Varför Maryland sticker ut i lapptäcket av delstatliga integritetslagar

De flesta amerikanska delstatliga integritetslagar som antagits sedan 2021 följer en välbekant mall: en uppsättning konsumenträttigheter, en avanmälan från riktad reklam och försäljning, aktivt samtycke för känsliga uppgifter och tillsyn av delstatens justitieminister. Marylands lag om integritet online (MODPA), undertecknad i maj 2024, lånar den mallen men skärper flera av dess viktigaste delar. För annonsfinansierade utgivare är skillnaderna inte akademiska — de påverkar vad ni får samla in, vad ni aldrig får sälja och hur ni behandlar yngre besökare.

Lagen trädde i kraft den 1 oktober 2025 och gäller för behandling av personuppgifter från och med den 1 april 2026. Om ni har besökare från Maryland är den nu en del av er normala driftsmiljö snarare än en framtida punkt på färdplanen.

Vem lagen gäller

MODPA omfattar företag som är verksamma i Maryland eller riktar produkter och tjänster till invånare i Maryland och som under det föregående kalenderåret antingen:

• kontrollerade eller behandlade personuppgifter om minst 35 000 konsumenter i Maryland (exklusive uppgifter som enbart behandlats för att slutföra en betalningstransaktion), eller
• kontrollerade eller behandlade personuppgifter om minst 10 000 konsumenter och fick mer än 20 % av bruttointäkterna från försäljning av personuppgifter.

Dessa tröskelvärden är lägre än i många andra delstater. Maryland har ungefär sex miljoner invånare, så en medelstor innehållssajt med nationell räckvidd kan passera gränsen på 35 000 konsumenter genom vanlig trafik, särskilt när cookie-ID:n och enhetsidentifierare räknas som personuppgifter.

Bestämmelserna som betyder mest för utgivare

Dataminimering kopplad till den begärda tjänsten

Många delstatliga lagar låter ett företag samla in allt det redovisar i sitt integritetsmeddelande. MODPA begränsar i stället insamlingen av personuppgifter till vad som är rimligen nödvändigt och proportionerligt för att tillhandahålla eller upprätthålla en produkt eller tjänst som konsumenten har begärt. För känsliga uppgifter är ribban högre: insamling och behandling måste vara strikt nödvändig för det syftet. I praktiken får detta utgivare att motivera varje tagg och datapunkt utifrån vad läsaren faktiskt kom för, snarare än utifrån vad meddelandet råkar säga.

Ingen försäljning av känsliga uppgifter

På andra håll kräver försäljning av känsliga uppgifter vanligtvis aktivt samtycke. Maryland går längre och förbjuder försäljning av känsliga uppgifter helt. Känsliga uppgifter omfattar kategorier som hälsoinformation, exakt geolokalisering, ras eller etniskt ursprung, religiös övertygelse, sexuell läggning, biometriska och genetiska uppgifter samt uppgifter om en konsument som är känd för att vara ett barn. Utgivare inom hälsa, välmående och lokala nyheter bör kartlägga vilka målgruppssegment som kan härledas från deras innehåll och se till att inget av dem flödar till partner på ett sätt som utgör försäljning.

Strängare regler för minderåriga

MODPA förbjuder försäljning av personuppgifter, eller behandling av dem för riktad reklam, när företaget visste eller borde ha vetat att konsumenten är under 18 år. Standarden “borde ha vetat” är bredare än kraven på faktisk kännedom i många andra delstater. Webbplatser med tonårsinriktat innehåll — spel, läxhjälp, musik, sport — behöver ett försvarbart förhållningssätt till ålderssignaler och till vilka annonsupplevelser dessa avsnitt får.

Avanmälningar och universella signaler

Konsumenter kan välja bort riktad reklam, försäljning av personuppgifter och viss profilering. Företag måste också respektera universella avanmälningsmekanismer som webbläsarsignalen Global Privacy Control. Om er webbplats ännu inte läser GPC och översätter den till en avanmälan för den aktuella behandlingen är Maryland ännu ett skäl att täppa till den luckan.

Tillsyn

MODPA verkställs av Marylands justitieministers konsumentskyddsavdelning. Det finns ingen enskild talerätt enligt själva lagen. Under en inledande period kan avdelningen erbjuda företag en möjlighet att avhjälpa en överträdelse innan den vidtar åtgärder, men detta är skönsmässigt och tillfälligt, så det är ingen strategi att förlita sig på.

En praktisk handlingsplan

1. Kontrollera tröskelvärdena. Uppskatta räckvidden i Maryland utifrån analys och inkludera identifierare på enhetsnivå, inte bara inloggade användare.
2. Genomför en minimeringsgranskning. Lista varje tagg, SDK och datafält och notera vilken läsarbegärd tjänst var och en stöder. Ta bort det ni inte kan motivera.
3. Granska känsliga kategorier. Identifiera innehållsområden som kan ge känsliga slutsatser och bekräfta att dessa segment aldrig säljs eller delas för försäljning.
4. Se över ålderssignaler. Bestäm hur tonårstunga avsnitt hanteras och om riktad reklam ska stängas av där.
5. Koppla in GPC och avanmälningslänken. Se till att en GPC-signal eller ett klick på er avanmälningslänk speglas i signalerna som skickas till annonspartner, till exempel via IAB GPP-strängen.
6. Uppdatera ert integritetsmeddelande. Beskriv datakategorier, ändamål, tredje parter och hur man utövar sina rättigheter, på ett språk som en läsare kan följa.

Så hjälper FlexyConsent

FlexyConsent stöder IAB Global Privacy Platform (GPP) v1.1 med den nationella amerikanska sektionen och 16 amerikanska delstatslagar, så att avanmälningsval kan skickas vidare till era annonspartner i det standardformat de förväntar sig. Samma banner, på 57 språk, kan visa olika upplevelser för besökare från USA, EU och andra håll, och varje plan, även gratisplanen, innehåller hela funktionsuppsättningen.

Viktigaste lärdomarna

• MODPA trädde i kraft den 1 oktober 2025 och gäller för behandling från och med den 1 april 2026.
• Tröskelvärdena är låga: 35 000 konsumenter i Maryland, eller 10 000 plus mer än 20 % av intäkterna från dataförsäljning.
• Insamling begränsas till vad som är rimligen nödvändigt för den begärda tjänsten, och till strikt nödvändigt för känsliga uppgifter.
• Känsliga uppgifter får inte säljas alls, och under 18-åringar får inte riktas mot när ni visste eller borde ha vetat deras ålder.
• Respektera universella avanmälningssignaler som GPC och för avanmälningar vidare via GPP.