Kodėl Merilandas išsiskiria valstijų privatumo įstatymų mozaikoje

Dauguma nuo 2021 m. priimtų JAV valstijų privatumo įstatymų seka pažįstamu šablonu: vartotojo teisių rinkinys, atsisakymas nuo tikslinės reklamos ir pardavimo, opt-in sutikimas dėl jautrių duomenų ir vykdymo užtikrinimas valstijos generalinio prokuroro. 2024 m. gegužę pasirašytas Maryland Online Data Privacy Act (MODPA) pasiskolina šį šabloną, bet sugriežtina keletą pagrindinių jo dalių. Iš reklamos gyvenantiems leidėjams skirtumai nėra akademiniai — jie lemia, ką galite rinkti, ko niekada negalite parduoti ir kaip elgiatės su jaunesniais lankytojais.

Įstatymas įsigaliojo 2025 m. spalio 1 d., o asmens duomenų tvarkymo veiklai taikomas nuo 2026 m. balandžio 1 d. Jei turite lankytojų iš Merilando, tai dabar yra įprastos veiklos aplinkos dalis, o ne būsimas plano punktas.

Kam taikomas įstatymas

MODPA apima verslus, veikiančius Merilande arba nukreipiančius produktus ir paslaugas Merilando gyventojams, kurie ankstesniais kalendoriniais metais arba:

• kontroliavo ar tvarkė bent 35 000 Merilando vartotojų asmens duomenis (išskyrus duomenis, tvarkomus vien mokėjimo sandoriui užbaigti), arba
• kontroliavo ar tvarkė bent 10 000 vartotojų asmens duomenis ir gavo daugiau nei 20 % bendrųjų pajamų iš asmens duomenų pardavimo.

Šios ribos žemesnės nei daugelyje kitų valstijų. Merilande gyvena apie šešis milijonus žmonių, todėl vidutinio dydžio turinio svetainė su šalies mastu gali peržengti 35 000 vartotojų ribą įprastu srautu, ypač kai slapukų ID ir įrenginių identifikatoriai laikomi asmens duomenimis.

Nuostatos, svarbiausios leidėjams

Duomenų minimizavimas, susietas su prašoma paslauga

Daugelis valstijų įstatymų leidžia verslui rinkti viską, ką jis nurodo savo privatumo pranešime. MODPA vietoj to riboja asmens duomenų rinkimą iki to, kas yra pagrįstai būtina ir proporcinga vartotojo prašomam produktui ar paslaugai teikti ar palaikyti. Jautriems duomenims kartelė aukštesnė: rinkimas ir tvarkymas turi būti griežtai būtinas tam tikslui. Praktiškai tai verčia leidėjus pagrįsti kiekvieną žymą ir duomenų tašką tuo, dėl ko skaitytojas iš tikrųjų atėjo, o ne tuo, ką pranešimas atsitiktinai sako.

Jautrių duomenų pardavimo draudimas

Kitur jautrių duomenų pardavimas paprastai reikalauja opt-in sutikimo. Merilandas eina toliau ir visiškai draudžia parduoti jautrius duomenis. Jautrūs duomenys apima tokias kategorijas kaip informacija apie sveikatą, tiksli geolokacija, rasinė ar etninė kilmė, religiniai įsitikinimai, seksualinė orientacija, biometriniai ir genetiniai duomenys bei žinomo vaiko vartotojo duomenys. Sveikatos, gerovės ir vietos naujienų leidėjai turėtų susieti, kokius auditorijos segmentus galima nuspėti iš jų turinio, ir užtikrinti, kad nė vienas jų netekėtų partneriams taip, kad tai būtų pardavimas.

Griežtesnės taisyklės nepilnamečiams

MODPA draudžia parduoti asmens duomenis ar tvarkyti juos tikslinei reklamai, kai verslas žinojo arba turėjo žinoti, kad vartotojas jaunesnis nei 18 metų. Standartas „turėjo žinoti“ platesnis nei faktinio žinojimo testai daugelyje kitų valstijų. Svetainėms su paaugliams skirtu turiniu — žaidimai, pagalba ruošiant namų darbus, muzika, sportas — reikia pagrįsto požiūrio į amžiaus signalus ir į tai, kokią reklamos patirtį gauna tos skiltys.

