Ak váš podnik niekedy prenajal zoznam e-mailových adries, predal súhrnnú analytiku zákazníkov marketingovému partnerovi alebo prevádzkoval vernostný program, ktorý zdieľa údaje o nákupoch s maloobchodným reťazcom, možno ste už v súčasnosti „sprostredkovateľom údajov“ podľa vermontského práva – a od tohto leta je tento štítok oveľa drahší.
- júna 2026 guvernér Phil Scott podpísal zákon H.211 (teraz Act 138), rozsiahlu revíziu vermontského zákona o registrácii sprostredkovateľov údajov – prvého svojho druhu v krajine, keď bol pôvodne prijatý v roku 2018. Novely nadobudnú účinnosť až 1. januára 2027, ale čas na prípravu je kratší, než sa zdá, keď si uvedomíte, o koľko sú nové definície širšie. Mnoho malých podnikov, ktoré sa nikdy nepovažovali za „sprostredkovateľov údajov“, teraz zistí, že to tak nie je.
Čo vlastne je vermontský zákon o sprostredkovateľoch údajov
Vermont bol prvým štátom, ktorý vyžadoval, aby sa podniky obchodujúce so spotrebiteľskými údajmi registrovali u vlády, dávno predtým, ako Kalifornia, Texas, Oregon a niekoľko ďalších štátov nasledovali s vlastnými verziami. Základná myšlienka bola vždy jednoduchá: ak vedome zhromažďujete a potom predávate alebo licencujete osobné informácie o ľuďoch, s ktorými nemáte priamy vzťah, štát chce vedieť, kto ste, čo predávate a koľko údajov mení majiteľa.
Od roku 2018 to znamenalo každoročnú registráciu na ministerstve zahraničných vecí Vermontu, poplatok 100 USD a niekoľko základných požiadaviek na zverejnenie. Takmer osem rokov bola táto registrácia väčšinou len dodatočnou myšlienkou v oblasti súladu pre hŕstku spoločností dostatočne veľkých na to, aby jednoznačne zapadali do kategórie „sprostredkovateľ údajov“ – myslite na firmy vykonávajúce previerky, agregátorov marketingových údajov a stránky na vyhľadávanie osôb.
H.211 mení túto situáciu pre oveľa širší okruh podnikov.
Čo sa skutočne zmenilo
Definícia „priameho vzťahu“ sa zúžila – a to je časť, ktorá ľudí zaskočí. Podľa starého zákona stačilo na vytvorenie „priameho vzťahu“ a vyňatie z definície sprostredkovateľa údajov vo všeobecnosti jednoduché zhromažďovanie informácií priamo od spotrebiteľa. Novelizovaný zákon vyžaduje, aby spotrebiteľ zámerne interagoval s vašim podnikom. Tento rozdiel špecificky zahŕňa podniky, ktoré pôsobia v zákulisí transakcie – spracovatelia platieb, poskytovatelia vernostných programov a poskytovatelia bielych riešení sú uvedení ako príklady v legislatívnom komentári. Ak je vzťah spotrebiteľa v skutočnosti s maloobchodníkom, reštauráciou alebo aplikáciou, ktorú si myslia, že používajú – a váš podnik je infraštruktúra, ktorá v pozadí ticho zachytáva ich údaje – už nemusíte spĺňať podmienky pre výnimku priameho vzťahu len preto, že ste údaje technicky zhromaždili sami.
„Sprostredkované osobné informácie“ sa tiež výrazne rozšírili. Starý zákon uvádzal konkrétne kategórie údajov, ktoré sa započítavali. Nový zákon nahrádza tento zoznam všeobecným štandardom: akékoľvek informácie, ktoré sú prepojené alebo primerane prepojiteľné s identifikovanou alebo identifikovateľnou osobou – alebo so zariadením v domácnosti – vrátane odvodených údajov a jedinečných identifikátorov. Ide o zámerné zosúladenie so širokými definíciami používanými v komplexných štátnych zákonoch o ochrane osobných údajov a zahŕňa veci ako identifikátory zariadení, behaviorálne profily a odvodené atribúty, ktoré pôvodný vymenovaný zoznam jasne nezahŕňal.
