Закон Нью-Джерси о регистрации брокеров данных: от $5 000 до $1,5 миллиона — во что теперь обойдётся малому бизнесу продажа данных клиентов

Если вы когда-либо продавали список клиентов, передавали по лицензии адреса электронной почты маркетинговому партнёру или передавали данные покупателей аналитической фирме, Нью-Джерси только что установил цену на эту сделку — и она начинается с $5 000 в год. Даже если вы работаете всего с несколькими тысячами записей жителей Нью-Джерси.

30 июня 2026 года Нью-Джерси принял закон A5328 (P.L.2026, c.25) — самый дорогой закон о регистрации брокеров данных в стране. В отличие от более старых законов Калифорнии и Вермонта, которые были нацелены на классических сторонних брокеров данных, версия Нью-Джерси охватывает любой бизнес, который продаёт или передаёт по лицензии персональные данные жителей Нью-Джерси — включая розничных продавцов, издателей, приложения и сервисные компании, имеющие прямые отношения с потребителем. Если вы монетизируете данные, собранные вами самостоятельно, теперь вы считаетесь регулируемым «сборщиком данных» в Нью-Джерси и подлежите тем же ежегодным сборам, публичному реестру и запрету на чувствительные данные, что и традиционный брокер.

Вот что изменилось, сколько это будет стоить, кого это касается и как подготовить учёт и операционную деятельность до открытия окна регистрации в середине 2027 года.

Почему этот закон отличается от законов всех других штатов​

Большинство законов штатов о брокерах данных следуют калифорнийской модели: если у вас нет прямых отношений с потребителем и вы продаёте данные, купленные в другом месте, вы регистрируетесь и платите умеренный фиксированный сбор. Калифорния взимает около $6 000 в год. Вермонт, Техас и Коннектикут берут несколько сотен долларов.

Нью-Джерси переписал этот сценарий тремя способами:

1. Он охватывает продавцов первой стороны. «Брокер данных» по-прежнему означает организацию, которая продаёт данные, не собранные ею напрямую у потребителя. Но Нью-Джерси добавил параллельную категорию — «сборщик данных» — для организаций, которые действительно собрали данные напрямую — у своих собственных клиентов, подписчиков или посетителей веб-сайта — а затем продают или передают их по лицензии дальше. Если вы управляете интернет-магазином и продаёте свой файл клиентов в базу данных кооператива, вы — сборщик данных.

2. Сбор привязан к объёму, а не к фиксированной ставке. Сборы варьируются от $5 000 до$1,5 миллиона в год в зависимости от того, со сколькими записями потребителей из Нью-Джерси вы работаете. Фиксированный сбор Калифорнии казался дорогим, пока этот закон не сделал его похожим на регистрационный взнос.

3. Продажа чувствительных данных запрещена полностью. Закон вносит поправки в Закон Нью-Джерси о конфиденциальности данных (NJDPA), запрещая продажу или лицензирование чувствительных данных практически любой организацией — не только брокерами и сборщиками, не только крупными компаниями, и без возможности согласия в качестве лазейки. Этот запрет вступил в силу немедленно, 30 июня.

Закон также был проведён в ускоренном порядке. Внесённый 28 июня, принятый обеими палатами в течение двух дней и подписанный губернатором Мики Шеррил 30 июня, он прошёл путь от идеи до закона быстрее, чем большинство компаний успевают обновить политику конфиденциальности.

Тарифная сетка из 7 уровней, начиная с $5 000​

Подпадающие под действие закона брокеры и сборщики обязаны ежегодно регистрироваться в Отделе по защите прав потребителей Нью-Джерси, который будет вести публичный реестр. Регистрация требует уплаты сбора, указания юридического названия, физического адреса, веб-сайтов, истории деятельности в качестве брокера данных, включая утечки и киберинциденты, а также чётких инструкций о том, как потребители могут отказаться от продажи данных.

