法规2026年11月4日 | FlexyConsent

马里兰州在线数据隐私法：依靠广告运营的发布商需要了解什么

为何马里兰州在各州隐私法拼图中与众不同

2021 年以来通过的大多数美国州隐私法都遵循一个熟悉的模板：一套消费者权利、针对定向广告和出售的退出权、对敏感数据的选择加入同意，以及由州总检察长执法。2024 年 5 月签署的马里兰州在线数据隐私法（MODPA）借用了这一模板，但收紧了其中几个关键部分。对依靠广告运营的发布商而言，这些差异并非纸上谈兵 — 它们影响你可以收集什么、绝不能出售什么，以及如何对待年轻访客。

该法于 2025 年 10 月 1 日生效，并自 2026 年 4 月 1 日起适用于个人数据处理活动。如果你有马里兰州的访客，它现在已是你日常运营环境的一部分，而不再是路线图上的未来事项。

该法适用于谁

MODPA 涵盖在马里兰州开展业务或面向马里兰州居民提供产品和服务，并且在上一个日历年度满足以下任一条件的企业：

这些门槛低于许多其他州。马里兰州人口约六百万，因此一个具有全国影响力的中型内容网站，仅靠日常流量就可能越过 35,000 名消费者的门槛，尤其是在 Cookie ID 和设备标识符被视为个人数据的情况下。

对发布商最重要的条款

与所请求服务挂钩的数据最小化

许多州的法律允许企业收集其隐私声明中披露的任何内容。MODPA 则将个人数据的收集限制在为提供或维持消费者所请求的产品或服务而合理必要且相称的范围内。对于敏感数据，门槛更高：收集和处理必须对该目的严格必要。实际上，这促使发布商依据读者真正为何而来来论证每一个标签和数据点的合理性，而不是依据声明中碰巧写了什么。

禁止出售敏感数据

在其他地方，出售敏感数据通常需要选择加入同意。马里兰州走得更远，直接禁止出售敏感数据。敏感数据包括健康信息、精确地理位置、种族或民族出身、宗教信仰、性取向、生物识别和基因数据，以及已知为儿童的消费者的数据等类别。健康、养生和本地新闻类发布商应梳理哪些受众群体可以从其内容中被推断出来，并确保其中任何一个都不会以构成出售的方式流向合作伙伴。

对未成年人更严格的规则

当企业知道或应当知道消费者未满 18 岁时，MODPA 禁止出售其个人数据，或将其用于定向广告处理。“应当知道”的标准比许多其他州的实际知晓标准更宽泛。拥有面向青少年内容的网站 — 游戏、作业辅导、音乐、体育 — 需要对年龄信号以及这些板块展示何种广告体验采取站得住脚的做法。

退出与通用信号

消费者可以选择退出定向广告、个人数据的出售以及某些画像分析。企业还必须尊重通用退出机制，例如 Global Privacy Control 浏览器信号。如果你的网站尚未读取 GPC 并将其转化为对相关处理的退出，马里兰州是弥补这一差距的又一个理由。

执法

MODPA 由马里兰州总检察长办公室的消费者保护处执行。该法本身不设私人诉讼权。在最初一段时期内，该处可能会在采取行动之前给企业一个纠正违规的机会，但这是自由裁量且暂时的，因此不是可以依赖的策略。

实用行动计划

  1. 核对门槛。 根据分析数据估算在马里兰州的触达量，并且要包含设备级标识符，而不仅仅是登录用户。
  2. 开展最小化审查。 列出每个标签、SDK 和数据字段，并记录每一项支持读者请求的哪项服务。移除无法说明理由的内容。
  3. 审计敏感类别。 找出可能产生敏感推断的内容垂直领域，并确认这些群体绝不会被出售或为出售而共享。
  4. 审查年龄信号。 决定如何处理青少年占比较高的板块，以及是否应在那里关闭定向广告。
  5. 接通 GPC 和退出链接。 确保 GPC 信号或对退出链接的点击，能反映在发送给广告伙伴的信号中，例如通过 IAB GPP 字符串。
  6. 更新你的隐私声明。 用读者能看懂的语言说明数据类别、目的、第三方以及如何行使权利。

FlexyConsent 如何提供帮助

FlexyConsent 支持包含 US National 部分和 16 项美国州法律的 IAB 全球隐私平台（GPP）v1.1，因此退出选择可以按广告伙伴所期望的标准格式传递。同一个横幅以 57 种语言，可向美国、欧盟及其他地区的访客展示不同体验，并且包括免费套餐在内的每个套餐都包含全部功能。

核心要点

← 博客 阅读全部 →