全美最严数据最小化规则正式生效：马里兰州 MODPA 重塑在美中资企业合规底线
导语：2025 年 10 月 1 日，《马里兰州在线数据隐私法》(Maryland Online Data Privacy Act，简称 MODPA，Md. Code Ann., Com. Law §§ 14‑4601 至 14‑4615) 正式生效。该法被业界普遍认为是目前全美第十九部综合性州级隐私法中最严苛的一部 —— 它不仅引入了与欧盟 GDPR "目的限定" 类似的严格数据最小化 (strict data minimization) 标准，还对敏感数据销售施加近乎全面禁令，并对未成年人画像、地理围栏、消费者健康数据等高风险场景做出超越 CCPA/CPRA 的特殊限制。对于在美设立分支机构、向美国市场提供商品或服务的中资企业而言，MODPA 不能被简单纳入"多州统一隐私合规"框架，而需要单独的合规评估与流程改造。
法规背景
MODPA 由马里兰州众议院第 567 号法案 (HB 567) 和参议院第 541 号法案 (SB 541) 共同立法，经州长 Wes Moore 于 2024 年 5 月 9 日签署，自 2025 年 10 月 1 日起生效，执法宽限期至 2026 年 4 月 1 日结束；对于 2025 年 10 月 1 日之前已存在的处理活动，法规给予额外的合规过渡期至 2026 年 10 月 1 日。法律执行由马里兰州总检察长 (Maryland Office of the Attorney General) 消费者保护司 (Consumer Protection Division) 负责，通过既有的《马里兰州消费者保护法》(Md. Code Ann., Com. Law § 13‑301 et seq.) 实施，违法行为可被视为不公平、欺骗或滥用行为 (UDAAP)。MODPA 不设私人诉权 (no private right of action)，但仍可触发集体诉讼律师以其他理论 (如普通法侵权、消费欺诈) 提起的并行诉讼。
适用门槛与核心定义
MODPA 适用于在马里兰州开展业务、向马里兰居民提供产品或服务，且在上一个日历年内符合以下任一标准的实体：(一) 控制或处理 35,000 名以上马里兰居民个人数据的；(二) 控制或处理 10,000 名以上马里兰居民个人数据，且年收入中超过 20%来源于个人数据销售的。门槛显著低于 CCPA 的 100,000 消费者基准，意味着许多中型中资企业 —— 例如电商、SaaS、在线教育、跨境物流平台 —— 都将首次落入州级隐私法管辖范围。
"敏感数据" (sensitive data) 在 MODPA 第 14‑4601(z) 条下被定义为种族、宗教、性取向、国籍、移民身份、公民身份、健康精神/生理状况、生物识别数据、儿童 (under 18) 数据、精确地理位置 (1,750 英尺范围内)、消费者健康数据，以及反映其他敏感属性的"消费者健康数据"。
核心义务
第一，严格数据最小化 (Strict Data Minimization)。MODPA 第 14‑4607(a)(1) 条规定，控制者 (controller) 收集个人数据应限于为消费者请求或要求的产品/服务所"合理必要且相称" (reasonably necessary and proportionate) 的范围 —— 这一标准远比 CCPA 与 Virginia VCDPA 的"相关性" (relevant) 标准严格，实际上要求企业先定义具体业务目的，再按目的最小化收集，而不能依赖宽泛的"商业目的"或"披露"绕过限制。
第二，敏感数据销售近乎全面禁令。MODPA 第 14‑4607(a)(4) 条直接禁止控制者销售敏感数据，无论是否获得消费者同意 —— 这与其他州法允许"经同意销售"的做法形成鲜明对比。"销售"包括金钱及非金钱对价的交换。
第三，儿童与未成年人特殊保护。第 14‑4607(a)(2) 条规定，对于已知 (actual knowledge) 或基于合理可信渠道认知 (willfully disregards) 的 13 至 17 岁未成年人，禁止为定向广告或销售目的处理其个人数据，并禁止进行有显著危害风险的画像分析。这一规定远超 COPPA 的 13 岁以下范围，并比加州 SB 976、CT SB 3 等更广泛。
