Hvers vegna Maryland sker sig úr í bútasaumi persónuverndarlaga ríkjanna

Flest persónuverndarlög bandarískra ríkja sem samþykkt hafa verið frá 2021 fylgja kunnuglegri fyrirmynd: réttindi neytenda, afþökkun á markvissum auglýsingum og sölu, samþykki (opt-in) fyrir viðkvæmum gögnum og eftirfylgni af hálfu ríkissaksóknara. Persónuverndarlög Maryland á netinu (Maryland Online Data Privacy Act, MODPA), undirrituð í maí 2024, byggja á þessari fyrirmynd en herða nokkur lykilatriði hennar. Fyrir útgefendur sem byggja á auglýsingum eru munurinn ekki fræðilegur — hann hefur áhrif á það sem þú mátt safna, það sem þú mátt aldrei selja og hvernig þú kemur fram við yngri gesti.

Lögin tóku gildi 1. október 2025 og gilda um vinnslu persónuupplýsinga frá 1. apríl 2026. Ef þú ert með gesti frá Maryland eru þau nú hluti af venjulegu rekstrarumhverfi þínu en ekki framtíðarverkefni á áætlun.

Á hverja lögin gilda

MODPA nær til fyrirtækja sem starfa í Maryland eða beina vörum og þjónustu að íbúum Maryland og sem á undanförnu almanaksári annaðhvort:

• stjórnuðu eða unnu með persónuupplýsingar að minnsta kosti 35.000 neytenda í Maryland (að undanskildum gögnum sem unnið er með eingöngu til að ljúka greiðsluviðskiptum), eða
• stjórnuðu eða unnu með persónuupplýsingar að minnsta kosti 10.000 neytenda og öfluðu meira en 20% af heildartekjum með sölu persónuupplýsinga.

Þessir þröskuldar eru lægri en í mörgum öðrum ríkjum. Íbúar Maryland eru um sex milljónir, svo meðalstór efnisvefur með landsdekkandi umfang getur náð 35.000 neytenda markinu með venjulegri umferð, sérstaklega þegar auðkenni vafrakaka og tækja teljast til persónuupplýsinga.

Ákvæðin sem skipta útgefendur mestu máli

Gagnasparnaður bundinn við umbeðna þjónustu

Mörg ríkislög leyfa fyrirtæki að safna því sem það tilgreinir í persónuverndartilkynningu sinni. MODPA takmarkar þess í stað söfnun persónuupplýsinga við það sem er sanngjarnt nauðsynlegt og í réttu hlutfalli við að veita eða viðhalda vöru eða þjónustu sem neytandinn hefur óskað eftir. Fyrir viðkvæm gögn er kröfan hærri: söfnun og vinnsla verður að vera stranglega nauðsynleg í þeim tilgangi. Í reynd þrýstir þetta á útgefendur að réttlæta hvert tag og hvert gagnaatriði með tilliti til þess sem lesandinn kom í raun til að sækja, frekar en þess sem tilkynningin segir.

Engin sala viðkvæmra gagna

Annars staðar krefst sala viðkvæmra gagna venjulega samþykkis (opt-in). Maryland gengur lengra og bannar sölu viðkvæmra gagna með öllu. Viðkvæm gögn eru meðal annars flokkar eins og heilsufarsupplýsingar, nákvæm staðsetning, kynþáttur eða þjóðernisuppruni, trúarskoðanir, kynhneigð, lífkenni og erfðafræðileg gögn og gögn neytanda sem vitað er að er barn. Útgefendur heilsu-, vellíðunar- og staðbundinna frétta ættu að kortleggja hvaða markhópa mætti álykta út frá efni þeirra og ganga úr skugga um að enginn þeirra berist til samstarfsaðila á þann hátt að það jafngildi sölu.

