Захист персональних даних і GDPR: що має знати бізнес

Два різні режими, які легко переплутати

Український бізнес часто живе у двох режимах захисту даних одночасно й не розрізняє їх. Це і є головна причина помилок: компанія виконує українські вимоги й вважає, що «з GDPR усе гаразд», або навпаки — купує європейський шаблон політики й не виконує український закон.

Різниця в санкціях — у тисячі разів. Саме тому розмова про персональні дані для українського бізнесу насправді є розмовою про те, чи підпадає компанія під GDPR: український закон порушувати не варто, але ціна помилки в європейському режимі непорівнянна.

Варто додати, що Україна у 2010 році ратифікувала Конвенцію Ради Європи № 108 про захист осіб у зв’язку з автоматизованою обробкою персональних даних і Додатковий протокол до неї щодо наглядових органів і транскордонних потоків даних. Це означає базові зобов’язання, але не рівень GDPR.

Контекст — практика корпоративного права.

Коли український бізнес підпадає під GDPR

GDPR має екстериторіальну дію: він застосовується не лише до компаній, зареєстрованих у ЄС. За ст. 3 Регламенту під нього потрапляє обробка даних осіб, які перебувають у ЄС, якщо вона пов’язана з:

• пропонуванням товарів або послуг таким особам — незалежно від того, чи оплата вимагається; або
• моніторингом поведінки таких осіб на території ЄС.

Ознаки, за якими регулятори й суди визначають «пропонування послуг особам у ЄС»:

• сайт має мовні версії країн ЄС;
• ціни вказані в євро, приймаються європейські способи оплати;
• доставка або обслуговування в країнах ЄС;
• реклама, націлена на аудиторію конкретних країн ЄС;
• домен країни ЄС, контактні дані в ЄС, згадка європейських клієнтів у маркетингу.

«Моніторинг поведінки» — це аналітика, трекінг, профілювання, поведінкова реклама, cookie-трекери, скорингові моделі.

Остання рядок — найважливіша й найменш усвідомлена зміна за останні роки. Громадянство значення не має: GDPR захищає осіб, які перебувають у ЄС. Для багатьох українських сервісів це означає, що частина їхньої бази даних уже в європейському режимі.

Окремий обов’язок для тих, хто підпадає під GDPR без присутності в ЄС: ст. 27 Регламенту вимагає призначити представника в ЄС (письмово, із зазначенням у політиці конфіденційності). Це рідко роблять, і це одне з найлегше виявлюваних порушень — достатньо прочитати політику на сайті.

Шість підстав обробки: згода — не головна

Найпоширеніша помилка в українській практиці — вважати, що для будь-якої обробки персональних даних потрібна згода. Насправді згода за GDPR лише одна з шести правових підстав (ст. 6), і часто найгірша з них.

Чому згода незручна: вона має бути вільною, конкретною, інформованою й однозначною, її не можна «вшити» в договір як умову надання послуги, і — головне — її можна відкликати в будь-який момент, причому так само легко, як надати. Якщо обробка, без якої послуга неможлива, тримається на згоді, відкликання згоди ламає процес. Правильна підстава для такої обробки — виконання договору.

Український закон № 2297-VI також знає кілька підстав обробки, а не лише згоду, і встановлює окремі особливі вимоги для чутливих категорій даних (ст. 7) та для обробки, що становить особливий ризик для прав і свобод суб’єктів (ст. 9). До чутливих належать дані про расове чи етнічне походження, політичні, релігійні переконання, членство в партіях і профспілках, стан здоров’я, судимість, біометричні дані, статеве життя.

Практичний висновок: перед тим як збирати згоди, складіть реєстр обробок і для кожної визначте підставу. Більшість процесів у звичайній компанії тримається на договорі та юридичному обов’язку, і згода потрібна лише для маркетингу й необов’язкових cookie.

Обов’язки бізнесу: що треба мати фактично

Перелік нижче — мінімум, який перевіряють і європейські регулятори, і європейські замовники під час due diligence.

