Скандал с Cambridge Analytica гремел в 2018-м, но счёт за него Meta оплачивает до сих пор — и, судя по всему, будет оплачивать ещё долго. Рекордные штрафы, коллективные иски, годы судов и принудительная перестройка всей приватности: если сложить, один утечный кейс обходится компании в многие миллиарды долларов. Почему платёж растянулся на десятилетие, меняют ли рекордные санкции саму бизнес-модель платформ и что из этого следует российскому рынку — попробуем разобраться.
Всё началось невинно: психолог Александер Коган сделал квиз, а установившие его пользователи, сами того не понимая, приоткрыли дверь к профилям своих друзей. В итоге данные десятков миллионов аккаунтов — следствие называло цифру до 87 млн — осели у Cambridge Analytica, компании, строившей на них микротаргетинг политических кампаний. В марте 2018-го журналистские расследования и показания информатора Кристофера Уайли взорвали повестку: хэштег #DeleteFacebook, слушания в парламентах, паника на бирже. В один из дней капитализация таяла почти на $120 млрд — рекорд для фондового рынка.
Потом пришёл счёт. В 2019-м Федеральная торговая комиссия США выписала немыслимые для сферы приватности $5 млрд. SEC добавила $100 млн — за введение инвесторов в заблуждение. Британский регулятор отделался символическими £500 тыс. по старому закону. Коллективный иск американских пользователей Meta закрыла выплатой $725 млн — крупнейшим в истории США соглашением по делу о приватности. А в 2023-м ирландская комиссия по защите данных оштрафовала компанию на €1,2 млрд за незаконную передачу данных жителей ЕС в США — абсолютный рекорд по GDPR. И это только прямые штрафы: сверху — судебные издержки и обязательные многолетние программы по перестройке систем.
Штрафы за приватность всегда опаздывают на годы — и это не сбой, а конструкция системы. Чтобы назначить $5 млрд, FTC не пришлось заново доказывать саму утечку: кейс Cambridge Analytica нарушил мировое соглашение 2011 года, по которому Facebook обязался не передавать данные пользователей третьим лицам без согласия. Нарушенное старое обещание оказалось дороже нового скандала.
В ЕС всё двигается ещё медленнее. GDPR заработал лишь через пару месяцев после публикаций о Cambridge Analytica — но именно он задал нынешнюю планку: до 4% глобальной годовой выручки. Ирландский регулятор, через которого проходят почти все европейские дела американских платформ, расследовал трансатлантическую передачу данных несколько лет и снискал славу тормоза — пока Европейский совет по защите данных буквально не заставил его вынести решение. Дальше — неизбежные апелляции. Мораль простая: регуляторный жёрнов мелит неспешно, зато счёт приходит целиком и с процентами.
Формально даже рекордные выплаты для Meta фатальными не выглядят: при выручке выше $100 млрд в год штраф — болезненная, но переносимая строка расходов. Отсюда и циничная присказка про «лицензию на бизнес». Фокус, однако, в том, что модель платформы изменили не столько штрафы, сколько окружение.
Apple в 2021-м позволила пользователям запретить трекинг в приложениях — и Meta сама оценивала недополученную выручку примерно в $10 млрд в год. В Евросоюзе регуляторы добились права выбора для людей: согласиться на персонализированную рекламу или купить подписку без неё; модель «pay or consent» уже успела заработать компании отдельный штраф в сотни миллионов евро. Добавьте обязательный комитет по приватности в совете директоров и независимых аудиторов под надзором FTC — и картина складывается. Данные из бездонного бесплатного актива превращаются в обязательство, которое придётся оправдывать перед регулятором, рекламодателем и пользователем.
Базовый российский закон «О персональных данных» старше обоих скандалов: 152-ФЗ принят в 2006-м, а требование хранить данные россиян внутри страны действует с 2015 года — первым громким прецедентом стала блокировка LinkedIn в 2016-м. Главная боль у нас исторически не политический таргетинг, а утечки: базы клиентов служб доставки, маркетплейсов и банков регулярно оказываются в открытом доступе. Самый известный пример — слив заказов с адресами и телефонами в «Яндекс.Еде» в 2022-м.
Ответ законодателя — движение к европейской модели. Введены обязательные уведомления регулятора об инцидентах, ужесточён порядок трансграничной передачи, за утечки появились оборотные штрафы — вплоть до процентов годовой выручки и сотен миллионов рублей. Крупные игроки — Сбер, «Яндекс», VK — строят замкнутые экосистемы и обучают собственные нейросети на своих же данных, а государство через «Госуслуги» играет заметную роль в накоплении информации о гражданах. Узкое место — культура формального согласия: галочка в пользовательском соглашении по-прежнему заменяет реальный выбор. Именно здесь у российского регулирования наибольший запас роста.
Итог дела Cambridge Analytica — установленный рыночный курс персональных данных. Рекордные суммы показали: приватность давно не тема пресс-релизов, а финансовый риск, который регуляторы умеют конвертировать в живые деньги. Один лишь штраф модель таргетированной рекламы, скорее всего, не сломал. Но в связке с GDPR, DMA и решениями Apple, как ожидают многие наблюдатели, индустрия будет сдвигаться от принципа «собираем всё» к принципу «объясни, зачем тебе это». Россия движется туда же — от символических штрафов к оборотным. Значит, и у нас цена данных будет только расти — и это, пожалуй, единственный прогноз, в котором сегодня не сомневается никто.