Согласно закону и последующим разъяснениям Отдела, ежегодные сборы масштабируются в зависимости от количества потребителей Нью-Джерси, чьи персональные данные вы продаёте или передаёте по лицензии:

• $5 000 за 100 000 или менее потребителей Нью-Джерси
• $10 000–$15 000 за 100 001–500 000 потребителей
• $100 000–$200 000 за 500 001–1 миллион потребителей
• $500 000 за 1–2 миллиона потребителей
• $750 000–$1 миллион за 2–4,5 миллиона потребителей
• $1,5 миллиона за более чем 4,5 миллиона потребителей

Окончательные пороговые значения уровней в сводках юридических фирм описываются с небольшими вариациями, но структура едина: семь уровней, резко прогрессивная шкала, причём два верхних уровня достигают семизначных сумм. Для контекста: население Нью-Джерси составляет около 9,5 миллиона жителей — брокер, работающий с данными половины штата, платит максимальный сбор.

За нерегистрацию или неуплату предусмотрен гражданский штраф в размере $2 500 в день. Учитывая, что реестр, как ожидается, заработает только 27 марта 2027 года (через девять месяцев после принятия закона), а Отдел генерального прокурора в предупреждении от начала августа 2026 года указал, что не будет требовать соблюдения требований о регистрации и уплате сборов до июня 2027 года, у вас есть окно для оценки масштабов обязательств — но не для их игнорирования.

Краткое сравнение расходов​

Нью-Джерси не просто поднял потолок; он создал новый нижний порог, который в 10 раз выше, чем весь сбор большинства штатов.

Кто на самом деле подпадает под действие? Больше предприятий, чем вы думаете​

Вам не нужно считать себя «брокером данных», чтобы попасть под действие закона.

Вы, вероятно, являетесь брокером данных, если: вы покупаете, агрегируете или передаёте по лицензии персональные данные из источников, отличных от прямого взаимодействия с потребителем, а затем продаёте или передаёте эти данные по лицензии. Примеры включают сайты поиска людей, поставщиков скоринговых услуг, операторов маркетинговых кооперативов и перепродавцов лидов.

Вы, вероятно, являетесь сборщиком данных, если: у вас есть прямые отношения с потребителем — он создал аккаунт, купил товар, подписался на рассылку — и вы продаёте или передаёте по лицензии его персональные данные кому-то другому. Примеры, которые затрагивают обычный малый бизнес:

• Бренд электронной коммерции, который монетизирует свой файл клиентов, продавая его в кооператив данных или делясь им с несвязанными рекламодателями за вознаграждение.
• Локальный медиа-сайт или приложение, которое передаёт по лицензии данные подписчиков или посетителей рекламной сети за пределами контекста поставщика услуг.
• Оператор программы лояльности, который продаёт историю покупок сторонней аналитической фирме.
• B2B-сервис, который собирает контактные данные малого бизнеса и передаёт их по лицензии в качестве списка потенциальных клиентов.

Что не влечёт за собой регистрацию? Если вы только используете поставщика услуг или обработчика для обработки данных от вашего имени — например, email-платформу, которая отправляет ваши собственные кампании, или платёжного процессора, который обрабатывает данные транзакций только для завершения продажи — и вы не продаёте и не передаёте по лицензии базовые данные для выгоды самого поставщика, вы не продаёте данные по закону. Использование данных внутри компании для маркетинга собственным клиентам также не является продажей.

Различие, которое имеет значение в ваших книгах: вознаграждение. «Продажа» в Нью-Джерси означает обмен персональными данными на денежное или иное ценное вознаграждение. Если передача данных является частью предоставления согласованной услуги и получатель не может использовать их повторно для своих собственных коммерческих целей, это скорее отношения с поставщиком услуг, чем продажа.

