Pourquoi le Maryland se démarque dans la mosaïque des lois d'État

La plupart des lois américaines sur la vie privée adoptées par les États depuis 2021 suivent un modèle connu : un ensemble de droits des consommateurs, un droit de refus pour la publicité ciblée et les ventes, un consentement préalable (opt-in) pour les données sensibles, et une application confiée au procureur général de l'État. La Maryland Online Data Privacy Act (MODPA), signée en mai 2024, reprend ce modèle mais en durcit plusieurs éléments clés. Pour les éditeurs financés par la publicité, ces différences ne sont pas théoriques — elles touchent à ce que vous pouvez collecter, à ce que vous ne pouvez jamais vendre et à la manière de traiter les visiteurs plus jeunes.

La loi est entrée en vigueur le 1er octobre 2025 et s'applique aux activités de traitement de données personnelles à partir du 1er avril 2026. Si vous avez des visiteurs du Maryland, elle fait désormais partie de votre environnement d'exploitation normal plutôt que d'un point futur de la feuille de route.

À qui la loi s'applique

La MODPA couvre les entreprises qui exercent leur activité dans le Maryland ou qui ciblent des produits et services à des résidents du Maryland et qui, au cours de l'année civile précédente, ont soit :

• contrôlé ou traité les données personnelles d'au moins 35 000 consommateurs du Maryland (hors données traitées uniquement pour finaliser une transaction de paiement), soit
• contrôlé ou traité les données personnelles d'au moins 10 000 consommateurs et tiré plus de 20 % de leur chiffre d'affaires brut de la vente de données personnelles.

Ces seuils sont inférieurs à ceux de nombreux autres États. Le Maryland compte environ six millions d'habitants : un site de contenu de taille moyenne à portée nationale peut donc franchir le seuil de 35 000 consommateurs avec un trafic ordinaire, surtout lorsque les identifiants de cookies et d'appareils sont comptés comme des données personnelles.

Les dispositions qui comptent le plus pour les éditeurs

Minimisation des données liée au service demandé

De nombreuses lois d'État permettent à une entreprise de collecter tout ce qu'elle mentionne dans sa notice de confidentialité. La MODPA limite au contraire la collecte de données personnelles à ce qui est raisonnablement nécessaire et proportionné pour fournir ou maintenir un produit ou un service demandé par le consommateur. Pour les données sensibles, la barre est plus haute : la collecte et le traitement doivent être strictement nécessaires à cette finalité. En pratique, cela pousse les éditeurs à justifier chaque balise et chaque donnée par rapport à ce que le lecteur est réellement venu chercher, et non par rapport à ce que la notice indique.

Aucune vente de données sensibles

Ailleurs, la vente de données sensibles exige généralement un consentement préalable. Le Maryland va plus loin et interdit purement et simplement la vente de données sensibles. Les données sensibles comprennent des catégories telles que les informations de santé, la géolocalisation précise, l'origine raciale ou ethnique, les croyances religieuses, l'orientation sexuelle, les données biométriques et génétiques, ainsi que les données d'un consommateur connu pour être un enfant. Les éditeurs de contenus santé, bien-être et d'actualité locale devraient cartographier les segments d'audience qui pourraient être déduits de leur contenu et s'assurer qu'aucun d'eux n'est transmis à des partenaires d'une manière qui équivaudrait à une vente.

Des règles plus strictes pour les mineurs

La MODPA interdit de vendre des données personnelles, ou de les traiter pour de la publicité ciblée, lorsque l'entreprise savait ou aurait dû savoir que le consommateur a moins de 18 ans. Le critère de « aurait dû savoir » est plus large que les critères de connaissance effective de nombreux autres États. Les sites au contenu destiné aux adolescents — jeux, aide aux devoirs, musique, sport — ont besoin d'une approche défendable des signaux d'âge et des expériences publicitaires proposées dans ces rubriques.

Refus et signaux universels

Les consommateurs peuvent refuser la publicité ciblée, la vente de données personnelles et certains profilages. Les entreprises doivent également respecter les mécanismes universels de refus tels que le signal de navigateur Global Privacy Control. Si votre site ne lit pas encore le GPC pour le traduire en refus du traitement concerné, le Maryland est une raison de plus de combler cette lacune.

Application de la loi

La MODPA est appliquée par la Consumer Protection Division du procureur général du Maryland. La loi elle-même ne prévoit aucun droit d'action privé. Pendant une période initiale, la Division peut offrir aux entreprises la possibilité de remédier à une violation avant d'agir, mais cette faculté est discrétionnaire et temporaire : ce n'est donc pas une stratégie sur laquelle s'appuyer.

Un plan d'action pratique

1. Vérifiez les seuils. Estimez votre audience dans le Maryland à partir de l'analytique et incluez les identifiants au niveau de l'appareil, pas seulement les utilisateurs connectés.
2. Menez une revue de minimisation. Listez chaque balise, SDK et champ de données, et notez quel service demandé par le lecteur chacun soutient. Retirez ce que vous ne pouvez pas justifier.
3. Auditez les catégories sensibles. Identifiez les thématiques de contenu susceptibles de produire des déductions sensibles et vérifiez que ces segments ne sont jamais vendus ni partagés en vue d'une vente.
4. Examinez les signaux d'âge. Décidez comment traiter les rubriques très fréquentées par des adolescents et s'il faut y désactiver la publicité ciblée.
5. Branchez le GPC et le lien de refus. Assurez-vous qu'un signal GPC ou un clic sur votre lien de refus se reflète dans les signaux envoyés aux partenaires publicitaires, par exemple via la chaîne IAB GPP.
6. Mettez à jour votre notice de confidentialité. Décrivez les catégories de données, les finalités, les tiers et la manière d'exercer ses droits, dans un langage qu'un lecteur peut suivre.

Comment FlexyConsent vous aide

FlexyConsent prend en charge l'IAB Global Privacy Platform (GPP) v1.1 avec la section nationale américaine et 16 lois d'États américains, de sorte que les choix de refus peuvent être transmis à vos partenaires publicitaires dans le format standard qu'ils attendent. La même bannière, en 57 langues, peut proposer des parcours différents aux visiteurs américains, européens et autres, et chaque offre inclut l'ensemble des fonctionnalités, y compris l'offre gratuite.

À retenir

• La MODPA est entrée en vigueur le 1er octobre 2025 et s'applique aux activités de traitement à partir du 1er avril 2026.
• Les seuils sont bas : 35 000 consommateurs du Maryland, ou 10 000 avec plus de 20 % du chiffre d'affaires issu de la vente de données.
• La collecte est limitée à ce qui est raisonnablement nécessaire au service demandé, et strictement nécessaire pour les données sensibles.
• Les données sensibles ne peuvent pas être vendues du tout, et les moins de 18 ans ne peuvent pas être ciblés lorsque vous connaissiez ou auriez dû connaître leur âge.
• Respectez les signaux de refus universels tels que le GPC et transmettez les refus en aval via le GPP.