Waarom Maryland opvalt in het lappendeken van Amerikaanse staatswetten

De meeste Amerikaanse privacywetten van staten sinds 2021 volgen een bekend sjabloon: een reeks consumentenrechten, een opt-out voor gerichte advertenties en verkoop, toestemming vooraf (opt-in) voor gevoelige gegevens en handhaving door de procureur-generaal van de staat. De Maryland Online Data Privacy Act (MODPA), ondertekend in mei 2024, leent dat sjabloon maar verscherpt verschillende kernonderdelen. Voor door advertenties gefinancierde uitgevers zijn de verschillen niet academisch — ze bepalen wat je mag verzamelen, wat je nooit mag verkopen en hoe je jongere bezoekers behandelt.

De wet is op 1 oktober 2025 in werking getreden en is van toepassing op verwerkingsactiviteiten van persoonsgegevens vanaf 1 april 2026. Als je bezoekers uit Maryland hebt, hoort de wet nu bij je gewone werkomgeving in plaats van bij een toekomstig punt op de roadmap.

Op wie de wet van toepassing is

MODPA geldt voor bedrijven die in Maryland actief zijn of producten en diensten richten op inwoners van Maryland en die in het voorafgaande kalenderjaar:

• de persoonsgegevens van ten minste 35.000 consumenten in Maryland hebben beheerd of verwerkt (met uitzondering van gegevens die uitsluitend zijn verwerkt om een betaling af te ronden), of
• de persoonsgegevens van ten minste 10.000 consumenten hebben beheerd of verwerkt en meer dan 20% van de brutoomzet hebben gehaald uit de verkoop van persoonsgegevens.

Deze drempels zijn lager dan in veel andere staten. Maryland heeft ongeveer zes miljoen inwoners, dus een middelgrote contentsite met landelijk bereik kan met gewoon verkeer de grens van 35.000 consumenten overschrijden, zeker wanneer cookie-ID's en apparaat-ID's als persoonsgegevens meetellen.

De bepalingen die voor uitgevers het belangrijkst zijn

Gegevensminimalisatie gekoppeld aan de gevraagde dienst

Veel staatswetten laten een bedrijf verzamelen wat het in zijn privacyverklaring vermeldt. MODPA beperkt de verzameling van persoonsgegevens daarentegen tot wat redelijkerwijs noodzakelijk en proportioneel is om een door de consument gevraagd product of een gevraagde dienst te leveren of in stand te houden. Voor gevoelige gegevens ligt de lat hoger: verzameling en verwerking moeten daarvoor strikt noodzakelijk zijn. In de praktijk dwingt dit uitgevers elke tag en elk gegevenspunt te toetsen aan waarvoor de lezer eigenlijk kwam, in plaats van aan wat de verklaring toevallig zegt.

Geen verkoop van gevoelige gegevens

Elders vereist de verkoop van gevoelige gegevens meestal opt-in-toestemming. Maryland gaat verder en verbiedt de verkoop van gevoelige gegevens volledig. Tot gevoelige gegevens behoren categorieën als gezondheidsinformatie, nauwkeurige geolocatie, raciale of etnische afkomst, religieuze overtuigingen, seksuele geaardheid, biometrische en genetische gegevens en gegevens van een consument van wie bekend is dat het een kind is. Uitgevers van gezondheids-, wellness- en lokaal nieuws moeten in kaart brengen welke doelgroepsegmenten uit hun content kunnen worden afgeleid en erop toezien dat geen ervan zo naar partners stroomt dat het neerkomt op een verkoop.

Strengere regels voor minderjarigen

MODPA verbiedt de verkoop van persoonsgegevens, of de verwerking ervan voor gerichte advertenties, wanneer het bedrijf wist of had moeten weten dat de consument jonger is dan 18. De maatstaf “had moeten weten” is ruimer dan de toetsen op daadwerkelijke wetenschap in veel andere staten. Sites met content voor tieners — gaming, huiswerkhulp, muziek, sport — hebben een verdedigbare aanpak nodig voor leeftijdssignalen en voor welke advertentie-ervaringen die secties krijgen.

Opt-outs en universele signalen

Consumenten kunnen zich afmelden voor gerichte advertenties, de verkoop van persoonsgegevens en bepaalde profilering. Bedrijven moeten ook universele opt-outmechanismen eerbiedigen, zoals het browsersignaal Global Privacy Control. Als je site GPC nog niet uitleest en vertaalt naar een opt-out voor de betreffende verwerking, is Maryland een extra reden om die kloof te dichten.

Handhaving

MODPA wordt gehandhaafd door de Consumer Protection Division van de procureur-generaal van Maryland. De wet zelf kent geen particulier klaagrecht. Gedurende een eerste periode kan de Division bedrijven de kans bieden een overtreding te herstellen voordat ze optreedt, maar dat is discretionair en tijdelijk, dus geen strategie om op te vertrouwen.

Een praktisch actieplan

1. Controleer de drempels. Schat het bereik in Maryland in aan de hand van analytics en neem identifiers op apparaatniveau mee, niet alleen ingelogde gebruikers.
2. Voer een minimalisatiecontrole uit. Som elke tag, SDK en elk gegevensveld op en leg vast welke door de lezer gevraagde dienst elk ondersteunt. Verwijder wat je niet kunt verantwoorden.
3. Controleer gevoelige categorieën. Identificeer contentrubrieken die gevoelige afleidingen kunnen opleveren en bevestig dat die segmenten nooit worden verkocht of voor verkoop gedeeld.
4. Beoordeel leeftijdssignalen. Bepaal hoe secties met veel tieners worden behandeld en of gerichte advertenties daar moeten worden uitgeschakeld.
5. Koppel GPC en de opt-outlink. Zorg dat een GPC-signaal of een klik op je opt-outlink terug te zien is in de signalen die naar advertentiepartners gaan, bijvoorbeeld via de IAB GPP-string.
6. Werk je privacyverklaring bij. Beschrijf categorieën gegevens, doeleinden, derden en hoe rechten kunnen worden uitgeoefend, in taal die een lezer kan volgen.

Hoe FlexyConsent helpt

FlexyConsent ondersteunt het IAB Global Privacy Platform (GPP) v1.1 met de sectie US National en 16 Amerikaanse staatswetten, zodat opt-outkeuzes in het standaardformaat aan je advertentiepartners kunnen worden doorgegeven. Dezelfde banner kan in 57 talen verschillende ervaringen tonen aan bezoekers uit de VS, de EU en elders, en elk abonnement bevat de volledige functieset, ook het gratis abonnement.

Belangrijkste inzichten

• MODPA is op 1 oktober 2025 in werking getreden en geldt voor verwerkingsactiviteiten vanaf 1 april 2026.
• De drempels zijn laag: 35.000 consumenten in Maryland, of 10.000 plus meer dan 20% van de omzet uit gegevensverkoop.
• Verzameling is beperkt tot wat redelijkerwijs noodzakelijk is voor de gevraagde dienst, en tot wat strikt noodzakelijk is voor gevoelige gegevens.
• Gevoelige gegevens mogen helemaal niet worden verkocht, en onder-18-jarigen mogen niet gericht worden benaderd als je hun leeftijd kende of had moeten kennen.
• Eerbiedig universele opt-outsignalen zoals GPC en geef opt-outs door via GPP.