मैरीलैंड का ऑनलाइन डेटा प्राइवेसी एक्ट: विज्ञापन-समर्थित प्रकाशकों को क्या जानना चाहिए
राज्य प्राइवेसी क़ानूनों के जाल में मैरीलैंड अलग क्यों दिखता है
2021 के बाद पारित अधिकांश अमेरिकी राज्य प्राइवेसी क़ानून एक जाने-पहचाने ढाँचे पर चलते हैं: उपभोक्ता अधिकारों का एक समूह, टार्गेटेड विज्ञापन और बिक्री के लिए ऑप्ट-आउट, संवेदनशील डेटा के लिए ऑप्ट-इन सहमति, और राज्य के अटॉर्नी जनरल द्वारा प्रवर्तन। मई 2024 में हस्ताक्षरित मैरीलैंड ऑनलाइन डेटा प्राइवेसी एक्ट (MODPA) यही ढाँचा अपनाता है, लेकिन उसके कई मुख्य हिस्सों को कड़ा कर देता है। विज्ञापन-समर्थित प्रकाशकों के लिए ये अंतर सैद्धांतिक नहीं हैं — ये तय करते हैं कि आप क्या एकत्र कर सकते हैं, क्या कभी नहीं बेच सकते, और युवा विज़िटरों के साथ कैसा व्यवहार करते हैं।
यह क़ानून 1 अक्टूबर 2025 को प्रभावी हुआ और 1 अप्रैल 2026 से व्यक्तिगत डेटा प्रोसेसिंग गतिविधियों पर लागू होता है। यदि आपके मैरीलैंड में विज़िटर हैं, तो यह अब आपके सामान्य परिचालन परिवेश का हिस्सा है, रोडमैप की कोई भविष्य की मद नहीं।
यह क़ानून किन पर लागू होता है
MODPA उन व्यवसायों को कवर करता है जो मैरीलैंड में काम करते हैं या मैरीलैंड के निवासियों को उत्पाद और सेवाएँ लक्षित करते हैं, और जिन्होंने पिछले कैलेंडर वर्ष में इनमें से कोई एक काम किया:
- कम से कम 35,000 मैरीलैंड उपभोक्ताओं के व्यक्तिगत डेटा को नियंत्रित या प्रोसेस किया (केवल भुगतान लेन-देन पूरा करने के लिए प्रोसेस किए गए डेटा को छोड़कर), या
- कम से कम 10,000 उपभोक्ताओं के व्यक्तिगत डेटा को नियंत्रित या प्रोसेस किया और व्यक्तिगत डेटा की बिक्री से सकल राजस्व के 20% से अधिक प्राप्त किया।
ये सीमाएँ कई अन्य राज्यों की तुलना में कम हैं। मैरीलैंड की आबादी लगभग साठ लाख है, इसलिए राष्ट्रीय पहुँच वाली एक मध्यम आकार की कंटेंट साइट सामान्य ट्रैफ़िक से ही 35,000 उपभोक्ताओं की रेखा पार कर सकती है, ख़ासकर तब जब कुकी ID और डिवाइस आइडेंटिफ़ायर को व्यक्तिगत डेटा गिना जाए।
प्रकाशकों के लिए सबसे महत्वपूर्ण प्रावधान
अनुरोधित सेवा से जुड़ा डेटा न्यूनीकरण
कई राज्य क़ानून किसी व्यवसाय को वह सब कुछ एकत्र करने देते हैं जो वह अपने प्राइवेसी नोटिस में बता दे। MODPA इसके बजाय व्यक्तिगत डेटा के संग्रह को उस सीमा तक रोकता है जो उपभोक्ता द्वारा माँगे गए उत्पाद या सेवा को प्रदान करने या बनाए रखने के लिए यथोचित रूप से आवश्यक और अनुपातिक हो। संवेदनशील डेटा के लिए मानक और ऊँचा है: संग्रह और प्रोसेसिंग उस उद्देश्य के लिए अत्यंत आवश्यक होनी चाहिए। व्यवहार में यह प्रकाशकों को हर टैग और डेटा बिंदु को इस आधार पर उचित ठहराने की ओर ले जाता है कि पाठक वास्तव में किसलिए आया था, इस आधार पर नहीं कि नोटिस में क्या लिखा है।
संवेदनशील डेटा की बिक्री नहीं
अन्य जगहों पर संवेदनशील डेटा बेचने के लिए आमतौर पर ऑप्ट-इन सहमति चाहिए। मैरीलैंड और आगे जाता है और संवेदनशील डेटा की बिक्री को पूरी तरह प्रतिबंधित करता है। संवेदनशील डेटा में स्वास्थ्य जानकारी, सटीक भौगोलिक स्थान, नस्लीय या जातीय मूल, धार्मिक विश्वास, यौन अभिविन्यास, बायोमेट्रिक और आनुवंशिक डेटा, और ऐसे उपभोक्ता का डेटा शामिल है जिसके बच्चे होने की जानकारी हो। स्वास्थ्य, वेलनेस और स्थानीय समाचार प्रकाशकों को यह नक्शा बनाना चाहिए कि उनके कंटेंट से कौन-से ऑडियंस सेगमेंट अनुमानित किए जा सकते हैं, और सुनिश्चित करना चाहिए कि उनमें से कोई भी पार्टनरों तक इस तरह न पहुँचे कि वह बिक्री के बराबर हो।
नाबालिगों के लिए सख़्त नियम
