Abrir workspace

Guia · Lei estadual dos EUA

MODPA: a lei de Maryland, a mais rígida dos EUA

A Maryland Online Data Privacy Act vale desde 1º de outubro de 2025 e é considerada a lei estadual mais rígida do país. Neste guia você entende a minimização estrita de dados, a proibição de vender dados sensíveis, as regras para menores de 18 anos e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUALer o guia
  • ✓Baseado no texto da lei e no site do procurador-geral de Maryland
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
35 milconsumidores de Maryland por ano: o limite principal da lei
10 milconsumidores bastam se mais de 20% da receita bruta vier da venda de dados
US$ 10 milde multa máxima por violação
US$ 25 milde multa máxima por violação repetida

O que é

Uma lei que muda a pergunta de pode recusar para precisa coletar

A Maryland Online Data Privacy Act, ou MODPA, é a lei geral de privacidade de Maryland. Ela foi aprovada em 2024 e entrou em vigor em 1º de outubro de 2025. A própria lei diz que não alcança atividades de tratamento de dados anteriores a 1º de abril de 2026, data a partir da qual a fiscalização ganha força.

Os direitos do visitante parecem com os de outros estados: acesso, correção, exclusão, portabilidade e recusa de publicidade direcionada, de venda e de perfis. A diferença está nas obrigações da empresa. Na maioria dos estados, o site pode usar dados até o visitante recusar. Em Maryland, a coleta precisa ser necessária para o serviço que o visitante pediu.

A lei também proíbe a venda de dados sensíveis, sem exceção por consentimento, e limita o tratamento desses dados ao que for estritamente necessário. Para jovens com menos de 18 anos, a publicidade direcionada é proibida quando a empresa sabia ou deveria saber da idade.

Para um site com anúncios, Maryland é o estado que mais exige revisão. Os scripts de terceiros, os dados que eles recebem e a forma como sites de saúde, finanças ou comunidade tratam informações sensíveis precisam ser olhados com cuidado.

Checklist

O que você precisa cumprir

Se o seu site passa dos limites da MODPA, estes pontos precisam estar funcionando.

  1. Coletar só o necessário

    A coleta de dados precisa ser razoavelmente necessária e proporcional ao produto ou serviço que o visitante pediu.

    Exemplo

    Antes de instalar um script de anúncio, anote quais dados ele recebe e por que o site precisa disso.

  2. Nunca vender dados sensíveis

    A venda de dados sensíveis é proibida. Coletar ou compartilhar esses dados só vale quando for estritamente necessário para o serviço pedido.

  3. Sem anúncios direcionados para menores de 18

    Se você sabia ou deveria saber que o visitante tem de 13 a 17 anos, não pode usar os dados dele para publicidade direcionada. Vender esses dados exige consentimento.

  4. Respeitar o sinal universal de opt-out

    Desde 1º de outubro de 2025, o visitante pode recusar a publicidade direcionada por um sinal de preferência, como o GPC, e o site precisa respeitar.

    Exemplo

    Visitante com GPC ligado: o site liga o processamento restrito de dados do Google só para ele.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. Dizer de forma clara que há anúncios direcionados

    Se o site vende dados ou faz publicidade direcionada, precisa dizer isso de forma clara e visível e explicar como recusar.

    Exemplo

    Usamos seus dados para anúncios direcionados. Para recusar, clique em Do Not Sell or Share My Personal Information.

  6. Política com as frases que o Google exige

    O AdSense exige que a política de privacidade avise sobre os cookies de anúncios do Google e de outros fornecedores. Ela também precisa dizer como o visitante recusa os anúncios personalizados.

    Exemplo

    Fornecedores terceiros, incluindo o Google, usam cookies para mostrar anúncios com base em visitas anteriores ao seu site ou a outros sites. Você pode desativar a publicidade personalizada nas Configurações de anúncios do Google.

  7. Canal seguro para pedidos

    Ofereça um meio seguro e confiável para os pedidos de direitos. Não exija que o visitante crie uma conta nova.

  8. Avaliação de risco

    Antes de tratamentos de risco elevado, como publicidade direcionada, venda e dados sensíveis, faça uma avaliação. Cada algoritmo de risco também precisa ser avaliado.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para Maryland, então você pode usar a mensagem do próprio Google ou uma CMP com GPP.

Quem precisa cumprir e definições

Os limites da MODPA e as palavras-chave da lei

A lei vale para quem faz negócios em Maryland ou oferece produtos e serviços direcionados aos moradores do estado e, no ano civil anterior, passou de um dos limites abaixo. Entidades sem fins lucrativos não têm isenção geral, e operadores que trabalham para empresas cobertas também têm deveres.

35 mil consumidores

Controlou ou tratou dados de pelo menos 35 mil consumidores de Maryland. Dados usados só para concluir um pagamento não contam.

10 mil e venda de dados

Controlou ou tratou dados de pelo menos 10 mil consumidores e tirou mais de 20% da receita bruta da venda de dados pessoais.

Dado sensível

Origem racial ou étnica, crença religiosa, dados de saúde do consumidor, vida e orientação sexual, condição de pessoa trans ou não binária, origem nacional, situação migratória, dados genéticos ou biométricos, dados de criança e geolocalização precisa.

Dado de saúde do consumidor

Dado pessoal usado para identificar a condição de saúde física ou mental da pessoa, inclusive dados ligados a cuidados de afirmação de gênero e de saúde reprodutiva ou sexual.

Venda

A troca de dados pessoais por dinheiro ou por outra contrapartida de valor. Repasses a operadores e a pedido do consumidor ficam de fora.

Publicidade direcionada

Anúncio escolhido com dados obtidos ou deduzidos da atividade do visitante em sites e apps de outras empresas. Anúncios contextuais, anúncios no próprio site e a medição de desempenho não entram.

Minimização estrita

Só o necessário para o que o visitante pediu

A regra central da MODPA é a minimização. A empresa só pode coletar dados pessoais na medida razoavelmente necessária e proporcional para oferecer ou manter um produto ou serviço específico que o consumidor pediu. Não basta informar a finalidade na política de privacidade, como em outros estados.

Para dados sensíveis, o padrão sobe. Coletar, tratar ou compartilhar dados sensíveis só é permitido quando for estritamente necessário para oferecer ou manter o produto ou serviço pedido. E vender dados sensíveis é proibido, mesmo com consentimento. O procurador-geral de Maryland repete as duas regras na sua página sobre a lei.

Para menores de 18 anos, a lei proíbe usar os dados para publicidade direcionada quando a empresa sabia ou deveria saber da idade, e também restringe a venda dos dados desses jovens. O teste de deveria saber é mais amplo que o de conhecimento real usado em outros estados.

Na prática, um site de saúde que deixa scripts de anúncio lerem o tema de cada artigo e repassarem a parceiros, ou um site de finanças que repassa respostas de um simulador, precisa reavaliar esse fluxo. Anúncios contextuais e medição sem perfil continuam possíveis.

Direitos das pessoas

O que o morador de Maryland pode pedir

A resposta deve sair em até 45 dias, com prorrogação de mais 45 se for avisada no prazo inicial. O primeiro pedido em cada 12 meses é gratuito, e o recurso precisa de resposta por escrito em até 60 dias.

Confirmar e acessar

Saber se a empresa trata dados dele e ter acesso a esses dados.

Corrigir e excluir

Corrigir dados errados e pedir a exclusão dos dados pessoais, com as exceções da lei.

Portabilidade

Receber uma cópia portátil dos dados tratados de forma automatizada.

Lista de terceiros

Receber a lista das categorias de terceiros que receberam os dados dele, ou de todos os consumidores, se a empresa não registra por pessoa.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos, inclusive por sinal universal como o GPC ou por agente autorizado.

Recusar perfil e retirar consentimento

Recusar certos perfis automatizados e retirar um consentimento dado. Depois da retirada, a empresa tem até 30 dias para parar.

Obrigações do site

O que o site coberto precisa ter funcionando

  1. Aviso de privacidade completoO aviso precisa trazer as categorias de dados tratados, inclusive sensíveis, as finalidades, como exercer os direitos, recorrer e retirar consentimento, as categorias de terceiros e o tipo de negócio de cada um, as categorias de dados compartilhados e um e-mail ativo ou outro contato online.
  2. Divulgar venda e anúncios direcionadosSe o site vende dados, faz publicidade direcionada ou certos perfis, precisa dizer isso de forma clara e visível e explicar como recusar.
  3. Aceitar o sinal universalDesde 1º de outubro de 2025, o opt-out de venda e de publicidade direcionada enviado por sinal de preferência, como o GPC, precisa ser aceito.
  4. Canal seguro para pedidosA empresa oferece um meio seguro e confiável para os pedidos e não pode exigir que o consumidor crie uma conta nova.
  5. Avaliação para cada algoritmoTratamentos de risco elevado, como publicidade direcionada, venda, dados sensíveis e certos perfis, exigem avaliação regular. A lei pede também a avaliação de cada algoritmo usado. A regra vale para tratamentos a partir de 1º de outubro de 2025.
  6. Contratos com operadoresFornecedores que tratam dados precisam de contrato com instruções, tipo de dado, duração, confidencialidade, segurança, exclusão ou devolução e cooperação nas avaliações.

Fiscalização e multas

Quem fiscaliza e quanto custa errar

A lei é fiscalizada pela Divisão de Proteção ao Consumidor do procurador-geral de Maryland. A violação é tratada como prática comercial desleal, abusiva ou enganosa pela lei de proteção ao consumidor do estado.

Até US$ 10 mil por violação

A multa pode chegar a US$ 10 mil por violação.

Até US$ 25 mil na repetição

Violações repetidas podem custar até US$ 25 mil cada. O procurador-geral também pode pedir ordem judicial, restituição e devolução de ganhos.

Prazo de correção opcional

Para violações até 1º de abril de 2027, a Divisão pode avisar e dar pelo menos 60 dias para corrigir, se houver conserto. É uma decisão dela, não uma garantia.

Critérios da Divisão

Para decidir sobre o prazo, a Divisão considera o número de violações, o porte da empresa e se a falha foi humana ou técnica, entre outros fatores.

Linha do tempo

As datas da MODPA

Em novembro de 2026, a lei está em vigor, alcança tratamentos desde abril de 2026 e ainda tem o prazo de correção opcional.

  1. 2024

    Lei aprovada

    Maryland aprova a Online Data Privacy Act.

  2. 1º de outubro de 2025

    Entrada em vigor

    A lei passa a valer, com sinal universal obrigatório e avaliações para tratamentos iniciados a partir desta data.

  3. 1º de abril de 2026

    Tratamentos alcançados

    A lei não alcança atividades de tratamento anteriores a esta data, que marca o início efetivo da fiscalização.

  4. 1º de abril de 2027

    Fim do prazo opcional de correção

    Termina o período em que a Divisão pode dar pelo menos 60 dias para corrigir antes de agir.

Sites com AdSense e Ad Manager

GPC obrigatório e o caminho do opt-out até o Google

Desde 1º de outubro de 2025, o site coberto precisa aceitar o opt-out de venda e de publicidade direcionada enviado por um sinal de preferência, como o Global Privacy Control, ou GPC. O mecanismo não pode vir ligado por padrão e precisa permitir confirmar que o visitante mora no estado.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Maryland está entre os estados atendidos. A mensagem mostra o link Do Not Sell or Share. A recusa liga o processamento restrito de dados, chamado RDP, e o Google deixa de usar o comportamento anterior para escolher anúncios.

Sobre o GPC, o Google diz que o parceiro que implementou o sinal pode escolher ligar o RDP ao receber um GPC de opt-out. A configuração fica com o site ou com a CMP, e pode ser feita na tag, com o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense.

A IAB Tech Lab já publicou uma seção do GPP específica de Maryland, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National. Lembre que o opt-out é só uma parte: em Maryland, a minimização e a proibição de vender dados sensíveis valem mesmo para quem nunca recusou nada.

Na prática

O que pode e o que não pode em Maryland

Exemplos para um site com tráfego de Maryland que monetiza com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais, escolhidos pelo assunto da página
  • Aplicar o opt-out quando o navegador do visitante envia GPC
  • Levar o opt-out ao Google pela seção US National do GPP ou pela mensagem do Google
  • Usar dados de saúde informados pelo visitante para entregar o serviço que ele pediu, se for estritamente necessário
  • Listar na política o tipo de negócio de cada categoria de terceiro, como rede de anúncios ou medição

Não pode

  • Vender geolocalização precisa ou dados de saúde, mesmo com consentimento
  • Mostrar publicidade direcionada para quem você sabe ou deveria saber que tem menos de 18 anos
  • Repassar a parceiros de anúncio o tema de saúde que cada visitante leu
  • Coletar dados extras em formulários só porque podem ser úteis um dia
  • Ignorar o GPC e continuar pedindo anúncios personalizados

Erros comuns

Onde os sites tropeçam com a MODPA

Configurações que bastam em outros estados podem não bastar em Maryland.

Achar que o opt-out resolve tudo

O site oferece opt-out, mas continua coletando dados que não são necessários para o serviço pedido. Em Maryland, a minimização vale para todos.

Pixels em páginas de saúde

Scripts de anúncio e medição recebem o endereço de artigos sobre doenças ou gravidez. Isso pode revelar dado de saúde do consumidor.

Venda de dado sensível com consentimento

O site pede consentimento para repassar geolocalização precisa a parceiros. Em Maryland, essa venda é proibida mesmo com consentimento.

Ignorar sinais de idade

O site tem conteúdo voltado a adolescentes, mas mostra publicidade direcionada para todos. O teste de deveria saber pode pesar contra.

GPC só na Califórnia

A CMP aplica o GPC apenas para a Califórnia e ignora o sinal de visitantes de Maryland.

Seção estadual sozinha no GPP

A CMP envia só a seção de Maryland, que o Google não lê. Sem a US National, o opt-out não chega ao Google.

No ConsentMode

O que a auditoria confere para Maryland

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
  • Ativa o sinal GPC no navegador da auditoria e compara a página e os pedidos de anúncio com e sem o sinal.
  • Lê a string GPP e confere se a seção US National existe e registra o opt-out.
  • Lista os scripts e parceiros que carregam em páginas de temas sensíveis, como saúde e finanças, e mostra o que é enviado a eles.
  • Confere se a página de privacidade traz categorias de dados, finalidades, tipos de terceiros, direitos, recurso, retirada de consentimento e contato.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Por que Maryland é chamada de lei mais rígida?

Porque, além do opt-out, ela limita a coleta ao necessário para o serviço pedido, proíbe vender dados sensíveis mesmo com consentimento e proíbe publicidade direcionada para menores de 18 quando a empresa sabia ou deveria saber da idade.

Posso continuar com anúncios personalizados em Maryland?

A lei não proíbe publicidade direcionada para adultos. O visitante pode recusar, inclusive por GPC, e a coleta precisa respeitar a minimização. Para menores de 18, a publicidade direcionada é proibida quando a empresa sabia ou deveria saber da idade.

Sou obrigado a respeitar o GPC?

Sim, se a lei se aplica ao seu site. Desde 1º de outubro de 2025, o opt-out enviado por sinal de preferência precisa ser aceito.

Quando a fiscalização começou de fato?

A lei vale desde 1º de outubro de 2025, mas não alcança atividades de tratamento anteriores a 1º de abril de 2026. Até 1º de abril de 2027, a Divisão ainda pode oferecer prazo de correção, se quiser.

Minha associação não tem fins lucrativos. Estou fora?

Não necessariamente. Maryland só isenta entidades sem fins lucrativos que tratam dados exclusivamente para ajudar a polícia em fraudes de seguro ou socorristas em catástrofes.

O ConsentMode deixa meu site em conformidade?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o opt-out, o GPC, o GPP, os scripts de terceiros e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja o que o seu site entrega a parceiros em Maryland

A auditoria abre o site como visitante dos EUA, com e sem GPC, e mostra o que corrigir, sem alterar nada.

Começar a auditoria