Prečo Maryland vyčnieva v mozaike štátnych zákonov o ochrane súkromia

Väčšina amerických štátnych zákonov o ochrane súkromia prijatých od roku 2021 sleduje známu šablónu: súbor spotrebiteľských práv, odhlásenie z cieleného marketingu a predaja, súhlas opt-in pre citlivé údaje a vymáhanie zo strany generálneho prokurátora štátu. Maryland Online Data Privacy Act (MODPA), podpísaný v máji 2024, túto šablónu preberá, ale sprísňuje niekoľko jej kľúčových častí. Pre vydavateľov financovaných z reklamy nie sú rozdiely akademické — ovplyvňujú to, čo smiete zbierať, čo nesmiete nikdy predať a ako zaobchádzate s mladšími návštevníkmi.

Zákon nadobudol účinnosť 1. októbra 2025 a na spracovateľské činnosti s osobnými údajmi sa vzťahuje od 1. apríla 2026. Ak máte návštevníkov z Marylandu, je to dnes súčasť vášho bežného prevádzkového prostredia, nie budúca položka plánu.

Na koho sa zákon vzťahuje

MODPA sa vzťahuje na podniky, ktoré pôsobia v Marylande alebo zacieľujú produkty a služby na obyvateľov Marylandu a ktoré v predchádzajúcom kalendárnom roku buď:

• kontrolovali alebo spracúvali osobné údaje aspoň 35 000 spotrebiteľov z Marylandu (okrem údajov spracúvaných výlučne na dokončenie platobnej transakcie), alebo
• kontrolovali alebo spracúvali osobné údaje aspoň 10 000 spotrebiteľov a získali viac než 20 % hrubých príjmov z predaja osobných údajov.

Tieto prahy sú nižšie než v mnohých iných štátoch. Maryland má približne šesť miliónov obyvateľov, takže stredne veľký obsahový web s celoštátnym dosahom môže prekročiť hranicu 35 000 spotrebiteľov bežnou návštevnosťou, najmä keď sa ako osobné údaje počítajú ID cookies a identifikátory zariadení.

Ustanovenia, ktoré sú pre vydavateľov najdôležitejšie

Minimalizácia údajov viazaná na požadovanú službu

Mnohé štátne zákony umožňujú podniku zbierať všetko, čo uvedie vo svojich zásadách ochrany osobných údajov. MODPA namiesto toho obmedzuje zber osobných údajov na to, čo je odôvodnene nevyhnutné a primerané na poskytovanie alebo udržiavanie produktu či služby, ktorú spotrebiteľ požadoval. Pri citlivých údajoch je latka vyššie: zber a spracúvanie musia byť striktne nevyhnutné na tento účel. V praxi to núti vydavateľov zdôvodniť každý tag a dátový bod vzhľadom na to, kvôli čomu čitateľ skutočne prišiel, a nie vzhľadom na to, čo náhodou uvádzajú zásady.

Zákaz predaja citlivých údajov

Inde predaj citlivých údajov zvyčajne vyžaduje súhlas opt-in. Maryland ide ďalej a predaj citlivých údajov úplne zakazuje. Citlivé údaje zahŕňajú kategórie ako informácie o zdraví, presná geolokácia, rasový alebo etnický pôvod, náboženské presvedčenie, sexuálna orientácia, biometrické a genetické údaje a údaje spotrebiteľa, o ktorom je známe, že je dieťa. Vydavatelia zo zdravotníctva, wellness a miestnych správ by mali zmapovať, ktoré segmenty publika sa dajú odvodiť z ich obsahu, a zabezpečiť, aby žiadny z nich neprúdil k partnerom spôsobom, ktorý predstavuje predaj.

