Quy định4 Th11, 2026 | FlexyConsent

Đạo luật Quyền riêng tư Dữ liệu Trực tuyến của Maryland: Những điều nhà xuất bản sống nhờ quảng cáo cần biết

Vì sao Maryland nổi bật trong bức tranh chắp vá luật quyền riêng tư của các bang

Hầu hết các luật quyền riêng tư của các bang Hoa Kỳ được thông qua từ năm 2021 đều theo một khuôn mẫu quen thuộc: một tập hợp các quyền của người tiêu dùng, quyền từ chối đối với quảng cáo nhắm mục tiêu và việc bán dữ liệu, sự đồng ý chủ động đối với dữ liệu nhạy cảm, và việc thực thi bởi tổng chưởng lý của bang. Đạo luật Quyền riêng tư Dữ liệu Trực tuyến của Maryland (MODPA), được ký vào tháng 5 năm 2024, mượn khuôn mẫu đó nhưng siết chặt một số phần quan trọng. Với các nhà xuất bản sống nhờ quảng cáo, những khác biệt này không chỉ mang tính lý thuyết — chúng ảnh hưởng đến những gì bạn được phép thu thập, những gì bạn không bao giờ được bán, và cách bạn đối xử với khách truy cập trẻ tuổi.

Luật có hiệu lực từ ngày 1 tháng 10 năm 2025 và áp dụng cho các hoạt động xử lý dữ liệu cá nhân từ ngày 1 tháng 4 năm 2026. Nếu bạn có khách truy cập từ Maryland, nó giờ đây là một phần của môi trường vận hành thông thường của bạn, chứ không còn là một hạng mục trong tương lai trên lộ trình.

Luật áp dụng cho ai

MODPA bao trùm các doanh nghiệp hoạt động tại Maryland hoặc nhắm sản phẩm và dịch vụ tới cư dân Maryland, và trong năm dương lịch trước đó, đáp ứng một trong hai điều kiện sau:

Các ngưỡng này thấp hơn nhiều bang khác. Maryland có dân số khoảng sáu triệu người, vì vậy một trang nội dung quy mô vừa có phạm vi tiếp cận toàn quốc có thể vượt ngưỡng 35.000 người tiêu dùng chỉ với lưu lượng thông thường, đặc biệt khi ID cookie và mã định danh thiết bị được tính là dữ liệu cá nhân.

Các điều khoản quan trọng nhất với nhà xuất bản

Tối thiểu hóa dữ liệu gắn với dịch vụ được yêu cầu

Nhiều luật của các bang cho phép doanh nghiệp thu thập bất cứ điều gì được nêu trong thông báo quyền riêng tư của mình. Thay vào đó, MODPA giới hạn việc thu thập dữ liệu cá nhân ở mức hợp lý cần thiết và tương xứng để cung cấp hoặc duy trì sản phẩm hay dịch vụ mà người tiêu dùng đã yêu cầu. Đối với dữ liệu nhạy cảm, ngưỡng còn cao hơn: việc thu thập và xử lý phải thật sự cần thiết cho mục đích đó. Trên thực tế, điều này thúc đẩy các nhà xuất bản biện minh cho từng thẻ và điểm dữ liệu dựa trên điều độc giả thực sự tìm đến, chứ không dựa trên những gì thông báo tình cờ nêu.

Cấm bán dữ liệu nhạy cảm

Ở nơi khác, việc bán dữ liệu nhạy cảm thường đòi hỏi sự đồng ý chủ động. Maryland đi xa hơn và cấm hoàn toàn việc bán dữ liệu nhạy cảm. Dữ liệu nhạy cảm bao gồm các loại như thông tin sức khỏe, vị trí địa lý chính xác, nguồn gốc chủng tộc hoặc dân tộc, tín ngưỡng tôn giáo, xu hướng tính dục, dữ liệu sinh trắc học và di truyền, và dữ liệu của người tiêu dùng được biết là trẻ em. Các nhà xuất bản về sức khỏe, chăm sóc sức khỏe tổng thể (wellness) và tin tức địa phương nên lập bản đồ những phân khúc đối tượng nào có thể được suy ra từ nội dung của mình và đảm bảo không phân khúc nào chảy đến các đối tác theo cách bị coi là bán.

