Отсутствие специального регулирования деятельности дата-брокеров в зависимости от применимой регуляторной модели (США, ЕС, Китай или Россия) может приводить к диспропорции интересов бизнеса и граждан, объясняет Дмитриев. Так, например, в России это очевидно приводит к невозможности полной реализации субъектами своих прав, включая в т.ч. отсутствие информирования об использовании данных (какие данные, в каких целях и кому передаются), отсутствие возможности отказаться или запретить обработку данных, сложности обеспечения защиты данных и предотвращения масштабных утечек данных и др.
В тоже время, продолжает Дмитриев, это вовсе не означает, что все компании, монетизирующие данные в России — правонарушители. При этом сложившиеся в России формализм регулирования, бумажный контроль его соблюдения, бизнес-ментальность и даже, потребительская виктимность в совокупности способны оставить безнаказанной даже бесконтрольную торговлю данными. И эта проблема мало связана с отсутствием специального отраслевого регулирования. Дмитриев считает, что такие компании должны подлежать большему контролю со стороны регуляторов, должны внедрять повышенные меры информационной безопасности и ограничения несанкционированного доступа.
Например, регуляторы Великобритании, Франции, Ирландии и других стран в течение последних лет пристально следят за деятельностью дата-брокеров в рамках GDPR и иных актов общего регулирования. Так, в октябре 2020 года британский регулятор завершил двухлетнее расследование в отношении таких дата-брокеров, как Equifax, Experian, TransUnion и потребовал устранить допущенные нарушения при обработке данных в соответствии с GDPR.
Своего рода прорывом стал закон о дата-брокерах в американском штате Вермонт, который вступил в силу в 2019 году. Он не только вывел компании из серой зоны, но и включил в единый реестр, где их сейчас больше сотни (к ним, в частности, причислен Oracle). Тем не менее, принятый в США закон не покрывает все ключевые элементы обработки данных дата-брокерами, объясняет Дмитриев. Например, дата-брокеры не обязаны получать согласие пользователей на агрегирование/продажу их данных даже в случае обработки биометрических/специальных категорий данных; не обязаны раскрывать информацию о субъектах, категориях данных, клиентах дата-брокеров; пользователи не могут получить доступ к перечню их данных, обрабатываемых конкретным дата-брокером. В других странах в отсутствие специального регулирования могут возникать сложности с эффективным контролем за обработкой данных дата-брокерами и их клиентами, говорит он.
Создание дата-брокеров позволило бы бизнесу обеспечить одновременно прозрачность обработки данных для субъектов и наличие правомерного основания использования данных для бизнеса. Ведь данные служат не только для обогащения бизнеса, но зачастую приносят пользу и самим потребителям, например, дают возможность производителям создавать востребованные продукты и контент, создают действительно удобные сервисы с предиктивной аналитикой и многое другое, подчеркивает Дмитриев.
Сейчас все в России одержимы созданием экосистем, поэтому все хотят аккумулировать как можно больше данных и быть автономными. По оценкам Morgan Stanley один только Сбербанк тратит на ее строительство 200 млрд рублей в год (для сравнения: Mail.ru и «Яндекс» с 2010 года вложили в свои экосистемы 130 млрд рублей). Часто крупным компаниям проще купить небольшие инновационные стартапы и ввести во внутренний контур их данные и технологии, чем вести с ними бизнес, из-за потенциальных рисков нарушения законодательства. Это бы не потребовалось при наличии развитого легального рынка дата-брокериджа, подытоживает Нейман.