В январе 2019 Фонд развития интернет-инициатив (ФРИИ) предложил внести изменения в закон «Об информации». Проект изменений дает россиянам возможность продавать собственные онлайн-данные бизнесу, получая вознаграждение, размер которого установлен в пределах 60 тыс. рублей в год. Эксперты из области телекома, интернет-рекламы, мобильных приложений, венчурного инвестирования, персонализации рекламы, банкинга и HR оценили перспективы законопроекта и прокомментировали возможные последствия внесения правок в законодательство.
Главная особенность поправок, предлагаемых ФРИИ, — это введение термина «деперсонализированные данные». Именно их предлагается продавать бизнесу, а пользователи будут получать процент от сделок, совершенных на основе этих данных. Во ФРИИ уверены, что пользователи смогут зарабатывать от 15 до 60 тыс. в год, а бизнес, в свою очередь, получит инструмент легального обмена пользовательской информацией и дополнительный доход. Критики отмечают, что проект ФРИИ разработан в интересах банков, операторов связи и крупнейших интернет-сервисов и недостаточно защищает конфиденциальность.
Денис Бочаров, менеджер по развитию бизнеса Orange Business Services
Предложение о продаже персональных данных третьим лицам по желанию их владельца — это уникальный прецедент. Последние из принятых законопроектов о персональных данных в России и за рубежом ужесточают требования по их хранению и обработке. Если инициатива будет поддержана, то в теории это позволит любому бизнесу покупать данные для выстраивания максимально эффективных маркетинговых кампаний за счет их точной персонализации под конкретного человека, а не под группу лиц со схожими атрибутами — например, увлечениями. Но само по себе приобретение данных не гарантирует результата: чтобы эффективно использовать полученные данные, понадобится внедрять новые решения для их анализа и привлекать к работе бизнес-аналитиков.
На данный момент не опубликованы подробности о том, как технически планируется реализовать деперсонализацию данных по желанию их владельца, а также осуществить их хранение и обработку, обеспечивая защиту от попадания в руки злоумышленников. Есть вероятность, что человек попадет в базу, сам того не желая. В таком случае возникают два вопроса: как он сможет проверить, не используются ли его данные по ошибке, и насколько быстро будет реализовано исключение персональных данных человека из реестра.
Александр Петерман, основатель Notify Network
Инициатива ФРИИ опережает время. Крупные агрегаторы данных осуществляют сбор и обмен как персональными, так и деперсонализированными данными, и для профессионалов рынка это не секрет, чего не скажешь о самих субъектах личных данных. Я вижу в таком законопроекте плюсы для самой отрасли: условия обмена и приобретения данных станут прозрачными для всех участников рынка — человек будет обладать развернутой информацией о том, где и какие данные о нем используются. Соответственно, появится возможность ограничивать распространение этих данных или, наоборот, предоставлять доступ с целью получения персональной выгоды и более качественных услуг.
Врезка
Я придерживаюсь концепции «Персональные данные — это нефть XXI века». Пока люди не осознали, что корпорации должны платить за возможность оперировать любой частичкой информации об индивидууме. На оперировании этой информацией строится многомиллиардный бизнес. Будет честно, если процент прибыли от оборота ваших же данных будете иметь и вы.
Сергей Шаров, CEO & Co-Founder в ASOdesk.com
Не совсем понятно определение деперсонализированных данных, насколько это действительно позволит человеку оставаться анонимным с учетом того, что он дает личное согласие на их использование. Посмотрим финальную версию документа. По поводу заработка: в цифры порядка 60 тыс. рублей я совсем не верю, это очень много, особенно, если взглянуть на весь рынок в целом.
Сейчас у банков, операторов связи и прочих сервисных компаний зачастую невозможно заключить договор на оказание услуг без пункта о передаче ваших персональных данных третьим лицам, а отказаться от этого пункта нельзя. Если закон позволит отказаться от передачи данных третьим лицам при заключении договора, то, скорее всего, большая часть интеллектуального населения страны будет этим пользоваться — заработок в несколько тысяч рублей в год не будет так интересен, как контроль за использованием своих данных.
Искандер Гиниятуллин, вице-президент по инвестициям венчурного фонда Sistema_VC
Сегодня не очевидно, что мы понимаем под персональными данными. Являются ли cookies персональными данными или результаты работы нейросети, которая обработала данные о деятельности какого-то человека? Принадлежит эта информация пользователю или уже нет? Определить «деперсонализированные» данные можно, только разрешив эти противоречия.
Какие-то персональные данные граждан на рынке уже есть, они в ходу у банков или телеком-операторов. Практика использования этих данных уже устоялась на рынке и существует на юридических основаниях, которые позволяют компаниям это делать, более того, бесплатно.
Создать механизм, который позволит физлицу получать деньги за использование его данных третьими лицами, теоретически возможно, но наша страна находится еще в самом начале пути, чтобы понимать, как именно это осуществить, и как будет определяться ценность данных.
Не совсем понятно, как оценивать то, за что и кому будут начисляться определенные суммы денег. Вероятно, человек с высоким доходом окажется более привлекателен в сравнении с тем, кто располагает скромным бюджетом, потому что у первого будет гораздо больший объем средств в обращении, он будет совершать больше транзакций и вести более активную жизнь как потребитель. Такой информацией компании будут интересоваться больше всего. Уже сейчас мы видим, что самый большой спрос — на поведенческие данные людей. Никому не важно, кто ты и какой у тебя домашний адрес. Всем важно, сколько ты потратил за последний месяц и на что, где проходит твой ежедневный маршрут, куда и как часто ты ездишь в отпуск.
