Зашто се Мериленд издваја у мозаику државних закона о приватности

Већина америчких државних закона о приватности донетих од 2021. прати познат образац: скуп права потрошача, одјава од циљаног оглашавања и продаје, сагласност (opt-in) за осетљиве податке и спровођење од стране државног тужиоца. Закон Мериленда о онлајн приватности података (MODPA), потписан у мају 2024, преузима тај образац, али заоштрава неколико његових кључних делова. За издаваче који живе од реклама разлике нису теоријске — утичу на то шта смете да прикупљате, шта никада не смете да продајете и како се односите према млађим посетиоцима.

Закон је ступио на снагу 1. октобра 2025, а на активности обраде личних података примењује се од 1. априла 2026. Ако имате посетиоце из Мериленда, он је сада део ваших уобичајених радних услова, а не будућа ставка на мапи пута.

На кога се закон примењује

MODPA обухвата предузећа која послују у Мериленду или усмеравају производе и услуге ка становницима Мериленда и која су у претходној календарској години:

• контролисала или обрађивала личне податке најмање 35.000 потрошача из Мериленда (изузев података обрађених искључиво ради завршетка платне трансакције), или
• контролисала или обрађивала личне податке најмање 10.000 потрошача и остварила више од 20% бруто прихода од продаје личних података.

Ови прагови су нижи него у многим другим државама. Мериленд има отприлике шест милиона становника, па сајт са садржајем средње величине и националним досегом може да пређе границу од 35.000 потрошача уобичајеним саобраћајем, посебно када се ID-ови колачића и идентификатори уређаја рачунају као лични подаци.

Одредбе које су за издаваче најважније

Минимизација података везана за тражену услугу

Многи државни закони дозвољавају предузећу да прикупља све што наведе у обавештењу о приватности. MODPA уместо тога ограничава прикупљање личних података на оно што је разумно неопходно и сразмерно пружању или одржавању производа или услуге које је потрошач затражио. За осетљиве податке мерило је више: прикупљање и обрада морају бити строго неопходни за ту сврху. У пракси то гура издаваче да оправдају сваки таг и податак у односу на оно по шта је читалац заправо дошао, а не у односу на оно што обавештење случајно каже.

Забрана продаје осетљивих података

Другде продаја осетљивих података обично захтева сагласност (opt-in). Мериленд иде даље и потпуно забрањује продају осетљивих података. Осетљиви подаци обухватају категорије као што су здравствени подаци, прецизна геолокација, расно или етничко порекло, верска уверења, сексуална оријентација, биометријски и генетски подаци и подаци потрошача за кога се зна да је дете. Издавачи из области здравља, добробити и локалних вести треба да мапирају које сегменте публике је могуће закључити из њиховог садржаја и да се увере да ниједан од њих не иде партнерима на начин који представља продају.

Строжа правила за малолетнике

MODPA забрањује продају личних података, или њихову обраду ради циљаног оглашавања, када је предузеће знало или је морало знати да потрошач има мање од 18 година. Стандард “морало је знати” шири је од тестова стварног знања у многим другим државама. Сајтовима са садржајем за тинејџере — гејминг, помоћ при учењу, музика, спорт — потребан је одбрањив приступ сигналима о узрасту и томе које искуство са огласима добијају ти делови.

Одјаве и универзални сигнали

Потрошачи могу да се одјаве од циљаног оглашавања, продаје личних података и одређеног профилисања. Предузећа морају да поштују и универзалне механизме одјаве, као што је сигнал прегледача Global Privacy Control. Ако ваш сајт још увек не чита GPC и не претвара га у одјаву за одговарајућу обраду, Мериленд је још један разлог да затворите ту празнину.

Спровођење

MODPA спроводи Одељење за заштиту потрошача при државном тужиоцу Мериленда. Сам закон не предвиђа приватну тужбу. У почетном периоду Одељење може да понуди предузећима прилику да отклоне повреду пре предузимања мера, али је то дискреционо и привремено, па се на то не треба ослањати као на стратегију.

Практичан акциони план

1. Проверите прагове. Процените досег у Мериленду из аналитике и укључите идентификаторе на нивоу уређаја, не само пријављене кориснике.
2. Спроведите преглед минимизације. Наведите сваки таг, SDK и поље података и забележите коју услугу коју је читалац тражио свако од њих подржава. Уклоните оно што не можете да оправдате.
3. Ревидирајте осетљиве категорије. Утврдите које тематске области садржаја могу да производе осетљиве закључке и потврдите да се ти сегменти никада не продају нити деле ради продаје.
4. Размотрите сигнале о узрасту. Одлучите како се поступа са деловима у којима доминирају тинејџери и да ли ту циљано оглашавање треба искључити.
5. Повежите GPC и линк за одјаву. Постарајте се да се GPC сигнал или клик на линк за одјаву одрази у сигналима које шаљете оглашивачким партнерима, на пример преко IAB GPP стринга.
6. Ажурирајте обавештење о приватности. Опишите категорије података, сврхе, треће стране и начин остваривања права језиком који читалац може да прати.

Како FlexyConsent помаже

FlexyConsent подржава IAB Global Privacy Platform (GPP) v1.1 са америчком националном секцијом и 16 закона америчких држава, тако да се избори о одјави могу проследити вашим оглашивачким партнерима у стандардном формату који очекују. Исти банер, на 57 језика, може да прикаже различита искуства америчким, европским и другим посетиоцима, а сваки план укључује пун скуп функција, укључујући бесплатни план.

Кључни закључци

• MODPA је ступио на снагу 1. октобра 2025. и примењује се на активности обраде од 1. априла 2026.
• Прагови су ниски: 35.000 потрошача из Мериленда, или 10.000 уз више од 20% прихода од продаје података.
• Прикупљање је ограничено на оно што је разумно неопходно за тражену услугу, а за осетљиве податке на оно што је строго неопходно.
• Осетљиви подаци се не смеју продавати уопште, а малолетници млађи од 18 година не смеју се циљати када сте знали или морали знати њихов узраст.
• Поштујте универзалне сигнале одјаве као што је GPC и проследите одјаве даље преко GPP-а.