Подводный камень · Персональные данные
Автоматический профайлинг без проверки
Оператор вправе строить профили, выводить чувствительные признаки, обогащать вашу запись данными брокеров и «общедоступных источников», использовать для новых целей данные, собранные ради безопасности, и принимать автоматические решения (цена, кредит, блокировка аккаунта, скоринг мошенничества) без участия человека.
- Тяжесть
- Серьёзно
- Как часто встречается
- Регулярно
- Устоит ли?
- Зависит от страны
- Формулировок
- 23
Как это выглядит в договоре
Redline ищет эти обороты в вашем тексте дословно. Составители редко придумывают новые формулировки — их копируют, поэтому одни и те же фразы всплывают в совершенно разных договорах.
В договорах на английском
- profiling
- we may infer
- automated decision-making
- risk score
- fraud score
- personalized pricing
- information from data brokers and other third-party sources
- publicly available sources
- we combine information we collect with information from third parties
- we may use information collected for security purposes to
- eligibility determinations
- credit decisions
В договорах на русском
- профилирование
- автоматизированная обработка персональных данных
- решения, порождающие юридические последствия
- скоринг
- оценка платёжеспособности
- из общедоступных источников
- данные, полученные от третьих лиц (партнёров)
- обогащение данных
- формирование профиля Пользователя
- анализ поведения и предпочтений
- определение индивидуальных предложений и цен
Проверьте свой договор
Вставьте пункт, страницу или весь документ. Из браузера ничего не уходит: сопоставление идёт прямо здесь, на этой странице, с формулировками выше.
Чем это бьёт
Вас оценивают по скорингам, которых вы не видите, построенным на данных, которых вы не давали; данные, собранные ради безопасности, превращаются в рекламные (Twitter заплатил за это 150 миллионов долларов); ошибки и дискриминацию трудно оспорить без права на объяснение.
Действует ли это условие у вас
Одно и то же условие бывает обычным в одной стране и ничтожным в другой. Ниже — что говорит закон там, где вы находитесь; это не разбор именно вашего договора.
152-ФЗ требует отдельного согласия на каждую цель и запрещает обусловливать услугу согласием на лишнюю обработку (ст. 9); трансграничная передача ограничена ст. 12, а с 2025 года утечка данных наказывается оборотным штрафом.
США
- Норма
- CCPA
- FCRA
- FTC
Евросоюз
- Норма
- GDPR Art 22
Великобритания
- Норма
- CMA37
- DUA Act 2025
- GDPR Art 22
- ICO
Россия
- Норма
- 152-ФЗ
- 218-ФЗ
- ст. 10.1
Где это уже случалось
Предписания регуляторов, решения судов и договоры, из-за которых всё началось.
- FTC/DOJ v. Twitter (2022) — $150M, security phone numbers repurposed for ad targeting
- ICO enforcement notice against Experian (Oct 2020) over data-broking marketing profiles
- FTC v. General Motors/OnStar (2025) — driving scores fed to consumer reporting agencies used by insurers
- FTC v. Rite Aid (2023) — automated facial-recognition flags led to false accusations
- California CPPA regulations on ADMT, risk assessments and cybersecurity audits — adopted Sept 2025
Что делать
По порядку: от того, что займёт минуту, до того, ради чего придётся написать письмо.
- Запросите логику, категории и источники профилирования
- Возражайте против профилирования в рекламных целях
- Требуйте рассмотрения значимых автоматических решений человеком
- Ищите фразу «мы объединяем информацию, полученную от третьих лиц», и запрашивайте названия поставщиков данных
- В России решение, порождающее юридические последствия, не может приниматься исключительно автоматически без вашего письменного согласия, а вы вправе заявить возражение и потребовать пересмотра с участием человека (ст. 16 152-ФЗ), а также узнать источник данных (ст. 14 152-ФЗ).
Что обычно идёт следом
Кто ставит одно такое условие, обычно ставит сразу несколько.