Визначення «червоної зони»: які категорії даних тепер неможливо продати?

Протягом років ринок вторинних даних працював за принципом «продавай, якщо не заборонено». Ця ера закінчилася. 30 червня 2026 року New Jersey прийняв A.5328, і основна частина закону набула чинності того ж дня — без перехідного періоду та пільгового вікна. Це перетворює те, що колись було контрольним списком відповідності, на фундаментальний ризик для оцінки: повну заборону на продаж чутливих персональних даних, що тягне за собою цивільний штраф у розмірі $50,000 за запис, разом із щорічними реєстраційними зборами, що сягають $1.5 million. На практиці закон створив «Червону зону» активів, які неможливо продати.

Нове визначення «непридатного для продажу»

На сучасному ринку «чутливі дані» — це вже не просто термін; це юридична категорія, яка спричиняє негайні обмеження. A.5328 забороняє controllers, data brokers та data collectors продавати персональні дані, що розкривають:

• Точні дані про геолокацію.
• Генетичні або біометричні дані, які можуть оброблятися з метою унікальної ідентифікації особи.
• Інформація про здоров'я: стан психічного або фізичного здоров'я, лікування або діагноз.
• Фінансова інформація: номер рахунку, логін до рахунку або номер кредитної/дебетової картки в поєднанні з будь-яким кодом безпеки, кодом доступу або паролем, що дозволяє отримати доступ до рахунку.
• Захищені ідентифікатори: расове або етнічне походження, релігійні переконання, сексуальне життя або сексуальна орієнтація, громадянство або імміграційний статус, а також статус трансгендера або небінарної особи.
• Будь-які персональні дані, зібрані у відомої дитини.

Для власників даних наявність цих атрибутів робить весь актив «токсичним» для інституційних покупців, якщо тільки чутливі поля не можуть бути чітко відокремлені від продукту для продажу. Перед розглядом транзакції важливо проконсультуватися з керівництвом з легальної монетизації даних, щоб переконатися, що ваші методи збору відповідають як законам штатів US, так і міжнародним стандартам, таким як GDPR.

Згода не відкриває можливість продажу

Це той момент, у якому більшість команд, що працюють із даними, помиляються, і це найдорожча помилка. Відповідно до попередньої хвилі законів штатів US про конфіденційність, чутливі дані загалом могли оброблятися — і продаватися — на основі чіткої, ствердної згоди. A.5328 працює інакше: заборона на продаж чутливих даних не передбачає винятку на основі згоди. Повна, позначена часом, детальна згода на продаж третім особам не робить транзакцію законною в New Jersey.

Комерційним наслідком є розгалуження в тому, як ви захищаєте актив. Там, де згода є пропуском — як це залишається в рамках режиму правових підстав GDPR та в кількох інших структурах штатів, які відстежує IAPP — добре задокументований журнал згоди зберігає цінність, і покупці мають право вимагати його як частину технічної документації. Там, де продаж заборонений прямо, жодна кількість документації не відновлює цінність: єдиний шлях до продукту, який можна продати, — це повне видалення або ізоляція чутливих атрибутів.

Пастка реєстрації: Brokers та «Data Collectors»

Другим рівнем A.5328 є режим щорічної реєстрації та зборів, і його охоплення ширше, ніж передбачає термін «data broker». Data broker — це організація, яка свідомо збирає або купує персональні дані споживачів, з якими вона не має прямих відносин, і продає або ліцензує ці дані третій стороні. Але закон також створює другу категорію: data collector — це організація, яка збирає персональні дані споживачів, з якими вона має прямі відносини, а потім продає або ліцензує ці дані data broker. Багато малих та середніх підприємств і продуктових компаній, які ніколи не вважали себе брокерами, потрапляють саме в цю другу категорію.

Реєстранти сплачують щорічний збір, розмір якого залежить від обсягу — починаючи від $5,000, якщо задіяні дані 100,000 споживачів або менше, і досягаючи $1.5 million для понад 4.5 million споживачів — і повинні розкривати ряд відомостей про свої практики роботи з даними як частину подання документів. Невиконання вимог щодо реєстрації, оплати або підтримання актуальності документів тягне за собою цивільні штрафи до $2,500 за кожен день невідповідності. Публічний реєстр брокерів та колекторів New Jersey набуває чинності 27 березня 2027 року: до того часу невідповідність є переважно невидимою, після чого вона стає списком, доступним для пошуку.

Достатньо одного резидента New Jersey

Заборона на продаж чутливих персональних даних застосовується незалежно від порогів обробки, які регулюють комплексний закон New Jersey про конфіденційність. Організація, чиї показники значно нижчі за ці пороги — і яка, отже, вважає, що закон її не стосується — все одно може бути притягнута до відповідальності, якщо вона продає чутливі персональні дані хоча б одного резидента New Jersey, за відсутності іншого винятку. Для покупців це руйнує звичний короткий шлях перевірки (due-diligence): припущення «продавець занадто малий, щоб підпадати під дію закону» більше не є виправданим.

Вплив на оцінку: Токсичні проти чистих активів

Ринок роздвоюється. «Чисті» набори даних — ті, що позбавлені чутливих ідентифікаторів або структуровані так, що чутливі поля можна відокремити — отримують преміальну вартість. Навпаки, «токсичні» набори даних, які змішують чутливі та нечутливі атрибути без чіткої сегментації, стають зобов'язаннями, які успадковує покупець. Щоб зберегти вартість активів, власники даних повинні прийняти підхід «privacy by design» до свого каталогу перевірених наборів даних, гарантуючи, що чутливі атрибути або анонімізовані, або ізольовані від основного продукту для продажу.

Стратегічний чек-лист для транзакцій з даними

• Аудит на наявність чутливих атрибутів: чи містить ваш набір даних будь-яку з перелічених вище категорій — включаючи фінансові облікові дані та дані, зібрані у відомої дитини, два атрибути, які найчастіше ігнорують?
• Перевірка сегментації, а не лише згоди: там, де продаж заборонений прямо, питання полягає в тому, чи можна видалити або ізолювати чутливі поля, а не в тому, чи існує згода (opt-in).
• У будь-якому випадку зберігайте ланцюжок згоди: для юрисдикцій, де згода залишається правовою підставою, чи можете ви довести, що користувач надав згоду саме на продаж своїх даних?
• Перевірте статус broker та collector: чи продаєте ви персональні дані data broker — включаючи дані, зібрані від ваших власних користувачів у межах прямих відносин?
• Оцініть географічний вплив: якщо дані включають резидентів New Jersey — навіть одного — чи відповідаєте ви вимогам A.5328?

Що це означає для вас

Регуляторна «Червона зона» розширюється, але вона не є бар'єром для економіки даних — це фільтр якості. Для власників даних шлях до монетизації тепер пролягає через сувору класифікацію та, у випадках, коли категорія повністю заборонена, видалення високоризикових атрибутів для захисту загальної вартості активу. Для покупців комплексна перевірка тепер повинна охоплювати статус реєстрації продавця, сегментацію набору даних та категорії, які продавець ніколи не мав права продавати від самого початку. Незалежно від того, чи ви розміщуєте активи, чи прагнете придбати їх на d-nvest, забезпечення того, щоб ваші дані залишалися поза межами «Червоної зони», є єдиним способом гарантувати безпечне довгострокове повернення інвестицій.