MODPA व्यक्तिगत डेटा बेचने, या उसे टार्गेटेड विज्ञापन के लिए प्रोसेस करने पर रोक लगाता है, जब व्यवसाय को पता था या पता होना चाहिए था कि उपभोक्ता 18 वर्ष से कम आयु का है। “पता होना चाहिए था” का मानक कई अन्य राज्यों के वास्तविक-जानकारी वाले परीक्षणों से व्यापक है। किशोर-उन्मुख कंटेंट वाली साइटों — गेमिंग, होमवर्क सहायता, संगीत, खेल — को आयु संकेतों के प्रति और इस बारे में एक बचाव-योग्य दृष्टिकोण चाहिए कि उन खंडों को कौन-से विज्ञापन अनुभव मिलते हैं।
ऑप्ट-आउट और यूनिवर्सल सिग्नल
उपभोक्ता टार्गेटेड विज्ञापन, व्यक्तिगत डेटा की बिक्री और कुछ प्रोफ़ाइलिंग से ऑप्ट-आउट कर सकते हैं। व्यवसायों को Global Privacy Control ब्राउज़र सिग्नल जैसे यूनिवर्सल ऑप्ट-आउट तंत्रों का भी सम्मान करना होगा। यदि आपकी साइट अभी GPC नहीं पढ़ती और उसे संबंधित प्रोसेसिंग के ऑप्ट-आउट में नहीं बदलती, तो इस कमी को दूर करने का मैरीलैंड एक और कारण है।
प्रवर्तन
MODPA को मैरीलैंड अटॉर्नी जनरल का उपभोक्ता संरक्षण प्रभाग लागू करता है। अधिनियम के तहत निजी कार्रवाई का कोई अधिकार नहीं है। शुरुआती अवधि के लिए प्रभाग कार्रवाई करने से पहले व्यवसायों को उल्लंघन सुधारने का अवसर दे सकता है, लेकिन यह विवेकाधीन और अस्थायी है, इसलिए यह भरोसा करने की रणनीति नहीं है।
एक व्यावहारिक कार्ययोजना
- सीमाएँ जाँचें। एनालिटिक्स से मैरीलैंड की पहुँच का अनुमान लगाएँ और केवल लॉग-इन उपयोगकर्ताओं को नहीं, डिवाइस-स्तर के आइडेंटिफ़ायर को भी शामिल करें।
- न्यूनीकरण समीक्षा करें। हर टैग, SDK और डेटा फ़ील्ड की सूची बनाएँ और दर्ज करें कि हर एक पाठक द्वारा माँगी गई किस सेवा को सहारा देता है। जिसे उचित न ठहरा सकें, उसे हटा दें।
- संवेदनशील श्रेणियों का ऑडिट करें। ऐसे कंटेंट वर्टिकल पहचानें जिनसे संवेदनशील अनुमान बन सकते हैं और पुष्टि करें कि वे सेगमेंट कभी बिक्री के लिए बेचे या साझा नहीं किए जाते।
- आयु संकेतों की समीक्षा करें। तय करें कि किशोर-बहुल खंडों को कैसे संभाला जाए और क्या वहाँ टार्गेटेड विज्ञापन बंद किया जाना चाहिए।
- GPC और ऑप्ट-आउट लिंक को जोड़ें। सुनिश्चित करें कि GPC सिग्नल या आपके ऑप्ट-आउट लिंक पर क्लिक विज्ञापन पार्टनरों को भेजे जाने वाले सिग्नल में दिखे, उदाहरण के लिए IAB GPP स्ट्रिंग के ज़रिए।
- अपना प्राइवेसी नोटिस अपडेट करें। डेटा की श्रेणियाँ, उद्देश्य, तृतीय पक्ष और अधिकारों के प्रयोग का तरीका ऐसी भाषा में बताएँ जिसे पाठक समझ सके।
FlexyConsent कैसे मदद करता है
FlexyConsent अमेरिकी नेशनल सेक्शन और 16 अमेरिकी राज्य क़ानूनों के साथ IAB Global Privacy Platform (GPP) v1.1 को सपोर्ट करता है, ताकि ऑप्ट-आउट विकल्प आपके विज्ञापन पार्टनरों को उसी मानक फ़ॉर्मैट में भेजे जा सकें जिसकी वे अपेक्षा करते हैं। 57 भाषाओं में वही बैनर अमेरिकी, EU और अन्य विज़िटरों को अलग-अलग अनुभव दिखा सकता है, और हर प्लान में, फ़्री प्लान सहित, पूरा फ़ीचर सेट शामिल है।
मुख्य बातें
- MODPA 1 अक्टूबर 2025 को प्रभावी हुआ और 1 अप्रैल 2026 से प्रोसेसिंग गतिविधियों पर लागू होता है।
- सीमाएँ कम हैं: 35,000 मैरीलैंड उपभोक्ता, या 10,000 के साथ डेटा बिक्री से राजस्व के 20% से अधिक।
- संग्रह अनुरोधित सेवा के लिए यथोचित रूप से आवश्यक तक सीमित है, और संवेदनशील डेटा के लिए अत्यंत आवश्यक तक।
- संवेदनशील डेटा बिल्कुल नहीं बेचा जा सकता, और जब आपको आयु पता थी या पता होनी चाहिए थी तब 18 से कम आयु वालों को टार्गेट नहीं किया जा सकता।
- GPC जैसे यूनिवर्सल ऑप्ट-आउट सिग्नल का सम्मान करें और ऑप्ट-आउट को GPP के ज़रिए आगे पहुँचाएँ।