Si la vostra empresa ha llogat mai una llista de correu electrònic, ha venut anàlisis agregades de clients a un soci de màrqueting, o ha gestionat un programa de fidelització que comparteix dades de compres amb una cadena minorista, potser ja sou un "corredor de dades" segons la llei de Vermont — i des d'aquest estiu, aquesta etiqueta s'ha tornat molt més cara d'aconseguir.
El 16 de juny de 2026, el Governador Phil Scott va signar la llei H.211 (ara Act 138), una reforma integral de la llei de registre de corredors de dades de Vermont — la primera del seu tipus al país quan es va aprovar originalment el 2018. Les esmenes no entren en vigor fins l'1 de gener de 2027, però el període de compliment és més curt del que sembla un cop s'entén com són de més àmplies les noves definicions. Moltes petites empreses que mai es van considerar "corredores de dades" estan a punt de descobrir que no és així.
Què és realment la Llei de Corredors de Dades de Vermont
Vermont va ser el primer estat a exigir que les empreses que comercien amb dades de consumidors es registrin davant el govern, molt abans que Califòrnia, Texas, Oregon i un grapat d'altres estats seguissin amb les seves pròpies versions. La idea central sempre ha estat simple: si recolliu i després veneu o llicencieu informació personal sobre persones amb les quals no teniu cap relació directa, l'estat vol saber qui sou, què veneu i quants intercanvis de dades es fan.
Des de 2018, això ha significat un registre anual davant el Secretari d'Estat de Vermont, una taxa de 100 $ i alguns requisits de divulgació bàsics. Durant gairebé vuit anys, aquest registre ha estat principalment un afegit de compliment per al grapat d'empreses prou grans com per encaixar clarament a l'etiqueta de "corredor de dades" — penseu en empreses de verificació d'antecedents, agregadors de dades de màrqueting i llocs de recerca de persones.
La llei H.211 canvia aquest càlcul per a un conjunt molt més ampli d'empreses.
Què va canviar realment
La definició de "relació directa" es va fer més restrictiva — i això és el que agafa desprevinguts a molts. Segons la llei anterior, simplement recollir informació directament d'un consumidor era generalment suficient per establir una "relació directa" i quedar fora de la definició de corredor de dades. La llei esmenada exigeix que el consumidor interactuï intencionadament amb la vostra empresa. Aquesta distinció atrau específicament empreses que operen darrere de les escenes d'una transacció — processadors de pagament, proveïdors de programes de fidelització i proveïdors de plataformes de marca blanca són exemples esmentats als comentaris legislatius. Si la relació del consumidor és realment amb el minorista, restaurant o aplicació que creu que està utilitzant — i la vostra empresa és la infraestructura que captura silenciosament les seves dades en segon pla — és possible que ja no compliu amb l'excepció de relació directa, fins i tot si tècnicament vau recollir les dades vosaltres mateixos.
La "informació personal intermediada" també es va fer molt més àmplia. La llei anterior enumerava categories específiques de dades que es consideraven. La nova llei substitueix aquesta llista per un estàndard general: qualsevol informació que estigui vinculada o raonablement vinculable a un individu identificat o identificable — o a un dispositiu domèstic — incloent dades derivades i identificadors únics. Això és una alineació deliberada amb el tipus de definicions àmplies utilitzades a lleis integrals de privadesa estatal, i inclou coses com identificadors de dispositius, perfils de comportament i atributs inferits que la llista enumerada original no cobria clarament.
Entren en vigor noves obligacions de diligència deguda abans de poder vendre o llicenciar dades. Els corredors de dades ara han d'identificar qui rep la informació personal intermediada, entendre què pretén fer amb ella i obtenir una certificació que no l'utilitzarà per a res més. Si un corredor té motius raonables per creure que les dades seran mal utilitzades — o utilitzades il·legalment — està obligat a rebutjar la transacció. Això és una obligació operativa real, no només un exercici de tràmits: significa un procés documentat de recepció i verificació per a cada soci d'intercanvi de dades, no una presentació de registre única.
Una exempció útil: l'excepció d'afiliats. Compartir dades amb afiliats corporatius ara està explícitament exclòs de la definició de "venda", cosa que posa Vermont en línia amb com Texas tracta l'intercanvi de dades intraempresa. Si el moviment de dades es limita a entitats sota propietat comuna, és probable que aquesta esmena us mantingui fora de l'abast per a aquesta activitat específica — tot i que val la pena confirmar que la vostra estructura corporativa realment compleix els requisits abans de confiar-hi.
La Part Econòmica es va Posar Seriosa
L'estructura de taxes i sancions és on la llei H.211 deixa de ser una molèstia de compliment i es converteix en una partida pressupostària real:
| Requisit | Anterior | Nou |
|---|---|---|
| Taxa de registre anual | 100 $ | 900 $ |
| Bo de fiança | No especificat | 20.000 $ |
| Incompliment de registre | — | 200 $/dia |
| Registre incomplet (després de 30 dies) | — | 1.000 $/dia |
| Informació materialment incorrecta | — | 25.000 /dia després de la data límit de correcció |
Una taxa anual de 900 no són el tipus de xifres que una petita empresa absorbeix sense notar-ho. I l'estructura de sancions diàries significa que un error de registre que no es corregeixi no es quedi simplement allà — s'acumula, de la mateixa manera que un deute fiscal no pagat acumula interessos, durant tot el temps que no es resolgui.
