メリーランド州オンラインデータプライバシー法：広告収益型パブリッシャーが知っておくべきこと
州プライバシー法のパッチワークの中でメリーランド州が際立つ理由
2021年以降に成立した米国のほとんどの州プライバシー法は、おなじみのテンプレートに従っています。一連の消費者の権利、ターゲティング広告と販売に対するオプトアウト、機微データに対するオプトイン同意、そして州司法長官による執行です。2024年5月に署名されたメリーランド州オンラインデータプライバシー法（MODPA）はこのテンプレートを借りつつ、重要な部分をいくつか厳格化しています。広告収益で運営するパブリッシャーにとって、その違いは机上の話ではありません。何を収集してよいか、何を決して販売してはならないか、若い訪問者をどう扱うかに影響します。
この法律は2025年10月1日に施行され、2026年4月1日から個人データの処理活動に適用されます。メリーランド州の訪問者がいるなら、これはもはやロードマップ上の将来の項目ではなく、通常の運営環境の一部です。
この法律の適用対象
MODPAは、メリーランド州で事業を行う、またはメリーランド州の住民に製品やサービスを提供する事業者のうち、直前の暦年において次のいずれかに該当するものを対象とします。
- 少なくとも3万5,000人のメリーランド州の消費者の個人データを管理または処理した（支払い取引を完了するためだけに処理されたデータを除く）、または
- 少なくとも1万人の消費者の個人データを管理または処理し、かつ総収益の20%超を個人データの販売から得た。
これらの基準は、他の多くの州よりも低く設定されています。メリーランド州の人口は約600万人であるため、全国に読者を持つ中規模のコンテンツサイトであれば、特にCookie IDやデバイス識別子が個人データとして数えられる場合、通常のトラフィックだけで3万5,000人の線を超える可能性があります。
パブリッシャーにとって最も重要な規定
要求されたサービスに結びついたデータ最小化
多くの州法では、事業者はプライバシー通知に記載していれば何でも収集できます。MODPAはそうではなく、個人データの収集を、消費者が要求した製品やサービスの提供または維持に合理的に必要かつ比例的な範囲に限定します。機微データについては基準がより高く、収集と処理はその目的に厳密に必要でなければなりません。実際には、パブリッシャーは通知にたまたま書かれている内容ではなく、読者が実際に求めているものに照らして、各タグとデータ項目を正当化することが求められます。
機微データの販売禁止
他の州では、機微データの販売には通常オプトイン同意が必要です。メリーランド州はさらに踏み込み、機微データの販売を全面的に禁止しています。機微データには、健康情報、正確な位置情報、人種的または民族的出身、宗教的信条、性的指向、生体データおよび遺伝データ、子どもであることが知られている消費者のデータなどの区分が含まれます。健康、ウェルネス、地域ニュースのパブリッシャーは、自社のコンテンツからどのオーディエンスセグメントが推測され得るかを洗い出し、それらのいずれも販売に当たる形でパートナーに流れていないことを確認すべきです。
未成年者に対するより厳格なルール
MODPAは、事業者が消費者が18歳未満であると知っていた、または知っているべきであった場合に、個人データを販売すること、あるいはターゲティング広告のために処理することを禁じています。「知っているべきであった」という基準は、他の多くの州の実際の認識を問う基準よりも広いものです。ゲーム、宿題支援、音楽、スポーツなど、10代向けのコンテンツを持つサイトは、年齢シグナルの扱いと、それらのセクションにどの広告体験を提供するかについて、弁明可能な方針を持つ必要があります。
オプトアウトとユニバーサルシグナル
消費者は、ターゲティング広告、個人データの販売、特定のプロファイリングをオプトアウトできます。事業者はまた、Global Privacy Controlのブラウザシグナルなどのユニバーサルなオプトアウト機構を尊重しなければなりません。サイトがまだGPCを読み取って該当する処理のオプトアウトに変換していないなら、メリーランド州はそのギャップを埋めるもう一つの理由になります。
執行
MODPAは、メリーランド州司法長官の消費者保護部門によって執行されます。この法律自体には私的訴権はありません。当初の期間中、同部門は措置を講じる前に違反を是正する機会を事業者に与えることがありますが、これは裁量的かつ一時的なものであるため、頼るべき戦略ではありません。
実践的なアクションプラン
- 基準を確認する。 分析ツールからメリーランド州でのリーチを見積もり、ログインユーザーだけでなくデバイスレベルの識別子も含めます。
- 最小化のレビューを実施する。 すべてのタグ、SDK、データ項目を一覧にし、それぞれが読者の要求したどのサービスを支えているかを記録します。正当化できないものは削除します。
- 機微な区分を監査する。 機微な推測を生み得るコンテンツ分野を特定し、それらのセグメントが販売や販売目的の共有に決して使われないことを確認します。
- 年齢シグナルを見直す。 10代が多いセクションの扱いと、そこでターゲティング広告をオフにすべきかどうかを決めます。
- GPCとオプトアウトリンクを連携させる。 GPCシグナルやオプトアウトリンクのクリックが、たとえばIAB GPP文字列を通じて、広告パートナーに送られるシグナルに反映されるようにします。
- プライバシー通知を更新する。 データの区分、目的、第三者、権利の行使方法を、読者が理解できる言葉で記載します。
FlexyConsentがどう役立つか
FlexyConsentは、US Nationalセクションおよび16の米国州法に対応したIAB Global Privacy Platform（GPP）v1.1をサポートしており、オプトアウトの選択を広告パートナーが期待する標準フォーマットで渡せます。同じバナーを57言語で、米国、EU、その他の訪問者に異なる体験として表示でき、無料プランを含むすべてのプランに全機能が含まれます。
重要なポイント
- MODPAは2025年10月1日に施行され、2026年4月1日から処理活動に適用される。
- 基準は低い。メリーランド州の消費者3万5,000人、または1万人かつ収益の20%超がデータ販売由来。
- 収集は、要求されたサービスに合理的に必要な範囲に限られ、機微データについては厳密に必要な範囲に限られる。
- 機微データは一切販売できず、年齢を知っていた、または知っているべきであった場合、18歳未満をターゲティングしてはならない。
- GPCなどのユニバーサルなオプトアウトシグナルを尊重し、GPPを通じてオプトアウトを下流に渡す。