打开空间

指南 · 美国州法律

MODPA：马里兰州法律，美国最严格的法律

Maryland Online Data Privacy Act 自 2025 年 10 月 1 日起生效，被认为是美国最严格的州法律。在本指南中，您可以了解严格的数据最小化、对出售敏感数据的禁令、针对 18 岁以下人群的规则，以及这对使用 AdSense 或 Ad Manager 的网站有什么变化。

为美国站点审核我的网站阅读指南
  • ✓基于该法律的文本和马里兰州总检察长的网站
  • ✓面向有广告网站的实用示例
  • ✓只读审核，不修改网站
3.5 万每年的马里兰州消费者数量：该法律的主要门槛
1 万如果总收入的 20% 以上来自出售数据，则 1 万名消费者就够了
1 万美元每次违规的最高罚款
2.5 万美元重复违规的最高罚款

是什么

一部把“能否拒绝”变为“是否必须收集”的法律

Maryland Online Data Privacy Act，即 MODPA，是马里兰州的综合性隐私法。它于 2024 年通过，2025 年 10 月 1 日生效。法律本身规定，它不涵盖 2026 年 4 月 1 日之前的数据处理活动，自该日起执法力度加强。

访客的权利与其他州相似：访问、更正、删除、可携带，以及拒绝定向广告、出售和画像。区别在于企业的义务。在大多数州，网站可以使用数据，直到访客拒绝。在马里兰州，收集必须是访客所要求的服务所必需的。

该法律还禁止出售敏感数据，不因同意而有例外，并将这类数据的处理限制在严格必要的范围内。对于 18 岁以下的青少年，如果企业知道或应当知道其年龄，则禁止定向广告。

对有广告的网站来说，马里兰州是最需要重新审视的州。第三方脚本、它们接收的数据，以及健康、财经或社区类网站如何处理敏感信息，都需要仔细审查。

清单

你需要做到的事项

如果您的网站超过 MODPA 的门槛，这些要点必须到位。

  1. 只收集必要的数据

    数据收集必须与访客所请求的产品或服务合理必要且相称。

    示例

    在安装广告脚本之前，记下它会接收哪些数据，以及网站为什么需要这些数据。

  2. 绝不出售敏感数据

    禁止出售敏感数据。只有在为所请求的服务严格必要时，才可以收集或共享这些数据。

  3. 不向 18 岁以下的访客投放定向广告

    如果你知道或应当知道访客是 13 至 17 岁，就不能把他的数据用于定向广告。出售这些数据需要取得同意。

  4. 尊重通用退出信号

    自 2025 年 10 月 1 日起，访客可以通过 GPC 等偏好信号拒绝定向广告，网站必须予以尊重。

    示例

    开启 GPC 的访客：网站只对他开启 Google 的受限数据处理。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. 清楚说明存在定向广告

    如果网站出售数据或做定向广告，必须清楚、显眼地说明这一点，并解释如何退出。

    示例

    我们使用您的数据投放定向广告。如需退出，请点击 Do Not Sell or Share My Personal Information。

  6. 包含 Google 要求的语句的政策

    AdSense 要求隐私政策提示 Google 和其他供应商的广告 cookie。政策还必须说明访客如何拒绝个性化广告。

    示例

    包括 Google 在内的第三方供应商会使用 cookie，根据用户之前对您的网站或其他网站的访问来投放广告。您可以在 Google 的广告设置中停用个性化广告。

  7. 安全的请求渠道

    为权利请求提供安全可靠的方式。不要要求访客新建账户。

  8. 风险评估

    在进行高风险处理（如定向广告、出售和敏感数据）之前，要先做评估。每一种风险算法也都需要评估。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对马里兰没有要求使用认证 CMP，也没有要求 GPP，所以您可以使用 Google 自己的消息，或带 GPP 的 CMP。

谁需要遵守，以及定义

MODPA 的门槛和法律中的关键词

该法律适用于在马里兰州开展业务、或提供面向该州居民的产品和服务，并且在上一个日历年超过以下任一门槛的人。非营利实体没有普遍豁免，为受涵盖企业工作的处理者也有义务。

3.5 万名消费者

控制或处理了至少 3.5 万名马里兰州消费者的数据。仅用于完成付款的数据不计算在内。

1 万名消费者和数据出售

控制或处理了至少 1 万名消费者的数据，并且超过 20% 的总收入来自出售个人数据。

敏感数据

种族或民族出身、宗教信仰、消费者健康数据、性生活和性取向、跨性别或非二元性别身份、国籍、移民身份、基因或生物识别数据、儿童数据和精确地理位置。

消费者健康数据

用于识别个人身体或心理健康状况的个人数据，包括与性别肯定护理以及生殖或性健康相关的数据。

出售

以个人数据换取金钱或其他有价值的对价。向处理者提供以及应消费者要求提供的情形除外。

定向广告

根据从访客在其他公司的网站和应用中的活动获取或推断的数据来选择的广告。上下文广告、网站自身的广告以及效果衡量不在此列。

严格最小化

只收集访客所要求的内容所必需的数据

MODPA 的核心规则是最小化。企业只能在合理必要且相称的范围内收集个人数据，用于提供或维持消费者所要求的特定产品或服务。像其他州那样仅在隐私政策中说明目的是不够的。

