Zašto se Maryland ističe u mozaiku državnih zakona o privatnosti

Većina američkih državnih zakona o privatnosti donesenih od 2021. slijedi poznat obrazac: skup prava potrošača, odjava od ciljanog oglašavanja i prodaje, privola (opt-in) za osjetljive podatke i provedba od strane državnog odvjetnika. Marylandski zakon o online privatnosti podataka (MODPA), potpisan u svibnju 2024., preuzima taj obrazac, ali pooštrava nekoliko njegovih ključnih dijelova. Za izdavače koji žive od oglasa razlike nisu teorijske — utječu na to što smijete prikupljati, što nikada ne smijete prodavati i kako postupate s mlađim posjetiteljima.

Zakon je stupio na snagu 1. listopada 2025., a na aktivnosti obrade osobnih podataka primjenjuje se od 1. travnja 2026. Ako imate posjetitelje iz Marylanda, on je sada dio vašeg uobičajenog radnog okruženja, a ne buduća stavka na planu.

Na koga se zakon odnosi

MODPA obuhvaća poduzeća koja posluju u Marylandu ili usmjeravaju proizvode i usluge prema stanovnicima Marylanda i koja su u prethodnoj kalendarskoj godini:

• kontrolirala ili obrađivala osobne podatke najmanje 35.000 potrošača iz Marylanda (isključujući podatke obrađene isključivo radi dovršetka platne transakcije), ili
• kontrolirala ili obrađivala osobne podatke najmanje 10.000 potrošača i ostvarila više od 20% bruto prihoda od prodaje osobnih podataka.

Ti su pragovi niži nego u mnogim drugim državama. Maryland ima otprilike šest milijuna stanovnika, pa sadržajna stranica srednje veličine s nacionalnim dosegom može prijeći granicu od 35.000 potrošača običnim prometom, osobito kad se ID-ovi kolačića i identifikatori uređaja računaju kao osobni podaci.

Odredbe koje su izdavačima najvažnije

Minimizacija podataka vezana uz traženu uslugu

Mnogi državni zakoni dopuštaju poduzeću da prikuplja sve što navede u obavijesti o privatnosti. MODPA umjesto toga ograničava prikupljanje osobnih podataka na ono što je razumno nužno i razmjerno pružanju ili održavanju proizvoda ili usluge koju je potrošač zatražio. Za osjetljive podatke prag je viši: prikupljanje i obrada moraju biti strogo nužni za tu svrhu. U praksi to tjera izdavače da opravdaju svaki tag i podatak u odnosu na ono po što je čitatelj zapravo došao, a ne u odnosu na ono što obavijest slučajno kaže.

Zabrana prodaje osjetljivih podataka

Drugdje prodaja osjetljivih podataka obično zahtijeva privolu (opt-in). Maryland ide dalje i potpuno zabranjuje prodaju osjetljivih podataka. Osjetljivi podaci uključuju kategorije kao što su zdravstveni podaci, precizna geolokacija, rasno ili etničko podrijetlo, vjerska uvjerenja, seksualna orijentacija, biometrijski i genetski podaci te podaci potrošača za kojeg se zna da je dijete. Izdavači iz područja zdravlja, dobrobiti i lokalnih vijesti trebaju mapirati koje se segmente publike može zaključiti iz njihova sadržaja i pobrinuti se da nijedan od njih ne ide partnerima na način koji predstavlja prodaju.

Stroža pravila za maloljetnike

MODPA zabranjuje prodaju osobnih podataka ili njihovu obradu radi ciljanog oglašavanja kada je poduzeće znalo ili je moralo znati da potrošač ima manje od 18 godina. Standard “moralo je znati” širi je od testova stvarnog znanja u mnogim drugim državama. Stranicama sa sadržajem za tinejdžere — gaming, pomoć pri učenju, glazba, sport — potreban je obranjiv pristup signalima o dobi i tome koja iskustva s oglasima ti dijelovi dobivaju.

Odjave i univerzalni signali

Potrošači se mogu odjaviti od ciljanog oglašavanja, prodaje osobnih podataka i određenog profiliranja. Poduzeća moraju poštovati i univerzalne mehanizme odjave, kao što je signal preglednika Global Privacy Control. Ako vaša stranica još ne čita GPC i ne pretvara ga u odjavu za odgovarajuću obradu, Maryland je još jedan razlog da zatvorite taj jaz.

Provedba

MODPA provodi Odjel za zaštitu potrošača pri državnom odvjetniku Marylanda. Sam zakon ne predviđa privatnu tužbu. U početnom razdoblju Odjel može ponuditi poduzećima priliku da otklone povredu prije poduzimanja mjera, ali je to diskrecijsko i privremeno, pa se na to ne treba oslanjati kao na strategiju.

Praktičan akcijski plan

1. Provjerite pragove. Procijenite doseg u Marylandu iz analitike i uključite identifikatore na razini uređaja, ne samo prijavljene korisnike.
2. Provedite pregled minimizacije. Navedite svaki tag, SDK i polje podataka te zabilježite koju uslugu koju je čitatelj zatražio svaki od njih podržava. Uklonite ono što ne možete opravdati.
3. Revidirajte osjetljive kategorije. Utvrdite koje tematske cjeline sadržaja mogu proizvesti osjetljive zaključke i potvrdite da se ti segmenti nikada ne prodaju niti dijele radi prodaje.
4. Razmotrite signale o dobi. Odlučite kako se postupa s dijelovima u kojima prevladavaju tinejdžeri i treba li ondje isključiti ciljano oglašavanje.
5. Povežite GPC i poveznicu za odjavu. Pobrinite se da se GPC signal ili klik na poveznicu za odjavu odražava u signalima koje šaljete oglasnim partnerima, na primjer putem IAB GPP stringa.
6. Ažurirajte obavijest o privatnosti. Opišite kategorije podataka, svrhe, treće strane i način ostvarivanja prava jezikom koji čitatelj može pratiti.

Kako FlexyConsent pomaže

FlexyConsent podržava IAB Global Privacy Platform (GPP) v1.1 s američkom nacionalnom sekcijom i 16 zakona američkih država, tako da se izbori o odjavi mogu proslijediti vašim oglasnim partnerima u standardnom formatu koji očekuju. Isti baner, na 57 jezika, može prikazati različita iskustva američkim, europskim i drugim posjetiteljima, a svaki plan uključuje puni skup značajki, uključujući besplatni plan.

Ključni zaključci

• MODPA je stupio na snagu 1. listopada 2025. i primjenjuje se na aktivnosti obrade od 1. travnja 2026.
• Pragovi su niski: 35.000 potrošača iz Marylanda, ili 10.000 uz više od 20% prihoda od prodaje podataka.
• Prikupljanje je ograničeno na ono što je razumno nužno za traženu uslugu, a za osjetljive podatke na ono što je strogo nužno.
• Osjetljivi podaci uopće se ne smiju prodavati, a maloljetnici mlađi od 18 godina ne smiju se ciljati kada ste znali ili morali znati njihovu dob.
• Poštujte univerzalne signale odjave poput GPC-a i proslijedite odjave dalje putem GPP-a.