Zakaj Maryland izstopa v mozaiku državnih zakonov o zasebnosti

Večina ameriških državnih zakonov o zasebnosti, sprejetih od leta 2021, sledi znanemu vzorcu: nabor pravic potrošnikov, odjava od ciljanega oglaševanja in prodaje, privolitev (opt-in) za občutljive podatke in izvrševanje s strani državnega tožilca. Marylandski zakon o spletni zasebnosti podatkov (MODPA), podpisan maja 2024, ta vzorec povzema, a več njegovih ključnih delov zaostri. Za založnike, ki živijo od oglasov, razlike niso teoretične — vplivajo na to, kaj smete zbirati, česa ne smete nikoli prodajati in kako ravnate z mlajšimi obiskovalci.

Zakon je začel veljati 1. oktobra 2025, za dejavnosti obdelave osebnih podatkov pa se uporablja od 1. aprila 2026. Če imate obiskovalce iz Marylanda, je zdaj del vašega običajnega delovnega okolja, ne pa prihodnja točka na načrtu.

Na koga se zakon nanaša

MODPA zajema podjetja, ki poslujejo v Marylandu ali usmerjajo izdelke in storitve k prebivalcem Marylanda in so v prejšnjem koledarskem letu:

• nadzirala ali obdelovala osebne podatke vsaj 35.000 potrošnikov iz Marylanda (razen podatkov, obdelanih izključno za dokončanje plačilne transakcije), ali
• nadzirala ali obdelovala osebne podatke vsaj 10.000 potrošnikov in ustvarila več kot 20 % bruto prihodkov s prodajo osebnih podatkov.

Ti pragovi so nižji kot v mnogih drugih državah. Maryland ima približno šest milijonov prebivalcev, zato lahko vsebinsko spletno mesto srednje velikosti z nacionalnim dosegom že z običajnim prometom preseže mejo 35.000 potrošnikov, zlasti ko se ID-ji piškotkov in identifikatorji naprav štejejo za osebne podatke.

Določbe, ki so za založnike najpomembnejše

Minimizacija podatkov, vezana na zahtevano storitev

Mnogi državni zakoni podjetju dovoljujejo zbiranje vsega, kar navede v obvestilu o zasebnosti. MODPA namesto tega omejuje zbiranje osebnih podatkov na tisto, kar je razumno potrebno in sorazmerno za zagotavljanje ali vzdrževanje izdelka ali storitve, ki jo je potrošnik zahteval. Pri občutljivih podatkih je lestvica višja: zbiranje in obdelava morata biti za ta namen nujno potrebna. V praksi to založnike sili, da vsako oznako in podatek utemeljijo glede na to, zakaj je bralec dejansko prišel, ne glede na to, kaj obvestilo slučajno pravi.

Prepoved prodaje občutljivih podatkov

Drugod prodaja občutljivih podatkov običajno zahteva privolitev (opt-in). Maryland gre dlje in prodajo občutljivih podatkov povsem prepoveduje. Občutljivi podatki zajemajo kategorije, kot so zdravstveni podatki, natančna geolokacija, rasno ali etnično poreklo, verska prepričanja, spolna usmerjenost, biometrični in genetski podatki ter podatki potrošnika, za katerega je znano, da je otrok. Založniki s področja zdravja, dobrega počutja in lokalnih novic naj preslikajo, katere segmente občinstva je mogoče sklepati iz njihove vsebine, in poskrbijo, da nobeden od njih ne gre partnerjem na način, ki pomeni prodajo.

Strožja pravila za mladoletnike

MODPA prepoveduje prodajo osebnih podatkov ali njihovo obdelavo za ciljano oglaševanje, kadar je podjetje vedelo ali bi moralo vedeti, da je potrošnik mlajši od 18 let. Standard “bi moralo vedeti” je širši od testov dejanskega védenja v mnogih drugih državah. Spletna mesta z vsebino za najstnike — igre, pomoč pri učenju, glasba, šport — potrebujejo zagovorljiv pristop k signalom o starosti in k temu, kakšne izkušnje z oglasi te sekcije dobijo.

Odjave in univerzalni signali

Potrošniki se lahko odjavijo od ciljanega oglaševanja, prodaje osebnih podatkov in določenega profiliranja. Podjetja morajo spoštovati tudi univerzalne mehanizme odjave, kot je signal brskalnika Global Privacy Control. Če vaše spletno mesto še ne bere GPC in ga ne pretvori v odjavo za ustrezno obdelavo, je Maryland še en razlog, da to vrzel zapolnite.

Izvrševanje

MODPA izvaja Oddelek za varstvo potrošnikov pri državnem tožilcu Marylanda. Sam zakon ne predvideva zasebne tožbe. V začetnem obdobju lahko oddelek podjetjem ponudi priložnost, da kršitev odpravijo, preden ukrepa, vendar je to diskrecijsko in začasno, zato se nanj ni smiselno zanašati kot na strategijo.

Praktičen akcijski načrt

1. Preverite pragove. Ocenite doseg v Marylandu iz analitike in vključite identifikatorje na ravni naprav, ne le prijavljenih uporabnikov.
2. Izvedite pregled minimizacije. Naštejte vsako oznako, SDK in podatkovno polje ter zabeležite, katero storitev, ki jo je zahteval bralec, vsak podpira. Odstranite, česar ne morete utemeljiti.
3. Revidirajte občutljive kategorije. Ugotovite, katera vsebinska področja lahko dajo občutljive sklepe, in potrdite, da se ti segmenti nikoli ne prodajajo ali delijo za prodajo.
4. Preglejte signale o starosti. Odločite, kako ravnate z deli, kjer prevladujejo najstniki, in ali naj se tam ciljano oglaševanje izklopi.
5. Povežite GPC in povezavo za odjavo. Poskrbite, da se signal GPC ali klik na povezavo za odjavo odraža v signalih, poslanih oglaševalskim partnerjem, na primer prek niza IAB GPP.
6. Posodobite obvestilo o zasebnosti. Opišite kategorije podatkov, namene, tretje osebe in način uveljavljanja pravic v jeziku, ki mu bralec lahko sledi.

Kako pomaga FlexyConsent

FlexyConsent podpira IAB Global Privacy Platform (GPP) v1.1 z ameriškim nacionalnim razdelkom in 16 zakoni ameriških držav, tako da se izbire o odjavi lahko posredujejo vašim oglaševalskim partnerjem v standardni obliki, ki jo pričakujejo. Ista pasica v 57 jezikih lahko ameriškim, evropskim in drugim obiskovalcem prikaže različne izkušnje, vsak paket pa vključuje poln nabor funkcij, tudi brezplačni paket.

Ključne ugotovitve

• MODPA je začel veljati 1. oktobra 2025 in se uporablja za dejavnosti obdelave od 1. aprila 2026.
• Pragovi so nizki: 35.000 potrošnikov iz Marylanda ali 10.000 ob več kot 20 % prihodkov od prodaje podatkov.
• Zbiranje je omejeno na tisto, kar je razumno potrebno za zahtevano storitev, pri občutljivih podatkih pa na tisto, kar je nujno potrebno.
• Občutljivih podatkov sploh ni dovoljeno prodajati, mladoletnikov, mlajših od 18 let, pa ni dovoljeno ciljati, če ste vedeli ali bi morali vedeti njihovo starost.
• Spoštujte univerzalne signale odjave, kot je GPC, in odjave posredujte naprej prek GPP.