Не думаю, что в случае принятия закона быстро произойдет какое-то радикальное изменение ситуации. Будут ли граждане действительно зарабатывать на своих данных? Маловероятно. В нашей стране решающим фактором является не наличие законодательной нормы, а правоприменительная практика, которая даже при наличии законов не всегда работает. Выводы можно будет делать только с течением времени: любой закон обрастает актами, нормативами. Поэтому нужно будет следить именно за тем, чем он будет дополнен и как игроки на рынке будут применять его на практике.
Игорь Волжанин, основатель и глава DataSine
Идея о деперсонализации и монетизации личных данных уже достаточно давно практикуется в Европе и применяется такими компаниями, как Digi.me. Потребитель получает возможность не только зарабатывать на собственных данных, но и получать инсайты по собственному потребительскому поведению. Несмотря на возникающие проблемы и ограничения, за подобными решениями будущее, ставящее во главу потребителя и его решения о том, как распоряжаться своими данными.
Если закон будет принят, перед государством встанет большая задача обучения всех участников их правам в рамках сферы применения. Компаниям предстоит глобальное изменение инфраструктуры и потенциально бизнес-моделей для того, чтобы удовлетворить требованиям законодательства.
Виктор Нозин, юрист рекламной программатик-платформы Segmento
Инициатива введения понятия больших пользовательских данных, правил и условий их оборота очень необходимая и своевременная. Сегодня существует пагубная для отрасли правоприменительная практика Роскомнадзора и судов, которая сделала все пользовательские данные персональными, в том числе данные об интересах. Между тем, рекламной отрасли, точнее, рекламораспространителям не нужна идентифицированная личность, им нужна информация о том, чем в реальном времени интересуется устройство пользователя сети.
Вместе с тем действующее законодательство позволит отрасли успешно работать, если стороны правоотношений договорятся о некоторых нюансах в рамках существующих норм. В частности, когда и какие данные могут быть признаны обезличенными, как нужно обезличить персональные данные, чтобы они были признаны таковыми. Необходимо конкретизировать определение «сделанных общедоступным субъектом персональных данных» и владельца таких данных: физическое лицо или лицо (например, соцсеть), создавшее базу общедоступных персональных данных.
И, наконец, необходимо решить, являются ли обезличенные данные персональными или перестают быть таковыми после обезличивания.
Опять же, уже сейчас требуется получать согласие пользователей на обработку их больших данных (cookie, модели устройства, IP и прочее), изначально объявив им цели такой обработки и сообщив, что данные могут передаваться либо быть проданными третьим лицам. При этом мы понимаем, что психологически пользователю будет легче дать такое согласие, если он будет знать, что данные действительно деперсонализированы или обезличены.
Но подкреплять эту инициативу посылом о заработке для пользователя нам кажется бессмысленным.
Юрий Тростин, Head of Analytics and Data Science сервиса Worki
Думаю, что с воплощением проекта может быть масса сложностей, потому что на практике непонятно, как именно люди будут получать деньги за продажу данных. Также сложно представить сам процесс оплаты и подсчет стоимости этих данных, почему сумма установлена в пределах 60 тыс. рублей в год, кто и как будет оценивать данные? Почему один субъект будет более привлекательным по сравнению с другим?
В теории это могло бы произойти через снижение стоимости продуктов тех компаний, которые являются главными бенефициарами этого проекта — владельцы крупнейших рекламных сеток (Яндекс, Google, Mail.ru, Facebook), телеком и банки. Но, во-первых, не все пользуются платными услугами этих компаний. Во-вторых, для компаний это просто будет дополнительный высокомаржинальный revenue stream (поток дохода — «Хайтек»), и акционеры не будут заинтересованы в том, чтобы в связи с его появлением снижать прибыльность основного бизнеса.
Олег Данилов, CEO сервиса «Турбо»
Предложение ФРИИ внести изменения в закон «Об информации» для запуска свободного оборота деперсонализированных данных на рынке России — пока только концепция. Юридическую силу оно получит лишь после внесения поправок в Госдуму.
Обсуждать последствия изменений слишком рано, ведь предложений и идей много, но лишь малая толика из них попадает на рассмотрение депутатами. Единственное, что можно утверждать, — вопрос использования данных пользователей недобросовестными компаниями действительно требует глубокой правовой проработки.
Иван Падерин, юрист, контролер изменений законодательства и регуляторных требований в банке для предпринимателей «Точка»
Не думаю, что из этой истории выйдет что-то хорошее: персональные данные еще глубже уйдут в теневой рынок, а никакого профита субъектам персональных данных в конечном счете от этого не будет. Уже сейчас понятно, что честно их покупать даже деперсонализированно никто не станет: будут просто продавать без разбора, и потом никто не узнает, давал какой-то конкретный субъект такое согласие или нет.
Что касается деперсонализации данных, здесь очень важна реализация процедуры. Действительно, по совокупности каких-то данных можно установить личность человека, даже не зная его ФИО и номер телефона. Поэтому нужно очень внимательно продумать механизм деперсонализации, чтобы не получилось так, что это просто формальная процедура.
Последствия всего этого могут быть такими, что на черный рынок хлынет поток «формально» недеперсонализированных данных, никакой выгоды субъектам при этом не будет. Мало того, будет еще сложнее защитить свои данные и найти виноватых.