Якщо ваш бізнес колись здавав в оренду список адрес електронної пошти, продавав узагальнену аналітику клієнтів маркетинговому партнеру або запускав програму лояльності, яка ділиться даними про покупки з мережею роздрібної торгівлі, ви вже можете бути «брокером даних» згідно із законодавством Вермонту — і станом на це літо цей ярлик став значно дорожчим.
16 червня 2026 року губернатор Філ Скотт підписав закон H.211 (тепер Act 138), який докорінно переглядає закон Вермонту про реєстрацію брокерів даних — перший у своєму роді в країні, коли його спочатку прийняли у 2018 році. Поправки набувають чинності лише 1 січня 2027 року, але час на підготовку до відповідності вимогам коротший, ніж здається, як тільки ви зрозумієте, наскільки ширшими стали нові визначення. Багато малих підприємств, які ніколи не вважали себе «брокерами даних», незабаром дізнаються, що це не так.
Що насправді являє собою закон Вермонту про брокерів даних
Вермонт став першим штатом, який вимагав від компаній, що торгують споживчими даними, реєструватися в уряді, задовго до того, як Каліфорнія, Техас, Орегон та кілька інших штатів наслідували цей приклад зі своїми власними версіями. Основна ідея завжди була простою: якщо ви навмисно збираєте, а потім продаєте або ліцензуєте персональну інформацію про людей, з якими у вас немає прямих відносин, штат хоче знати, хто ви, що ви продаєте та який обсяг даних переходить з рук в руки.
З 2018 року це означало щорічну реєстрацію в Державному секретарі Вермонту, збір у 100 доларів США та деякі базові вимоги щодо розкриття інформації. Протягом майже восьми років ця реєстрація була здебільшого другорядним питанням відповідності для невеликої кількості компаній, достатньо великих, щоб чітко підпадати під ярлик «брокера даних» — подумайте про фірми з перевірки біографічних даних, агрегатори маркетингових даних та сайти для пошуку людей.
H.211 змінює цю ситуацію для набагато ширшого кола підприємств.
Що насправді змінилося
Визначення «прямих відносин» стало вужчим — і саме це застає людей зненацька. Відповідно до старого закону, простого збору інформації безпосередньо від споживача зазвичай було достатньо для встановлення «прямих відносин» і виведення з-під визначення брокера даних. Змінений закон вимагає, щоб споживач навмисно взаємодіяв з вашим бізнесом. Це розмежування спеціально включає підприємства, які працюють за лаштунками транзакції — платіжні обробники, постачальники програм лояльності та провайдери білих етикеток є названими прикладами в законодавчих коментарях. Якщо відносини споживача насправді з роздрібним продавцем, рестораном або додатком, яким, на їхню думку, вони користуються — а ваш бізнес є інфраструктурою, яка тихо збирає їхні дані у фоновому режимі — ви більше не можете претендувати на виняток для прямих відносин лише тому, що технічно зібрали дані самостійно.
«Брокерська персональна інформація» також стала набагато ширшою. Старий закон перераховував конкретні категорії даних, які вважалися такими. Новий закон замінює цей перелік загальним стандартом: будь-яка інформація, яка пов'язана або може бути обґрунтовано пов'язана з ідентифікованою або ідентифікованою особою — або з побутовим пристроєм — включаючи похідні дані та унікальні ідентифікатори. Це навмисне узгодження з тими широкими визначеннями, які використовуються в комплексних законах штатів про конфіденційність, і воно включає такі речі, як ідентифікатори пристроїв, поведінкові профілі та виведені атрибути, які оригінальний перелік чітко не охоплював.
Набувають чинності нові зобов'язання щодо належної перевірки, перш ніж ви зможете продавати або ліцензувати дані. Брокери даних тепер повинні ідентифікувати, хто отримує брокерську персональну інформацію, розуміти, що вони мають намір з нею робити, та отримувати сертифікацію, що вони не використовуватимуть її для інших цілей. Якщо брокер має обґрунтовані підстави вважати, що дані будуть використані неналежним чином — або незаконно — він зобов'язаний відмовитися від транзакції. Це реальне операційне зобов'язання, а не просто паперова вправа: це означає документований процес прийому та перевірки для кожного партнера з обміну даними, а не одноразову реєстраційну заявку.
Один корисний виняток: виняток для афілійованих осіб. Обмін даними з корпоративними афілійованими особами тепер прямо виключено з визначення «продажу», що приводить Вермонт у відповідність до того, як Техас регулює обмін даними всередині компанії. Якщо ваш рух даних обмежений суб'єктами, що перебувають під спільним контролем, ця поправка, ймовірно, залишить вас поза сферою дії для цієї конкретної діяльності — хоча варто переконатися, що ваша корпоративна структура насправді відповідає вимогам, перш ніж покладатися на це.
Фінансовий бік став серйозним
Структура зборів та штрафів — це те, де H.211 перестає бути неприємністю з точки зору відповідності і стає реальною статтею бюджету:
| Вимога | Стара | Нова |
|---|---|---|
| Річний реєстраційний збір | 100 доларів США | 900 доларів США |
| Облігація забезпечення | Не визначено | 20 000 доларів США |
| Неподання реєстрації | — | 200 доларів США/день |
| Неповна реєстрація (після 30 днів) | — | 1 000 доларів США/день |
| Суттєво неправильна інформація | — | 25 000 доларів США одноразово, плюс 1 000 доларів США/день після крайнього терміну виправлення |
Річний збір у 900 доларів США та облігація забезпечення на суму 20 000 доларів США — це не ті цифри, які малий бізнес може не помітити. А структура щоденних штрафів означає, що помилка в реєстрації, яку не виправили, не залишається просто так — вона накопичується, так само, як несплачена податкова заборгованість нараховує відсотки, стільки часу, скільки вона залишається невирішеною.
