Por que Maryland destaca no mosaico de leis estatais de privacidade

A maioría das leis estatais de privacidade dos EUA aprobadas desde 2021 seguen un modelo coñecido: un conxunto de dereitos do consumidor, unha exclusión voluntaria para a publicidade segmentada e as vendas, consentimento previo para os datos sensibles e aplicación por parte do fiscal xeral do estado. A Maryland Online Data Privacy Act (MODPA), asinada en maio de 2024, toma ese modelo pero aperta varias das súas pezas clave. Para os editores que viven da publicidade, as diferenzas non son teóricas — afectan ao que podes recoller, ao que nunca podes vender e a como tratas os visitantes máis novos.

A lei entrou en vigor o 1 de outubro de 2025 e aplícase ás actividades de tratamento de datos persoais a partir do 1 de abril de 2026. Se tes visitantes de Maryland, xa forma parte da túa contorna operativa habitual, non dun punto futuro da planificación.

A quen se aplica a lei

A MODPA cobre as empresas que operan en Maryland ou dirixen produtos e servizos a residentes de Maryland e que, durante o ano natural anterior, ben:

• controlaron ou trataron os datos persoais de polo menos 35.000 consumidores de Maryland (excluíndo os datos tratados unicamente para completar unha transacción de pagamento), ben
• controlaron ou trataron os datos persoais de polo menos 10.000 consumidores e obtiveron máis do 20 % dos ingresos brutos da venda de datos persoais.

Estes límites son máis baixos cós de moitos outros estados. Maryland ten unha poboación duns seis millóns de habitantes, así que un sitio de contido mediano con alcance nacional pode superar a liña dos 35.000 consumidores co tráfico normal, sobre todo cando os identificadores de cookies e de dispositivo se contan como datos persoais.

As disposicións que máis lles importan aos editores

Minimización de datos ligada ao servizo solicitado

Moitas leis estatais permiten que unha empresa recolla todo o que indique no seu aviso de privacidade. A MODPA, en cambio, limita a recollida de datos persoais ao que é razoablemente necesario e proporcionado para prestar ou manter un produto ou servizo que o consumidor solicitou. Para os datos sensibles, o listón é máis alto: a recollida e o tratamento deben ser estritamente necesarios para esa finalidade. Na práctica, isto empuxa os editores a xustificar cada etiqueta e cada dato segundo o que o lector veu buscar de verdade, non segundo o que o aviso chegue a dicir.

Sen venda de datos sensibles

Noutros lugares, vender datos sensibles adoita requirir consentimento previo. Maryland vai máis alá e prohibe por completo a venda de datos sensibles. Os datos sensibles inclúen categorías como a información de saúde, a xeolocalización precisa, a orixe racial ou étnica, as crenzas relixiosas, a orientación sexual, os datos biométricos e xenéticos, e os datos dun consumidor que se sabe que é un menor. Os editores de saúde, benestar e noticias locais deberían cartografar que segmentos de audiencia se poden inferir do seu contido e asegurarse de que ningún chega aos socios de maneira que equivalla a unha venda.

Normas máis estritas para menores

A MODPA prohibe vender datos persoais, ou tratalos para publicidade segmentada, cando a empresa sabía ou debería ter sabido que o consumidor é menor de 18 anos. O criterio “debería ter sabido” é máis amplo ca as probas de coñecemento efectivo de moitos outros estados. Os sitios con contido dirixido a adolescentes — xogos, axuda cos deberes, música, deportes — necesitan un enfoque defendible sobre os sinais de idade e sobre que experiencias publicitarias reciben esas seccións.

Exclusións voluntarias e sinais universais

Os consumidores poden optar por non recibir publicidade segmentada, por que non se vendan os seus datos persoais e por quedar fóra de certas elaboracións de perfís. As empresas tamén deben respectar os mecanismos universais de exclusión, como o sinal do navegador Global Privacy Control. Se o teu sitio aínda non le o GPC e o traduce nunha exclusión para o tratamento correspondente, Maryland é un motivo máis para pechar esa lagoa.

Aplicación da lei

A MODPA aplícaa a División de Protección do Consumidor da Fiscalía Xeral de Maryland. A propia lei non prevé ningún dereito de acción privada. Durante un período inicial, a División pode ofrecer ás empresas a oportunidade de corrixir unha infracción antes de actuar, pero é discrecional e temporal, así que non é unha estratexia na que confiar.

Un plan de acción práctico

1. Comproba os límites. Estima o alcance en Maryland a partir da analítica e inclúe os identificadores a nivel de dispositivo, non só os usuarios identificados.
2. Fai unha revisión de minimización. Enumera cada etiqueta, SDK e campo de datos, e anota que servizo solicitado polo lector apoia cada un. Elimina o que non poidas xustificar.
3. Audita as categorías sensibles. Identifica as verticais de contido que poderían producir inferencias sensibles e confirma que eses segmentos nunca se venden nin se comparten para vender.
4. Revisa os sinais de idade. Decide como se tratan as seccións con moitos adolescentes e se alí se debe desactivar a publicidade segmentada.
5. Conecta o GPC e a ligazón de exclusión. Asegúrate de que un sinal GPC ou un clic na túa ligazón de exclusión se reflicta nos sinais enviados aos socios publicitarios, por exemplo a través da cadea IAB GPP.
6. Actualiza o aviso de privacidade. Describe as categorías de datos, as finalidades, os terceiros e como exercer os dereitos, nunha linguaxe que un lector poida seguir.

Como axuda FlexyConsent

FlexyConsent admite o IAB Global Privacy Platform (GPP) v1.1 coa sección US National e 16 leis estatais dos EUA, de modo que as opcións de exclusión se poden transmitir aos teus socios publicitarios no formato estándar que esperan. O mesmo banner, en 57 idiomas, pode mostrar experiencias distintas aos visitantes dos EUA, da UE e doutros lugares, e todos os plans inclúen o conxunto completo de funcións, tamén o plan gratuíto.

Puntos clave

• A MODPA entrou en vigor o 1 de outubro de 2025 e aplícase aos tratamentos a partir do 1 de abril de 2026.
• Os límites son baixos: 35.000 consumidores de Maryland, ou 10.000 máis un 20 % dos ingresos procedentes da venda de datos.
• A recollida limítase ao razoablemente necesario para o servizo solicitado, e ao estritamente necesario no caso dos datos sensibles.
• Os datos sensibles non se poden vender en absoluto, e os menores de 18 anos non se poden segmentar cando sabías ou deberías ter sabido a súa idade.
• Respecta os sinais universais de exclusión como o GPC e transmite as exclusións cara abaixo mediante GPP.