Ouvrir l'espace

Guide · Loi d'un État américain

MODPA : la loi du Maryland, la plus stricte des États-Unis

La Maryland Online Data Privacy Act s'applique depuis le 1er octobre 2025 et est considérée comme la loi d'État la plus stricte du pays. Dans ce guide, vous comprendrez la minimisation stricte des données, l'interdiction de vendre des données sensibles, les règles pour les moins de 18 ans et ce qui change pour un site avec AdSense ou Ad Manager.

Auditer mon site pour les États-UnisLire le guide
  • ✓Basé sur le texte de la loi et sur le site du procureur général du Maryland
  • ✓Exemples pratiques pour les sites avec publicités
  • ✓Audit en lecture seule, sans modifier le site
35 000consommateurs du Maryland par an : le principal seuil de la loi
10 000consommateurs suffisent si plus de 20% du chiffre d'affaires brut vient de la vente de données
10 000 USDd'amende maximale par violation
25 000 $ USd'amende maximale par violation répétée

Définition

Une loi qui change la question de peut refuser à doit collecter

La Maryland Online Data Privacy Act, ou MODPA, est la loi générale de confidentialité du Maryland. Elle a été adoptée en 2024 et est entrée en vigueur le 1er octobre 2025. La loi dit elle-même qu'elle ne touche pas les activités de traitement de données antérieures au 1er avril 2026, date à partir de laquelle l'application se renforce.

Les droits du visiteur ressemblent à ceux d'autres États : accès, rectification, suppression, portabilité et refus de la publicité ciblée, de la vente et du profilage. La différence tient aux obligations de l'entreprise. Dans la plupart des États, le site peut utiliser les données jusqu'à ce que le visiteur refuse. Au Maryland, la collecte doit être nécessaire pour le service que le visiteur a demandé.

La loi interdit aussi la vente de données sensibles, sans exception par consentement, et limite le traitement de ces données au strict nécessaire. Pour les jeunes de moins de 18 ans, la publicité ciblée est interdite lorsque l'entreprise connaissait ou aurait dû connaître l'âge.

Pour un site avec annonces, le Maryland est l'État qui demande le plus de révision. Les scripts tiers, les données qu'ils reçoivent et la façon dont les sites de santé, de finance ou de communauté traitent les informations sensibles doivent être examinés avec soin.

Checklist

Ce que vous devez respecter

Si votre site dépasse les seuils de la MODPA, ces points doivent fonctionner.

  1. Ne collecter que le nécessaire

    La collecte de données doit être raisonnablement nécessaire et proportionnée au produit ou service demandé par le visiteur.

    Exemple

    Avant d'installer un script d'annonces, notez quelles données il reçoit et pourquoi le site en a besoin.

  2. Ne jamais vendre de données sensibles

    La vente de données sensibles est interdite. Collecter ou partager ces données n'est permis que lorsque c'est strictement nécessaire au service demandé.

  3. Pas de publicité ciblée pour les moins de 18 ans

    Si vous saviez ou deviez savoir que le visiteur a entre 13 et 17 ans, vous ne pouvez pas utiliser ses données pour de la publicité ciblée. Vendre ces données exige un consentement.

  4. Respecter le signal universel d'opt-out

    Depuis le 1er octobre 2025, le visiteur peut refuser la publicité ciblée par un signal de préférence, comme le GPC, et le site doit le respecter.

    Exemple

    Visiteur avec GPC activé : le site active le traitement restreint des données de Google seulement pour lui.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. Dire clairement qu'il y a des annonces ciblées

    Si le site vend des données ou fait de la publicité ciblée, il doit le dire de façon claire et visible et expliquer comment refuser.

    Exemple

    Nous utilisons vos données pour des annonces ciblées. Pour refuser, cliquez sur Do Not Sell or Share My Personal Information.

  6. Politique avec les phrases que Google exige

    AdSense exige que la politique de confidentialité signale les cookies publicitaires de Google et d'autres fournisseurs. Elle doit aussi dire comment le visiteur refuse les annonces personnalisées.

    Exemple

    Des fournisseurs tiers, dont Google, utilisent des cookies pour afficher des annonces selon des visites précédentes sur votre site ou sur d'autres sites. Vous pouvez désactiver la publicité personnalisée dans les Paramètres des annonces Google.

  7. Canal sécurisé pour les demandes

    Offrez un moyen sûr et fiable pour les demandes de droits. N'exigez pas que le visiteur crée un nouveau compte.

  8. Évaluation des risques

    Avant les traitements à risque élevé, comme la publicité ciblée, la vente et les données sensibles, faites une évaluation. Chaque algorithme à risque doit aussi être évalué.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige ni CMP certifiée ni GPP pour le Maryland, donc vous pouvez utiliser le message de Google lui-même ou une CMP avec GPP.

