Miért tűnik ki Maryland az állami adatvédelmi törvények foltvarrásából

A 2021 óta elfogadott amerikai állami adatvédelmi törvények többsége ismerős sablont követ: fogyasztói jogok, leiratkozás a célzott hirdetésekről és az eladásról, opt-in hozzájárulás az érzékeny adatokhoz, és az állam főügyészének általi érvényesítés. A 2024 májusában aláírt Maryland Online Data Privacy Act (MODPA) átveszi ezt a sablont, de több kulcsfontosságú elemét szigorítja. A hirdetésekből élő kiadók számára a különbségek nem elméletiek — befolyásolják, mit gyűjthet, mit nem adhat el soha, és hogyan bánik a fiatalabb látogatókkal.

A törvény 2025. október 1-jén lépett hatályba, és a személyes adatok kezelésére 2026. április 1-jétől vonatkozik. Ha vannak marylandi látogatói, ez mostantól a megszokott működési környezet része, nem pedig egy jövőbeli ütemterv-tétel.

Kikre vonatkozik a törvény

A MODPA azokra a vállalkozásokra terjed ki, amelyek Marylandben működnek, vagy termékeiket és szolgáltatásaikat marylandi lakosoknak célozzák, és amelyek az előző naptári évben vagy:

• legalább 35 000 marylandi fogyasztó személyes adatait ellenőrizték vagy kezelték (kivéve a kizárólag fizetési tranzakció lebonyolításához kezelt adatokat), vagy
• legalább 10 000 fogyasztó személyes adatait ellenőrizték vagy kezelték, és a bruttó bevétel több mint 20%-át személyes adatok eladásából szerezték.

Ezek a küszöbök alacsonyabbak, mint sok más államban. Marylandnek nagyjából hatmillió lakosa van, így egy országos elérésű közepes tartalomoldal a szokásos forgalommal átléphet a 35 000 fogyasztós határt, különösen, ha a cookie-azonosítókat és eszközazonosítókat is személyes adatnak számítjuk.

A kiadók számára legfontosabb rendelkezések

Adatminimalizálás a kért szolgáltatáshoz kötve

Sok állami törvény megengedi, hogy a vállalkozás bármit gyűjtsön, amit az adatvédelmi tájékoztatójában közöl. A MODPA ehelyett a személyes adatok gyűjtését arra korlátozza, ami ésszerűen szükséges és arányos a fogyasztó által kért termék vagy szolgáltatás nyújtásához vagy fenntartásához. Az érzékeny adatoknál magasabb a léc: a gyűjtésnek és kezelésnek szigorúan szükségesnek kell lennie ahhoz a célhoz. A gyakorlatban ez arra készteti a kiadókat, hogy minden taget és adatpontot ahhoz igazoljanak, amiért az olvasó valójában jött, nem ahhoz, amit a tájékoztató éppen mond.

Az érzékeny adatok eladásának tilalma

Másutt az érzékeny adatok eladása általában opt-in hozzájárulást igényel. Maryland tovább megy, és kereken megtiltja az érzékeny adatok eladását. Az érzékeny adatok közé tartoznak például az egészségügyi információk, a pontos földrajzi hely, a faji vagy etnikai származás, a vallási meggyőződés, a szexuális irányultság, a biometrikus és genetikai adatok, valamint a gyermekként ismert fogyasztó adatai. Az egészségügyi, wellness és helyi hírekkel foglalkozó kiadóknak fel kell térképezniük, mely közönségszegmensek következtethetők ki a tartalmukból, és gondoskodniuk kell róla, hogy egyik se jusson el a partnerekhez eladásnak minősülő módon.

Szigorúbb szabályok kiskorúakra

A MODPA tiltja a személyes adatok eladását vagy célzott hirdetésre való kezelését, ha a vállalkozás tudta vagy tudnia kellett volna, hogy a fogyasztó 18 év alatti. A „tudnia kellett volna” mérce tágabb, mint a tényleges tudomás sok más államban használt tesztjei. A tinédzsereknek szóló tartalmú oldalaknak — játék, házi feladat segítség, zene, sport — védhető megközelítésre van szükségük a korjelekhez és ahhoz, hogy ezek a szekciók milyen hirdetési élményt kapnak.