Nadobúdajú účinnosť nové povinnosti náležitej starostlivosti predtým, než môžete predávať alebo licencovať údaje. Sprostredkovatelia údajov teraz musia identifikovať, kto prijíma sprostredkované osobné informácie, pochopiť, čo s nimi zamýšľa robiť, a získať potvrdenie, že ich nepoužijú na nič iné. Ak má sprostredkovateľ odôvodnené dôvody domnievať sa, že dôjde k zneužitiu údajov – alebo že sa použijú nezákonne – sú povinní transakciu odmietnuť. Toto je skutočná prevádzková povinnosť, nielen papierové cvičenie: znamená to zdokumentovaný proces prijímania a preverovania každého partnera na zdieľanie údajov, nie jednorazové podanie registrácie.
Jedna užitočná výnimka: výnimka pre pridružené spoločnosti. Zdieľanie údajov s pridruženými spoločnosťami je teraz výslovne vylúčené z definície „predaja“, čím sa Vermont zosúlaďuje s tým, ako Texas pristupuje k zdieľaniu údajov v rámci spoločnosti. Ak je váš pohyb údajov obmedzený na subjekty pod spoločným vlastníctvom, táto novela vás pravdepodobne vyňa z rozsahu pre túto konkrétnu činnosť – aj keď sa predtým, ako sa na ňu spoľahnete, oplatí potvrdiť, že vaša podniková štruktúra skutočne spĺňa podmienky.
Finančná stránka sa stala vážnou
Štruktúra poplatkov a sankcií je miestom, kde H.211 prestáva byť nepríjemnosťou v oblasti dodržiavania predpisov a stáva sa skutočnou položkou rozpočtu:
| Požiadavka | Staré | Nové |
|---|---|---|
| Ročný registračný poplatok | 100 USD | 900 USD |
| Kaučná záruka | Nešpecifikované | 20 000 USD |
| Nevykonanie registrácie | — | 200 USD/deň |
| Neúplná registrácia (po 30 dňoch) | — | 1 000 USD/deň |
| Materiálne nesprávne informácie | — | 25 000 USD jednorazovo, plus 1 000 USD/deň po termíne na opravu |
Ročný poplatok 900 USD a kaučná záruka 20 000 USD nie sú čísla, ktoré by malý podnik prehliadol. A denná štruktúra pokút znamená, že chyba v registrácii, ktorá zostane neopravená, len tak ticho neleží – narastá, rovnako ako nezaplatená daňová povinnosť narastá o úroky, pokiaľ nie je riešená.
Ministerstvo zahraničných vecí Vermontu je tiež povinné preskúmať uskutočniteľnosť centralizovanej platformy na podávanie žiadostí o vymazanie údajov spotrebiteľmi, pričom správa sa očakáva v decembri 2028 – čo je signál, že toto je s najväčšou pravdepodobnosťou prvé z niekoľkých kôl sprísňovania, nie posledné.
Kto by sa mal skutočne obávať
Veľké firmy na vyhľadávanie osôb a marketingové údaje už vedia, že sú sprostredkovateľmi údajov. Podniky, ktoré by mali venovať väčšiu pozornosť, sú tie, ktoré si nikdy nemysleli, že sa na ne štítok vzťahuje:
- E-commerce a predplatné podniky, ktoré zdieľajú históriu nákupov zákazníkov alebo údaje o angažovanosti s reklamnou sieťou, influencer platformou alebo spoločným marketingovým partnerom výmenou za peniaze alebo recipročné údaje.
- SaaS platformy a vývojári aplikácií, ktorí monetizujú agregované alebo „anonymizované“ údaje o používaní – pamätajte, nový štandard pokrýva čokoľvek „primerane prepojiteľné“ s osobou alebo zariadením v domácnosti, čo je oveľa nižšia hranica, než väčšina technických tímov predpokladá, keď nazývajú údaje „anonymizovanými“.
- Prevádzkovatelia vernostných programov a platobní facilitátori, ktorí sedia medzi spotrebiteľom a maloobchodníkom, s ktorým si spotrebiteľ myslí, že jedná – presne ten scenár, na ktorý cielená zúžená definícia „priameho vzťahu“.
- Affiliate marketéri a podniky generujúce potenciálnych zákazníkov, ktorých celý model je založený na zachytení informácií o spotrebiteľovi a ich predaji alebo licencovaní prístupu k nim iným spoločnostiam.