El Secretari d'Estat de Vermont també té l'obligació d'estudiar la viabilitat d'una plataforma centralitzada de sol·licituds de supressió de dades dels consumidors, amb un informe previst per al desembre de 2028 — un senyal que molt probablement aquesta és la primera de diverses rondes d'enduriment, no l'última.
Qui Hauria d'Estar Realment Preocupat
Les grans empreses de recerca de persones i de dades de màrqueting ja saben que són corredores de dades. Les empreses que haurien de prestar més atenció són aquelles que mai van pensar que l'etiqueta els apliqués:
- Empreses de comerç electrònic i subscripcions que comparteixen l'historial de compres dels clients o dades d'interacció amb una xarxa publicitària, plataforma d'influencers o soci de co-màrqueting a canvi de diners o dades recíproques.
- Plataformes SaaS i desenvolupadors d'aplicacions que monitizen dades d'ús agregades o "anonimitzades" — recordeu, el nou estàndard cobreix qualsevol cosa "raonablement vinculable" a una persona o dispositiu domèstic, que és un llindar molt més baix del que la majoria d'equips d'enginyeria assumeixen quan anomenen les dades "anonimitzades".
- Operadors de programes de fidelització i facilitadors de pagament que es troben entre el consumidor i el minorista amb qui creuen que estan tractant — exactament l'escenari que la definició restringida de "relació directa" pretén atacar.
- Venedors afiliats i empreses de generació de leads el model complet de les quals és capturar informació d'un consumidor i vendre o llicenciar l'accés a ella a altres empreses.
- Programes de referència i recompenses que comparteixen dades dels membres amb socis minoristes o d'hostaleria com a part d'un acord de promoció creuada.
Cap d'aquestes empreses es descriuria a si mateixa com un "corredor de dades" en una conversa informal. Sota la llei esmenada de Vermont, diverses d'elles podrien ser-ho legalment de totes maneres — i la ignorància de la classificació no fa desaparèixer la sanció de 200 $ al dia.
Què Fer Abans de l'1 de Gener de 2027
- Mapegeu cada lloc on les dades dels clients surtin de la vostra empresa. No només vendes de dades evidents — integracions de proveïdors, arranjaments de co-màrqueting, píxels de xarxes publicitàries i associacions d'"intercanvi de dades" que no impliquin intercanvi de diners però sí accés recíproc a informació del consumidor.
- Avalueu cada flux de dades en relació al nou estàndard de "relació directa". Pregunteu-vos honestament: el consumidor va interactuar intencionadament amb la vostra empresa, o sou la infraestructura darrere de l'aparador d'una altra persona?
- Comproveu si l'excepció d'afiliats cobreix realment la vostra estructura. Només s'aplica a dades compartides dins d'una autèntica relació d'afiliat corporatiu — no a socis independents amb qui treballeu regularment.
- Creeu un procés de diligència deguda per als receptors de dades, incloent una manera de documentar què us van dir que s'utilitzarien les dades, abans que el termini de gener de 2027 converteixi això en un requisit legal en lloc d'una millor pràctica.
- Pressuposteu la nova estructura de taxes des d'ara. Una taxa de registre anual de 900 són costos reals que pertanyen al pressupost operatiu de l'any vinent, no una sorpresa que descobriu quan un termini de compliment ja us trepitja els talons.
Per Què Això Pertany als Vostres Llibres, No Només als Arxius Legals
Costos de compliment com aquests tenen tendència a perdre's entre departaments — el departament legal gestiona el registre, però finances acaba absorbint la taxa, la prima del bo i qualsevol exposició a sancions sense una partida clara que ho faci un seguiment. Tractar la taxa de registre de Vermont, el cost del bo de fiança i qualsevol possible exposició a sancions diàries com a comptes propis amb seguiment — en lloc d'enterrar-los en un calaix de sastre genèric de "despeses legals i professionals" — fa molt més fàcil veure el cost real d'un error de compliment i pressupostar-hi amb precisió any rere any. Si la vostra empresa acaba registrant-se com a corredor de dades, aquesta taxa de 900 $ i la prima del bo són costos recurrents que val la pena seguir amb la mateixa disciplina que aplicaria a una subscripció de programari o una prima d'assegurança — no tractats com una presentació única que oblideu fins al proper gener.
Mantingueu els Vostres Costos de Compliment Visibles
A mesura que noves lleis estatals com la H.211 de Vermont converteixin associacions ordinàries d'intercanvi de dades en activitats regulades, uns registres financers clars fan molt més fàcil fer un seguiment dels costos de compliment, l'exposició a sancions i les obligacions dels proveïdors sense perdre de vista el que realment us estan costant. Beancount.io ofereix comptabilitat en text pla que és transparent, amb control de versions i fàcil d'auditar — sense caixes negres, sense dependències de proveïdor. Comença gratuïtament i descobreix per què els desenvolupadors i els propietaris d'empreses amb coneixements financers estan canviant a la comptabilitat en text pla.