חוק פרטיות הנתונים המקוון של מרילנד: מה מפרסמים שמתפרנסים מפרסומות צריכים לדעת
למה מרילנד בולטת בפסיפס הפרטיות של המדינות
רוב חוקי הפרטיות של מדינות ארה"ב שהתקבלו מאז 2021 פועלים לפי תבנית מוכרת: סט זכויות צרכן, ביטול הסכמה (opt-out) לפרסום ממוקד ולמכירה, הסכמה מפורשת לנתונים רגישים ואכיפה על ידי התובע הכללי של המדינה. חוק פרטיות הנתונים המקוון של מרילנד (MODPA), שנחתם במאי 2024, שואל את התבנית הזו אך מחמיר כמה מחלקיה המרכזיים. עבור מפרסמים שמתפרנסים מפרסומות ההבדלים אינם תיאורטיים — הם משפיעים על מה מותר לך לאסוף, מה אסור לך למכור לעולם ואיך אתה מתייחס למבקרים צעירים יותר.
החוק נכנס לתוקף ב-1 באוקטובר 2025 וחל על פעילויות עיבוד נתונים אישיים החל מ-1 באפריל 2026. אם יש לך מבקרים ממרילנד, הוא כבר חלק מסביבת העבודה הרגילה שלך ולא סעיף עתידי במפת הדרכים.
על מי החוק חל
MODPA חל על עסקים שפועלים במרילנד או מכוונים מוצרים ושירותים לתושבי מרילנד, ושבשנה הקלנדרית הקודמת עמדו באחד מאלה:
- שלטו בנתונים האישיים של לפחות 35,000 צרכנים ממרילנד או עיבדו אותם (למעט נתונים שעובדו רק להשלמת עסקת תשלום), או
- שלטו בנתונים האישיים של לפחות 10,000 צרכנים או עיבדו אותם והפיקו יותר מ-20% מההכנסה הגולמית ממכירת נתונים אישיים.
הספים האלה נמוכים מאלה של מדינות רבות אחרות. אוכלוסיית מרילנד היא כשישה מיליון איש, ולכן אתר תוכן בגודל בינוני עם חשיפה ארצית יכול לחצות את סף 35,000 הצרכנים בתנועה רגילה, במיוחד כשמזהי עוגיות ומזהי מכשיר נספרים כנתונים אישיים.
ההוראות החשובות ביותר למפרסמים
צמצום נתונים הקשור לשירות המבוקש
חוקים רבים במדינות מאפשרים לעסק לאסוף כל מה שהוא מגלה בהודעת הפרטיות שלו. MODPA במקום זאת מגביל איסוף נתונים אישיים למה שנחוץ באופן סביר ומידתי כדי לספק או לתחזק מוצר או שירות שהצרכן ביקש. לגבי נתונים רגישים הרף גבוה יותר: האיסוף והעיבוד חייבים להיות נחוצים בהחלט למטרה זו. בפועל, הדבר דוחף מפרסמים להצדיק כל תגית וכל נתון מול מה שהקורא בא בשבילו, ולא מול מה שההודעה במקרה אומרת.
אין מכירה של נתונים רגישים
במקומות אחרים מכירת נתונים רגישים דורשת בדרך כלל הסכמה מפורשת. מרילנד הולכת רחוק יותר ואוסרת לחלוטין מכירת נתונים רגישים. נתונים רגישים כוללים קטגוריות כמו מידע בריאותי, מיקום גאוגרפי מדויק, מוצא גזעי או אתני, אמונות דתיות, נטייה מינית, נתונים ביומטריים וגנטיים ונתונים של צרכן שידוע שהוא ילד. מפרסמים בתחומי הבריאות, הרווחה והחדשות המקומיות צריכים למפות אילו פלחי קהל ניתן להסיק מהתוכן שלהם ולוודא שאף אחד מהם אינו זורם לשותפים באופן שמהווה מכירה.