- Referenčné a vernostné programy, ktoré zdieľajú údaje o členoch s maloobchodnými alebo pohostinskými partnermi ako súčasť krížovej propagačnej dohody.
Žiadny z týchto podnikov by sa v bežnej konverzácii neoznačil ako „sprostredkovateľ údajov“. Podľa novelizovaného vermontského zákona by ním niektoré z nich mohli byť legálne aj tak – a neznalosť klasifikácie nezbavuje povinnosti platiť pokutu 200 USD za deň.
Čo robiť pred 1. januárom 2027
- Zmapujte každé miesto, kde zákaznícke údaje opúšťajú váš podnik. Nielen zjavné predaje údajov – integrácie dodávateľov, spoločné marketingové dohody, pixely reklamných sietí a „partnerstvá na zdieľanie údajov“, ktoré nezahŕňajú výmenu hotovosti, ale zahŕňajú recipročný prístup k informáciám o spotrebiteľoch.
- Otestujte každý tok údajov podľa nového štandardu „priameho vzťahu“. Opýtajte sa úprimne: interagoval spotrebiteľ zámerne s vaším podnikom, alebo ste infraštruktúrou za výkladom niekoho iného?
- Skontrolujte, či sa na vašu štruktúru skutočne vzťahuje výnimka pre pridružené spoločnosti. Vzťahuje sa len na údaje zdieľané v rámci skutočného vzťahu podnikovej pridruženej spoločnosti – nie na partnerov na základe zmluvy, s ktorými pravidelne spolupracujete.
- Vytvorte proces náležitej starostlivosti pre príjemcov údajov, vrátane spôsobu dokumentovania toho, na čo vám povedali, že údaje použijú, a to pred termínom januára 2027, ktorý z toho urobí právnu požiadavku, nie len najlepšiu prax.
- Zohľadnite novú štruktúru poplatkov v rozpočte už teraz. Ročný registračný poplatok 900 USD a kaučná záruka 20 000 USD sú skutočné náklady, ktoré patria do budúcoročného prevádzkového rozpočtu, nie prekvapenie, ktoré objavíte, keď už je na vás termín dodržiavania predpisov.
Prečo to patrí do vašich účtovných kníh, nielen do právnych spisov
Takéto náklady na dodržiavanie predpisov majú tendenciu stratiť sa medzi oddeleniami – právne oddelenie vlastní registráciu, ale financie nakoniec absorbujú poplatok, poistné za kauciu a akúkoľvek potenciálnu pokutu bez jasnej položky, ktorá by to sledovala. Kedy sa vermontský registračný poplatok, náklady na kaučnú záruku a akákoľvek potenciálna denná pokuta budú považovať za vlastné sledované účty – a nie zakopané vo všeobecnom vedre „právne a profesionálne poplatky“ – oveľa ľahšie uvidíte skutočné náklady na chybu v dodržiavaní predpisov a presne si na ne každý rok zostavíte rozpočet. Ak sa váš podnik nakoniec zaregistruje ako sprostredkovateľ údajov, tých 900 USD poplatok a poistné za kauciu sú opakujúce sa náklady, ktoré stojí za to sledovať s rovnakou disciplínou, akú by ste použili pri predplatnom softvéru alebo poistnom – a nie ako jednorazové podanie, na ktoré zabudnete do budúceho januára.
Udržujte svoje náklady na dodržiavanie predpisov viditeľné
Keď nové štátne zákony, ako je vermontský H.211, menia bežné partnerstvá na zdieľanie údajov na regulovanú činnosť, jasné finančné záznamy výrazne uľahčujú sledovanie nákladov na dodržiavanie predpisov, vystavenie sa pokutám a povinnostiam dodávateľov bez toho, aby ste stratili prehľad o tom, čo vás skutočne stoja. Beancount.io ponúka účtovníctvo v prostom texte, ktoré je transparentné, verzované a ľahko auditovateľné – žiadne čierne skrinky, žiadne uzamknutie u dodávateľa. Začnite zadarmo a presvedčte sa, prečo vývojári a finančne zdatní majitelia firiem prechádzajú na účtovníctvo v prostom texte.