas ang pamantayan: ang pangongolekta at pagpoproseso ay dapat na mahigpit na kinakailangan para sa layuning iyon. Sa praktika, itinutulak nito ang mga publisher na bigyang-katwiran ang bawat tag at data point batay sa pakay ng pagpunta ng mambabasa, hindi batay sa nagkataong nakasulat sa notice.
Walang pagbebenta ng sensitibong data
Sa ibang lugar, karaniwang kailangan ng opt-in na consent para magbenta ng sensitibong data. Mas malayo ang narating ng Maryland at tuluyang ipinagbabawal ang pagbebenta ng sensitibong data. Kasama sa sensitibong data ang mga kategorya gaya ng impormasyong pangkalusugan, tumpak na geolocation, lahi o etnikong pinagmulan, paniniwalang panrelihiyon, sexual orientation, biometric at genetic na data, at data ng consumer na kilalang bata. Dapat i-map ng mga publisher ng kalusugan, wellness at lokal na balita kung aling mga segment ng audience ang mahihinuha sa kanilang content at tiyaking walang dumadaloy sa mga partner sa paraang katumbas ng pagbebenta.
Mas mahigpit na patakaran para sa mga menor de edad
Ipinagbabawal ng MODPA ang pagbebenta ng personal na data, o ang pagpoproseso nito para sa targeted advertising, kapag alam ng negosyo o dapat sana'y alam na wala pang 18 ang consumer. Mas malawak ang pamantayang “dapat sana'y alam” kaysa sa mga actual-knowledge test sa maraming ibang estado. Ang mga site na may content para sa mga teen — gaming, tulong sa homework, musika, sports — ay nangangailangan ng maipagtatanggol na pamamaraan sa mga age signal at sa mga ad experience na natatanggap ng mga seksyong iyon.
Mga opt-out at universal signal
Maaaring mag-opt out ang mga consumer sa targeted advertising, sa pagbebenta ng personal na data, at sa ilang profiling. Dapat ding igalang ng mga negosyo ang mga universal opt-out mechanism gaya ng browser signal na Global Privacy Control. Kung hindi pa binabasa ng iyong site ang GPC at isinasalin ito bilang opt-out para sa kaugnay na pagproseso, isa na namang dahilan ang Maryland para punan ang puwang na iyon.
Pagpapatupad
Ipinapatupad ang MODPA ng Consumer Protection Division ng Attorney General ng Maryland. Walang private right of action sa mismong batas. Sa unang yugto, maaaring bigyan ng Division ang mga negosyo ng pagkakataong ituwid ang paglabag bago kumilos, ngunit discretionary at pansamantala ito, kaya hindi ito estratehiyang dapat asahan.
Isang Praktikal na Plano ng Aksyon
- Suriin ang mga threshold. Tantyahin ang abot sa Maryland mula sa analytics at isama ang mga identifier sa antas ng device, hindi lang ang mga naka-log in na user.
- Magsagawa ng minimisation review. Ilista ang bawat tag, SDK at data field, at itala kung aling serbisyong hiniling ng mambabasa ang sinusuportahan ng bawat isa. Alisin ang hindi mo mabibigyang-katwiran.
- I-audit ang mga sensitibong kategorya. Tukuyin ang mga content vertical na maaaring magbunga ng sensitibong hinuha at tiyaking hindi kailanman ibinebenta o ibinabahagi para ibenta ang mga segment na iyon.
- Repasuhin ang mga age signal. Magpasya kung paano hahawakan ang mga seksyong maraming teen at kung dapat bang patayin doon ang targeted advertising.
- Ikonekta ang GPC at ang opt-out link. Tiyaking nasasalamin sa mga signal na ipinapadala sa ad partner ang GPC signal o pag-click sa iyong opt-out link, halimbawa sa pamamagitan ng IAB GPP string.
- I-update ang iyong privacy notice. Ilarawan ang mga kategorya ng data, layunin, third party at kung paano gamitin ang mga karapatan, sa wikang masusundan ng mambabasa.
Paano Nakatutulong ang FlexyConsent
Sinusuportahan ng FlexyConsent ang IAB Global Privacy Platform (GPP) v1.1 na may US National section at 16 na batas ng estado sa US, kaya maipapasa ang mga opt-out na pagpili sa iyong ad partner sa karaniwang format na inaasahan nila. Ang parehong banner, sa 57 wika, ay maaaring magpakita ng magkakaibang karanasan sa mga bisita mula US, EU at iba pa, at kasama sa bawat plan ang buong hanay ng feature, kasama ang libreng plan.
Mga Pangunahing Takeaway
- Nagkabisa ang MODPA noong Oktubre 1, 2025, at ipinapatupad sa mga aktibidad sa pagproseso mula Abril 1, 2026.
- Mababa ang mga threshold: 35,000 consumer sa Maryland, o 10,000 at higit sa 20% ng kita mula sa pagbebenta ng data.
- Limitado ang pangongolekta sa makatwirang kinakailangan para sa hiniling na serbisyo, at mahigpit na kinakailangan para sa sensitibong data.
- Hindi maaaring ibenta ang sensitibong data, at hindi maaaring i-target ang wala pang 18 kapag alam o dapat sana'y alam mo ang edad nila.
- Igalang ang mga universal opt-out signal gaya ng GPC at ipasa pababa ang mga opt-out sa pamamagitan ng GPP.