对于敏感数据，标准更高。只有在严格必要时，才允许为提供或维持所要求的产品或服务而收集、处理或共享敏感数据。出售敏感数据是被禁止的，即使取得同意也不行。马里兰州总检察长在其关于该法律的页面上重申了这两条规则。

对于 18 岁以下的人，如果企业知道或应当知道其年龄，法律禁止将数据用于定向广告，并且限制出售这些青少年的数据。“应当知道”的标准比其他州使用的“实际知情”更宽泛。

在实践中，一个让广告脚本读取每篇文章的主题并传给合作伙伴的健康网站，或者一个把模拟器中的回答传出去的财经网站，需要重新评估这一流程。上下文广告和不涉及画像的衡量仍然可以进行。

个人的权利

马里兰州居民可以提出什么要求

答复应在 45 天内发出，如果在最初期限内通知，可再延长 45 天。每 12 个月内的第一次请求免费，申诉需要在 60 天内以书面形式答复。

确认和访问

了解企业是否在处理他的数据，并访问这些数据。

更正和删除

更正错误的数据，并要求删除个人数据，法律规定的例外情形除外。

可携带性

获取以自动化方式处理的数据的可携带副本。

第三方清单

获取接收过其数据的第三方类别清单，如果企业没有按个人记录，则获取所有消费者的第三方类别清单。

拒绝定向广告和数据出售

要求其数据不用于定向广告、不被出售，包括通过 GPC 这样的通用信号或授权代理人提出。

拒绝画像与撤回同意

拒绝某些自动化画像，并撤回已给予的同意。撤回之后，企业最多有 30 天的时间停止。

网站的义务

适用的网站需要保证正常运行的事项

  1. 完整的隐私声明通知必须包含所处理数据的类别（包括敏感数据）、目的、如何行使权利、申诉和撤回同意、第三方的类别及每一方的业务类型、共享数据的类别，以及一个有效的电子邮箱或其他在线联系方式。
  2. 披露数据出售和定向广告如果网站出售数据、进行定向广告或某些画像，必须清楚、显眼地说明，并解释如何拒绝。
  3. 接受通用信号自 2025 年 10 月 1 日起，通过 GPC 等偏好信号发送的出售和定向广告选择退出，必须被接受。
  4. 安全的请求渠道企业为请求提供安全可靠的方式，不得要求消费者创建新账号。
  5. 对每种算法的评估定向广告、出售、敏感数据和某些画像等高风险处理，需要定期评估。法律还要求对所使用的每种算法进行评估。该规则适用于 2025 年 10 月 1 日及之后的处理。
  6. 与处理者的合同处理数据的供应商需要签订合同，写明指示、数据类型、期限、保密、安全、删除或返还，以及在评估中的配合。

执法和罚款

谁来执法，出错的代价有多大

该法律由马里兰州总检察长的消费者保护处负责执行。违规行为依据该州的消费者保护法，被视为不公平、滥用或欺骗性的商业行为。

每次违规最高 1 万美元

罚款最高可达每次违规 1 万美元。

重复违规最高 2.5 万美元

重复违规每次最高可罚 2.5 万美元。总检察长还可以请求法院命令、返还和退还所得利益。

可选的整改期

对于 2027 年 4 月 1 日之前的违规，如果可以补救，该处可以发出通知并给予至少 60 天的整改期。这由该处决定，并非保证。

该处的标准

在决定是否给予整改期时，该处会考虑违规的数量、企业的规模，以及失误是人为的还是技术性的，等等因素。

时间线

MODPA 的重要日期

2026 年 11 月，该法律已经生效，涵盖自 2026 年 4 月起的处理活动，并且仍设有可选的整改期。

  1. 2024

    法律通过

    马里兰州通过 Online Data Privacy Act。

  2. 2025 年 10 月 1 日

    生效

    该法律生效，通用信号成为强制要求，并对自该日期起开始的处理进行评估。

  3. 2026 年 4 月 1 日

    涵盖的处理

    该法律不涵盖该日期之前的处理活动，该日期标志着执法的实际开始。

  4. 2027 年 4 月 1 日

    可选整改期结束

    该处可在采取行动之前给予至少 60 天整改期的时期结束。

使用 AdSense 和 Ad Manager 的网站

强制 GPC，以及退出请求传到 Google 的路径

自 2025 年 10 月 1 日起，受涵盖的网站必须接受通过偏好信号（如 Global Privacy Control，即 GPC）发送的出售和定向广告选择退出。该机制不能默认开启，并且必须能够确认访客居住在该州。

