Ограничение продажи персональных данных
В феврале 2025 г. в штате Вермонт (США) представлен законопроект, обязывающий крупные компании, продающие персональные данные, обеспечивать лиц инструментами контроля продажи их данных. В США формируется тренд на ограничение неконтролируемого коммерческого оборота персональных данных на уровне штатов.
Из выпуска мониторинга №2 (14), февраль 2025 · выпуск целиком, PDF · на сайте Института Гайдара
Опыт США
В феврале 2025 г. в штате Вермонт рассматривался законопроект о защите конфиденциальности данных и наблюдении1 в Интернете . Поскольку сегодня США – единственная юрисдикция, где на уровне штатов урегулирована продажа персональных данных, законопроект предусматривает для пользователей специальные права при продаже их данных компаниями, которые за предыдущий год обрабатывали данные не менее 25 тыс. человек, либо не менее 12,5 тыс. человек и 25% дохода компании приходилось на продажу персональных данных.
Компании обязаны предоставлять пользователю возможность отказаться от продажи его данных третьим лицам, а также их использование в таргетированной рекламе или цифровом профилировании. Компания должна предоставлять по запросу пользователя список третьих лиц, которым были переданы его данные. Практика продажи персональных данных признается высокорисковой для субъектов данных, поэтому компании обязаны проводить оценку защищенности обрабатываемых данных (data protection assessment) и раскрывать результаты такого внутреннего аудита по запросу генерального прокурора штата.
Законопроект продолжает тренд на ограничение продажи персональных данных, заданный в 2018 г. с принятием в Калифорнии требований к компаниям предоставлять пользователям право отказаться от продажи его данных третьим лицам. Сегодня во многих штатах принимаются законы о персональных данных, ужесточающие требования к условиям их продажи, например, в штате Вирджиния (Закон о защите данных потребителей 2021 г.), Юта (Закон о защите неприкосновенности частной жизни потребителя 2022 г.), Колорадо (Закон о неприкосновенности частной жизни 2023 г.). Требования фактически ограничивают крупные компании в продаже данных помимо воли пользователя, что предотвращает монополизацию рынка такими компаниями, накапливающими большие массивы данных.
Опыт России
В российской правовой практике не используется понятие «продажа персональных данных», но это не исключает проблемы серых схем торговли данными россиян. Например, в 2020 г. в банковском секторе на продажу было выставлено 9,2 млн2 записей о клиентах банков . Основной источник данных на продажу – утечки в результате атак: в 2023 г. из банковского3 сектора утекло 170,3 млн записей . Таким образом, в России существует теневой рынок торговли персональными данными, основными бенефициарами которого4 являются мошенники .
Однако данные пользователей представляют интерес и для законного бизнеса, например, для использования в маркетинговых целях. Поэтому в России актуален вопрос формирования списка законных оснований для передачи персональных данных между компаниями на коммерческой основе. Примечательно, что в национальных целях развития России до 2030 г. ставится задача формирования рынка данных, в который потенциально могут быть5 включены и персональные данные .
Материал из выпуска мониторинга №2 (14), февраль 2025. Скачать выпуск целиком (PDF) · страница выпуска на сайте Института Гайдара