Prísnejšie pravidlá pre maloletých

MODPA zakazuje predávať osobné údaje alebo ich spracúvať na cielený marketing, ak podnik vedel alebo mal vedieť, že spotrebiteľ je mladší ako 18 rokov. Štandard „mal vedieť“ je širší než testy skutočnej vedomosti v mnohých iných štátoch. Weby s obsahom pre tínedžerov — hry, pomoc s domácimi úlohami, hudba, šport — potrebujú obhájiteľný prístup k vekovým signálom a k tomu, aké reklamné zážitky tieto sekcie dostávajú.

Odhlásenia a univerzálne signály

Spotrebitelia sa môžu odhlásiť z cieleného marketingu, predaja osobných údajov a určitého profilovania. Podniky musia tiež rešpektovať univerzálne mechanizmy odhlásenia, ako je signál prehliadača Global Privacy Control. Ak váš web zatiaľ nečíta GPC a neprekladá ho na odhlásenie z príslušného spracúvania, Maryland je ďalším dôvodom túto medzeru zaceliť.

Presadzovanie

MODPA presadzuje oddelenie ochrany spotrebiteľa (Consumer Protection Division) generálneho prokurátora Marylandu. Samotný zákon nepriznáva súkromné právo na žalobu. Počas úvodného obdobia môže oddelenie ponúknuť podnikom možnosť napraviť porušenie skôr, než podnikne kroky, ale je to na jeho uvážení a dočasné, takže to nie je stratégia, na ktorú sa dá spoliehať.

Praktický akčný plán

1. Skontrolujte prahy. Odhadnite dosah v Marylande z analytiky a zahrňte identifikátory na úrovni zariadení, nielen prihlásených používateľov.
2. Urobte revíziu minimalizácie. Vypíšte každý tag, SDK a dátové pole a zaznamenajte, ktorú čitateľom požadovanú službu každé podporuje. Odstráňte, čo nedokážete zdôvodniť.
3. Auditujte citlivé kategórie. Určte obsahové vertikály, ktoré by mohli vytvárať citlivé inferencie, a overte, že tieto segmenty sa nikdy nepredávajú ani nezdieľajú na predaj.
4. Prejdite vekové signály. Rozhodnite, ako sa naloží so sekciami zameranými na tínedžerov a či sa tam má cielený marketing vypnúť.
5. Zapojte GPC a odkaz na odhlásenie. Uistite sa, že signál GPC alebo kliknutie na váš odkaz na odhlásenie sa premietne do signálov odosielaných reklamným partnerom, napríklad cez reťazec IAB GPP.
6. Aktualizujte zásady ochrany osobných údajov. Opíšte kategórie údajov, účely, tretie strany a spôsob uplatnenia práv jazykom, ktorému čitateľ porozumie.

Ako pomáha FlexyConsent

FlexyConsent podporuje IAB Global Privacy Platform (GPP) v1.1 so sekciou US National a 16 americkými štátnymi zákonmi, takže voľby odhlásenia možno odovzdať vašim reklamným partnerom v štandardnom formáte, ktorý očakávajú. Ten istý banner v 57 jazykoch môže zobrazovať rôzne zážitky návštevníkom z USA, EÚ a ďalších krajín a každý plán, vrátane bezplatného, obsahuje plnú sadu funkcií.

Kľúčové poznatky

• MODPA nadobudol účinnosť 1. októbra 2025 a vzťahuje sa na spracovateľské činnosti od 1. apríla 2026.
• Prahy sú nízke: 35 000 spotrebiteľov z Marylandu, alebo 10 000 plus viac než 20 % príjmov z predaja údajov.
• Zber je obmedzený na to, čo je odôvodnene nevyhnutné pre požadovanú službu, a pri citlivých údajoch na striktne nevyhnutné.
• Citlivé údaje sa nesmú predávať vôbec a osoby mladšie ako 18 rokov sa nesmú zacieľovať, ak ste ich vek poznali alebo ste ho mali poznať.
• Rešpektujte univerzálne signály odhlásenia, ako je GPC, a odhlásenia posúvajte ďalej cez GPP.