Se la tua azienda ha mai affittato una lista di email, venduto analisi aggregate sui clienti a un partner di marketing o gestito un programma fedeltà che condivide i dati di acquisto con una catena di vendita al dettaglio, potresti già essere un "data broker" ai sensi della legge del Vermont — e da questa estate, quell'etichetta è diventata molto più costosa da guadagnare.
Il 16 giugno 2026, il governatore Phil Scott ha firmato la H.211 (ora Act 138), una riforma completa della legge del Vermont sulla registrazione dei data broker — la prima nel suo genere nel paese quando fu originariamente approvata nel 2018. Le modifiche non entrano in vigore fino al 1° gennaio 2027, ma il tempo per adeguarsi è più breve di quanto sembri una volta che si capisce quanto più ampie siano le nuove definizioni. Molte piccole imprese che non si sono mai considerate "data broker" stanno per scoprire di esserlo.
Cosa è in realtà la legge sul data broker del Vermont
Il Vermont è stato il primo stato a richiedere alle aziende che commerciano in dati dei consumatori di registrarsi presso il governo, molto prima che California, Texas, Oregon e alcuni altri stati seguissero con le proprie versioni. L'idea centrale è sempre stata semplice: se raccogli consapevolmente e poi vendi o concedi in licenza informazioni personali su persone con cui non hai un rapporto diretto, lo stato vuole sapere chi sei, cosa vendi e quanti dati passano di mano.
Dal 2018, questo ha significato una registrazione annuale presso il Segretario di Stato del Vermont, una tassa di 100 dollari e alcuni requisiti informativi di base. Per quasi otto anni, questa registrazione è stata per lo più un pensiero di conformità per le poche aziende abbastanza grandi da rientrare chiaramente nell'etichetta di "data broker" — si pensi a società di controllo dei precedenti, aggregatori di dati di marketing e siti di ricerca di persone.
La H.211 cambia questa situazione per un insieme molto più ampio di aziende.
Cosa è cambiato davvero
La definizione di "rapporto diretto" è diventata più restrittiva — ed è questa la parte che coglie di sorpresa molti. Secondo la vecchia legge, semplicemente raccogliere informazioni direttamente da un consumatore era generalmente sufficiente per stabilire un "rapporto diretto" e rimanere fuori dalla definizione di data broker. La legge modificata richiede che il consumatore interagisca intenzionalmente con la tua azienda. Questa distinzione include specificamente le aziende che operano dietro le quinte di una transazione — processori di pagamento, fornitori di programmi fedeltà e fornitori di piattaforme white-label sono esempi citati nel commento legislativo. Se il rapporto del consumatore è in realtà con il rivenditore, il ristorante o l'app che pensa di utilizzare — e la tua azienda è l'infrastruttura che cattura silenziosamente i loro dati in background — potresti non qualificarti più per l'esenzione del rapporto diretto solo perché tecnicamente hai raccolto i dati tu stesso.
Anche le "informazioni personali oggetto di intermediazione" sono diventate molto più ampie. La vecchia legge elencava categorie specifiche di dati che contavano. La nuova legge sostituisce quell'elenco con uno standard generale: qualsiasi informazione collegata o ragionevolmente collegabile a un individuo identificato o identificabile — o a un dispositivo domestico — inclusi dati derivati e identificatori univoci. Si tratta di un allineamento deliberato con il tipo di definizioni ampie utilizzate nelle leggi statali complete sulla privacy, e include cose come ID di dispositivo, profili comportamentali e attributi inferiti che l'elenco enumerato originale non raggiungeva chiaramente.
Nuovi obblighi di due diligence entrano in vigore prima di poter vendere o concedere in licenza dati. I data broker ora devono identificare chi riceve le informazioni personali oggetto di intermediazione, capire cosa intendono farne e ottenere una certificazione che non le useranno per altro. Se un broker ha motivi ragionevoli per credere che i dati saranno utilizzati in modo improprio — o illegalmente — è tenuto a rifiutare la transazione. Questo è un vero obbligo operativo, non solo un esercizio di burocrazia: significa un processo documentato di accoglienza e verifica per ogni partner di condivisione dati, non una registrazione una tantum.
Un'esenzione utile: l'eccezione per le affiliate. La condivisione di dati con affiliate aziendali è ora esplicitamente esclusa dalla definizione di "vendita", il che allinea il Vermont a come il Texas tratta la condivisione di dati intra-aziendale. Se il movimento dei tuoi dati è limitato a entità sotto proprietà comune, questa modifica probabilmente ti tiene fuori dall'ambito per quell'attività specifica — anche se vale la pena confermare che la tua struttura aziendale si qualifichi effettivamente prima di fare affidamento su di essa.
La parte economica è diventata seria
La struttura di tasse e sanzioni è dove la H.211 smette di essere un fastidio di conformità e diventa una vera voce di bilancio:
| Requisito | Vecchio | Nuovo |
|---|---|---|
| Tassa di registrazione annuale | 100 dollari | 900 dollari |
| Cauzione | Non specificata | 20.000 dollari |
| Mancata registrazione | — | 200 dollari/giorno |
| Registrazione incompleta (dopo 30 giorni) | — | 1.000 dollari/giorno |
| Informazioni materialmente errate | — | 25.000 dollari fissi, più 1.000 dollari/giorno dopo la scadenza per la correzione |
Una tassa annuale di 900 dollari e una cauzione di 20.000 dollari non sono numeri che una piccola impresa assorbe senza accorgersene. E la struttura delle sanzioni giornaliere significa che un errore di registrazione lasciato non corretto non se ne sta lì in silenzio — si accumula, allo stesso modo in cui una responsabilità fiscale non pagata matura interessi, per tutto il tempo in cui rimane non affrontato.