Strangari reglur um ólögráða

MODPA bannar að selja persónuupplýsingar, eða vinna með þær fyrir markvissar auglýsingar, þegar fyrirtækið vissi eða hefði átt að vita að neytandinn er yngri en 18 ára. Mælikvarðinn “hefði átt að vita” er víðtækari en prófin um raunverulega vitneskju í mörgum öðrum ríkjum. Vefir með efni fyrir unglinga — leiki, heimanámsaðstoð, tónlist, íþróttir — þurfa verjanlega nálgun á aldursmerki og á það hvaða auglýsingaupplifun þessir hlutar fá.

Afþökkun og almenn merki

Neytendur geta afþakkað markvissar auglýsingar, sölu persónuupplýsinga og tiltekna prófílgreiningu. Fyrirtæki verða einnig að virða almenn afþökkunarkerfi eins og vaframerkið Global Privacy Control. Ef vefurinn þinn les ekki enn GPC og þýðir það í afþökkun fyrir viðkomandi vinnslu er Maryland enn ein ástæða til að loka því bili.

Eftirfylgni

MODPA er framfylgt af neytendaverndarsviði ríkissaksóknara Maryland. Lögin sjálf veita ekki einkaaðilum málsóknarrétt. Á fyrstu stigum getur sviðið veitt fyrirtækjum tækifæri til að bæta úr broti áður en gripið er til aðgerða, en það er háð mati og tímabundið og því ekki aðferð til að treysta á.

Hagnýt aðgerðaáætlun

1. Athugaðu þröskuldana. Áætlaðu umfang í Maryland út frá greiningargögnum og taktu með auðkenni á tækjastigi, ekki aðeins innskráða notendur.
2. Gerðu yfirferð á gagnasparnaði. Skráðu hvert tag, SDK og gagnasvið og skráðu hvaða þjónustu sem lesandi bað um hvert þeirra styður. Fjarlægðu það sem þú getur ekki réttlætt.
3. Yfirfarðu viðkvæma flokka. Finndu efnisflokka sem gætu leitt til viðkvæmra ályktana og staðfestu að þessir hópar séu aldrei seldir eða deilt til sölu.
4. Farðu yfir aldursmerki. Ákveddu hvernig farið er með hluta þar sem unglingar eru fjölmennir og hvort slökkva eigi á markvissum auglýsingum þar.
5. Tengdu GPC og afþökkunartengilinn. Gakktu úr skugga um að GPC-merki eða smellur á afþökkunartengilinn þinn endurspeglist í merkjunum sem send eru til auglýsingasamstarfsaðila, til dæmis í gegnum IAB GPP strenginn.
6. Uppfærðu persónuverndartilkynninguna. Lýstu flokkum gagna, tilgangi, þriðju aðilum og hvernig réttindum er beitt, á máli sem lesandi getur fylgt.

Hvernig FlexyConsent hjálpar

FlexyConsent styður IAB Global Privacy Platform (GPP) v1.1 með bandaríska landshlutanum (US National) og 16 ríkislögum Bandaríkjanna, svo hægt sé að senda afþökkunarval til auglýsingasamstarfsaðila þinna á stöðluðu sniði sem þeir búast við. Sami borði, á 57 tungumálum, getur sýnt mismunandi upplifun fyrir gesti frá Bandaríkjunum, ESB og öðrum svæðum, og allar áskriftir, þar á meðal ókeypis áskrift, innihalda alla eiginleika.

Lykilatriði

• MODPA tók gildi 1. október 2025 og gildir um vinnslu frá 1. apríl 2026.
• Þröskuldarnir eru lágir: 35.000 neytendur í Maryland, eða 10.000 auk meira en 20% tekna af gagnasölu.
• Söfnun takmarkast við það sem er sanngjarnt nauðsynlegt fyrir umbeðna þjónustu og stranglega nauðsynlegt fyrir viðkvæm gögn.
• Viðkvæm gögn má alls ekki selja og ekki má beina markvissum auglýsingum að yngri en 18 ára þegar þú vissir eða hefðir átt að vita aldur þeirra.
• Virtu almenn afþökkunarmerki eins og GPC og komdu afþökkun áfram í gegnum GPP.