Испанский YouTube-блогер Карлес Тамайо снова задел за живое — в привычном для него неформальном, смешном и остром стиле. В заключительном эпизоде документального сериала Se nos ha ido de las manos («Всё вышло из-под контроля»), премьера которого состоялась на испанском общественном телевидении в апреле 2026 года, он разбирается, как компании покупают и продают персональные данные.

Эпизод под названием El activo eres tú («Актив — это вы») ставит неудобный вопрос: у кого наши данные и что с ними делают? И чем мы готовы пожертвовать в обмен на обещание чего-то бесплатного? После спам-звонков от компаний, которые знали о нём слишком много, Тамайо превратил собственную продакшн-компанию в брокера данных, чтобы изнутри увидеть, как собирают и продают персональные данные.

Рассказываем, как устроен бизнес брокеров данных и какие права вам даёт GDPR (Общий регламент по защите данных).

Кто такие брокеры данных и как они зарабатывают

Брокер данных — это компания, которая собирает, анализирует и продаёт информацию о людях и организациях. Ценность этой информации для покупателей в том, как её можно объединять и анализировать. Привычки, интересы, данные о местоположении и другие сигналы можно связать воедино — всё чаще с помощью ИИ — и превратить во что-то пригодное к использованию. Брокеры данных продают сырьё, из которого можно составить профиль практически любого человека.

В расследовании Тамайо, например, один брокер данных предлагает ему информацию о людях, у которых недавно родился ребёнок. Эти молодые родители оставили свои данные в больнице в обмен на участие в розыгрыше призов для новорождённых.

Брокеры данных обычно собирают адреса электронной почты, IP-адреса(новое окно), приблизительное местоположение, онлайн-покупки, поисковые запросы, интересы, выбранные в приложении, и устройства, которые человек использует.

Звонили когда-нибудь из телефонной компании (или любой другой) и думали, откуда у них ваш номер? Всё проще, чем кажется. Файлы cookie, мобильные приложения и онлайн-формы могут собирать вашу информацию и передавать её брокерам данных. То же самое делают офлайн-источники: карты лояльности, розыгрыши призов и государственные реестры.

Что такое файлы cookie и зачем они нужны

Вы видели их на каждом сайте, который посещаете: небольшое всплывающее окно с просьбой принять или отклонить файлы cookie. Скорее всего, вы пробегаете его глазами, принимаете cookie(новое окно) и идёте дальше, так и не задавшись вопросом, что такое файлы cookie на самом деле(новое окно) и на что вы только что разрешили компаниям использовать ваши данные.

Файлы cookie — это небольшие файлы, которые сайт сохраняет в вашем браузере, чтобы запомнить информацию о посещении. Брокеров данных интересуют рекламные cookie: они предназначены для составления поведенческих профилей и показа персонализированной рекламы.

Но сегодня вас можно отслеживать методами, которые выходят далеко за пределы cookie. Например, цифровой отпечаток браузера создаёт уникальную подпись из характеристик вашего устройства, а межсайтовое отслеживание фиксирует вашу активность при переходе с сайта на сайт. На мобильных устройствах рекламные идентификаторы делают нечто похожее, привязывая ваше поведение к постоянному идентификатору.

Отказ от cookie повышает конфиденциальность, но не гарантирует её полностью. А когда вы начинаете задаваться вопросами, куда уходят ваши данные, у кого они хранятся и как используются, неизбежно возникает вопрос: законна ли торговля вашими данными в принципе?

Как GDPR защищает вас

GDPR — это свод правил Евросоюза, регулирующий сбор, использование, передачу и хранение персональных данных любого человека в ЕС организациями и компаниями. Он распространяется и на компании за пределами ЕС, которые работают с людьми в Евросоюзе. В Испании за соблюдение отвечает Испанское агентство по защите данных (AEPD), которое также рассматривает жалобы на нарушения этих прав компаниями.

GDPR закрепляет несколько основополагающих прав:

Право на доступ: узнайте, какие персональные данные о вас хранит компания, для чего она их использует, кому передавала и откуда получила. Вы также можете запросить копию.

Право на исправление: требуйте исправления неверной или устаревшей информации.

Право на удаление: известное как «право быть забытым», оно позволяет требовать удаления ваших данных, когда компания больше в них не нуждается, когда вы отзываете согласие или возражаете против их использования, а также если данные обрабатывались незаконно.

Право на возражение: отказывайтесь от определённых видов обработки, например от использования ваших данных в рекламе. В случае прямого маркетинга это право абсолютно: после вашего возражения компания обязана прекратить обработку.

