Por que Maryland se destaca no mosaico de leis estaduais

A maioria das leis estaduais de privacidade dos EUA aprovadas desde 2021 segue um modelo conhecido: um conjunto de direitos do consumidor, uma exclusão (opt-out) para publicidade direcionada e vendas, consentimento prévio (opt-in) para dados sensíveis e fiscalização pelo procurador-geral do estado. A Maryland Online Data Privacy Act (MODPA), sancionada em maio de 2024, adota esse modelo, mas reforça várias de suas partes principais. Para os publishers financiados por anúncios, as diferenças não são acadêmicas — elas afetam o que você pode coletar, o que nunca pode vender e como trata os visitantes mais jovens.

A lei entrou em vigor em 1º de outubro de 2025 e se aplica às atividades de tratamento de dados pessoais a partir de 1º de abril de 2026. Se você tem visitantes de Maryland, ela agora faz parte do seu ambiente normal de operação, e não de um item futuro do roteiro.

A quem a lei se aplica

A MODPA abrange empresas que operam em Maryland ou direcionam produtos e serviços a residentes de Maryland e que, no ano civil anterior:

• controlaram ou trataram os dados pessoais de pelo menos 35.000 consumidores de Maryland (excluindo dados tratados apenas para concluir uma transação de pagamento), ou
• controlaram ou trataram os dados pessoais de pelo menos 10.000 consumidores e obtiveram mais de 20% da receita bruta com a venda de dados pessoais.

Esses limites são menores que os de muitos outros estados. Maryland tem cerca de seis milhões de habitantes, então um site de conteúdo de porte médio com alcance nacional pode ultrapassar o limite de 35.000 consumidores com tráfego comum, principalmente quando IDs de cookies e identificadores de dispositivos são contados como dados pessoais.

As disposições mais importantes para os publishers

Minimização de dados vinculada ao serviço solicitado

Muitas leis estaduais permitem que uma empresa colete tudo o que divulga em seu aviso de privacidade. A MODPA, ao contrário, limita a coleta de dados pessoais ao que é razoavelmente necessário e proporcional para fornecer ou manter um produto ou serviço que o consumidor solicitou. Para dados sensíveis, o critério é mais rigoroso: a coleta e o tratamento devem ser estritamente necessários para essa finalidade. Na prática, isso leva os publishers a justificar cada tag e cada dado com base no que o leitor realmente veio buscar, e não no que o aviso por acaso diz.

Nenhuma venda de dados sensíveis

Em outros lugares, vender dados sensíveis geralmente exige consentimento prévio. Maryland vai além e proíbe totalmente a venda de dados sensíveis. Dados sensíveis incluem categorias como informações de saúde, geolocalização precisa, origem racial ou étnica, crenças religiosas, orientação sexual, dados biométricos e genéticos e dados de um consumidor conhecido como criança. Publishers de saúde, bem-estar e notícias locais devem mapear quais segmentos de audiência poderiam ser inferidos de seu conteúdo e garantir que nenhum deles chegue aos parceiros de um modo que equivalha a uma venda.

Regras mais rígidas para menores

A MODPA proíbe vender dados pessoais, ou tratá-los para publicidade direcionada, quando a empresa sabia ou deveria saber que o consumidor tem menos de 18 anos. O critério de «deveria saber» é mais amplo que os testes de conhecimento efetivo de muitos outros estados. Sites com conteúdo voltado a adolescentes — jogos, ajuda com o dever de casa, música, esportes — precisam de uma abordagem defensável para os sinais de idade e para as experiências de anúncios que essas seções recebem.

Exclusões e sinais universais

Os consumidores podem recusar a publicidade direcionada, a venda de dados pessoais e certos tipos de perfilamento. As empresas também devem respeitar os mecanismos universais de exclusão, como o sinal de navegador Global Privacy Control. Se o seu site ainda não lê o GPC e o traduz em uma exclusão para o tratamento relevante, Maryland é mais um motivo para fechar essa lacuna.

Fiscalização

A MODPA é aplicada pela Divisão de Proteção ao Consumidor da Procuradoria-Geral de Maryland. Não há direito de ação privado na própria lei. Por um período inicial, a Divisão pode oferecer às empresas a oportunidade de sanar uma violação antes de agir, mas isso é discricionário e temporário, portanto não é uma estratégia em que se possa confiar.

Um plano de ação prático

1. Verifique os limites. Estime seu alcance em Maryland a partir da análise de dados e inclua identificadores no nível do dispositivo, não apenas usuários logados.
2. Faça uma revisão de minimização. Liste cada tag, SDK e campo de dados e registre qual serviço solicitado pelo leitor cada um sustenta. Remova o que você não consegue justificar.
3. Audite as categorias sensíveis. Identifique as verticais de conteúdo que poderiam gerar inferências sensíveis e confirme que esses segmentos nunca sejam vendidos ou compartilhados para venda.
4. Revise os sinais de idade. Decida como tratar as seções com muitos adolescentes e se a publicidade direcionada deve ser desativada ali.
5. Conecte o GPC e o link de exclusão. Garanta que um sinal GPC ou um clique no seu link de exclusão se reflita nos sinais enviados aos parceiros de anúncios, por exemplo pela string IAB GPP.
6. Atualize seu aviso de privacidade. Descreva as categorias de dados, as finalidades, os terceiros e como exercer os direitos, em uma linguagem que o leitor consiga acompanhar.

Como o FlexyConsent ajuda

O FlexyConsent oferece suporte ao IAB Global Privacy Platform (GPP) v1.1 com a seção nacional dos EUA e 16 leis estaduais americanas, de modo que as escolhas de exclusão possam ser repassadas aos seus parceiros de anúncios no formato padrão que eles esperam. O mesmo banner, em 57 idiomas, pode mostrar experiências diferentes para visitantes dos EUA, da UE e de outros lugares, e todos os planos incluem o conjunto completo de recursos, inclusive o plano gratuito.

Principais conclusões

• A MODPA entrou em vigor em 1º de outubro de 2025 e se aplica às atividades de tratamento a partir de 1º de abril de 2026.
• Os limites são baixos: 35.000 consumidores de Maryland, ou 10.000 consumidores e mais de 20% da receita proveniente da venda de dados.
• A coleta é limitada ao que é razoavelmente necessário para o serviço solicitado, e ao estritamente necessário no caso de dados sensíveis.
• Dados sensíveis não podem ser vendidos de forma alguma, e menores de 18 anos não podem ser alvo de direcionamento quando você sabia ou deveria saber a idade deles.
• Respeite sinais universais de exclusão como o GPC e repasse as exclusões adiante por meio do GPP.