Мэриленд онлайн деректер құпиялылығы туралы заңы: жарнамамен күн көретін баспагерлер нені білуі керек
Мэриленд АҚШ штаттарының құпиялылық заңдары мозаикасында неге ерекшеленеді
2021 жылдан бері қабылданған АҚШ штаттарының құпиялылық заңдарының көбі таныс үлгіге сүйенеді: тұтынушы құқықтарының жиынтығы, таргеттелген жарнама мен сатудан бас тарту (opt-out), сезімтал деректер үшін opt-in келісімі және штат бас прокурорының орындатуы. 2024 жылғы мамырда қол қойылған Мэриленд онлайн деректер құпиялылығы туралы заңы (MODPA) осы үлгіні алады, бірақ оның бірнеше негізгі тұсын қатаңдатады. Жарнамамен күн көретін баспагерлер үшін айырмашылықтар теориялық емес — олар нені жинай алатыныңызға, нені ешқашан сата алмайтыныңызға және жас келушілерге қалай қарайтыныңызға әсер етеді.
Заң 2025 жылғы 1 қазанда күшіне енді және жеке деректерді өңдеу әрекеттеріне 2026 жылғы 1 сәуірден бастап қолданылады. Мэрилендтен келушілеріңіз болса, бұл енді жол картаңыздағы болашақ тармақ емес, әдеттегі жұмыс ортаңыздың бір бөлігі.
Заң кімге қолданылады
MODPA Мэрилендте жұмыс істейтін немесе өнімдері мен қызметтерін Мэриленд тұрғындарына бағыттайтын және алдыңғы күнтізбелік жылы мыналардың бірін орындаған бизнестерді қамтиды:
- кемінде 35 000 Мэриленд тұтынушысының жеке деректерін басқарған немесе өңдеген (тек төлем операциясын аяқтау үшін өңделген деректерді қоспағанда), немесе
- кемінде 10 000 тұтынушының жеке деректерін басқарған немесе өңдеген және жалпы кірістің 20%-ынан астамын жеке деректерді сатудан алған.
Бұл шектер басқа көптеген штаттарға қарағанда төмен. Мэрилендтің халқы шамамен алты миллион, сондықтан бүкіл ел бойынша қамтуы бар орташа контент сайты қарапайым трафикпен, әсіресе cookie идентификаторлары мен құрылғы идентификаторлары жеке деректер ретінде есептелгенде, 35 000 тұтынушы шегінен өтіп кетуі мүмкін.
Баспагерлер үшін ең маңызды ережелер
Сұралған қызметке байланған деректерді барынша азайту
Көптеген штат заңдары бизнеске құпиялылық хабарламасында жария еткенінің бәрін жинауға рұқсат береді. MODPA болса жеке деректерді жинауды тұтынушы сұраған өнімді немесе қызметті ұсыну не қолдау үшін негізді түрде қажетті және пропорционалды нәрсемен шектейді. Сезімтал деректер үшін талап жоғары: жинау мен өңдеу сол мақсат үшін қатаң түрде қажет болуы тиіс. Іс жүзінде бұл баспагерлерді әр тегті және деректер нүктесін хабарламада не жазылғанымен емес, оқырман шын мәнінде не үшін келгенімен негіздеуге итермелейді.
Сезімтал деректерді сатуға болмайды
Басқа жерлерде сезімтал деректерді сату әдетте opt-in келісімін талап етеді. Мэриленд одан да әрі барады және сезімтал деректерді сатуға мүлдем тыйым салады. Сезімтал деректерге денсаулық туралы ақпарат, нақты геолокация, нәсілдік немесе этникалық тегі, діни нанымдар, жыныстық бағдар, биометриялық және генетикалық деректер, сондай-ақ бала екені белгілі тұтынушының деректері сияқты санаттар кіреді. Денсаулық, сауықтыру және жергілікті жаңалықтар баспагерлері өз контентінен аудиторияның қандай сегменттерін болжауға болатынын картаға түсіріп, олардың ешқайсысы серіктестерге сатуға теңесетіндей ағып кетпейтініне көз жеткізуі керек.