כללים מחמירים יותר לקטינים
MODPA אוסר למכור נתונים אישיים, או לעבד אותם לצורך פרסום ממוקד, כשהעסק ידע או היה צריך לדעת שהצרכן מתחת לגיל 18. הסטנדרט “היה צריך לדעת” רחב יותר ממבחני הידיעה בפועל במדינות רבות אחרות. אתרים עם תוכן לבני נוער — משחקים, עזרה בשיעורי בית, מוזיקה, ספורט — צריכים גישה שניתן להגן עליה כלפי אותות גיל וכלפי חוויות הפרסום שהחלקים האלה מקבלים.
Opt-out ואותות אוניברסליים
צרכנים יכולים לבטל הסכמה לפרסום ממוקד, למכירת נתונים אישיים ולפרופיילינג מסוים. עסקים חייבים גם לכבד מנגנוני opt-out אוניברסליים כמו אות הדפדפן Global Privacy Control. אם האתר שלך עדיין אינו קורא GPC ואינו הופך אותו ל-opt-out מהעיבוד הרלוונטי, מרילנד היא עוד סיבה לסגור את הפער הזה.
אכיפה
MODPA נאכף על ידי חטיבת הגנת הצרכן של התובע הכללי של מרילנד. אין זכות תביעה פרטית לפי החוק עצמו. בתקופה ראשונית החטיבה רשאית להעניק לעסקים הזדמנות לתקן הפרה לפני נקיטת פעולה, אך זה נתון לשיקול דעת וזמני, ולכן אין לבסס עליו אסטרטגיה.
תוכנית פעולה מעשית
- בדוק את הספים. העריך את החשיפה שלך במרילנד מתוך האנליטיקה וכלול מזהים ברמת המכשיר, לא רק משתמשים מחוברים.
- בצע סקירת צמצום. רשום כל תגית, SDK ושדה נתונים, ותעד איזה שירות שהקורא ביקש כל אחד מהם תומך. הסר מה שאינך יכול להצדיק.
- בדוק קטגוריות רגישות. זהה תחומי תוכן שעלולים לייצר הסקות רגישות וודא שהפלחים האלה אינם נמכרים או משותפים למכירה לעולם.
- סקור אותות גיל. החלט איך מטפלים בחלקים עתירי נוער והאם לכבות שם פרסום ממוקד.
- חבר את GPC ואת קישור ה-opt-out. ודא שאות GPC או לחיצה על קישור ה-opt-out משתקפים באותות שנשלחים לשותפי המודעות, למשל באמצעות מחרוזת IAB GPP.
- עדכן את הודעת הפרטיות. תאר את קטגוריות הנתונים, המטרות, הצדדים השלישיים ואופן מימוש הזכויות בשפה שקורא יכול לעקוב אחריה.
איך FlexyConsent עוזר
FlexyConsent תומך ב-IAB Global Privacy Platform (GPP) v1.1 עם הסעיף הלאומי של ארה"ב ו-16 חוקי מדינות בארה"ב, כך שבחירות opt-out יכולות לעבור לשותפי המודעות שלך בפורמט הסטנדרטי שהם מצפים לו. אותו באנר, ב-57 שפות, יכול להציג חוויות שונות למבקרים מארה"ב, מהאיחוד האירופי ומאזורים אחרים, וכל תוכנית כוללת את מלוא התכונות, כולל התוכנית החינמית.
עיקרי הדברים
- MODPA נכנס לתוקף ב-1 באוקטובר 2025 וחל על פעילויות עיבוד החל מ-1 באפריל 2026.
- הספים נמוכים: 35,000 צרכנים ממרילנד, או 10,000 בתוספת יותר מ-20% מההכנסה ממכירת נתונים.
- האיסוף מוגבל למה שנחוץ באופן סביר לשירות המבוקש, ולנחוץ בהחלט עבור נתונים רגישים.
- נתונים רגישים אסור למכור כלל, ואסור למקד קטינים מתחת לגיל 18 כשידעת או היית צריך לדעת את גילם.
- כבד אותות opt-out אוניברסליים כמו GPC והעבר opt-out הלאה דרך GPP.