Il Segretario di Stato del Vermont è inoltre tenuto a studiare la fattibilità di una piattaforma centralizzata per le richieste di cancellazione dei consumatori, con un rapporto previsto per dicembre 2028 — un segnale che questa è molto probabilmente la prima di diversi round di inasprimento, non l'ultimo.
Chi dovrebbe davvero preoccuparsi
Le grandi aziende di ricerca di persone e di dati di marketing sanno già di essere data broker. Le aziende che dovrebbero prestare più attenzione sono quelle che non hanno mai pensato che l'etichetta si applicasse a loro:
- Attività di e-commerce e abbonamento che condividono la cronologia degli acquisti dei clienti o i dati di coinvolgimento con una rete pubblicitaria, una piattaforma di influencer o un partner di co-marketing in cambio di denaro o dati reciproci.
- Piattaforme SaaS e sviluppatori di app che monetizzano dati di utilizzo aggregati o "anonimizzati" — ricorda, il nuovo standard copre tutto ciò che è "ragionevolmente collegabile" a una persona o a un dispositivo domestico, che è un livello molto più basso di quanto la maggior parte dei team tecnici assuma quando chiamano i dati "anonimizzati".
- Operatori di programmi fedeltà e facilitatori di pagamento che si trovano tra un consumatore e il rivenditore con cui pensano di avere a che fare — esattamente lo scenario che la definizione ristretta di "rapporto diretto" prende di mira.
- Operatori di marketing affiliato e aziende di generazione di lead il cui intero modello è catturare le informazioni di un consumatore e venderne o concederne l'accesso ad altre aziende.
- Programmi di referral e premi che condividono i dati dei membri con partner di vendita al dettaglio o di ospitalità come parte di un accordo di promozione incrociata.
Nessuna di queste aziende si descriverebbe come un "data broker" in una conversazione informale. Secondo la legge modificata del Vermont, molte di loro potrebbero esserlo legalmente comunque — e l'ignoranza della classificazione non fa sparire la sanzione di 200 dollari al giorno.
Cosa fare prima del 1° gennaio 2027
- Mappa ogni luogo in cui i dati dei clienti escono dalla tua azienda. Non solo vendite di dati ovvie — integrazioni con fornitori, accordi di co-marketing, pixel di reti pubblicitarie e partnership di "condivisione dati" che non comportano scambio di denaro ma comportano accesso reciproco alle informazioni dei consumatori.
- Testa ogni flusso di dati rispetto al nuovo standard di "rapporto diretto". Chiediti onestamente: il consumatore ha interagito intenzionalmente con la tua azienda, o sei tu l'infrastruttura dietro il negozio di qualcun altro?
- Controlla se l'eccezione per le affiliate copre effettivamente la tua struttura. Si applica solo ai dati condivisi all'interno di un vero rapporto di affiliazione aziendale — non a partner indipendenti con cui lavori regolarmente.
- Costruisci un processo di due diligence per i destinatari dei dati, incluso un modo per documentare cosa ti hanno detto che avrebbero fatto con i dati, prima che la scadenza di gennaio 2027 lo renda un requisito legale piuttosto che una best practice.
- Prevedi nel budget la nuova struttura delle tasse ora. Una tassa di registrazione annuale di 900 dollari e una cauzione di 20.000 dollari sono costi reali che appartengono al bilancio operativo del prossimo anno, non una sorpresa da scoprire quando una scadenza di conformità è già alle porte.
Perché questo appartiene ai tuoi libri contabili, non solo ai tuoi archivi legali
Costi di conformità come questi hanno un modo di perdersi tra i dipartimenti — il legale possiede la registrazione, ma la finanza finisce per assorbire la tassa, il premio della cauzione e qualsiasi esposizione a sanzioni senza una voce chiara che li tracci. Trattare la tassa di registrazione del Vermont, il costo della cauzione e qualsiasi potenziale esposizione alle sanzioni giornaliere come conti monitorati separatamente — piuttosto che seppellirli in un generico "spese legali e professionali" — rende molto più facile vedere il costo reale di un passo falso di conformità e fare un budget accurato anno dopo anno. Se la tua azienda finisce per registrarsi come data broker, quella tassa di 900 dollari e il premio della cauzione sono costi ricorrenti che vale la pena tracciare con la stessa disciplina che applicheresti a un abbonamento software o a un premio assicurativo — non trattarli come un deposito una tantum di cui dimenticarti fino al prossimo gennaio.
Mantieni visibili i tuoi costi di conformità
Man mano che nuove leggi statali come la H.211 del Vermont trasformano le ordinarie partnership di condivisione dati in attività regolamentate, registrazioni finanziarie chiare rendono molto più facile tracciare i costi di conformità, l'esposizione a sanzioni e gli obblighi verso i fornitori senza perdere di vista quanto ti stanno effettivamente costando. Beancount.io offre una contabilità in testo semplice che è trasparente, versionata e facile da revisionare — niente scatole nere, niente vincoli al fornitore. Inizia gratuitamente e scopri perché sviluppatori e imprenditori esperti di finanza stanno passando alla contabilità in testo semplice.