Право на переносимость данных: получайте переданные компании персональные данные в структурированном, общепринятом и машиночитаемом формате, чтобы перенести их к другому поставщику услуг. Это право действует, когда компания обрабатывает ваши данные автоматизированным способом на основании вашего согласия или договора.

GDPR даёт людям права, которые можно отстоять и которые подкреплены штрафами, но многие не знают, что воспользоваться этими правами можно бесплатно. Компания вправе взять плату или отказать, только если запрос явно необоснован или чрезмерен.

Как показывает расследование Тамайо, между гарантиями, которые даёт закон, и тем, что рядовой гражданин знает о защите своей личной информации, — огромная пропасть. Из-за этого людям труднее пользоваться доступными им правовыми инструментами и вернуть контроль над своими данными.

Как использовать права по GDPR против брокеров данных

Права, перечисленные выше, работают, только если ими пользоваться. Ни одно из них не требует юриста или специального бланка: достаточно письма на адрес компании по вопросам конфиденциальности.

Спросите, откуда взялись ваши данные. Если компания связывается с вами, а вы никогда не оставляли ей свои данные, спросите об источнике. По праву на доступ она обязана ответить, и этот ответ часто ведёт прямо к брокеру данных.

Отправьте запрос на доступ. Спросите компанию или брокера, какие данные о вас у них есть, для чего они используются и кому передавались, и попросите копию. Запрос бесплатный, и компания обязана ответить в течение месяца. Для сложных запросов срок можно продлить ещё на два месяца, но об этом нужно вас уведомить.

Возразите и потребуйте удаления. В том же письме вы можете возразить против использования ваших данных в маркетинге и попросить их удалить. Компания также обязана передать требование об удалении всем, кому она передавала ваши данные, если это невозможно или требует несоразмерных усилий.

Зарегистрируйтесь в Lista Robinson. В Испании компании, занимающиеся прямым маркетингом, обязаны проверять этот список отказов от рекламы, прежде чем связаться с вами. Регистрация бесплатна.

Пожалуйтесь в AEPD. Если компания игнорирует вас, отказывает без веской причины или пропускает срок, вы можете бесплатно подать жалобу в Испанское агентство по защите данных.

Как ограничить объём данных, которые собирают брокеры

Права по GDPR помогают разобраться с тем, что уже утекло в сеть. Несколько простых привычек сократят поток новых данных, которые попадают к брокерам.

Проверьте разрешения приложений и отключите доступ, который приложению не нужен для работы, особенно к геолокации, контактам и фотографиям.

Отклоняйте необязательные файлы cookie. На сайтах в ЕС отказ должен быть таким же простым, как и согласие, а сам отказ блокирует рекламные cookie, которые питают поведенческие профили.

Не входите в аккаунты на сайтах и в сервисах, если просто просматриваете их. Когда вы вошли в Google, YouTube, Amazon или новостной сайт, всё, что вы ищете, смотрите, читаете или покупаете, привязано к вашему аккаунту. Просмотр без входа даёт компаниям меньше данных, которые можно связать с вами.

Пользуйтесь браузером, ориентированным на конфиденциальность, например, Firefox или Brave: они по умолчанию блокируют многие трекеры. Также можно присмотреться к европейским альтернативным браузерам, которые заботятся о конфиденциальности.

Переходите на Proton Mail — наш конфиденциальный и безопасный сервис электронной почты, который не может читать ваши письма и не сканирует почтовый ящик ради рекламы, отслеживания или слежки. Он также блокирует пиксели отслеживания, которые маркетологи обычно используют, чтобы узнать, когда вы открыли письмо (и другие показатели).

Используйте VPN(новое окно), чтобы скрыть свой IP-адрес от сайтов, приложений и рекламных сетей, — тогда они не смогут по нему определить ваше местоположение или связать вашу активность на разных сайтах. У Proton VPN есть также функция NetShield, которая блокирует рекламу и трекеры ещё до загрузки. Сервис придерживается независимо проверенной политики отсутствия журналов активности(новое окно) и не хранит записей о том, что вы делаете онлайн.

Пользуйтесь зашифрованным менеджером паролей, чтобы создавать надёжные уникальные пароли: тогда утечка одного аккаунта не раскроет остальные. Proton Pass также предлагает псевдонимы hide-my-email для рассылок, розыгрышей призов и интернет-магазинов. Если на какой-то из них начнёт приходить спам, вы увидите, кто мог передать или раскрыть адрес, и отключите псевдоним.

Как ясно показывает расследование Тамайо, брокеры данных — часть бизнес-модели, построенной на наших данных. Но GDPR и инструменты защиты конфиденциальности дают нам способы вернуть контроль. Цель не в том, чтобы исчезнуть из интернета, а в том, чтобы осознанно решать, кому и зачем разрешён доступ к нашим данным.