Запрет на чувствительные данные, который распространяется на всех​

Отдельно от регистрации брокеров/сборщиков, Нью-Джерси теперь запрещает продажу или лицензирование чувствительных данных любой организацией, независимо от того, являетесь ли вы брокером, сборщиком или просто малым бизнесом, который когда-то поделился чувствительным списком с партнёром:

• Персональные данные, раскрывающие расовое или этническое происхождение
• Данные о здоровье и генетические данные
• Финансовая информация (сверх той, что необходима для обработки платежа)
• Сексуальная ориентация, трансгендерный/интерсекс-статус и связанные данные
• Гражданство и иммиграционный статус
• Религиозные убеждения
• Биометрические и генетические идентификаторы
• Точные геолокационные данные
• Данные о детях

В отличие от более узкого запрета на геолокацию в Коннектикуте или других штатов, которые разрешают продажу чувствительных данных с согласия, Нью-Джерси запрещает продажу даже при наличии согласия. Нарушения влекут штраф в размере **$50 000 за каждую запись**, проданную, предложенную к продаже или переданную по лицензии. Это не за утечку и не за файл потребителей — это за каждую запись. Список из 1 000 записей с геолокационными данными клиентов, предложенный за$500, теоретически может повлечь ответственность в размере $50 миллионов.

Эта часть закона вступила в силу немедленно. Если у вас в настоящее время есть какое-либо соглашение об обмене данными, которое касается одной из этих категорий для жителей Нью-Джерси, вы должны были уже приостановить его и пересмотреть с юристом.

Что публичный реестр покажет о вашем бизнесе​

После запуска Отдел опубликует доступный для поиска реестр с информацией о каждом брокере и сборщике:

• Юридическое название, основной физический и почтовый адрес, веб-сайт
• Разрешает ли организация потребителям отказываться от продажи персональных данных и каким образом
• Показатели полученных и выполненных запросов на отказ
• История утечек данных и киберинцидентов
• Контакт для запросов потребителей

Это больше раскрытия, чем требует Калифорния. Для малого бизнеса репутационный момент так же важен, как и сбор: если вы попадёте в публичный список брокеров данных, клиенты и партнёры найдут вас там.

Контрольный список из 6 шагов до июня 2027 года​

У вас есть примерно 10 месяцев с момента принятия закона до ожидаемого срока соблюдения требований. Используйте их, чтобы принять обоснованное решение о том, подпадаете ли вы под действие закона, и навести порядок в потоках данных.

1. Определите, где персональные данные покидают вашу компанию за вознаграждение​

Просмотрите записи о поставщиках и доходах за последние 12 месяцев. Найдите любую строку, где вы получили платёж (деньги, кредиты, скидки на услуги, долю доходов) и передали персональные данные в обмен. Типичные источники:

• Доход от «лицензирования данных» или «расширения аудитории»
• Плата за участие в кооперативных базах данных
• Доход от аренды списков
• Реферальные платежи, связанные с передачей контактных данных
• Партнёрства с аналитическими компаниями, где вы предоставляете необработанные данные клиентов за пределами объёма услуги

Если платёж привязан к самим данным — а не к услуге отправки электронного письма или обработки платежа — отметьте это.

2. Подсчитайте записи по Нью-Джерси отдельно​

Сбор взимается за каждого потребителя Нью-Джерси, а не за общее количество записей. Сегментируйте свои данные по штатам. Даже если вы продаёте национальный файл с 2 миллионами записей, только часть, относящаяся к жителям Нью-Джерси, учитывается для определения уровня. Для типичного национального списка это может быть 2–3%, но если у вас много клиентов из Нью-Джерси, эта доля может быть значительно выше.

Если вы сейчас не можете сегментировать данные по штатам, это ваша первая инженерная задача. Без этого вы не сможете рассчитать уровень или утверждать, что находитесь ниже порога.

3. Немедленно прекратите любые продажи чувствительных данных​

Проверьте каждый исходящий поток данных на соответствие категориям чувствительных данных, перечисленным выше. Помните, что выводы учитываются: история покупок, раскрывающая состояние здоровья, или файл с почтовым индексом и этнической принадлежностью могут считаться чувствительными, даже если вы не маркировали их таким образом.

Если вы обнаружили чувствительные данные в канале продаж, остановите продажу, задокументируйте дату остановки и не полагайтесь на старую форму согласия для оправдания продолжения. В Нью-Джерси для этого использования нет исключения для согласия.

