صنعت دلالان داده سرانجام با مقررات واقعی روبرو میشود — معنای آن برای شما چیست

صنعت ۳۰۰ میلیارد دلاری که زندگی شما را بدون اجازه معامله کرد

دلالان داده — شرکت‌هایی که اطلاعات شخصی را بدون اطلاع فرد خریداری، جمع‌آوری و می‌فروشند — برای دهه‌ها یک صنعت ۳۰۰ میلیارد دلاری را با تقریباً هیچ پاسخگویی اداره کرده‌اند. این وضعیت در سال‌های ۲۰۲۴ و ۲۰۲۵ تغییر کرد. FTC اولین قانون قابل اجرای خود را برای دلالان داده وضع کرد، قانون حذف کالیفرنیا (SB 362) در ژانویه ۲۰۲۶ به اجرا درآمد، و نهادهای نظارتی اتحادیه اروپا یک جریمه ۱۵۰ میلیون یورویی علیه یک شبکه تبلیغاتی فرانسوی به دلیل فروش داده‌های موقعیت مکانی بدون رضایت GDPR اعمال کردند. دوران معامله داده‌های شخصی بدون عواقب در حال پایان است — اما نه به اندازه کافی سریع، و نه بدون حفره‌های قانونی.

دلالان داده واقعاً با اطلاعات شما چه می‌کنند

مدل کسب‌وکار ساده است: جمع‌آوری داده‌ها از هر منبع موجود، ترکیب آن‌ها در پروفایل‌های جامع، و فروش دسترسی به این پروفایل‌ها به تبلیغ‌کنندگان، بیمه‌گران، کارفرمایان، مجریان قانون و کمپین‌های سیاسی. منابع ورودی بسیار گسترده‌تر از چیزی است که بیشتر مردم تصور می‌کنند.

• سوابق عمومی: مالکیت املاک، پرونده‌های دادگاه، ثبت‌نام رأی‌دهندگان، مجوزهای حرفه‌ای
• برنامه‌های وفاداری: تاریخچه خرید از کارت‌های پاداش خرده‌فروشان، که درآمد، وضعیت سلامت و سبک زندگی را استنباط می‌کند
• SDKهای اپلیکیشن: اپلیکیشن‌های موبایل کدهای شخص ثالث را جاسازی می‌کنند که داده‌های موقعیت مکانی و شناسه‌های دستگاه را جمع‌آوری می‌کنند — اغلب با رضایتی که در یک شرایط خدمات ۴۰ صفحه‌ای دفن شده است
• داده‌های تراکنش کارت اعتباری: به صورت انبوه توسط پردازشگرهای پرداخت فروخته می‌شود و الگوهای هزینه‌کرد را در میان فروشندگان آشکار می‌کند
• پینگ‌های موقعیت مکانی: مختصات GPS از اپلیکیشن‌های آب‌وهوا، ابزارهای ناوبری و بازی‌های موبایل، با زمان‌بندی و ذخیره‌سازی نامحدود

یک پروفایل معمولی دلال داده برای یک بزرگسال آمریکایی شامل: نام کامل، آدرس‌های فعلی و تاریخی، شماره تلفن‌ها (از جمله شماره‌های ثبت‌نشده)، درآمد تخمینی خانوار، گرایش سیاسی استخراج‌شده از سوابق کمک‌های مالی، و شرایط سلامتی استنباط‌شده از خرید داروهای تجویزی، وسایل کمک حرکتی یا محصولات غذایی خاص است. این پروفایل‌ها به طور مداوم به‌روزرسانی می‌شوند و به هر کسی که مایل به پرداخت باشد فروخته می‌شوند.

بازیگران اصلی و کسانی که از آن‌ها استفاده می‌کنند

بازار دلالان داده تحت سلطه تعداد انگشت‌شماری از شرکت‌های بزرگ است که هر کدام تخصص متفاوتی دارند:

• Acxiom / LiveRamp: Acxiom پروفایل‌هایی برای تقریباً ۲.۵ میلیارد نفر در سراسر جهان نگهداری می‌کند. LiveRamp، زیرمجموعه آن، پلتفرم غالب "حل هویت" است — داده‌های آفلاین را به شناسه‌های تبلیغاتی دیجیتال متصل می‌کند تا برندها بتوانند افراد را در دستگاه‌های مختلف هدف‌گیری کنند. مشتریان اصلی: شرکت‌های کالاهای مصرفی و تبلیغ‌کنندگان خرده‌فروشی.
• Experian: که بیشتر به عنوان یک دفتر اعتباری شناخته می‌شود، بخش خدمات بازاریابی Experian داده‌های رفتاری و جمعیت‌شناختی را کاملاً جدا از پرونده‌های اعتباری خود می‌فروشد. این داده‌ها را به کمپین‌های پستی مستقیم، مدل‌های بیمه‌گری و هدف‌گیری محصولات مالی عرضه می‌کند.
• LexisNexis Risk Solutions: بر تأیید هویت، تشخیص تقلب و بررسی پیشینه متمرکز است. داده‌های آن توسط بانک‌ها، شرکت‌های بیمه و سازمان‌های دولتی از جمله مجریان قانون استفاده می‌شود — خط لوله‌ای که توجه قابل توجه ACLU را به خود جلب کرده است.
• Oracle Data Cloud (اکنون بخشی از Oracle Advertising): داده‌های خرید از خرده‌فروشان و داده‌های مصرف رسانه از ناشران را جمع‌آوری می‌کند. عمدتاً به کمپین‌های تبلیغاتی بزرگ شرکتی خدمات می‌دهد. Oracle اعلام کرد که تحت فشار نظارتی در سال ۲۰۲۴ کسب‌وکار داده‌های شخص ثالث خود را متوقف می‌کند، اگرچه مشارکت‌های داده اولیه آن ادامه دارد.
• Epsilon: متعلق به گروه تبلیغاتی فرانسوی Publicis، Epsilon گراف هویت CORE ID را اداره می‌کند و بر داده‌های برنامه وفاداری تمرکز دارد. پایگاه مشتریان اصلی شامل تولیدکنندگان خودرو، خدمات مالی و شرکت‌های مخابراتی است.
• Spokeo و BeenVerified: دلالان "جستجوی افراد" مصرف‌گرا. هر کسی می‌تواند ۲۰ تا ۳۰ دلار در ماه بپردازد تا آدرس‌ها، شماره تلفن‌ها، بستگان و سابقه شغلی هر شخص را با نام جستجو کند. این خدمات اغلب در موارد تعقیب استفاده می‌شوند، واقعیتی که در شکایات متعدد دادستان‌های ایالتی مستند شده است.

قانون حذف کالیفرنیا (SB 362): مهم‌ترین قانون حریم خصوصی ایالات متحده که درباره آن نشنیده‌اید

قانون حذف کالیفرنیا که در اکتبر ۲۰۲۳ امضا شد، در ژانویه ۲۰۲۶ به اجرا درآمد. این قانون از هر دلال داده ثبت‌شده در آژانس حفاظت از حریم خصوصی کالیفرنیا (CPPA) می‌خواهد که درخواست‌های حذف ارسال‌شده از طریق یک مکانیسم انصراف متمرکز واحد را اجرا کند — به این معنی که مصرف‌کنندگان می‌توانند داده‌های خود را از همه دلالان تحت پوشش با یک ارسال حذف کنند به جای اینکه صدها پورتال انصراف جداگانه را طی کنند.

این قانون برای هر شرکتی اعمال می‌شود که "آگاهانه اطلاعات شخصی مصرف‌کننده‌ای را که کسب‌وکار با او رابطه مستقیم ندارد جمع‌آوری و به اشخاص ثالث می‌فروشد." این قانون بیشتر صنعت را پوشش می‌دهد. با این حال، معافیت‌ها قابل توجه هستند:

• آژانس‌های گزارش اعتباری که تحت قانون گزارش اعتباری منصفانه فعالیت می‌کنند (Equifax، Experian، TransUnion) عمدتاً معاف هستند
• شرکت‌های بررسی پیشینه با اهداف تجاری مشروع — غربالگری استخدام، تأیید مستأجر — معافیت‌های گسترده‌ای دارند
• مؤسسات مالی تحت پوشش قانون Gramm-Leach-Bliley برای داده‌های مورد استفاده در محصولات مالی معاف هستند

CPPA موظف است مکانیسم حذف متمرکز را بسازد، با اجرا از سال ۲۰۲۶. جریمه‌های عدم رعایت به ۲۰۰ دلار به ازای هر مصرف‌کننده در روز می‌رسد، که برای دلالان بزرگ با میلیون‌ها پروفایل ریسک مالی قابل توجهی ایجاد می‌کند.

اجرای FTC: پرونده Kochava و توافق X-Mode

کمیسیون تجارت فدرال سال‌ها گزارش‌هایی درباره دلالان داده بدون اختیار اجرایی منتشر کرد. این وضعیت تحت اختیار رویه‌های ناعادلانه بخش ۵ قانون FTC تغییر کرد و آژانس شروع به درمان فروش داده‌های موقعیت مکانی به عنوان ذاتاً مضر کرد.

در سال ۲۰۲۲، FTC از Kochava، یک شرکت تحلیل موبایل، به دلیل فروش داده‌های دقیق موقعیت مکانی که می‌توانست برای شناسایی افرادی که از کلینیک‌های سقط جنین، مراکز درمان اعتیاد و پناهگاه‌های خشونت خانگی بازدید می‌کنند استفاده شود، شکایت کرد. این پرونده ثابت کرد که فروش داده‌های موقعیت مکانی حساس بدون رضایت یک "رویه ناعادلانه" تجاری است، صرف‌نظر از اینکه مصرف‌کنندگان از نظر فنی با جمع‌آوری داده‌ها در شرایط خدمات یک اپلیکیشن موافقت کرده باشند. این دعوی تا اواسط ۲۰۲۶ در جریان است.

