Що ви МАЄТЕ право продавати (GDPR та монетизація)

Перш ніж монетизувати дані, одне запитання переважає над усіма іншими: чи маєте ви право їх продавати? (Цей посібник спрощує встановлені правила і не є юридичною консультацією: для вашого конкретного випадку проконсультуйтеся з вашим DPO, CNIL або юристом.)

Все починається з розрізнення: чи є дані персональними? Дані, що дозволяють ідентифікувати особу, прямо чи опосередковано, є персональними і підпадають під дію GDPR (ст. 4(1)). Далі йде вирішальний нюанс: анонімні дані — тобто ті, що незворотно позбавлені ідентифікаційної ознаки — виходять з-під дії GDPR (пункт 26), тоді як лише псевдонімізовані дані залишаються персональними (ст. 4(5)). CNIL вимагає три тести для визнання анонімності: неможливість індивідуалізації, кореляції та виведення.

Для передачі персональних даних потрібна правова підстава (ст. 6(1)): згода або законний інтерес, що супроводжується тестом балансування. Увага, «продаж на основі законного інтересу» не є загальним правилом — це вирішується в кожному конкретному випадку. Інша пастка: перепродаж даних є новою метою порівняно зі збором (ст. 5(1)(b) та 6(4)); на практиці це передбачає нову згоду, а загальні умови, прийняті «в цілому», не є згодою (CNIL). Щодо пошуку клієнтів, електронний канал вимагає попередньої згоди, тоді як поштова або телефонна комунікація може спиратися на законний інтерес з правом на заперечення.

B2B не виходить з-під дії GDPR: загальна адреса «contact@société» виходить з поля дії (пункт 14), але імейл з ім'ям «prenom.nom@» або ім'я співробітника залишаються персональними даними (CJUE, C-710/23); для самозайнятого особи «дані компанії» часто ідентифікують особу. Звідси чек-лист з п'яти запитань: чи є дані персональними? Чи маю я правову підставу для їх передачі? Чи сумісно це з початковою метою? Чи були особи проінформовані та чи можуть вони заперечити? Чи виключені заперечення, з доказом?

Це не теоретично: 15 травня 2025 року CNIL оштрафувала Solocal Marketing Services (900 000 €) та Caloga (80 000 €) за використання та перепродаж даних для пошуку клієнтів без дійсної правової підстави. Урок: відповідні дані продаються, невідповідні дані караються. Віддавайте перевагу агрегованим та анонімізованим даним і перевіряйте свої дані перед виходом на ринок.