Державний секретар Вермонту також зобов'язаний вивчити можливість створення централізованої платформи для запитів споживачів на видалення даних, зі звітом, який має бути поданий у грудні 2028 року — сигнал про те, що це, швидше за все, перший з кількох раундів посилення, а не останній.
Хто насправді повинен хвилюватися
Великі фірми з пошуку людей та маркетингових даних вже знають, що вони є брокерами даних. Підприємства, які повинні приділяти більше уваги, — це ті, які ніколи не думали, що цей ярлик до них застосовний:
- Підприємства електронної комерції та підписки, які діляться історією покупок клієнтів або даними про взаємодію з рекламною мережею, платформою інфлюенсерів або партнером зі спільного маркетингу в обмін на гроші або взаємні дані.
- SaaS-платформи та розробники додатків, які монетизують агреговані або «анонімізовані» дані про використання — пам'ятайте, новий стандарт охоплює все, що «може бути обґрунтовано пов'язане» з особою або побутовим пристроєм, що є набагато нижчою планкою, ніж припускає більшість інженерних команд, коли називають дані «анонімізованими».
- Оператори програм лояльності та платіжні посередники, які знаходяться між споживачем і роздрібним продавцем, з яким, на думку споживача, вони мають справу — саме той сценарій, на який націлено звужене визначення «прямих відносин».
- Партнери-маркетологи та підприємства з генерації лідів, чия бізнес-модель повністю полягає в захопленні інформації споживача та продажу або ліцензуванні доступу до неї іншим компаніям.
- Реферальні програми та програми винагород, які діляться даними учасників з партнерами в сфері роздрібної торгівлі або гостинності в рамках угоди про крос-промоцію.
Жоден з цих бізнесів не описав би себе як «брокер даних» у повсякденній розмові. Відповідно до зміненого закону Вермонту, деякі з них можуть юридично бути таким — а незнання класифікації не скасовує штрафу в розмірі 200 доларів США на день.
Що робити до 1 січня 2027 року
- Відобразіть кожне місце, де дані клієнтів залишають ваш бізнес. Не лише очевидні продажі даних — інтеграції з постачальниками, угоди про спільний маркетинг, пікселі рекламних мереж та партнерства з «обміну даними», які не передбачають обміну грошима, але передбачають взаємний доступ до споживчої інформації.
- Перевірте кожен потік даних на відповідність новому стандарту «прямих відносин». Запитайте чесно: чи споживач навмисно взаємодіяв з вашим бізнесом, чи ви є інфраструктурою за чужою вітриною?
- Перевірте, чи виняток для афілійованих осіб насправді охоплює вашу структуру. Він застосовується лише до даних, якими обмінюються в рамках справжніх корпоративних афілійованих відносин — а не до сторонніх партнерів, з якими ви регулярно працюєте.
- Створіть процес належної перевірки для одержувачів даних, включаючи спосіб документування того, для чого вони, за їхніми словами, використовуватимуть дані, до того, як дедлайн січня 2027 року зробить це юридичною вимогою, а не найкращою практикою.
- Закладіть бюджет на нову структуру зборів вже зараз. Річний реєстраційний збір у 900 доларів США та облігація забезпечення на суму 20 000 доларів США — це реальні витрати, які мають бути в операційному бюджеті на наступний рік, а не сюрприз, який ви виявляєте, коли термін відповідності вже настав.
Чому це має бути у вашому обліку, а не лише у ваших юридичних файлах
Такі витрати на відповідність мають властивість губитися між відділами — юридичний відділ відповідає за реєстрацію, але фінансовий відділ в кінцевому підсумку поглинає збір, премію за облігацією та будь-які потенційні штрафи без чіткої статті для їх відстеження. Ведення реєстраційного збору Вермонту, вартості облігації забезпечення та будь-якого потенційного щоденного штрафу як окремих облікових рахунків — замість того, щоб ховати їх у загальній статті «юридичні та професійні послуги» — значно полегшує бачення реальної вартості помилки у відповідності та точне бюджетування на рік за роком. Якщо ваш бізнес врешті-решт зареєструється як брокер даних, цей збір у 900 доларів США та премія за облігацією є регулярними витратами, які варто відстежувати з тією ж дисципліною, яку ви застосовували б до підписки на програмне забезпечення або страхової премії — а не ставитися до них як до одноразового подання, про яке ви забуваєте до наступного січня.
Тримайте свої витрати на відповідність на виду
Оскільки нові закони штатів, такі як H.211 Вермонту, перетворюють звичайні партнерства з обміну даними на регульовану діяльність, чіткі фінансові записи значно полегшують відстеження витрат на відповідність, потенційних штрафів та зобов'язань постачальників, не втрачаючи з поля зору того, скільки вони вам насправді коштують. Beancount.io пропонує бухгалтерський облік у звичайному тексті, який є прозорим, контрольованим версіями та легким для аудиту — без чорних скриньок, без прив'язки до постачальника. Почніть безкоштовно і дізнайтеся, чому розробники та фінансово підковані власники бізнесу переходять на бухгалтерію у звичайному тексті.