Кәмелетке толмағандарға қатаңырақ ережелер
MODPA бизнес тұтынушының 18 жасқа толмағанын білген немесе білуі тиіс болған кезде жеке деректерді сатуға немесе таргеттелген жарнама үшін өңдеуге тыйым салады. “Білуі тиіс еді” өлшемі басқа көптеген штаттардағы нақты білу сынақтарынан кеңірек. Жасөспірімдерге арналған контенті бар сайттар — ойындар, үй тапсырмасына көмек, музыка, спорт — жас сигналдарына және осы бөлімдер қандай жарнама тәжірибесін алатынына қатысты негізделген тәсілді қажет етеді.
Opt-out-тар және әмбебап сигналдар
Тұтынушылар таргеттелген жарнамадан, жеке деректерді сатудан және белгілі бір профильдеуден бас тарта алады. Бизнестер сондай-ақ Global Privacy Control браузер сигналы сияқты әмбебап opt-out тетіктерін сақтауы тиіс. Сайтыңыз GPC-ді әлі оқып, тиісті өңдеу үшін opt-out-қа айналдырмаса, Мэриленд бұл олқылықты жабудың тағы бір себебі.
Орындату
MODPA Мэриленд бас прокурорының Тұтынушыларды қорғау бөлімі арқылы орындатылады. Заңның өзі бойынша жеке талап қою құқығы жоқ. Бастапқы кезеңде бөлім шара қолданар алдында бизнестерге бұзушылықты түзету мүмкіндігін ұсына алады, бірақ бұл міндетті емес және уақытша, сондықтан сүйенетін стратегия емес.
Практикалық әрекет жоспары
- Шектерді тексеріңіз. Мэриленд қамтуын аналитикадан бағалап, тек жүйеге кірген пайдаланушыларды емес, құрылғы деңгейіндегі идентификаторларды да қосыңыз.
- Азайту тексерісін жүргізіңіз. Әр тегті, SDK-ны және деректер өрісін тізіп, олардың әрқайсысы оқырман сұраған қандай қызметті қолдайтынын жазып қойыңыз. Негіздей алмағандарыңызды алып тастаңыз.
- Сезімтал санаттарды тексеріңіз. Сезімтал тұжырымдар бере алатын контент бағыттарын анықтап, бұл сегменттер ешқашан сатылмайтынын немесе сату үшін бөлісілмейтінін растаңыз.
- Жас сигналдарын қарап шығыңыз. Жасөспірімдер көп бөлімдер қалай өңделетінін және онда таргеттелген жарнаманы өшіру керек пе, соны шешіңіз.
- GPC мен opt-out сілтемесін қосыңыз. GPC сигналы немесе opt-out сілтемеңізді басу жарнама серіктестеріне жіберілетін сигналдарда, мысалы IAB GPP жолы арқылы, көрінетініне көз жеткізіңіз.
- Құпиялылық хабарламаңызды жаңартыңыз. Деректер санаттарын, мақсаттарды, үшінші тараптарды және құқықтарды қалай пайдалану керегін оқырман түсінетін тілде сипаттаңыз.
FlexyConsent қалай көмектеседі
FlexyConsent IAB Global Privacy Platform (GPP) v1.1-ді АҚШ Ұлттық бөлімімен және АҚШ-тың 16 штат заңымен қолдайды, сондықтан opt-out таңдауларын жарнама серіктестеріңізге олар күтетін стандартты форматта жіберуге болады. 57 тілдегі сол баннер АҚШ, ЕО және басқа келушілерге әртүрлі тәжірибе көрсете алады, ал әр тариф, соның ішінде тегін тариф те, толық мүмкіндіктер жиынтығын қамтиды.
Негізгі тұжырымдар
- MODPA 2025 жылғы 1 қазанда күшіне енді және өңдеу әрекеттеріне 2026 жылғы 1 сәуірден бастап қолданылады.
- Шектер төмен: 35 000 Мэриленд тұтынушысы немесе 10 000 тұтынушы және кірістің 20%-ынан астамы деректерді сатудан.
- Жинау сұралған қызмет үшін негізді түрде қажетті нәрсемен, ал сезімтал деректер үшін қатаң түрде қажетті нәрсемен шектеледі.
- Сезімтал деректерді мүлдем сатуға болмайды, ал жасын білсеңіз немесе білуіңіз тиіс болса, 18 жасқа дейінгілерді таргеттеуге болмайды.
- GPC сияқты әмбебап opt-out сигналдарын сақтап, opt-out-тарды GPP арқылы төменгі буындарға жеткізіңіз.