Если ваш бизнес когда-либо сдавал в аренду список адресов электронной почты, продавал агрегированную аналитику клиентов маркетинговому партнеру или запускал программу лояльности, которая передает данные о покупках розничной сети, возможно, вы уже являетесь «брокером данных» по закону Вермонта — и этим летом этот статус стал обходиться значительно дороже.
16 июня 2026 года губернатор Фил Скотт подписал H.211 (ныне Act 138), комплексную реформу закона Вермонта о регистрации брокеров данных — первого в стране закона такого рода, принятого в 2018 году. Поправки вступают в силу только 1 января 2027 года, но время на подготовку к соблюдению требований короче, чем кажется, если понять, насколько расширились новые определения. Многие малые предприятия, которые никогда не считали себя «брокерами данных», скоро узнают, что это не так.
Что на самом деле представляет собой закон Вермонта о брокерах данных
Вермонт стал первым штатом, который обязал компании, торгующие потребительскими данными, регистрироваться в правительстве, задолго до того, как Калифорния, Техас, Орегон и ряд других штатов приняли собственные версии. Основная идея всегда была проста: если вы целенаправленно собираете, а затем продаете или передаете по лицензии личную информацию о людях, с которыми у вас нет прямых отношений, штат хочет знать, кто вы, что продаете и какой объем данных передается.
С 2018 года это означало ежегодную регистрацию в Государственном секретаре Вермонта, уплату сбора в размере 100 долларов и выполнение основных требований по раскрытию информации. В течение почти восьми лет эта регистрация была в основном формальностью для соблюдения требований для горстки компаний, достаточно крупных, чтобы четко соответствовать ярлыку «брокер данных» — подумайте о фирмах, проверяющих биографию, агрегаторах маркетинговых данных и сайтах поиска людей.
H.211 меняет это положение для гораздо более широкого круга предприятий.
Что на самом деле изменилось
Определение «прямых отношений» стало уже — и именно это застает людей врасплох. В соответствии со старым законом сам по себе сбор информации непосредственно от потребителя, как правило, был достаточным для установления «прямых отношений» и позволял оставаться вне определения брокера данных. Измененный закон требует, чтобы потребитель намеренно взаимодействовал с вашим бизнесом. Это различие специально включает предприятия, работающие «за кулисами» транзакции — в комментариях к закону указаны платежные процессоры, поставщики программ лояльности и поставщики услуг под белыми этикетками. Если отношения потребителя на самом деле складываются с розничным продавцом, рестораном или приложением, которое, как им кажется, они используют, а ваш бизнес является инфраструктурой, незаметно собирающей их данные в фоновом режиме, вы больше не можете претендовать на исключение по «прямым отношениям» только потому, что технически собрали данные сами.
«Брокерская личная информация» также стала значительно шире. Старый закон перечислял конкретные категории данных, которые учитывались. Новый закон заменяет этот перечень общим стандартом: любая информация, связанная или разумно связуемая с идентифицированным или идентифицируемым лицом — или с бытовым устройством, — включая производные данные и уникальные идентификаторы. Это намеренное сближение с широкими определениями, используемыми в комплексных законах о конфиденциальности штатов, и оно охватывает такие вещи, как идентификаторы устройств, поведенческие профили и выведенные характеристики, которые первоначальный перечень четко не охватывал.
Вступают в силу новые обязательства по должной осмотрительности перед продажей или передачей данных по лицензии. Брокеры данных теперь обязаны идентифицировать получателей брокерской личной информации, понимать, что они намерены с ней делать, и получать заверение, что они не будут использовать ее для других целей. Если у брокера есть разумные основания полагать, что данные будут использоваться ненадлежащим образом или незаконно, он обязан отказаться от сделки. Это реальное операционное обязательство, а не просто формальность: оно подразумевает документированный процесс приема и проверки для каждого партнера по обмену данными, а не разовую подачу регистрационной формы.
Одно полезное исключение: исключение для аффилированных лиц. Обмен данными с корпоративными аффилированными лицами теперь явно исключен из определения «продажи», что приводит Вермонт в соответствие с тем, как Техас рассматривает внутрикорпоративный обмен данными. Если ваши перемещения данных ограничены организациями, находящимися в общей собственности, эта поправка, вероятно, выводит вас из-под действия закона для этой конкретной деятельности — хотя стоит подтвердить, что ваша корпоративная структура действительно соответствует требованиям, прежде чем полагаться на нее.
Финансовая сторона стала серьезной
Структура сборов и штрафов — это то, где H.211 перестает быть раздражающим фактором соблюдения требований и превращается в реальную статью бюджета:
| Требование | Старое | Новое |
|---|---|---|
| Ежегодный регистрационный сбор | $100 | $900 |
| Обеспечительный залог | Не указан | $20,000 |
| Несоблюдение регистрации | — | $200/день |
| Неполная регистрация (после 30 дней) | — | $1,000/день |
| Существенно неверная информация | — | $25,000 единовременно, плюс $1,000/день после истечения срока исправления |
Ежегодный сбор в размере 900 долларов и обеспечительный залог в 20 000 долларов — это не те суммы, которые малый бизнес может не заметить. А структура ежедневных штрафов означает, что ошибка в регистрации, оставленная неисправленной, не остается незамеченной — она накапливается, как и проценты по неоплаченному налоговому обязательству, до тех пор, пока ее не устранят.