Quy tắc nghiêm ngặt hơn đối với trẻ vị thành niên

MODPA cấm bán dữ liệu cá nhân, hoặc xử lý dữ liệu đó cho quảng cáo nhắm mục tiêu, khi doanh nghiệp biết hoặc lẽ ra phải biết rằng người tiêu dùng dưới 18 tuổi. Tiêu chuẩn “lẽ ra phải biết” rộng hơn các phép thử về nhận biết thực tế ở nhiều bang khác. Các trang web có nội dung hướng đến thanh thiếu niên — trò chơi, hỗ trợ bài tập về nhà, âm nhạc, thể thao — cần có cách tiếp cận đứng vững được đối với tín hiệu độ tuổi và với những trải nghiệm quảng cáo mà các mục này nhận được.

Từ chối và các tín hiệu phổ quát

Người tiêu dùng có thể từ chối quảng cáo nhắm mục tiêu, việc bán dữ liệu cá nhân và một số hình thức lập hồ sơ nhất định. Doanh nghiệp cũng phải tôn trọng các cơ chế từ chối phổ quát như tín hiệu trình duyệt Global Privacy Control. Nếu trang web của bạn chưa đọc GPC và chuyển nó thành một lựa chọn từ chối cho hoạt động xử lý liên quan, Maryland là thêm một lý do để lấp khoảng trống đó.

Thực thi

MODPA được thực thi bởi Phòng Bảo vệ Người tiêu dùng thuộc Văn phòng Tổng chưởng lý Maryland. Bản thân đạo luật không có quyền khởi kiện riêng tư. Trong giai đoạn đầu, Phòng này có thể cho doanh nghiệp cơ hội khắc phục vi phạm trước khi hành động, nhưng việc này mang tính tùy nghi và tạm thời, vì vậy đây không phải là chiến lược để dựa vào.

Kế hoạch hành động thực tế

  1. Kiểm tra các ngưỡng. Ước tính phạm vi tiếp cận tại Maryland từ phân tích và bao gồm cả mã định danh cấp thiết bị, không chỉ người dùng đã đăng nhập.
  2. Thực hiện rà soát tối thiểu hóa. Liệt kê mọi thẻ, SDK và trường dữ liệu, và ghi lại mỗi mục hỗ trợ dịch vụ nào mà độc giả yêu cầu. Gỡ bỏ những gì bạn không thể biện minh.
  3. Kiểm tra các nhóm nhạy cảm. Xác định các mảng nội dung có thể tạo ra suy luận nhạy cảm và xác nhận những phân khúc đó không bao giờ bị bán hoặc chia sẻ để bán.
  4. Xem xét tín hiệu độ tuổi. Quyết định cách xử lý các mục có nhiều thanh thiếu niên và liệu có nên tắt quảng cáo nhắm mục tiêu ở đó hay không.
  5. Kết nối GPC và liên kết từ chối. Đảm bảo một tín hiệu GPC hoặc một cú nhấp vào liên kết từ chối của bạn được phản ánh trong các tín hiệu gửi đến đối tác quảng cáo, ví dụ thông qua chuỗi IAB GPP.
  6. Cập nhật thông báo quyền riêng tư. Mô tả các loại dữ liệu, mục đích, bên thứ ba và cách thực hiện quyền, bằng ngôn ngữ mà độc giả có thể theo dõi.

FlexyConsent giúp bạn như thế nào

FlexyConsent hỗ trợ IAB Global Privacy Platform (GPP) v1.1 với phần US National và 16 luật của các bang Hoa Kỳ, để các lựa chọn từ chối có thể được chuyển đến đối tác quảng cáo của bạn theo định dạng tiêu chuẩn mà họ mong đợi. Cùng một biểu ngữ, bằng 57 ngôn ngữ, có thể hiển thị các trải nghiệm khác nhau cho khách truy cập Hoa Kỳ, EU và các nơi khác, và mọi gói đều bao gồm đầy đủ tính năng, kể cả gói miễn phí.

Những điểm chính cần nhớ

← Blog Đọc tất cả →