Qui doit se conformer et définitions

Les seuils de la MODPA et les mots-clés de la loi

La loi s'applique à ceux qui font des affaires au Maryland ou proposent des produits et services destinés aux résidents de l'État et qui, au cours de l'année civile précédente, ont dépassé l'un des seuils ci-dessous. Les entités à but non lucratif n'ont pas d'exemption générale, et les sous-traitants qui travaillent pour des entreprises couvertes ont aussi des devoirs.

35 000 consommateurs

A contrôlé ou traité les données d'au moins 35 000 consommateurs du Maryland. Les données utilisées uniquement pour finaliser un paiement ne comptent pas.

10 000 et vente de données

A contrôlé ou traité les données d'au moins 10 000 consommateurs et tiré plus de 20% de son chiffre d'affaires brut de la vente de données personnelles.

Donnée sensible

Origine raciale ou ethnique, croyance religieuse, données de santé du consommateur, vie et orientation sexuelles, condition de personne transgenre ou non binaire, origine nationale, statut migratoire, données génétiques ou biométriques, données d'enfant et géolocalisation précise.

Donnée de santé du consommateur

Donnée personnelle utilisée pour identifier l'état de santé physique ou mentale de la personne, y compris les données liées aux soins d'affirmation de genre et à la santé reproductive ou sexuelle.

Vente

L'échange de données personnelles contre de l'argent ou une autre contrepartie de valeur. Les transferts à des sous-traitants et à la demande du consommateur sont exclus.

Publicité ciblée

Annonce choisie à partir de données obtenues ou déduites de l'activité du visiteur sur des sites et applis d'autres entreprises. Les annonces contextuelles, les annonces sur le site lui-même et la mesure de performance ne sont pas concernées.

Minimisation stricte

Seulement le nécessaire pour ce que le visiteur a demandé

La règle centrale de la MODPA est la minimisation. L'entreprise ne peut collecter des données personnelles que dans la mesure raisonnablement nécessaire et proportionnée pour fournir ou maintenir un produit ou service précis demandé par le consommateur. Il ne suffit pas d'indiquer la finalité dans la politique de confidentialité, comme dans d'autres États.

Pour les données sensibles, la norme monte d'un cran. Collecter, traiter ou partager des données sensibles n'est permis que lorsque c'est strictement nécessaire pour fournir ou maintenir le produit ou service demandé. Et vendre des données sensibles est interdit, même avec consentement. Le procureur général du Maryland répète ces deux règles sur sa page consacrée à la loi.

Pour les moins de 18 ans, la loi interdit d'utiliser les données pour la publicité ciblée lorsque l'entreprise connaissait ou aurait dû connaître l'âge, et restreint aussi la vente des données de ces jeunes. Le critère aurait dû savoir est plus large que celui de la connaissance réelle utilisé dans d'autres États.

En pratique, un site de santé qui laisse des scripts d'annonces lire le thème de chaque article et le transmettre à des partenaires, ou un site de finance qui transmet les réponses d'un simulateur, doit réévaluer ce flux. Les annonces contextuelles et la mesure sans profilage restent possibles.

Droits des personnes

Ce que le résident du Maryland peut demander

La réponse doit être donnée sous 45 jours, avec une prolongation de 45 jours si elle est annoncée dans le délai initial. La première demande de chaque période de 12 mois est gratuite, et le recours doit recevoir une réponse écrite sous 60 jours.

Confirmer et accéder

Savoir si l'entreprise traite ses données et avoir accès à ces données.

Corriger et supprimer

Corriger les données erronées et demander la suppression des données personnelles, avec les exceptions de la loi.

Portabilité

Recevoir une copie portable des données traitées de façon automatisée.

Liste des tiers

Recevoir la liste des catégories de tiers qui ont reçu ses données, ou celles de tous les consommateurs, si l'entreprise ne tient pas de registre par personne.

Refuser les publicités ciblées et la vente

Demander que ses données ne soient pas utilisées pour la publicité ciblée et ne soient pas vendues, y compris par un signal universel comme le GPC ou par un mandataire autorisé.

Refuser le profilage et retirer son consentement

Refuser certains profilages automatisés et retirer un consentement donné. Après le retrait, l'entreprise a jusqu'à 30 jours pour arrêter.