Государственный секретарь Вермонта также обязан изучить возможность создания централизованной платформы для запросов потребителей на удаление данных, с отчетом, который должен быть представлен к декабрю 2028 года — сигнал о том, что это, скорее всего, первый из нескольких раундов ужесточения, а не последний.
Кому на самом деле стоит беспокоиться
Крупные компании по поиску людей и маркетинговым данным уже знают, что они являются брокерами данных. Предприятия, которым следует обратить более пристальное внимание, — это те, кто никогда не считал, что этот ярлык к ним относится:
- Предприятия электронной коммерции и подписки, которые передают историю покупок клиентов или данные об их вовлеченности рекламной сети, платформе влияния или партнеру по совместному маркетингу в обмен на деньги или взаимный доступ к данным.
- SaaS-платформы и разработчики приложений, которые монетизируют агрегированные или «анонимизированные» данные об использовании — помните, новый стандарт охватывает все, что «разумно связуемо» с человеком или бытовым устройством, что является гораздо более низкой планкой, чем предполагает большинство инженерных команд, называя данные «анонимизированными».
- Операторы программ лояльности и платежные операторы, которые находятся между потребителем и розничным продавцом, с которым, как им кажется, они имеют дело — именно та ситуация, на которую нацелено суженное определение «прямых отношений».
- Партнеры по аффилированному маркетингу и компании по генерации лидов, чья бизнес-модель целиком основана на сборе информации о потребителе и продаже или передаче по лицензии доступа к ней другим компаниям.
- Реферальные программы и программы вознаграждений, которые передают данные участников розничным или гостиничным партнерам в рамках перекрестных рекламных сделок.
Ни один из этих бизнесов не назвал бы себя «брокером данных» в обычном разговоре. В соответствии с измененным законом Вермонта, некоторые из них могут юридически считаться таковыми в любом случае — и незнание этой классификации не отменяет штрафа в 200 долларов в день.
Что нужно сделать до 1 января 2027 года
- Составьте карту всех мест, где данные клиентов покидают ваш бизнес. Не только очевидные продажи данных — интеграции с вендорами, соглашения о совместном маркетинге, пиксели рекламных сетей и партнерства по «обмену данными», которые не предполагают обмена деньгами, но подразумевают взаимный доступ к потребительской информации.
- Проверьте каждый поток данных на соответствие новому стандарту «прямых отношений». Спросите себя честно: потребитель намеренно взаимодействовал с вашим бизнесом, или вы являетесь инфраструктурой за витриной кого-то другого?
- Проверьте, действительно ли исключение для аффилированных лиц распространяется на вашу структуру. Оно применяется только к данным, передаваемым в рамках подлинных корпоративных аффилированных отношений, а не к независимым партнерам, с которыми вы регулярно работаете.
- Создайте процесс должной осмотрительности для получателей данных, включая способ документирования того, для чего они, по их словам, будут использовать данные, до того, как крайний срок в январе 2027 года превратит это из передовой практики в юридическое требование.
- Заложите в бюджет новую структуру сборов уже сейчас. Ежегодный регистрационный сбор в размере 900 долларов и обеспечительный залог в 20 000 долларов — это реальные затраты, которые должны быть включены в операционный бюджет следующего года, а не сюрприз, который вы обнаружите, когда срок соблюдения требований уже наступит.
Почему это должно быть в ваших бухгалтерских книгах, а не только в юридических файлах
Затраты на соблюдение требований, подобные этим, имеют свойство теряться между отделами — юридический отдел отвечает за регистрацию, но финансовый отдел в конечном итоге поглощает сбор, премию по залогу и любые потенциальные штрафы без четкой статьи для их отслеживания. Отношение к регистрационному сбору штата Вермонт, стоимости обеспечительного залога и любому потенциальному риску ежедневных штрафов как к отдельным отслеживаемым счетам, а не их захоронение в общем разделе «юридические и профессиональные услуги», значительно облегчает понимание реальной стоимости ошибки в соблюдении требований и точное бюджетирование этих расходов из года в год. Если ваш бизнес в конечном итоге зарегистрируется как брокер данных, этот сбор в 900 долларов и премия по залогу станут повторяющимися расходами, которые стоит отслеживать с той же дисциплиной, которую вы применяете к подписке на программное обеспечение или страховому взносу, а не относиться к ним как к разовому заявлению, о котором вы забываете до следующего января.
Сделайте свои затраты на соблюдение требований видимыми
Поскольку новые законы штатов, такие как H.211 в Вермонте, превращают обычные партнерства по обмену данными в регулируемую деятельность, четкие финансовые записи значительно облегчают отслеживание затрат на соблюдение требований, риска штрафов и обязательств перед вендорами, не упуская из виду, во что они вам на самом деле обходятся. Beancount.io предлагает учет в виде открытого текста, который является прозрачным, версионным и легким для аудита — никаких черных ящиков, никакой привязки к вендору. Начните бесплатно и узнайте, почему разработчики и финансово-подкованные владельцы бизнеса переходят на учет в виде открытого текста.