4. Переоформите отношения с поставщиками, которые на самом деле являются отношениями с поставщиками услуг​

Если поставщик является настоящим обработчиком, убедитесь, что в вашем договоре это указано: данные могут использоваться только для предоставления вам услуги, должны быть удалены или возвращены по окончании договора и не могут быть проданы, сохранены или использованы для создания собственных продуктов поставщика. Без такой формулировки регулирующие органы могут рассматривать передачу как продажу.

5. Заложите в бюджет сбор и решите, стоит ли доход того​

Проведите жёсткий анализ прибылей и убытков по каждой строке продажи данных:

• Валовой доход от продажи данных
• Ежегодный сбор за регистрацию в Нью-Джерси для вашего уровня
• Юридические и аудиторские расходы на поддержание соответствия (юрист по вопросам конфиденциальности, инвентаризация данных, инфраструктура для отказа)
• Резерв на случай штрафов, если ваша классификация окажется неверной

Многие малые предприятия обнаружат, что ежегодная аренда списка за $3 000, которая переводит их на уровень$5 000, уже убыточна, не считая накладных расходов на соответствие. Некоторые полностью выходят из этого побочного бизнеса. Другие реструктурируют его, оставаясь поставщиками услуг — например, позволяя рекламодателю нацеливаться на аудитории только через вашу платформу без передачи базовых записей.

6. Подготовьте материалы для реестра заранее​

Если вы придёте к выводу, что подпадаете под действие закона, вам понадобятся:

• Письменная история утечек данных и инцидентов безопасности за несколько лет
• Документация о механизме отказа и количестве выполненных запросов
• Подтверждение альтернативного расчёта сбора (ваша методология подсчёта потребителей Нью-Джерси)
• Бухгалтерские записи, подтверждающие уплату сбора и ежегодное продление регистрации

Храните это как единый пакет соответствия, а не как разрозненные электронные письма. Проверяющие захотят увидеть методологию, а не просто цифру.

Бухгалтерский учёт и налоговый режим: не прячьте сбор​

Сбор Нью-Джерси — это ежегодные, повторяющиеся расходы на ведение бизнеса, если вы остаётесь брокером или сборщиком, а не разовый регистрационный платёж. То, как вы его отражаете в учёте, имеет значение как для внутренних решений, так и для внешней отчётности.

Создайте отдельный центр затрат на соответствие. Не включайте регистрационный сбор в статью «лицензии и разрешения» вместе с вашей местной бизнес-лицензией или ежегодным отчётом ООО. Создайте отдельный счёт главной книги, например Compliance: Регистрация брокера данных – Нью-Джерси, и относите на него полную сумму уровня каждый год. Это сделает проверку рентабельности на шаге 5 выше честной: вы сможете видеть в одной строке, покрывает ли доход от продажи данных собственные регуляторные расходы.

Относитесь к нему как к обычным и необходимым бизнес-расходам, но отслеживайте допущения о вычитаемости. Для федерального подоходного налога ежегодные регистрационные сборы, которые являются обычными и необходимыми для ведения деятельности в юрисдикции, обычно вычитаются как бизнес-расходы в год уплаты или начисления. Это не налоговый совет; государственные сборы могут взаимодействовать с правилами капитализации, если они связаны с 15-летним нематериальным активом, или с разделом 162(f), если они технически являются штрафом. Храните счёт и ссылку на закон вместе с записью и попросите вашего бухгалтера подтвердить порядок учёта до подачи декларации. Если какая-либо часть является штрафом за просрочку регистрации ($2 500 в день), эта часть не вычитается.

Не зачитывайте сбор против дохода от продажи данных. Отражайте валовой доход от продаж данных как Доход: Лицензирование данных, а сбор — как операционный расход. Взаимозачёт занижает обе суммы и нарушает сверку между записями, связанными с формой 1099 (если применимо), и вашими банковскими поступлениями. Это также скрывает, насколько вы близки к следующему уровню сбора, если количество ваших записей по Нью-Джерси растёт.

Сверяйте с журналом продаж данных ежемесячно. Ведите простую таблицу: месяц, контрагент, переданные записи, записи по Нью-Джерси в этой передаче, полученное вознаграждение, тип договора (продажа или поставщик услуг). Сверяйте этот журнал со счётом доходов и с кассовыми поступлениями. Если вас когда-нибудь проверят, вопрос будет звучать так: «как вы получили 87 000 потребителей Нью-Джерси?» — и вам понадобится исходный запрос, а не оценка.

