Hvorfor Maryland skiller seg ut i lappeteppet av amerikanske delstatslover

De fleste amerikanske delstaters personvernlover siden 2021 følger en kjent mal: et sett forbrukerrettigheter, en opt-out for målrettet annonsering og salg, opt-in-samtykke for sensitive data og håndheving av delstatens riksadvokat. Maryland Online Data Privacy Act (MODPA), undertegnet i mai 2024, låner den malen, men skjerper flere av de sentrale delene. For annonsefinansierte utgivere er forskjellene ikke akademiske — de påvirker hva du kan samle inn, hva du aldri kan selge, og hvordan du behandler yngre besøkende.

Loven trådte i kraft 1. oktober 2025 og gjelder for behandlingsaktiviteter av personopplysninger fra 1. april 2026. Hvis du har besøkende fra Maryland, er den nå en del av det vanlige driftsmiljøet ditt og ikke lenger et framtidig punkt på veikartet.

Hvem loven gjelder for

MODPA omfatter virksomheter som driver forretning i Maryland eller retter produkter og tjenester mot innbyggere i Maryland, og som i det foregående kalenderåret enten:

• kontrollerte eller behandlet personopplysninger om minst 35 000 forbrukere i Maryland (unntatt data som utelukkende ble behandlet for å gjennomføre en betaling), eller
• kontrollerte eller behandlet personopplysninger om minst 10 000 forbrukere og hadde mer enn 20 % av bruttoinntektene fra salg av personopplysninger.

Disse terskelverdiene er lavere enn i mange andre delstater. Maryland har omtrent seks millioner innbyggere, så et mellomstort innholdsnettsted med landsdekkende rekkevidde kan krysse grensen på 35 000 forbrukere med vanlig trafikk, særlig når informasjonskapsel-ID-er og enhetsidentifikatorer regnes som personopplysninger.

Bestemmelsene som betyr mest for utgivere

Dataminimering knyttet til den forespurte tjenesten

Mange delstatslover lar en virksomhet samle inn det den oppgir i personvernerklæringen. MODPA begrenser i stedet innsamlingen av personopplysninger til det som er rimelig nødvendig og forholdsmessig for å levere eller opprettholde et produkt eller en tjeneste forbrukeren har bedt om. For sensitive data er terskelen høyere: innsamling og behandling må være strengt nødvendig for det formålet. I praksis presser dette utgivere til å begrunne hver tagg og hvert datapunkt mot det leseren faktisk kom for, i stedet for mot det erklæringen tilfeldigvis sier.

Ikke salg av sensitive data

Andre steder krever salg av sensitive data vanligvis opt-in-samtykke. Maryland går lenger og forbyr salg av sensitive data helt. Sensitive data omfatter kategorier som helseopplysninger, nøyaktig geolokasjon, rasemessig eller etnisk opprinnelse, religiøs overbevisning, seksuell orientering, biometriske og genetiske data og data om en forbruker som er kjent for å være et barn. Utgivere innen helse, velvære og lokalnyheter bør kartlegge hvilke målgruppesegmenter som kan utledes av innholdet deres, og sørge for at ingen av dem flyter til partnere på en måte som tilsvarer et salg.

Strengere regler for mindreårige

MODPA forbyr å selge personopplysninger, eller behandle dem for målrettet annonsering, når virksomheten visste eller burde ha visst at forbrukeren er under 18. Standarden «burde ha visst» er bredere enn testene for faktisk kunnskap i mange andre delstater. Nettsteder med innhold for tenåringer — gaming, leksehjelp, musikk, sport — trenger en forsvarlig tilnærming til alderssignaler og til hvilke annonseopplevelser disse seksjonene får.

Opt-outer og universelle signaler

Forbrukere kan reservere seg mot målrettet annonsering, salg av personopplysninger og visse former for profilering. Virksomheter må også respektere universelle opt-out-mekanismer som nettlesersignalet Global Privacy Control. Hvis nettstedet ditt ennå ikke leser GPC og omsetter det til en opt-out for den aktuelle behandlingen, er Maryland enda en grunn til å tette det hullet.

Håndheving

MODPA håndheves av Consumer Protection Division hos Marylands riksadvokat. Loven selv gir ingen privat søksmålsrett. I en innledende periode kan avdelingen gi virksomheter mulighet til å rette opp et brudd før den griper inn, men det er skjønnsmessig og midlertidig, så det er ikke en strategi å stole på.

En praktisk handlingsplan

1. Sjekk terskelverdiene. Anslå rekkevidden i Maryland ut fra analytics og ta med identifikatorer på enhetsnivå, ikke bare innloggede brukere.
2. Gjennomfør en minimeringsgjennomgang. List hver tagg, SDK og hvert datafelt, og noter hvilken tjeneste leseren har bedt om som hver støtter. Fjern det du ikke kan begrunne.
3. Gå gjennom sensitive kategorier. Identifiser innholdsområder som kan gi sensitive slutninger, og bekreft at disse segmentene aldri selges eller deles for salg.
4. Gå gjennom alderssignaler. Bestem hvordan seksjoner med mange tenåringer håndteres, og om målrettet annonsering bør slås av der.
5. Koble til GPC og opt-out-lenken. Sørg for at et GPC-signal eller et klikk på opt-out-lenken din gjenspeiles i signalene som sendes til annonsepartnere, for eksempel gjennom IAB GPP-strengen.
6. Oppdater personvernerklæringen. Beskriv kategorier av data, formål, tredjeparter og hvordan rettigheter utøves, i et språk en leser kan følge.

Slik hjelper FlexyConsent

FlexyConsent støtter IAB Global Privacy Platform (GPP) v1.1 med US National-seksjonen og 16 amerikanske delstatslover, slik at opt-out-valg kan videreføres til annonsepartnerne dine i standardformatet de forventer. Det samme banneret kan på 57 språk vise ulike opplevelser til amerikanske, europeiske og andre besøkende, og alle abonnementer inkluderer det fulle funksjonssettet, også det gratis.

Viktigste poenger

• MODPA trådte i kraft 1. oktober 2025 og gjelder for behandlingsaktiviteter fra 1. april 2026.
• Terskelverdiene er lave: 35 000 forbrukere i Maryland, eller 10 000 pluss mer enn 20 % av inntektene fra datasalg.
• Innsamling er begrenset til det som er rimelig nødvendig for den forespurte tjenesten, og til det strengt nødvendige for sensitive data.
• Sensitive data kan ikke selges i det hele tatt, og personer under 18 kan ikke målrettes når du visste eller burde ha visst alderen deres.
• Respekter universelle opt-out-signaler som GPC og viderefør opt-outer gjennom GPP.