Mengapa Maryland Menonjol di Antara Ragam Aturan Privasi Negara Bagian

Sebagian besar undang-undang privasi negara bagian AS yang disahkan sejak 2021 mengikuti templat yang familier: serangkaian hak konsumen, opt-out untuk iklan bertarget dan penjualan, persetujuan opt-in untuk data sensitif, dan penegakan oleh jaksa agung negara bagian. Maryland Online Data Privacy Act (MODPA), yang ditandatangani pada Mei 2024, meminjam templat itu tetapi memperketat beberapa bagian pentingnya. Bagi penerbit berbasis iklan, perbedaannya bukan sekadar teori — ia memengaruhi apa yang boleh Anda kumpulkan, apa yang tidak boleh Anda jual, dan bagaimana Anda memperlakukan pengunjung yang lebih muda.

Undang-undang ini mulai berlaku pada 1 Oktober 2025, dan berlaku untuk aktivitas pemrosesan data pribadi mulai 1 April 2026. Jika Anda memiliki pengunjung dari Maryland, ini kini menjadi bagian dari lingkungan operasi normal Anda, bukan lagi agenda masa depan.

Siapa yang Tercakup dalam Undang-Undang Ini

MODPA mencakup bisnis yang beroperasi di Maryland atau menargetkan produk dan layanan kepada penduduk Maryland dan yang, pada tahun kalender sebelumnya, memenuhi salah satu dari:

• mengendalikan atau memproses data pribadi setidaknya 35.000 konsumen Maryland (tidak termasuk data yang diproses semata-mata untuk menyelesaikan transaksi pembayaran), atau
• mengendalikan atau memproses data pribadi setidaknya 10.000 konsumen dan memperoleh lebih dari 20% pendapatan kotor dari penjualan data pribadi.

Ambang batas ini lebih rendah daripada banyak negara bagian lain. Maryland berpenduduk sekitar enam juta jiwa, sehingga situs konten berukuran menengah dengan jangkauan nasional dapat melewati batas 35.000 konsumen lewat lalu lintas biasa, terutama ketika ID cookie dan pengenal perangkat dihitung sebagai data pribadi.

Ketentuan yang Paling Penting bagi Penerbit

Minimisasi data yang terkait dengan layanan yang diminta

Banyak undang-undang negara bagian membolehkan bisnis mengumpulkan apa pun yang diungkapkannya dalam pemberitahuan privasi. MODPA justru membatasi pengumpulan data pribadi pada yang cukup diperlukan dan proporsional untuk menyediakan atau mempertahankan produk atau layanan yang diminta konsumen. Untuk data sensitif, standarnya lebih tinggi: pengumpulan dan pemrosesan harus benar-benar diperlukan untuk tujuan itu. Dalam praktik, hal ini mendorong penerbit untuk membenarkan setiap tag dan titik data berdasarkan tujuan kedatangan pembaca, bukan berdasarkan apa yang kebetulan tertulis di pemberitahuan.

Tidak ada penjualan data sensitif

Di tempat lain, menjual data sensitif biasanya memerlukan persetujuan opt-in. Maryland melangkah lebih jauh dan melarang penjualan data sensitif sepenuhnya. Data sensitif mencakup kategori seperti informasi kesehatan, geolokasi presisi, asal ras atau etnis, keyakinan agama, orientasi seksual, data biometrik dan genetik, serta data konsumen yang diketahui sebagai anak. Penerbit kesehatan, kebugaran, dan berita lokal sebaiknya memetakan segmen audiens mana yang dapat disimpulkan dari konten mereka dan memastikan tidak ada yang mengalir ke mitra dengan cara yang dapat dianggap sebagai penjualan.

Aturan yang lebih ketat untuk anak di bawah umur

MODPA melarang penjualan data pribadi, atau pemrosesannya untuk iklan bertarget, ketika bisnis mengetahui atau seharusnya mengetahui bahwa konsumen berusia di bawah 18 tahun. Standar “seharusnya mengetahui” lebih luas daripada uji pengetahuan aktual di banyak negara bagian lain. Situs dengan konten berorientasi remaja — gim, bantuan PR sekolah, musik, olahraga — memerlukan pendekatan yang dapat dipertanggungjawabkan terhadap sinyal usia dan pengalaman iklan yang diterima bagian-bagian tersebut.

Opt-out dan sinyal universal

Konsumen dapat memilih keluar dari iklan bertarget, penjualan data pribadi, dan profiling tertentu. Bisnis juga wajib menghormati mekanisme opt-out universal seperti sinyal browser Global Privacy Control. Jika situs Anda belum membaca GPC dan menerjemahkannya menjadi opt-out untuk pemrosesan yang relevan, Maryland adalah satu alasan lagi untuk menutup celah itu.

Penegakan

MODPA ditegakkan oleh Divisi Perlindungan Konsumen Jaksa Agung Maryland. Undang-undang ini sendiri tidak mengatur hak gugat privat. Untuk periode awal, Divisi dapat memberi bisnis kesempatan memperbaiki pelanggaran sebelum mengambil tindakan, tetapi hal ini bersifat diskresioner dan sementara, sehingga bukan strategi yang layak diandalkan.

Rencana Tindakan Praktis

1. Periksa ambang batas. Perkirakan jangkauan Maryland dari analitik dan sertakan pengenal tingkat perangkat, bukan hanya pengguna yang login.
2. Lakukan tinjauan minimisasi. Daftar setiap tag, SDK, dan bidang data, lalu catat layanan yang diminta pembaca yang didukung masing-masing. Hapus yang tidak dapat Anda benarkan.
3. Audit kategori sensitif. Identifikasi vertikal konten yang dapat menghasilkan inferensi sensitif dan pastikan segmen tersebut tidak pernah dijual atau dibagikan untuk dijual.
4. Tinjau sinyal usia. Putuskan bagaimana bagian yang banyak dikunjungi remaja ditangani dan apakah iklan bertarget perlu dimatikan di sana.
5. Hubungkan GPC dan tautan opt-out. Pastikan sinyal GPC atau klik pada tautan opt-out Anda tercermin dalam sinyal yang dikirim ke mitra iklan, misalnya melalui string IAB GPP.
6. Perbarui pemberitahuan privasi Anda. Jelaskan kategori data, tujuan, pihak ketiga, dan cara menjalankan hak, dalam bahasa yang dapat diikuti pembaca.

Bagaimana FlexyConsent Membantu

FlexyConsent mendukung IAB Global Privacy Platform (GPP) v1.1 dengan bagian Nasional AS dan 16 undang-undang negara bagian AS, sehingga pilihan opt-out dapat diteruskan ke mitra iklan Anda dalam format standar yang mereka harapkan. Banner yang sama, dalam 57 bahasa, dapat menampilkan pengalaman berbeda kepada pengunjung AS, UE, dan lainnya, dan setiap paket mencakup set fitur lengkap, termasuk paket gratis.

Poin Penting

• MODPA mulai berlaku pada 1 Oktober 2025, dan berlaku untuk aktivitas pemrosesan mulai 1 April 2026.
• Ambang batasnya rendah: 35.000 konsumen Maryland, atau 10.000 ditambah lebih dari 20% pendapatan dari penjualan data.
• Pengumpulan dibatasi pada yang cukup diperlukan untuk layanan yang diminta, dan benar-benar diperlukan untuk data sensitif.
• Data sensitif sama sekali tidak boleh dijual, dan pengguna di bawah 18 tahun tidak boleh ditargetkan ketika Anda mengetahui atau seharusnya mengetahui usia mereka.
• Hormati sinyal opt-out universal seperti GPC dan teruskan opt-out ke hilir melalui GPP.