Obligations du site

Ce que le site concerné doit avoir en place

  1. Avis de confidentialité completL'avis doit contenir les catégories de données traitées, y compris sensibles, les finalités, la façon d'exercer les droits, de faire appel et de retirer le consentement, les catégories de tiers et le type d'activité de chacun, les catégories de données partagées et une adresse e-mail active ou un autre contact en ligne.
  2. Divulguer la vente et les publicités cibléesSi le site vend des données, fait de la publicité ciblée ou certains profilages, il doit le dire de façon claire et visible et expliquer comment refuser.
  3. Accepter le signal universelDepuis le 1er octobre 2025, le refus de la vente et de la publicité ciblée envoyé par un signal de préférence, comme le GPC, doit être accepté.
  4. Canal sécurisé pour les demandesL'entreprise offre un moyen sûr et fiable pour les demandes et ne peut pas exiger que le consommateur crée un nouveau compte.
  5. Évaluation pour chaque algorithmeLes traitements à risque élevé, comme la publicité ciblée, la vente, les données sensibles et certains profilages, exigent une évaluation régulière. La loi demande aussi l'évaluation de chaque algorithme utilisé. La règle s'applique aux traitements à partir du 1er octobre 2025.
  6. Contrats avec les sous-traitantsLes fournisseurs qui traitent des données ont besoin d'un contrat avec instructions, type de donnée, durée, confidentialité, sécurité, suppression ou restitution et coopération aux évaluations.

Contrôle et amendes

Qui contrôle et combien coûte une erreur

La loi est appliquée par la Division de la protection des consommateurs du procureur général du Maryland. La violation est traitée comme une pratique commerciale déloyale, abusive ou trompeuse par la loi de protection des consommateurs de l'État.

Jusqu'à 10 000 USD par violation

L'amende peut atteindre 10 000 $ US par violation.

Jusqu'à 25 000 $ US en cas de récidive

Les violations répétées peuvent coûter jusqu'à 25 000 $ US chacune. Le procureur général peut aussi demander une ordonnance judiciaire, une restitution et la restitution des gains.

Délai de correction facultatif

Pour les violations jusqu'au 1er avril 2027, la Division peut avertir et accorder au moins 60 jours pour corriger, s'il existe une solution. C'est sa décision, pas une garantie.

Critères de la Division

Pour décider du délai, la Division tient compte du nombre de violations, de la taille de l'entreprise et du caractère humain ou technique de l'erreur, entre autres facteurs.

Chronologie

Les dates de la MODPA

En novembre 2026, la loi est en vigueur, touche les traitements depuis avril 2026 et prévoit encore le délai de correction facultatif.

  1. 2024

    Loi adoptée

    Le Maryland adopte l'Online Data Privacy Act.

  2. 1er octobre 2025

    Entrée en vigueur

    La loi entre en vigueur, avec signal universel obligatoire et évaluations pour les traitements commencés à partir de cette date.

  3. 1er avril 2026

    Traitements concernés

    La loi ne touche pas les activités de traitement antérieures à cette date, qui marque le début effectif de l'application.

  4. 1er avril 2027

    Fin du délai de correction facultatif

    Fin de la période pendant laquelle la Division peut accorder au moins 60 jours pour corriger avant d'agir.

Sites avec AdSense et Ad Manager

GPC obligatoire et le chemin de l'opt-out jusqu'à Google

Depuis le 1er octobre 2025, le site couvert doit accepter le refus de la vente et de la publicité ciblée envoyé par un signal de préférence, comme le Global Privacy Control, ou GPC. Le mécanisme ne peut pas être activé par défaut et doit permettre de confirmer que le visiteur vit dans l'État.

Google propose dans AdSense et Ad Manager un message sur les réglementations des États américains, sous Confidentialité et messages, et le Maryland figure parmi les États pris en charge. Le message affiche le lien Do Not Sell or Share. Le refus active le traitement restreint des données, appelé RDP, et Google cesse d'utiliser le comportement antérieur pour choisir les annonces.

Concernant le GPC, Google indique que le partenaire qui a mis en œuvre le signal peut choisir d'activer le RDP en recevant un GPC d'opt-out. La configuration revient au site ou à la CMP, et peut se faire dans la balise, avec le paramètre restrictDataProcessing de GPT ou l'attribut data-restrict-data-processing d'AdSense.

L'IAB Tech Lab a déjà publié une section de la GPP propre au Maryland, mais elle ne figure pas dans la liste des sections acceptées par Google. Pour Google, la voie est la section US National. N'oubliez pas que l'opt-out n'est qu'une partie : au Maryland, la minimisation et l'interdiction de vendre des données sensibles s'appliquent même à ceux qui n'ont jamais rien refusé.

En pratique

Ce qui est permis et ce qui ne l'est pas au Maryland

Exemples pour un site avec du trafic du Maryland qui se monétise avec de la publicité programmatique.