Leiratkozások és univerzális jelek

A fogyasztók leiratkozhatnak a célzott hirdetésekről, a személyes adatok eladásáról és bizonyos profilalkotásról. A vállalkozásoknak tiszteletben kell tartaniuk az univerzális leiratkozási mechanizmusokat is, például a Global Privacy Control böngészőjelet. Ha az Ön webhelye még nem olvassa a GPC-t, és nem fordítja le az érintett adatkezelésről való leiratkozássá, Maryland egy újabb ok arra, hogy bezárja ezt a rést.

Érvényesítés

A MODPA-t Maryland főügyészének Fogyasztóvédelmi Osztálya (Consumer Protection Division) érvényesíti. A törvény maga nem biztosít magánjogi keresetet. Kezdeti időszakban az osztály lehetőséget adhat a vállalkozásoknak a jogsértés orvoslására, mielőtt lépéseket tenne, de ez mérlegelés kérdése és ideiglenes, ezért nem olyan stratégia, amelyre építeni lehet.

Gyakorlati cselekvési terv

1. Ellenőrizze a küszöböket. Becsülje meg a marylandi elérést az analitikából, és vegye figyelembe az eszközszintű azonosítókat, nem csak a bejelentkezett felhasználókat.
2. Végezzen minimalizálási felülvizsgálatot. Sorolja fel az összes taget, SDK-t és adatmezőt, és jegyezze fel, melyik olvasó által kért szolgáltatást támogatja. Távolítsa el, amit nem tud megindokolni.
3. Auditálja az érzékeny kategóriákat. Azonosítsa azokat a tartalmi területeket, amelyek érzékeny következtetéseket eredményezhetnek, és győződjön meg róla, hogy ezeket a szegmenseket soha nem adják el és nem osztják meg eladásra.
4. Tekintse át a korjeleket. Döntse el, hogyan kezelje a tinédzserek által sűrűn látogatott szekciókat, és hogy ott ki kell-e kapcsolni a célzott hirdetést.
5. Kösse be a GPC-t és a leiratkozási hivatkozást. Gondoskodjon róla, hogy a GPC-jel vagy a leiratkozási hivatkozásra kattintás tükröződjön a hirdetési partnereknek küldött jelekben, például az IAB GPP-stringen keresztül.
6. Frissítse az adatvédelmi tájékoztatót. Írja le az adatkategóriákat, a célokat, a harmadik feleket és a jogok gyakorlásának módját az olvasó számára követhető nyelven.

Hogyan segít a FlexyConsent

A FlexyConsent támogatja az IAB Global Privacy Platform (GPP) v1.1-et az US National szekcióval és 16 amerikai állami törvénnyel, így a leiratkozási döntések a hirdetési partnereknek az általuk elvárt szabványos formátumban továbbíthatók. Ugyanaz a banner, 57 nyelven, különböző élményt mutathat az amerikai, uniós és más látogatóknak, és minden csomag, az ingyenes is, a teljes funkciókészletet tartalmazza.

Legfontosabb tanulságok

• A MODPA 2025. október 1-jén lépett hatályba, és a kezelési tevékenységekre 2026. április 1-jétől vonatkozik.
• A küszöbök alacsonyak: 35 000 marylandi fogyasztó, vagy 10 000 plusz az adateladásból származó bevétel több mint 20%-a.
• A gyűjtés a kért szolgáltatáshoz ésszerűen szükségesre korlátozott, az érzékeny adatoknál pedig szigorúan szükségesre.
• Az érzékeny adatok egyáltalán nem adhatók el, és a 18 év alattiak nem célozhatók, ha tudta vagy tudnia kellett volna a korukat.
• Tartsa tiszteletben az univerzális leiratkozási jeleket, például a GPC-t, és továbbítsa a leiratkozásokat a GPP-n keresztül.