Voldoen aan de Maryland Online Data Privacy Act (MODPA)

Wat is de MODPA?

De Maryland Online Data Privacy Act (MODPA) is de uitgebreide consumentenprivacywet van Maryland. De wet geeft inwoners van Maryland rechten over hun persoonsgegevens en stelt regels voor de bedrijven die die gegevens verzamelen en gebruiken. De MODPA volgt het algemene model van andere Amerikaanse privacywetten op staatsniveau, maar geldt algemeen als een van de strengste, vooral vanwege de regels voor dataminimalisatie en de beperkingen op gevoelige gegevens.

Onder de MODPA hebben inwoners van Maryland het recht om:

• Te laten bevestigen of een bedrijf hun persoonsgegevens verwerkt, en die gegevens in te zien
• Onjuiste persoonsgegevens te laten corrigeren
• Persoonsgegevens te laten verwijderen
• Een overdraagbare kopie van hun persoonsgegevens te krijgen
• Een lijst te krijgen van de categorieën derden aan wie hun gegevens zijn verstrekt
• Zich af te melden voor gerichte advertenties, de verkoop van hun persoonsgegevens en bepaalde vormen van profilering

De wet stelt op een aantal punten ook strengere regels dan de meeste staten. Een bedrijf moet de persoonsgegevens die het verzamelt beperken tot wat redelijkerwijs nodig en evenredig is om het product of de dienst te leveren waar de consument om heeft gevraagd. Gevoelige gegevens, zoals gezondheidsgegevens, precieze locatiegegevens, biometrische gegevens of gegevens waaruit ras of etnische afkomst blijkt, mogen alleen worden verzameld of verwerkt als dat strikt noodzakelijk is voor het gevraagde product of de gevraagde dienst, en de verkoop van gevoelige gegevens is volledig verboden. Bedrijven mogen geen persoonsgegevens verkopen of gebruiken voor gerichte advertenties als ze weten, of hadden moeten weten, dat de consument jonger is dan 18.

Wat gebeurt er als ik me niet aan de MODPA houd?

Een overtreding van de MODPA geldt als een oneerlijke, misbruikende of misleidende handelspraktijk onder de Maryland Consumer Protection Act. De belangrijkste punten over de handhaving:

• De Attorney General van Maryland handhaaft de wet via de Consumer Protection Division.
• Civiele boetes onder de Consumer Protection Act kunnen oplopen tot $10.000 per overtreding, en tot $25.000 voor elke herhaalde overtreding.
• De MODPA geeft consumenten geen individueel vorderingsrecht om op grond van de wet zelf te procederen.
• Voor overtredingen die op of vóór 1 april 2027 plaatsvinden, kan de Attorney General een kennisgeving van overtreding sturen en ten minste 60 dagen geven om het probleem op te lossen, als hij vindt dat herstel mogelijk is. Dat is een bevoegdheid, geen garantie, en het vervalt na die datum.

Aan de MODPA voldoen

Verkoopt je webwinkel aan inwoners van Maryland en voldoe je aan de drempels hierboven, dan draait het meeste praktische werk om cookies en tracking. Marketingpixels, analysetags en advertentiecookies gelden onder privacywetten van staten vaak als gerichte advertenties of als “verkoop” van persoonsgegevens, dus ze moeten de keuzes van elke bezoeker respecteren.

Praktische stappen voor een Shopify-winkel zijn onder meer:

• Bied een duidelijke opt-out. Geef bezoekers een eenvoudige manier om zich af te melden voor gerichte advertenties en de verkoop van hun persoonsgegevens, zoals een link “Mijn persoonsgegevens niet verkopen of delen”, en zorg dat de tracking stopt zodra ze dat doen.
• Respecteer opt-outvoorkeurssignalen. De MODPA erkent opt-outvoorkeurssignalen die een browser of apparaat verstuurt, zoals Global Privacy Control (GPC). Een GPC-signaal behandelen als een geldige opt-out is de veiligste aanpak voor bezoekers uit Maryland.
• Verzamel minder gegevens. Controleer je apps, pixels en formulieren, en verwijder alles wat persoonsgegevens verzamelt die je niet nodig hebt om bestellingen af te handelen of de dienst te leveren waar je klanten om hebben gevraagd.
• Wees voorzichtig met gevoelige gegevens. Verkoop geen gevoelige gegevens en verzamel ze alleen als dat strikt noodzakelijk is. Vermijd gerichte advertenties voor bezoekers van wie je weet of zou moeten weten dat ze jonger zijn dan 18.
• Werk je privacyverklaring bij. Leg uit welke persoonsgegevens je verzamelt, waarom, welke categorieën derden ze ontvangen en hoe consumenten hun rechten kunnen uitoefenen.
• Handel verzoeken van consumenten af. Zorg voor een betrouwbare manier waarop klanten inzage, correctie, verwijdering of een kopie van hun gegevens kunnen aanvragen, en reageer binnen de vereiste termijn.

Met een consent management platform zijn deze stappen veel makkelijker bij te houden. Pandectes GDPR Compliance is gemaakt voor Shopify-winkels en biedt een cookiebanner met opt-outopties voor Amerikaanse staten, een link “Mijn persoonsgegevens niet verkopen of delen” en ondersteuning voor het Global Privacy Control-signaal. De app scant en classificeert automatisch de cookies in je winkel, maakt een cookieverklaring, bewaart toestemmingslogs en helpt je verzoeken van betrokkenen af te handelen. Regiospecifieke bannerinstellingen gebruiken geolocatie om bezoekers uit Maryland en andere staten de juiste ervaring te tonen.

Privacywetten verschillen in de details en blijven veranderen, dus laat je opzet waar nodig door een jurist beoordelen.