Если вы прекращаете продажу данных, чтобы выйти из-под действия режима: оплатите сбор за последний год, если он требуется за год, в котором вы были активны, составьте датированную служебную записку с обоснованием бизнес-решения и датой прекращения продаж, и сохраните диаграммы потоков данных. Снижение ниже порога не аннулирует задним числом обязанность по уплате сбора за год, когда вы были выше него.

Что произойдёт, если вы ничего не сделаете​

Сходятся три риска:

• Немедленная ответственность за продажи чувствительных данных — для этого запрета нет льготного периода, а штраф за запись предназначен для того, чтобы даже небольшие продажи были болезненными.
• Ежедневные штрафы за пропущенную регистрацию — как только реестр заработает и отсрочка правоприменения закончится в июне 2027 года, каждый день без регистрации будет отдельным штрафом в размере $2 500, независимо от того, сколько данных вы продали в этот день.
• Последствия для договоров и платежей — покупатели данных, узнав, что их поставщик из Нью-Джерси не зарегистрирован, могут расторгнуть договор или потребовать возмещения убытков. Некоторые генеральные договоры на лицензирование данных уже требуют от продавца заверения о соответствии применимым законам о брокерах данных.

Ни один из этих рисков не требует, чтобы Нью-Джерси доказывал намерение. Это строгие обязательства по соблюдению требований, и генеральный прокурор Нью-Джерси имеет явные полномочия обеспечивать их исполнение.

Стоит ли вам выходить из бизнеса по продаже данных?​

Для многих малых предприятий ответ будет утвердительным — не потому, что закон запрещает ваш основной продукт, а потому что он превращает побочную строку дохода в регулируемую деятельность с шестизначными аудиторскими хвостами.

Спросите себя:

• Является ли доход от продажи данных существенным — скажем, более 5% валовой прибыли — или он оппортунистический?
• Могли бы вы достичь того же маркетингового результата, оставив данные внутри компании и продавая доступ, а не необработанные записи? Например, позволяя партнёрам рекламироваться вашим аудиториям внутри вашей среды без экспорта базовых персональных данных.
• Есть ли у вас инженерные возможности для сегментации по штатам, соблюдения отказов и ведения раскрытия истории утечек для публичного реестра?

Если ответ на первый вопрос «нет», а на следующие два «нелегко», выход — это более дешёвая позиция с точки зрения соответствия. Сам выход должен быть задокументирован: расторгните или измените договоры о продаже данных, обновите уведомление о конфиденциальности, убрав раскрытие «мы продаём данные» для Нью-Джерси, и сохраните изменённые договоры как доказательство вашего изменённого статуса.

Если продажа данных является ядром вашей модели — списковый бизнес, маркетинговый кооператив, платформа аудиторных данных — относитесь к Нью-Джерси как к высокой отметке и готовьтесь к тому, что другие штаты скопируют этот закон. Сбор Калифорнии в $6 000 выглядел потолком в течение десятилетия; Нью-Джерси поднял его до$1,5 миллиона одним законом.

Упростите ваше финансовое управление​

Останетесь ли вы в бизнесе данных или выйдете из него, закон Нью-Джерси напоминает, что небольшая строка дохода может создать непропорционально большие расходы на соответствие, если вы не видите её истинную маржу. Ведение доходов от лицензирования данных, регистрационных сборов, юридических расходов и резервов на штрафы в отдельных, версионируемых книгах делает эту маржу видимой до того, как это сделает уведомление о продлении или проверяющий.

Beancount.io предоставляет вам текстовый, двусторонний бухгалтерский учёт, который полностью прозрачен и готов к работе с ИИ — без чёрных ящиков и привязки к поставщику. Отслеживайте расходы на соответствие по юрисдикциям, сверяйте доход от продажи данных с денежными средствами и храните полную историю каждой реклассификации в git. Начните бесплатно и узнайте, почему разработчики и финансовые специалисты переходят на текстовую бухгалтерию.