第四，地理围栏限制。第 14‑4607(a)(6) 条禁止使用精确地理位置数据 (1,750 英尺以内) 对消费者寻求、获取医疗、心理健康、生殖或性健康服务的设施进行围栏 (geofencing)。
第五，消费者权利。MODPA 赋予消费者七项权利：知情、访问、更正、删除、可携带、撤回同意，以及反对自动化决策处理。控制者须在 45 天内响应，可一次性延长 45 天。
第六，数据保护影响评估 (Data Protection Assessment)。第 14‑4609 条要求控制者对高风险处理活动 (包括定向广告、销售、敏感数据处理、画像) 进行书面 DPIA，并应总检察长合理要求提交。
对中资企业的合规要点
第一，门槛重评 + 数据映射。立即按照 35,000 / 10,000 + 20% 双重门槛重新评估马里兰州居民数据规模。许多中资跨境电商、SaaS 与教育科技企业以往依据 CCPA 100,000 阈值豁免合规，在 MODPA 下需重新建立数据清单 (data inventory)、识别敏感数据流向，并标识销售/分享行为。
第二，改造同意架构。由于 MODPA 完全禁止敏感数据销售，过去依赖"opt‑in 销售敏感数据"模式向广告交易所、数据经纪商、AdTech SDK 推送的数据流必须重新设计。建议绘制 SDK/Pixel/Cookie 数据流图，识别构成"销售"或"定向广告"的传输，并通过合同将"敏感数据"项剔除。
第三，未成年人画像与定向广告全面下线。服务对象涵盖 13–17 岁青少年的中资 App (短视频、电商、教育、社交) 应在马里兰州区域内默认关闭定向广告与画像分析，并部署可靠的年龄识别 (age estimation/assurance) 技术。
第四，DPIA 模板与执法配合。建立涵盖处理目的、数据类别、合法性基础、风险与缓解措施的标准化 DPIA 模板，并保留至少三年备查。马里兰州 AG 要求"合理时间内"提交，实务中通常为 30 天。
第五，跨州合规协调。由于 MODPA 比 CCPA/VCDPA/CTDPA 更严，建议中资企业采用"最严标准" (highest common denominator) 策略，将 MODPA 的数据最小化与敏感数据禁售要求作为全美默认合规基线，而非仅针对马里兰州做地域化部署 —— 后者在 SDK、CDN、第三方处理器层面成本反而更高。
格知律所如何协助
格知律师事务所长期为中资企业在美数据合规事务提供端到端支持，可针对 MODPA 的特殊性提供以下专项服务：(一) MODPA 适用性评估与跨州隐私合规差距分析，出具书面 Gap Assessment；(二) 数据流图绘制 (data mapping) 与 SDK/像素第三方传输审计，识别构成"销售"或"敏感数据销售"的隐性流向并予以阻断；(三) 数据保护影响评估 (DPIA) 模板定制与合规留痕方案；(四) 隐私政策、Cookie Banner、未成年人 UX 流程的中英文双语改写；(五) 与第三方处理器、广告平台的 DPA / 数据处理附录 (Data Processing Addendum) 重新谈判与签署；(六) 在马里兰州 AG 调查或消费者保护诉讼中提供应诉与和解谈判支持。我所芝加哥总部及华盛顿特区办公室具备同时处理多州隐私监管协调案件的经验，熟悉中资企业组织架构与中美数据传输路径，可在 PIPL、CAC 跨境出境与美国州法之间实现合规架构对齐。
结语 / Outlook
MODPA 的生效标志着美国州级隐私立法从"披露 + opt‑out"走向"实质性限制"的关键拐点 —— 这一立法风格已被新泽西、明尼苏达、特拉华、宾州等州的最新法案所借鉴，预计将在 2026 年继续向更多州扩散。对中资企业而言，以 MODPA 作为合规标尺，既能应对马里兰州自 2026 年 4 月 1 日起的正式执法窗口，又能为下一波"严格型"州法做好结构性准备。建议将 MODPA 合规改造的预算与时间表纳入 2026 年第二季度 IT、产品与法务联合工作计划，避免在执法窗口期开启后被动整改。