Регулирование деятельности брокеров данных
В августе 2024 г. в Калифорнии (США) подготовлены разъяснения по уточнению критериев признания компании брокером данных: например, если компания продает данные своих работников, полученные не напрямую от них. В цифровой экономике брокеры данных, выполняя посреднические функции между держателями и пользователями данных, способствуют росту их оборота, снижая издержки и повышая доверие участников рын
Из выпуска мониторинга №8, август 2024 · выпуск целиком, PDF · на сайте Института Гайдара
Специальное регулирование для брокеров данных появилось с середины 2010-х годов. В цифровой экономике брокеры данных (посредники между продавцами и покупателями данных) способствуют сокращению трансакционных издержек (например, на поиск подходящего набора данных и его продавца), повышению доверия между участниками рынка (например, за счет прозрачности своей деятельности) и тем самым развивают рынок данных. В то же время при появлении посредника между владельцами и пользователями данных создаются дополнительные риски для безопасности данных при их передаче, например, риски утечки данных. Регулирование может усилить преимущества работы таких лиц (например, за счет открытого реестра брокеров данных) и сократить риски их деятельности (например, за счет мер ответственности, в том числе штрафов за нарушения информационной безопасности).
Опыт США (Вермонт,
Калифорния)
В августе 2024 г. в Калифорнии подготовлены разъяснения по регистрации брокеров данных, в том числе уточнены критерии признания компании брокером данных: в частности, таким критерием служит отсутствие «прямых отношений» (инвестор – компания, работник – работодатель и т.п.) между компанией и субъектами данных.
Среди штатов США регулирование брокеров данных принято в Вермонте (2018 г.) и Калифорнии (2019 г.) . В этих штатах брокеры данных – это профучастники, функция которых состоит в законном сборе персональных данных из разных источников (например, веб-сайты, бизнес), их преобразовании под потребности рынка и продаже/ передаче по лицензии. В Вермонте, чтобы компания признавалась брокером данных, данные должны быть в электронном и подготовленном для распространения третьим лицам виде. При этом в обоих штатах не признаются брокерами данных компании, реализующие данные своих покупателей, работников, инвесторов и пр., например, приложение, продающее данные1 своих пользователей .
В обоих штатах брокеры данных обязаны ежегодно регистрироваться. Регистрация производится в следующем за деятельностью периоде, т.е., по сути, содержит элемент отчетности. Предоставляемые сведения немного различаются: например, в Вермонте требуется число нарушений безопасности данных (при хранении, передаче и т.д.), в Калифорнии – число запросов от субъектов на осуществление своих прав (удаление данных и т.п.) и срок ответа на них.
В Вермонте существует также требование к брокерам данных о комплексной информационной безопасности, включающей, в том числе оценку рисков, регулярный пересмотр мер безопасности и контроль доступа к данным.
Опыт ЕС
В ЕС Закон об управлении данными, устанавливающий требования к услугам по посредничеству в сфере данных, принят в2 2022 г. Брокеры оказывают посреднические услуги между держателями и пользователями данных (п. «а» ст. 10).
В отличие от рассмотренных штатов США, в ЕС регистрация брокеров данных проводится однократно и до начала деятельности, при этом, так же как в США, имеет уведомительный характер и сведения о брокере, включая описание его услуг, публикуются в едином реестре.
В остальном подход ЕС жестче, чем в США:
1) оказание услуг через отдельное юрлицо: даже если компания уже работает в сфере данных, деятельность по оказанию посреднических услуг должна быть строго отделена от прочей деятельности как3 юридически, так и экономически ;
2) обмен данными, как правило, должен происходить в формате, в котором они получены от держателя. Сопутствующие услуги, например, обезличивание, – только по явному запросу/одобрению держателя данных. Иначе говоря, в ЕС ограничиваются функции, которые в рассмотренных штатах США входят в основные функции брокеров данных;
3) обязательные процедуры против мошенничества и злоупотреблений – в Вермонте проверка добросовестности приобретателей данных относится к лучшей практике, но обязательной не является.
Опыт России
В России специальное регулирование для брокеров данных отсутствует. Это может дестимулировать оборот данных в экономике, повышая издержки на поиск контрагентов и заключение договоров и не способствуя развитию доверия на рынке данных. Например, это усложняет привлечение к ответственности профучастников рынка данных: при делегировании обработки данных их приобретателю ответственность за исполнение обязательств оператора несет приобретатель данных. В связи с этим целесообразно определить права, обязанности и ответственность профучастников рынка данных в законах о персональных данных и об информации.
- https://legislature.vermont.gov/bill/status/2018/H.764 ↑
- https://leginfo.legislature.ca.gov/faces/billNavClient.xhtml?bill_id=201920200AB1202. Сейчас действует редакция 2023 г.: https://leginfo.legislature.ca.gov/faces/billNavClient.xhtml?bill_id=202320240SB362, разъяснения к которой были выпущены в 2024 г.: https://cppa.ca.gov/regulations/pdf/data_broker_reg_prop_text.pdf ↑
- https://ago.vermont.gov/sites/ago/files/wp-content/uploads/2018/12/2018-12-11-VT-Data-Broker-Regulation-Guidance.pdf, https://cppa.ca.gov/regulations/pdf/data_broker_reg_prop_text.pdf, ↑
- https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32022R0868 ↑
- Micheli M., Farrell E. et al. Mapping the landscape of data intermediaries. Emerging models for more inclusive data ↑
Материал из выпуска мониторинга №8, август 2024. Скачать выпуск целиком (PDF) · страница выпуска на сайте Института Гайдара