در ژانویه ۲۰۲۴، FTC با X-Mode Social (تغییر نام به Outlogic) به مبلغ ۴.۹۵ میلیون دلار توافق کرد — اولین توافق دلال داده در تاریخ FTC شامل داده‌های موقعیت مکانی. X-Mode داده‌های دقیق موقعیت مکانی را به پیمانکاران نظامی و سازمان‌های دولتی ایالات متحده فروخته بود، از جمله داده‌هایی که می‌توانست مکان‌های مذهبی، تجمعات سیاسی و مراکز پزشکی را شناسایی کند. این توافق مستلزم حذف همه داده‌ها و ممنوعیت فروش اطلاعات موقعیت مکانی حساس بدون رضایت صریح بود.

FTC همچنین یک قانون‌گذاری رسمی پیشنهاد کرده است که داده‌های موقعیت مکانی و داده‌های سلامت را به طور قطعی "حساس" طبقه‌بندی کند، که نیازمند رضایت صریح قبل از جمع‌آوری یا فروش است — استانداردی بسیار بالاتر از رویه فعلی صنعت که انصراف-اگر-می‌توانید-آن-را-پیدا-کنید است.

اجرای اتحادیه اروپا: ماده ۹ GDPR سرانجام قدرت دارد

مقررات عمومی حفاظت از داده اتحادیه اروپا از سال ۲۰۱۸ به طور اسمی فروش داده‌های شخصی حساس را بدون رضایت صریح ممنوع کرده است. اجرا تا سال ۲۰۲۴ کند بود، زمانی که نهادهای نظارتی توجه خود را به زنجیره تأمین فناوری تبلیغات معطوف کردند.

مرجع حفاظت از داده فرانسه (CNIL) یک جریمه ۱۵۰ میلیون یورویی بر یک شبکه تبلیغاتی فرانسوی به دلیل فروش داده‌های موقعیت مکانی از اپلیکیشن‌های موبایل به تبلیغ‌کنندگان بدون دریافت رضایت مطابق با GDPR اعمال کرد. این پرونده بر تفسیر ماده ۹ — که داده‌های سلامت، سیاسی، مذهبی و بیومتریک را پوشش می‌دهد — به عنوان اعمال بر ویژگی‌های استنباط‌شده از الگوهای موقعیت مکانی متمرکز بود، نه فقط دسته‌های حساس جمع‌آوری‌شده مستقیم.

کمیسیون حفاظت از داده ایرلند (DPC)، که به دلیل مقر شرکت‌های فناوری در ایرلند، بیشتر عملیات اتحادیه اروپایی سیلیکون ولی را نظارت می‌کند، تحقیقاتی را درباره SDKهای تبلیغاتی موبایل فعال در اتحادیه اروپا آغاز کرد. با توجه به اینکه DPC ایرلند از نظر تاریخی به دلیل اجرای کند مورد انتقاد قرار گرفته است، این تحقیقات نشان‌دهنده یک تشدید معنادار است. جریمه‌های GDPR می‌تواند به ۴٪ از درآمد سالانه جهانی برسد، که برای دلالان بزرگ داده ریسک مالی وجودی ایجاد می‌کند.

معنای این در عمل در حال حاضر چیست

مقررات تأثیر قابل اندازه‌گیری اما ناقصی بر صنعت داشته است. دلالان داده شروع به اجرای فعال‌تر درخواست‌های حذف کرده‌اند — نه از روی حسن نیت، بلکه به دلیل اینکه ممیزی‌های CPPA و نظارت FTC عدم رعایت را پرهزینه می‌کند. پورتال‌های انصراف که قبلاً نیاز به پست فیزیکی و اسناد محضری داشتند اکنون به صورت آنلاین در دسترس هستند.

با این حال، مشکل ساختاری اساسی همچنان پابرجاست: حذف دائمی نیست. دلالان داده خطوط لوله خودکار بازخراش را اجرا می‌کنند که به طور مداوم از سوابق عمومی، SDKهای اپلیکیشن و شرکای داده برداشت می‌کنند. یک پروفایل که امروز حذف می‌شود می‌تواند در ۳۰ تا ۹۰ روز از نقاط داده جدید بازسازی شود. به همین دلیل است که خدمات حذف مصرف‌کننده نیاز به اشتراک‌های مداوم دارند، نه پاکسازی یکباره.

ابزارهایی برای حذف واقعی داده‌های شما

سه سرویس بر بازار حذف داده مصرف‌کننده تسلط دارند:

• DeleteMe (۱۲۹ دلار در سال برای یک نفر): به صورت دستی درخواست‌های انصراف را به بیش از ۷۵۰ دلال داده از طرف کاربران ارسال می‌کند، با ارسال مجدد سه‌ماهه برای گرفتن پروفایل‌های دوباره ظاهر شده. Spokeo، BeenVerified، Whitepages، Intelius و بیشتر دلالان اصلی جستجوی افراد را پوشش می‌دهد. دفاتر اعتباری را پوشش نمی‌دهد.
• Privacy Bee (۱۹۷ دلار در سال): پوشش گسترده‌تر از DeleteMe، ادعای ۲۰۰+ سایت دلال اضافی. شامل یک افزونه مرورگر است که درخوا