Autorisé

  • Afficher des annonces contextuelles, choisies selon le sujet de la page
  • Appliquer l'opt-out quand le navigateur du visiteur envoie le GPC
  • Transmettre l'opt-out à Google via la section US National de la GPP ou via le message de Google
  • Utiliser des données de santé fournies par le visiteur pour rendre le service demandé, si c'est strictement nécessaire
  • Indiquer dans la politique le type d'activité de chaque catégorie de tiers, comme réseau publicitaire ou mesure

Interdit

  • Vendre la géolocalisation précise ou des données de santé, même avec consentement
  • Afficher de la publicité ciblée à quelqu'un dont vous savez ou devriez savoir qu'il a moins de 18 ans
  • Transmettre aux partenaires publicitaires le thème de santé lu par chaque visiteur
  • Collecter des données supplémentaires dans des formulaires simplement parce qu'elles pourraient être utiles un jour
  • Ignorer le GPC et continuer à demander des annonces personnalisées

Erreurs courantes

Là où les sites trébuchent avec la MODPA

Des configurations qui suffisent dans d'autres États peuvent ne pas suffire au Maryland.

Croire que l'opt-out règle tout

Le site offre l'opt-out, mais continue de collecter des données qui ne sont pas nécessaires au service demandé. Au Maryland, la minimisation s'applique à tous.

Pixels sur des pages de santé

Des scripts d'annonces et de mesure reçoivent l'adresse d'articles sur des maladies ou la grossesse. Cela peut révéler une donnée de santé du consommateur.

Vente de données sensibles avec consentement

Le site demande le consentement pour transmettre la géolocalisation précise à des partenaires. Au Maryland, cette vente est interdite même avec consentement.

Ignorer les signaux d'âge

Le site a du contenu destiné aux adolescents, mais affiche de la publicité ciblée à tous. Le critère aurait dû savoir peut jouer contre lui.

GPC uniquement en Californie

La CMP applique le GPC uniquement pour la Californie et ignore le signal des visiteurs du Maryland.

Section d'État seule dans le GPP

La CMP n'envoie que la section du Maryland, que Google ne lit pas. Sans la US National, l'opt-out n'atteint pas Google.

Dans ConsentMode

Ce que l'audit vérifie pour le Maryland

  • Ouvre le site comme un visiteur des États-Unis et cherche le lien d'opt-out dans le pied de page, dans le menu et dans le message de confidentialité.
  • Active le signal GPC dans le navigateur de l'audit et compare la page et les demandes de publicité avec et sans le signal.
  • Lit la string GPP et vérifie que la section US National existe et enregistre l'opt-out.
  • Liste les scripts et partenaires qui se chargent sur des pages à thèmes sensibles, comme la santé et la finance, et montre ce qui leur est envoyé.
  • Vérifie si la page de confidentialité contient les catégories de données, les finalités, les types de tiers, les droits, le recours, le retrait du consentement et le contact.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Pourquoi dit-on que le Maryland a la loi la plus stricte ?

Parce que, en plus de l'opt-out, elle limite la collecte au nécessaire pour le service demandé, interdit de vendre des données sensibles même avec consentement et interdit la publicité ciblée pour les moins de 18 ans lorsque l'entreprise connaissait ou aurait dû connaître l'âge.

Puis-je continuer avec des annonces personnalisées au Maryland ?

La loi n'interdit pas la publicité ciblée pour les adultes. Le visiteur peut refuser, y compris par GPC, et la collecte doit respecter la minimisation. Pour les moins de 18 ans, la publicité ciblée est interdite lorsque l'entreprise connaissait ou aurait dû connaître l'âge.

Suis-je obligé de respecter le GPC ?

Oui, si la loi s'applique à votre site. Depuis le 1er octobre 2025, le refus envoyé par un signal de préférence doit être accepté.

Quand l'application a-t-elle vraiment commencé ?

La loi s'applique depuis le 1er octobre 2025, mais ne touche pas les activités de traitement antérieures au 1er avril 2026. Jusqu'au 1er avril 2027, la Division peut encore accorder un délai de correction, si elle le souhaite.

Mon association est à but non lucratif. Suis-je hors champ ?

Pas nécessairement. Le Maryland n'exempte que les entités à but non lucratif qui traitent des données exclusivement pour aider la police dans les fraudes à l'assurance ou les secouristes lors de catastrophes.

ConsentMode met-il mon site en conformité ?

ConsentMode n'est ni une CMP ni un cabinet d'avocats. L'audit montre ce que le site fait réellement avec l'opt-out, le GPC, la GPP, les scripts tiers et la page de confidentialité, pour que vous corrigiez avec votre fournisseur et votre avocat.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez ce que votre site transmet à des partenaires au Maryland

L'audit ouvre le site comme un visiteur des États-Unis, avec et sans GPC, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit