Apri lo spazio

Guida · Legge statale degli USA

MODPA: la legge del Maryland, la più rigida degli USA

La Maryland Online Data Privacy Act è in vigore dal 1° ottobre 2025 ed è considerata la legge statale più rigida del paese. In questa guida capisci la rigorosa minimizzazione dei dati, il divieto di vendere dati sensibili, le regole per i minori di 18 anni e cosa cambia per un sito con AdSense o Ad Manager.

Fai l'audit del mio sito per gli USALeggi la guida
  • ✓Basato sul testo della legge e sul sito del procuratore generale del Maryland
  • ✓Esempi pratici per siti con annunci
  • ✓Audit in sola lettura, senza modificare il sito
35 milaconsumatori del Maryland all'anno: la soglia principale della legge
10 milaconsumatori bastano se oltre il 20% del fatturato lordo deriva dalla vendita di dati
10 mila USDdi sanzione massima per violazione
25.000 USDdi multa massima per violazione ripetuta

Che cos'è

Una legge che cambia la domanda da può rifiutare a deve raccogliere

La Maryland Online Data Privacy Act, o MODPA, è la legge generale sulla privacy del Maryland. È stata approvata nel 2024 ed è entrata in vigore il 1° ottobre 2025. La legge stessa dice che non riguarda le attività di trattamento dei dati precedenti al 1° aprile 2026, data da cui i controlli si rafforzano.

I diritti del visitatore assomigliano a quelli di altri stati: accesso, correzione, cancellazione, portabilità e rifiuto di pubblicità mirata, vendita e profilazione. La differenza sta negli obblighi dell'azienda. Nella maggior parte degli stati, il sito può usare i dati finché il visitatore non rifiuta. Nel Maryland, la raccolta deve essere necessaria per il servizio richiesto dal visitatore.

La legge vieta inoltre la vendita di dati sensibili, senza eccezione per il consenso, e limita il trattamento di questi dati allo stretto necessario. Per i giovani sotto i 18 anni, la pubblicità mirata è vietata quando l'azienda sapeva o avrebbe dovuto sapere l'età.

Per un sito con annunci, il Maryland è lo stato che richiede più revisione. Gli script di terze parti, i dati che ricevono e il modo in cui siti di salute, finanza o community trattano le informazioni sensibili vanno esaminati con attenzione.

Checklist

Cosa devi rispettare

Se il tuo sito supera le soglie della MODPA, questi punti devono funzionare.

  1. Raccogliere solo il necessario

    La raccolta di dati deve essere ragionevolmente necessaria e proporzionata al prodotto o servizio richiesto dal visitatore.

    Esempio

    Prima di installare uno script di annunci, annota quali dati riceve e perché il sito ne ha bisogno.

  2. Mai vendere dati sensibili

    La vendita di dati sensibili è vietata. Raccogliere o condividere questi dati vale solo quando è strettamente necessario per il servizio richiesto.

  3. Niente annunci mirati per minori di 18 anni

    Se sapevi o dovevi sapere che il visitatore ha tra 13 e 17 anni, non puoi usare i suoi dati per la pubblicità mirata. Vendere questi dati richiede il consenso.

  4. Rispettare il segnale universale di opt-out

    Dal 1º ottobre 2025, il visitatore può rifiutare la pubblicità mirata con un segnale di preferenza, come il GPC, e il sito deve rispettarlo.

    Esempio

    Visitatore con GPC attivo: il sito attiva il trattamento limitato dei dati di Google solo per lui.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. Dire in modo chiaro che ci sono annunci mirati

    Se il sito vende dati o fa pubblicità mirata, deve dirlo in modo chiaro e visibile e spiegare come rifiutare.

    Esempio

    Usiamo i tuoi dati per annunci mirati. Per rifiutare, clicca su Do Not Sell or Share My Personal Information.

  6. Informativa con le frasi che Google richiede

    AdSense richiede che l'informativa sulla privacy avvisi dei cookie pubblicitari di Google e di altri fornitori. Deve anche dire come il visitatore rifiuta gli annunci personalizzati.

    Esempio

    Fornitori terzi, tra cui Google, usano i cookie per mostrare annunci in base alle visite precedenti al tuo sito o ad altri siti. Puoi disattivare la pubblicità personalizzata nelle Impostazioni annunci di Google.

  7. Canale sicuro per le richieste

    Offri un mezzo sicuro e affidabile per le richieste di diritti. Non chiedere al visitatore di creare un nuovo account.

  8. Valutazione del rischio

    Prima di trattamenti ad alto rischio, come pubblicità mirata, vendita e dati sensibili, fai una valutazione. Anche ogni algoritmo di rischio va valutato.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né il GPP per il Maryland, quindi puoi usare il messaggio di Google o una CMP con GPP.

Chi deve rispettarla e definizioni

Le soglie della MODPA e le parole chiave della legge

La legge vale per chi fa affari nel Maryland o offre prodotti e servizi rivolti ai residenti dello stato e, nell'anno solare precedente, ha superato una delle soglie seguenti. Le organizzazioni senza scopo di lucro non hanno un'esenzione generale, e anche i responsabili che lavorano per aziende coperte hanno obblighi.

35 mila consumatori

Ha controllato o trattato dati di almeno 35.000 consumatori del Maryland. I dati usati solo per completare un pagamento non contano.

10 mila e vendita di dati

Ha controllato o trattato dati di almeno 10 mila consumatori e ha ricavato oltre il 20% del fatturato lordo dalla vendita di dati personali.

Dato sensibile

Origine razziale o etnica, credenze religiose, dati sanitari del consumatore, vita e orientamento sessuale, condizione di persona transgender o non binaria, origine nazionale, status migratorio, dati genetici o biometrici, dati di minori e geolocalizzazione precisa.

Dato sanitario del consumatore

Dato personale usato per identificare la condizione di salute fisica o mentale della persona, compresi i dati legati alle cure di affermazione di genere e alla salute riproduttiva o sessuale.

Vendita

Lo scambio di dati personali con denaro o altro corrispettivo di valore. I trasferimenti a responsabili del trattamento e quelli su richiesta del consumatore sono esclusi.

Pubblicità mirata

Annuncio scelto con dati ottenuti o dedotti dall'attività del visitatore su siti e app di altre aziende. Gli annunci contestuali, gli annunci sul sito stesso e la misurazione delle prestazioni non rientrano.

Rigorosa minimizzazione

Solo il necessario per ciò che il visitatore ha richiesto

La regola centrale della MODPA è la minimizzazione. L'azienda può raccogliere dati personali solo nella misura ragionevolmente necessaria e proporzionata per offrire o mantenere uno specifico prodotto o servizio richiesto dal consumatore. Non basta indicare la finalità nell'informativa sulla privacy, come in altri stati.

Per i dati sensibili, lo standard sale. Raccogliere, trattare o condividere dati sensibili è consentito solo quando è strettamente necessario per offrire o mantenere il prodotto o servizio richiesto. E vendere dati sensibili è vietato, anche con il consenso. Il procuratore generale del Maryland ripete le due regole nella sua pagina sulla legge.

Per i minori di 18 anni, la legge vieta di usare i dati per la pubblicità mirata quando l'azienda sapeva o avrebbe dovuto sapere l'età, e limita anche la vendita dei dati di questi giovani. Il test dell'avrebbe dovuto sapere è più ampio di quello della conoscenza effettiva usato in altri stati.

In pratica, un sito di salute che lascia agli script pubblicitari la lettura del tema di ogni articolo e li trasmette ai partner, o un sito di finanza che cede le risposte di un simulatore, deve rivalutare questo flusso. Gli annunci contestuali e la misurazione senza profilazione restano possibili.

Diritti delle persone

Cosa può chiedere il residente del Maryland

La risposta deve arrivare entro 45 giorni, con una proroga di altri 45 se comunicata entro il termine iniziale. La prima richiesta ogni 12 mesi è gratuita e il ricorso richiede una risposta scritta entro 60 giorni.

Confermare e accedere

Sapere se l'azienda tratta i suoi dati e avere accesso a quei dati.

Correggere e cancellare

Correggere dati errati e chiedere la cancellazione dei dati personali, con le eccezioni della legge.

Portabilità

Ricevere una copia portabile dei dati trattati in modo automatizzato.

Elenco dei terzi

Ricevere l'elenco delle categorie di terzi che hanno ricevuto i suoi dati, o quelli di tutti i consumatori, se l'azienda non li registra per persona.

Rifiutare annunci mirati e vendita

Chiedere che i dati non siano usati per la pubblicità mirata e non siano venduti, anche tramite un segnale universale come il GPC o un agente autorizzato.

Rifiutare la profilazione e revocare il consenso

Rifiutare certe profilazioni automatizzate e revocare un consenso dato. Dopo la revoca, l'azienda ha fino a 30 giorni per smettere.

Obblighi del sito

Cosa deve avere in funzione il sito coperto

  1. Informativa sulla privacy completaL'informativa deve riportare le categorie di dati trattati, anche sensibili, le finalità, come esercitare i diritti, fare ricorso e revocare il consenso, le categorie di terzi e il tipo di attività di ciascuno, le categorie di dati condivisi e un'e-mail attiva o un altro contatto online.
  2. Dichiarare vendita e annunci miratiSe il sito vende dati, fa pubblicità mirata o certe profilazioni, deve dirlo in modo chiaro e visibile e spiegare come rifiutare.
  3. Accettare il segnale universaleDal 1° ottobre 2025, l'opt-out da vendita e pubblicità mirata inviato tramite un segnale di preferenza, come il GPC, deve essere accettato.
  4. Canale sicuro per le richiesteL'azienda offre un mezzo sicuro e affidabile per le richieste e non può richiedere al consumatore di creare un nuovo account.
  5. Valutazione per ogni algoritmoI trattamenti ad alto rischio, come pubblicità mirata, vendita, dati sensibili e certe profilazioni, richiedono una valutazione periodica. La legge richiede anche la valutazione di ogni algoritmo usato. La regola vale per i trattamenti dal 1° ottobre 2025.
  6. Contratti con i responsabili del trattamentoI fornitori che trattano dati hanno bisogno di un contratto con istruzioni, tipo di dato, durata, riservatezza, sicurezza, cancellazione o restituzione e cooperazione nelle valutazioni.

Controlli e sanzioni

Chi controlla e quanto costa sbagliare

La legge è fatta rispettare dalla Divisione per la Protezione dei Consumatori del procuratore generale del Maryland. La violazione è trattata come pratica commerciale sleale, abusiva o ingannevole secondo la legge statale sulla tutela dei consumatori.

Fino a 10 mila USD per violazione

La sanzione può arrivare a 10.000 USD per violazione.

Fino a 25.000 USD in caso di recidiva

Le violazioni ripetute possono costare fino a 25.000 USD ciascuna. Il procuratore generale può anche chiedere un ordine del tribunale, restituzioni e la restituzione dei guadagni.

Termine di correzione facoltativo

Per le violazioni fino al 1° aprile 2027, la Divisione può avvisare e concedere almeno 60 giorni per correggere, se c'è rimedio. È una sua decisione, non una garanzia.

Criteri della Divisione

Per decidere sul termine, la Divisione considera il numero di violazioni, le dimensioni dell'azienda e se l'errore è stato umano o tecnico, tra altri fattori.

Cronologia

Le date della MODPA

A novembre 2026, la legge è in vigore, riguarda i trattamenti da aprile 2026 e ha ancora il termine di correzione facoltativo.

  1. 2024

    Legge approvata

    Il Maryland approva la Online Data Privacy Act.

  2. 1° ottobre 2025

    Entrata in vigore

    La legge entra in vigore, con segnale universale obbligatorio e valutazioni per i trattamenti avviati da questa data.

  3. 1° aprile 2026

    Trattamenti coperti

    La legge non riguarda le attività di trattamento precedenti a questa data, che segna l'inizio effettivo dei controlli.

  4. 1° aprile 2027

    Fine del termine facoltativo di correzione

    Termina il periodo in cui la Divisione può concedere almeno 60 giorni per correggere prima di agire.

Siti con AdSense e Ad Manager

GPC obbligatorio e il percorso dell'opt-out fino a Google

Dal 1° ottobre 2025, il sito coperto deve accettare l'opt-out da vendita e pubblicità mirata inviato tramite un segnale di preferenza, come il Global Privacy Control, o GPC. Il meccanismo non può essere attivo per impostazione predefinita e deve permettere di confermare che il visitatore risiede nello stato.

Google offre in AdSense e in Ad Manager un messaggio sulle normative statali degli USA, in Privacy & messaging, e il Maryland è tra gli stati coperti. Il messaggio mostra il link Do Not Sell or Share. Il rifiuto attiva il trattamento limitato dei dati, detto RDP, e Google smette di usare il comportamento precedente per scegliere gli annunci.

Sul GPC, Google dice che il partner che ha implementato il segnale può scegliere di attivare l'RDP quando riceve un GPC di opt-out. La configurazione spetta al sito o alla CMP, e può essere fatta nel tag, con il parametro restrictDataProcessing di GPT o l'attributo data-restrict-data-processing di AdSense.

L'IAB Tech Lab ha già pubblicato una sezione del GPP specifica del Maryland, ma non è nell'elenco delle sezioni accettate da Google. Per Google, il percorso è la sezione US National. Ricorda che l'opt-out è solo una parte: nel Maryland, la minimizzazione e il divieto di vendere dati sensibili valgono anche per chi non ha mai rifiutato nulla.

In pratica

Cosa è consentito e cosa no nel Maryland

Esempi per un sito con traffico dal Maryland che monetizza con annunci programmatici.

Consentito

  • Mostrare annunci contestuali, scelti in base all'argomento della pagina
  • Applicare l'opt-out quando il browser del visitatore invia GPC
  • Portare l'opt-out a Google tramite la sezione US National del GPP o il messaggio di Google
  • Usare dati sanitari indicati dal visitatore per erogare il servizio che ha richiesto, se strettamente necessario
  • Elencare nell'informativa il tipo di attività di ogni categoria di terzi, come rete pubblicitaria o misurazione

Non consentito

  • Vendere geolocalizzazione precisa o dati sanitari, anche con consenso
  • Mostrare pubblicità mirata a chi sai o dovresti sapere che ha meno di 18 anni
  • Trasmettere ai partner pubblicitari l'argomento di salute letto da ciascun visitatore
  • Raccogliere dati extra nei moduli solo perché un giorno potrebbero servire
  • Ignorare il GPC e continuare a richiedere annunci personalizzati

Errori comuni

Dove i siti inciampano con la MODPA

Impostazioni che bastano in altri stati possono non bastare nel Maryland.

Pensare che l'opt-out risolva tutto

Il sito offre l'opt-out, ma continua a raccogliere dati non necessari per il servizio richiesto. Nel Maryland, la minimizzazione vale per tutti.

Pixel nelle pagine di salute

Script pubblicitari e di misurazione ricevono l'indirizzo di articoli su malattie o gravidanza. Questo può rivelare un dato sanitario del consumatore.

Vendita di dati sensibili con consenso

Il sito chiede il consenso per cedere la geolocalizzazione precisa ai partner. Nel Maryland, questa vendita è vietata anche con il consenso.

Ignorare i segnali di età

Il sito ha contenuti rivolti agli adolescenti, ma mostra pubblicità mirata a tutti. Il test dell'avrebbe dovuto sapere può pesare contro di lui.

GPC solo in California

La CMP applica il GPC solo per la California e ignora il segnale dei visitatori del Maryland.

Sezione statale da sola nel GPP

La CMP invia solo la sezione del Maryland, che Google non legge. Senza la US National, l'opt-out non arriva a Google.

In ConsentMode

Cosa controlla l'audit per il Maryland

  • Apre il sito come visitatore degli Stati Uniti e cerca il link di opt-out nel footer, nel menu e nel messaggio sulla privacy.
  • Attiva il segnale GPC nel browser dell'audit e confronta la pagina e le richieste di annunci con e senza il segnale.
  • Legge la stringa GPP, controlla se la sezione US National esiste e registra l'opt-out.
  • Elenca gli script e i partner che si caricano nelle pagine di argomenti sensibili, come salute e finanza, e mostra cosa viene loro inviato.
  • Verifica se la pagina della privacy riporta categorie di dati, finalità, tipi di terzi, diritti, ricorso, revoca del consenso e contatto.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Perché il Maryland è chiamata la legge più rigida?

Perché, oltre all'opt-out, limita la raccolta a ciò che è necessario per il servizio richiesto, vieta di vendere dati sensibili anche con il consenso e vieta la pubblicità mirata ai minori di 18 anni quando l'azienda sapeva o avrebbe dovuto sapere l'età.

Posso continuare con gli annunci personalizzati nel Maryland?

La legge non vieta la pubblicità mirata agli adulti. Il visitatore può rifiutare, anche tramite GPC, e la raccolta deve rispettare la minimizzazione. Per i minori di 18 anni, la pubblicità mirata è vietata quando l'azienda sapeva o avrebbe dovuto sapere l'età.

Sono obbligato a rispettare il GPC?

Sì, se la legge si applica al tuo sito. Dal 1° ottobre 2025, l'opt-out inviato tramite un segnale di preferenza deve essere accettato.

Quando sono iniziati davvero i controlli?

La legge vale dal 1° ottobre 2025, ma non riguarda le attività di trattamento precedenti al 1° aprile 2026. Fino al 1° aprile 2027, la Divisione può ancora offrire un termine di correzione, se vuole.

La mia associazione non ha scopo di lucro. Sono esclusa?

Non necessariamente. Il Maryland esenta solo le organizzazioni senza scopo di lucro che trattano dati esclusivamente per aiutare la polizia contro le frodi assicurative o i soccorritori nelle catastrofi.

ConsentMode rende il mio sito conforme?

ConsentMode non è una CMP né uno studio legale. L'audit mostra cosa fa davvero il sito con l'opt-out, il GPC, il GPP, gli script di terze parti e la pagina della privacy, così puoi correggere con il tuo fornitore e il tuo avvocato.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri cosa il tuo sito consegna ai partner nel Maryland

L'audit apre il sito come visitatore degli USA, con e senza GPC, e mostra cosa correggere, senza modificare nulla.

Avvia l'audit