Atsisakymai ir universalūs signalai

Vartotojai gali atsisakyti tikslinės reklamos, asmens duomenų pardavimo ir tam tikro profiliavimo. Verslai taip pat privalo gerbti universalius atsisakymo mechanizmus, tokius kaip Global Privacy Control naršyklės signalas. Jei jūsų svetainė dar neskaito GPC ir neverčia jo atsisakymu nuo atitinkamo tvarkymo, Merilandas yra dar viena priežastis užpildyti šią spragą.

Vykdymo užtikrinimas

MODPA vykdymą užtikrina Merilando generalinio prokuroro Vartotojų apsaugos skyrius (Consumer Protection Division). Pats įstatymas nenumato privačios ieškinio teisės. Pradiniu laikotarpiu skyrius gali suteikti verslams galimybę ištaisyti pažeidimą prieš imdamasis veiksmų, bet tai yra savo nuožiūra ir laikina, todėl tai nėra strategija, kuria galima pasikliauti.

Praktinis veiksmų planas

1. Patikrinkite ribas. Įvertinkite aprėptį Merilande iš analitikos ir įtraukite įrenginio lygio identifikatorius, ne tik prisijungusius naudotojus.
2. Atlikite minimizavimo peržiūrą. Išvardykite kiekvieną žymą, SDK ir duomenų lauką ir užfiksuokite, kurią skaitytojo prašomą paslaugą kiekvienas palaiko. Pašalinkite tai, ko negalite pagrįsti.
3. Atlikite jautrių kategorijų auditą. Nustatykite turinio vertikales, galinčias sukelti jautrias išvadas, ir įsitikinkite, kad tie segmentai niekada neparduodami ir nesidalijami pardavimui.
4. Peržiūrėkite amžiaus signalus. Nuspręskite, kaip elgtis su paaugliams svarbiomis skiltimis ir ar ten reikėtų išjungti tikslinę reklamą.
5. Prijunkite GPC ir atsisakymo nuorodą. Įsitikinkite, kad GPC signalas ar paspaudimas ant jūsų atsisakymo nuorodos atsispindi reklamos partneriams siunčiamuose signaluose, pavyzdžiui, per IAB GPP eilutę.
6. Atnaujinkite privatumo pranešimą. Aprašykite duomenų kategorijas, tikslus, trečiąsias šalis ir teisių įgyvendinimo būdą skaitytojui suprantama kalba.

Kaip padeda FlexyConsent

FlexyConsent palaiko IAB Global Privacy Platform (GPP) v1.1 su US National skiltimi ir 16 JAV valstijų įstatymų, todėl atsisakymo pasirinkimus galima perduoti jūsų reklamos partneriams standartiniu formatu, kurio jie tikisi. Ta pati reklamjuostė 57 kalbomis gali rodyti skirtingas patirtis JAV, ES ir kitiems lankytojams, o kiekvienas planas, įskaitant nemokamą, apima visą funkcijų rinkinį.

Pagrindinės išvados

• MODPA įsigaliojo 2025 m. spalio 1 d. ir tvarkymo veiklai taikomas nuo 2026 m. balandžio 1 d.
• Ribos žemos: 35 000 Merilando vartotojų arba 10 000 plius daugiau nei 20 % pajamų iš duomenų pardavimo.
• Rinkimas ribojamas tuo, kas pagrįstai būtina prašomai paslaugai, o jautriems duomenims — kas griežtai būtina.
• Jautrių duomenų parduoti negalima visai, o jaunesnių nei 18 metų taikyti negalima, kai žinojote arba turėjote žinoti jų amžių.
• Gerbkite universalius atsisakymo signalus, tokius kaip GPC, ir perduokite atsisakymus toliau per GPP.