Perché il Maryland si distingue nel mosaico delle leggi statali

La maggior parte delle leggi statali statunitensi sulla privacy approvate dal 2021 segue un modello noto: un insieme di diritti dei consumatori, un'esclusione (opt-out) per la pubblicità mirata e le vendite, il consenso preventivo (opt-in) per i dati sensibili e l'applicazione affidata al procuratore generale dello stato. La Maryland Online Data Privacy Act (MODPA), firmata a maggio 2024, riprende quel modello ma ne rafforza diverse parti chiave. Per gli editori finanziati dalla pubblicità, le differenze non sono accademiche — incidono su ciò che puoi raccogliere, su ciò che non puoi mai vendere e su come tratti i visitatori più giovani.

La legge è entrata in vigore il 1° ottobre 2025 e si applica alle attività di trattamento dei dati personali dal 1° aprile 2026. Se hai visitatori del Maryland, ora fa parte del tuo normale ambiente operativo e non è più una voce futura della roadmap.

A chi si applica la legge

La MODPA riguarda le imprese che operano nel Maryland o che indirizzano prodotti e servizi ai residenti del Maryland e che, nell'anno solare precedente, hanno:

• controllato o trattato i dati personali di almeno 35.000 consumatori del Maryland (esclusi i dati trattati unicamente per completare una transazione di pagamento), oppure
• controllato o trattato i dati personali di almeno 10.000 consumatori e ricavato oltre il 20% del fatturato lordo dalla vendita di dati personali.

Queste soglie sono più basse di quelle di molti altri stati. Il Maryland ha circa sei milioni di abitanti, quindi un sito di contenuti di medie dimensioni con portata nazionale può superare la soglia dei 35.000 consumatori con il normale traffico, soprattutto quando gli ID dei cookie e gli identificatori dei dispositivi sono considerati dati personali.

Le disposizioni più importanti per gli editori

Minimizzazione dei dati legata al servizio richiesto

Molte leggi statali consentono a un'impresa di raccogliere tutto ciò che dichiara nell'informativa sulla privacy. La MODPA, invece, limita la raccolta di dati personali a quanto è ragionevolmente necessario e proporzionato per fornire o mantenere un prodotto o servizio richiesto dal consumatore. Per i dati sensibili la soglia è più alta: la raccolta e il trattamento devono essere strettamente necessari a tale scopo. In pratica, questo spinge gli editori a giustificare ogni tag e ogni dato in base a ciò per cui il lettore è effettivamente venuto, e non in base a ciò che l'informativa si limita a dichiarare.

Nessuna vendita di dati sensibili

Altrove, vendere dati sensibili richiede di solito il consenso preventivo. Il Maryland si spinge oltre e vieta del tutto la vendita di dati sensibili. I dati sensibili comprendono categorie come le informazioni sanitarie, la geolocalizzazione precisa, l'origine razziale o etnica, le convinzioni religiose, l'orientamento sessuale, i dati biometrici e genetici e i dati di un consumatore noto come minore. Gli editori di contenuti su salute, benessere e notizie locali dovrebbero mappare quali segmenti di pubblico potrebbero essere dedotti dai loro contenuti e assicurarsi che nessuno di essi giunga ai partner in modo tale da equivalere a una vendita.

Regole più severe per i minori

La MODPA vieta di vendere dati personali, o di trattarli per la pubblicità mirata, quando l'impresa sapeva o avrebbe dovuto sapere che il consumatore ha meno di 18 anni. Il criterio «avrebbe dovuto sapere» è più ampio dei test di conoscenza effettiva di molti altri stati. I siti con contenuti per adolescenti — gaming, aiuto nei compiti, musica, sport — hanno bisogno di un approccio difendibile ai segnali di età e alle esperienze pubblicitarie riservate a quelle sezioni.

Esclusioni e segnali universali

I consumatori possono rifiutare la pubblicità mirata, la vendita dei dati personali e alcune forme di profilazione. Le imprese devono inoltre rispettare i meccanismi universali di esclusione, come il segnale del browser Global Privacy Control. Se il tuo sito non legge ancora il GPC e non lo traduce in un'esclusione per il trattamento interessato, il Maryland è un motivo in più per colmare questa lacuna.

Applicazione

La MODPA è applicata dalla Consumer Protection Division della procura generale del Maryland. La legge stessa non prevede alcuna azione privata. Per un periodo iniziale la Division può offrire alle imprese la possibilità di sanare una violazione prima di agire, ma è una facoltà discrezionale e temporanea, quindi non è una strategia su cui fare affidamento.

Un piano d'azione pratico

1. Controlla le soglie. Stima la tua portata nel Maryland dalle analitiche e includi gli identificatori a livello di dispositivo, non solo gli utenti connessi.
2. Esegui una revisione di minimizzazione. Elenca ogni tag, SDK e campo di dati e annota quale servizio richiesto dal lettore sostiene ciascuno. Rimuovi ciò che non riesci a giustificare.
3. Verifica le categorie sensibili. Individua i temi di contenuto che potrebbero produrre deduzioni sensibili e conferma che quei segmenti non vengano mai venduti né condivisi a fini di vendita.
4. Rivedi i segnali di età. Decidi come trattare le sezioni frequentate da molti adolescenti e se in esse debba essere disattivata la pubblicità mirata.
5. Collega il GPC e il link di esclusione. Assicurati che un segnale GPC o un clic sul tuo link di esclusione si riflettano nei segnali inviati ai partner pubblicitari, per esempio tramite la stringa IAB GPP.
6. Aggiorna la tua informativa sulla privacy. Descrivi le categorie di dati, le finalità, i terzi e come esercitare i diritti, con un linguaggio che un lettore possa seguire.

Come ti aiuta FlexyConsent

FlexyConsent supporta l'IAB Global Privacy Platform (GPP) v1.1 con la sezione nazionale USA e 16 leggi statali statunitensi, così le scelte di esclusione possono essere passate ai tuoi partner pubblicitari nel formato standard che si aspettano. Lo stesso banner, in 57 lingue, può mostrare esperienze diverse ai visitatori USA, UE e di altre aree, e ogni piano include l'intero set di funzionalità, compreso il piano gratuito.

Punti chiave

• La MODPA è entrata in vigore il 1° ottobre 2025 e si applica alle attività di trattamento dal 1° aprile 2026.
• Le soglie sono basse: 35.000 consumatori del Maryland, oppure 10.000 più oltre il 20% dei ricavi dalla vendita di dati.
• La raccolta è limitata a quanto ragionevolmente necessario per il servizio richiesto, e a quanto strettamente necessario per i dati sensibili.
• I dati sensibili non possono essere venduti affatto, e i minori di 18 anni non possono essere oggetto di targeting quando conoscevi o avresti dovuto conoscere la loro età.
• Rispetta i segnali universali di esclusione come il GPC e trasmetti le esclusioni a valle tramite GPP.