Чем Мэриленд выделяется среди разрозненных законов штатов о конфиденциальности

Большинство законов штатов США о конфиденциальности, принятых с 2021 года, следуют знакомому шаблону: набор прав потребителей, отказ от таргетированной рекламы и продаж, согласие по принципу opt-in для чувствительных данных и принудительное исполнение генеральным прокурором штата. Закон Мэриленда о конфиденциальности данных в интернете (MODPA), подписанный в мае 2024 года, заимствует этот шаблон, но ужесточает несколько его ключевых частей. Для издателей, зарабатывающих на рекламе, различия не академические: они влияют на то, что вы можете собирать, что нельзя продавать ни при каких условиях и как вы обращаетесь с несовершеннолетними посетителями.

Закон вступил в силу 1 октября 2025 года и применяется к обработке персональных данных с 1 апреля 2026 года. Если у вас есть посетители из Мэриленда, это уже часть вашей обычной рабочей среды, а не пункт дорожной карты на будущее.

На кого распространяется закон

MODPA охватывает компании, которые ведут деятельность в Мэриленде или ориентируют продукты и услуги на жителей Мэриленда и которые в предыдущем календарном году либо:

• контролировали или обрабатывали персональные данные не менее 35 000 потребителей из Мэриленда (исключая данные, обрабатываемые исключительно для завершения платёжной транзакции), либо
• контролировали или обрабатывали персональные данные не менее 10 000 потребителей и получили более 20% валовой выручки от продажи персональных данных.

Эти пороги ниже, чем во многих других штатах. Население Мэриленда составляет около шести миллионов человек, поэтому контентный сайт среднего размера с общенациональным охватом может пересечь отметку в 35 000 потребителей за счёт обычного трафика, особенно если идентификаторы cookie и идентификаторы устройств считаются персональными данными.

Положения, наиболее важные для издателей

Минимизация данных, привязанная к запрошенной услуге

Многие законы штатов позволяют компании собирать всё, о чём сказано в её уведомлении о конфиденциальности. MODPA же ограничивает сбор персональных данных тем, что обоснованно необходимо и соразмерно для предоставления или поддержки продукта или услуги, запрошенной потребителем. Для чувствительных данных планка выше: сбор и обработка должны быть строго необходимы для этой цели. На практике это подталкивает издателей обосновывать каждый тег и каждую единицу данных тем, ради чего читатель на самом деле пришёл, а не тем, что случайно написано в уведомлении.

Запрет продажи чувствительных данных

В других штатах продажа чувствительных данных обычно требует согласия opt-in. Мэриленд идёт дальше и полностью запрещает продажу чувствительных данных. К чувствительным данным относятся такие категории, как сведения о здоровье, точная геолокация, расовое или этническое происхождение, религиозные убеждения, сексуальная ориентация, биометрические и генетические данные, а также данные потребителя, о котором известно, что он ребёнок. Издателям материалов о здоровье, благополучии и местных новостей стоит определить, какие сегменты аудитории можно вывести из их контента, и убедиться, что ни один из них не попадает к партнёрам способом, равнозначным продаже.

Более строгие правила для несовершеннолетних

MODPA запрещает продавать персональные данные или обрабатывать их для таргетированной рекламы, если компания знала или должна была знать, что потребителю меньше 18 лет. Стандарт «должна была знать» шире, чем проверки на фактическое знание во многих других штатах. Сайтам с контентом для подростков — игры, помощь с домашними заданиями, музыка, спорт — нужен защищаемый подход к сигналам о возрасте и к тому, какие рекламные сценарии получают эти разделы.

Отказ и универсальные сигналы

Потребители могут отказаться от таргетированной рекламы, продажи персональных данных и некоторых видов профилирования. Компании также обязаны учитывать универсальные механизмы отказа, такие как браузерный сигнал Global Privacy Control. Если ваш сайт ещё не считывает GPC и не превращает его в отказ от соответствующей обработки, Мэриленд — ещё одна причина закрыть этот пробел.

Правоприменение

MODPA применяет Отдел защиты прав потребителей при генеральном прокуроре Мэриленда. Сам закон не предусматривает права на частный иск. В течение начального периода Отдел может давать компаниям возможность устранить нарушение, прежде чем принимать меры, но это на усмотрение ведомства и временно, поэтому полагаться на это как на стратегию нельзя.

Практический план действий

1. Проверьте пороги. Оцените охват в Мэриленде по данным аналитики и учитывайте идентификаторы на уровне устройств, а не только авторизованных пользователей.
2. Проведите проверку на минимизацию. Составьте список всех тегов, SDK и полей данных и запишите, какую запрошенную читателем услугу поддерживает каждый из них. Удалите то, что не можете обосновать.
3. Проведите аудит чувствительных категорий. Определите тематики контента, которые могут давать чувствительные выводы, и убедитесь, что эти сегменты никогда не продаются и не передаются для продажи.
4. Пересмотрите сигналы о возрасте. Решите, как обрабатываются разделы с большой долей подростков и нужно ли отключить там таргетированную рекламу.
5. Подключите GPC и ссылку для отказа. Убедитесь, что сигнал GPC или клик по вашей ссылке для отказа отражается в сигналах, отправляемых рекламным партнёрам, например через строку IAB GPP.
6. Обновите уведомление о конфиденциальности. Опишите категории данных, цели, третьих лиц и способы реализации прав языком, понятным читателю.

Как помогает FlexyConsent

FlexyConsent поддерживает IAB Global Privacy Platform (GPP) v1.1 с национальным разделом США и 16 законами штатов США, поэтому выбор об отказе можно передавать вашим рекламным партнёрам в стандартном формате, которого они ожидают. Один и тот же баннер на 57 языках может показывать разные сценарии посетителям из США, ЕС и других регионов, а каждый тариф, включая бесплатный, содержит полный набор функций.

Ключевые выводы

• MODPA вступил в силу 1 октября 2025 года и применяется к обработке с 1 апреля 2026 года.
• Пороги низкие: 35 000 потребителей из Мэриленда либо 10 000 плюс более 20% выручки от продажи данных.
• Сбор ограничен тем, что обоснованно необходимо для запрошенной услуги, а для чувствительных данных — строго необходимо.
• Чувствительные данные нельзя продавать вообще, а лиц младше 18 лет нельзя таргетировать, если вы знали или должны были знать их возраст.
• Учитывайте универсальные сигналы отказа, такие как GPC, и передавайте отказы дальше через GPP.