Google 在 AdSense 和 Ad Manager 的隐私权和消息功能中提供美国州级法规消息，马里兰州属于所支持的州。该消息会显示 Do Not Sell or Share 链接。拒绝会开启受限数据处理，即 RDP，Google 将不再利用以往的行为来选择广告。

关于 GPC，Google 表示，已实现该信号的合作伙伴可以选择在收到 GPC 退出信号时开启 RDP。配置由网站或 CMP 负责，也可以在标签中完成，使用 GPT 的 restrictDataProcessing 参数或 AdSense 的 data-restrict-data-processing 属性。

IAB Tech Lab 已经发布了马里兰州专属的 GPP 部分，但它不在 Google 接受的部分清单中。对 Google 来说，途径是 US National 部分。请记住，选择退出只是其中一部分：在马里兰州，最小化和禁止出售敏感数据，即使对从未拒绝过任何内容的人也同样适用。

实际案例

在马里兰州的允许与不允许

适用于有马里兰州流量、通过程序化广告变现的网站的示例。

可以

  • 展示按页面主题选择的上下文广告
  • 当访问者的浏览器发送 GPC 时执行退出
  • 通过 GPP 的 US National 部分或 Google 的消息，把选择退出传达给 Google
  • 在严格必要时，使用访客提供的健康数据来提供其所要求的服务
  • 在政策中列出每一类第三方的业务类型，例如广告网络或衡量服务

不可以

  • 出售精确地理位置或健康数据，即使已取得同意
  • 向您知道或应当知道未满 18 岁的人展示定向广告
  • 向广告合作伙伴提供每位访客阅读过的健康主题
  • 仅因为将来某天可能有用，就在表单中收集额外数据
  • 忽略 GPC 并继续请求个性化广告

常见错误

网站在 MODPA 上容易出错的地方

在其他州足够的配置，在马里兰州可能不够。

以为选择退出就能解决一切

网站提供了选择退出，却仍在收集对所要求的服务并非必需的数据。在马里兰州，最小化适用于所有人。

健康页面上的像素

广告和衡量脚本会收到有关疾病或怀孕的文章的网址。这可能泄露消费者的健康数据。

经同意出售敏感数据

网站请求同意，以便把精确地理位置提供给合作伙伴。在马里兰州，这种出售即使取得同意也是被禁止的。

忽略年龄信号

网站有面向青少年的内容，却向所有人展示定向广告。“应当知道”的标准可能对其不利。

GPC 只在加利福尼亚州生效

CMP 只对加利福尼亚州应用 GPC，而忽略了马里兰州访客的信号。

GPP 里只有州分段

CMP 只发送马里兰州部分，而 Google 不会读取它。没有 US National，选择退出就无法传达给 Google。

在 ConsentMode 中

审核会针对马里兰州检查什么

  • 以美国访问者的身份打开网站，在页脚、菜单和隐私提示中查找退出链接。
  • 在审核浏览器中开启 GPC 信号，并比较有信号和无信号时的页面和广告请求。
  • 读取 GPP 字符串，检查是否存在 US National 分段，并记录退出请求。
  • 列出在健康和财经等敏感主题页面上加载的脚本和合作伙伴，并显示发送给它们的内容。
  • 检查隐私页面是否包含数据类别、目的、第三方类型、权利、申诉、撤回同意和联系方式。
开始审核查看所有检查项

常见问题

为什么马里兰州被称为最严格的法律？

因为除了选择退出，它还把收集限制在所要求的服务所必需的范围内，禁止出售敏感数据（即使取得同意），并在企业知道或应当知道年龄时，禁止向 18 岁以下人群投放定向广告。

我在马里兰州还能继续使用个性化广告吗？

法律不禁止面向成年人的定向广告。访客可以拒绝，包括通过 GPC，并且收集必须遵守最小化。对于 18 岁以下的人，如果企业知道或应当知道其年龄，则禁止定向广告。

我必须尊重 GPC 吗？

是的，如果该法律适用于您的网站。自 2025 年 10 月 1 日起，通过偏好信号发送的选择退出必须被接受。

执法究竟是什么时候真正开始的？

该法律自 2025 年 10 月 1 日起生效，但不涵盖 2026 年 4 月 1 日之前的处理活动。到 2027 年 4 月 1 日之前，该处仍可以在愿意时提供整改期。

我的协会是非营利性的。我就不适用吗？

不一定。马里兰州只豁免那些处理数据仅用于协助警方处理保险欺诈，或协助救援人员应对灾难的非营利实体。

ConsentMode 能让我的网站合规吗？

ConsentMode 既不是 CMP，也不是律师事务所。审核会显示网站对选择退出、GPC、GPP、第三方脚本和隐私页面实际做了什么，以便您与供应商和律师一起修复。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

查看您的网站在马里兰州向合作伙伴提供了什么

审核会以美国访问者的身份、在有和没有 GPC 的情况下打开网站，并告诉你要修正什么，不会改动任何内容。

开始审核