Rozporządzenie4 lis 2026 | FlexyConsent

Maryland Online Data Privacy Act: co muszą wiedzieć wydawcy utrzymujący się z reklam

Dlaczego Maryland wyróżnia się w patchworku stanowych przepisów o prywatności

Większość stanowych ustaw o prywatności w USA uchwalonych od 2021 roku opiera się na znanym wzorcu: zestaw praw konsumenta, rezygnacja z reklam targetowanych i sprzedaży, zgoda opt-in na dane wrażliwe oraz egzekwowanie przez stanowego prokuratora generalnego. Maryland Online Data Privacy Act (MODPA), podpisany w maju 2024 r., czerpie z tego wzorca, ale zaostrza kilka jego kluczowych elementów. Dla wydawców utrzymujących się z reklam różnice nie są akademickie — wpływają na to, co wolno zbierać, czego nie wolno nigdy sprzedawać i jak traktować młodszych odwiedzających.

Ustawa weszła w życie 1 października 2025 r. i obejmuje działania przetwarzania danych osobowych od 1 kwietnia 2026 r. Jeśli masz odwiedzających z Maryland, to już element zwykłego otoczenia operacyjnego, a nie przyszła pozycja na mapie drogowej.

Kogo dotyczy ustawa

MODPA obejmuje podmioty, które prowadzą działalność w Maryland lub kierują produkty i usługi do mieszkańców Maryland i które w poprzednim roku kalendarzowym:

Progi te są niższe niż w wielu innych stanach. Maryland ma około sześciu milionów mieszkańców, więc średniej wielkości serwis z treściami o zasięgu krajowym może przekroczyć próg 35 000 konsumentów zwykłym ruchem, zwłaszcza gdy identyfikatory cookie i identyfikatory urządzeń liczą się jako dane osobowe.

Przepisy najważniejsze dla wydawców

Minimalizacja danych powiązana z żądaną usługą

Wiele stanowych ustaw pozwala podmiotowi zbierać wszystko, co ujawni w polityce prywatności. MODPA zamiast tego ogranicza zbieranie danych osobowych do tego, co jest racjonalnie niezbędne i proporcjonalne do świadczenia lub utrzymania produktu albo usługi, o którą konsument poprosił. W przypadku danych wrażliwych poprzeczka jest wyżej: zbieranie i przetwarzanie muszą być ściśle niezbędne do tego celu. W praktyce zmusza to wydawców do uzasadnienia każdego tagu i punktu danych względem tego, po co czytelnik faktycznie przyszedł, a nie względem tego, co akurat mówi polityka.

Zakaz sprzedaży danych wrażliwych

Gdzie indziej sprzedaż danych wrażliwych zwykle wymaga zgody opt-in. Maryland idzie dalej i całkowicie zakazuje sprzedaży danych wrażliwych. Dane wrażliwe obejmują kategorie takie jak informacje o zdrowiu, dokładna geolokalizacja, pochodzenie rasowe lub etniczne, przekonania religijne, orientacja seksualna, dane biometryczne i genetyczne oraz dane konsumenta, o którym wiadomo, że jest dzieckiem. Wydawcy z branży zdrowia, wellness i lokalnych wiadomości powinni zmapować, które segmenty odbiorców można wywnioskować z ich treści, i upewnić się, że żaden z nich nie trafia do partnerów w sposób stanowiący sprzedaż.

Surowsze zasady dla małoletnich

MODPA zakazuje sprzedaży danych osobowych lub ich przetwarzania na potrzeby reklam targetowanych, gdy podmiot wiedział lub powinien był wiedzieć, że konsument ma mniej niż 18 lat. Standard „powinien był wiedzieć” jest szerszy niż testy rzeczywistej wiedzy w wielu innych stanach. Witryny z treściami dla nastolatków — gry, pomoc w odrabianiu lekcji, muzyka, sport — potrzebują uzasadnionego podejścia do sygnałów wieku i do tego, jakie doświadczenia reklamowe otrzymują te sekcje.

Rezygnacje i sygnały uniwersalne

Konsumenci mogą zrezygnować z reklam targetowanych, sprzedaży danych osobowych i określonego profilowania. Podmioty muszą też respektować uniwersalne mechanizmy rezygnacji, takie jak sygnał przeglądarki Global Privacy Control. Jeśli Twoja witryna nie odczytuje jeszcze GPC i nie przekłada go na rezygnację z odpowiedniego przetwarzania, Maryland to kolejny powód, by zamknąć tę lukę.

Egzekwowanie

MODPA egzekwuje Wydział Ochrony Konsumentów (Consumer Protection Division) prokuratora generalnego Maryland. Sama ustawa nie przewiduje prywatnego prawa do pozwu. Przez początkowy okres wydział może dać podmiotom możliwość usunięcia naruszenia przed podjęciem działań, ale jest to uznaniowe i tymczasowe, więc nie jest to strategia, na której można polegać.

Praktyczny plan działania

  1. Sprawdź progi. Oszacuj zasięg w Maryland na podstawie analityki i uwzględnij identyfikatory na poziomie urządzeń, nie tylko zalogowanych użytkowników.
  2. Przeprowadź przegląd minimalizacji. Wypisz każdy tag, SDK i pole danych oraz zapisz, jaką żądaną przez czytelnika usługę każde z nich wspiera. Usuń to, czego nie potrafisz uzasadnić.
  3. Zaudytuj kategorie wrażliwe. Zidentyfikuj działy treści, które mogłyby generować wnioski o cechach wrażliwych, i upewnij się, że te segmenty nigdy nie są sprzedawane ani udostępniane do sprzedaży.
  4. Przejrzyj sygnały wieku. Zdecyduj, jak traktować sekcje silnie nastawione na nastolatków i czy należy tam wyłączyć reklamy targetowane.
  5. Podłącz GPC i link rezygnacji. Upewnij się, że sygnał GPC lub kliknięcie linku rezygnacji znajduje odzwierciedlenie w sygnałach wysyłanych partnerom reklamowym, na przykład przez ciąg IAB GPP.
  6. Zaktualizuj politykę prywatności. Opisz kategorie danych, cele, strony trzecie i sposób korzystania z praw językiem zrozumiałym dla czytelnika.

Jak pomaga FlexyConsent

FlexyConsent obsługuje IAB Global Privacy Platform (GPP) v1.1 z sekcją US National i 16 stanowymi ustawami USA, więc wybory dotyczące rezygnacji można przekazać partnerom reklamowym w standardowym formacie, którego oczekują. Ten sam baner w 57 językach może pokazywać różne rozwiązania odwiedzającym z USA, UE i innych krajów, a każdy plan, także darmowy, zawiera pełny zestaw funkcji.

Najważniejsze wnioski

← Blog Czytaj wszystko →