1. Політика конфіденційності — не декоративний текст, а документ, який чесно відповідає на питання: які дані збираються, з якою метою, на якій правовій підставі, скільки зберігаються, кому передаються (включно з конкретними категоріями третіх осіб і країнами), які права має особа і як їх реалізувати, хто контактна особа.
2. Реєстр обробок (ст. 30 GDPR) — внутрішній документ: процеси, категорії даних і суб’єктів, цілі, підстави, строки зберігання, одержувачі, транскордонні передачі, заходи безпеки.
3. Договори з процесорами (ст. 28 GDPR) — з кожним, хто обробляє дані за вашим дорученням: хостинг, CRM, бухгалтерський сервіс, email-платформа, аналітика, підрядники. Договір має обов’язковий набір умов, і «просто рахунок від постачальника» його не замінює.
4. Процедура реалізації прав суб’єкта даних: доступ, виправлення, видалення, обмеження обробки, перенесення, заперечення. За GDPR відповідь — протягом одного місяця, з можливістю продовження ще на два за складності. Процедура має бути описана й відома тим, хто приймає звернення.
5. Процедура реагування на інцидент (ст. 33 GDPR): повідомлення наглядового органу протягом 72 годин з моменту, коли про порушення стало відомо, а за високого ризику — також повідомлення самих суб’єктів даних. 72 години — це мало, тому процедура має існувати до інциденту, а не складатися під час нього.
6. Оцінка впливу на захист даних (DPIA, ст. 35 GDPR) — для обробок високого ризику: масштабне профілювання, систематичний моніторинг публічних місць, обробка чутливих даних у великому обсязі.
7. Відповідальна особа. За GDPR DPO обов’язковий у визначених випадках (ст. 37); за українським законом № 2297-VI володілець створює структурний підрозділ або призначає відповідальну особу, яка організовує роботу із захисту даних.
8. Технічні та організаційні заходи: розмежування доступу, шифрування, резервні копії, журналювання, навчання персоналу, NDA. Тут є перетин із захистом інформації компанії загалом — див. матеріал про захист комерційної таємниці.
9. Строки зберігання. Дані не можна тримати «назавжди»: для кожної категорії потрібен строк і процедура видалення після його спливу.

Окремо про cookie й трекери: обов’язкові технічні cookie працюють без згоди, аналітичні та рекламні — лише після отримання згоди, причому до встановлення скриптів. Банер, який встановлює трекери одночасно з показом повідомлення або має лише кнопку «Прийняти», європейські регулятори трактують як відсутність згоди.

Передача даних за кордон

Це найчастіше недооцінений блок, бо «передачею за кордон» є не лише надсилання файлу, а й доступ до даних із-за меж країни та зберігання в закордонній хмарі.

За українським законом. Стаття 29 Закону № 2297-VI допускає передачу персональних даних іноземним суб’єктам за умови належного захисту даних у відповідній державі. Держави - члени Європейського економічного простору та держави, які підписали Конвенцію № 108, вважаються такими, що забезпечують належний захист. Для інших держав передача можлива у визначених законом випадках, зокрема за однозначною згодою суб’єкта або коли це необхідно для виконання договору.

За GDPR — у зворотному напрямі. Передача даних із ЄС до України є передачею до третьої країни. Україна не має рішення Європейської Комісії про адекватність рівня захисту, тому така передача потребує відповідних гарантій за ст. 46 Регламенту — на практиці це стандартні договірні положення (SCC) у редакції 2021 року, разом із оцінкою ризиків передачі.

Що це означає практично для української ІТ-компанії чи сервісу, який працює з європейським замовником:

• у договорі з клієнтом з ЄС майже завжди буде DPA (data processing agreement) і SCC — і їх підписують не формально: умови містять зобов’язання щодо аудиту, субпроцесорів, повідомлення про інциденти, повернення й видалення даних;
• перелік субпроцесорів потрібно вести й узгоджувати: кожен ваш постачальник, який торкається даних замовника, є субпроцесором;
• вимоги щодо локалізації або заборони доступу з певних країн варто перевіряти до підписання — вони можуть бути несумісними з вашою архітектурою.

Ці умови часто й визначають, чи компанія взагалі отримає європейський контракт, тому їх читають разом із рештою договору — див. матеріал про договірну роботу.

Відповідальність: 34 тисячі гривень проти 20 мільйонів євро

Український режим

Відповідальність встановлює ст. 188-39 КУпАП. Неоподатковуваний мінімум доходів громадян для штрафів становить 17 грн, тому фактичні суми такі:

Отже максимум — близько 34 000 грн, тобто приблизно 700 євро. Це й робить український режим фактично беззубим: для більшості компаній такий штраф не є стимулом. Втім, окрім адміністративної відповідальності залишаються цивільні позови про відшкодування шкоди, а за незаконне поширення конфіденційної інформації про особу можлива й кримінальна відповідальність.

Режим GDPR

Стаття 83 Регламенту встановлює два рівні:

• до 10 млн євро або 2 % світового річного обороту (залежно від того, що більше) — за порушення обов’язків контролера й процесора: реєстр обробок, договори з процесорами, безпека, повідомлення про інциденти, DPIA, DPO;
• до 20 млн євро або 4 % світового річного обороту — за порушення основних принципів і підстав обробки, прав суб’єктів даних і правил транскордонної передачі.

Крім штрафу, наглядовий орган може заборонити обробку — для онлайн-сервісу це рівнозначно припиненню діяльності на відповідному ринку. А для B2B-компаній реальним наслідком найчастіше стає не штраф, а втрата контракту: європейський замовник проводить перевірку, не отримує реєстру обробок і DPA й обирає іншого постачальника.

Реформа: що змінить законопроєкт № 8153

Українське законодавство про персональні дані готується до повного переписування, і це варто враховувати в планах, але не варто приймати за діюче право — чого в публікаціях часто не розрізняють.

Стан справ: проєкт Закону «Про захист персональних даних» № 8153 зареєстровано 25 жовтня 2022 року, прийнято за основу у першому читанні 20 листопада 2024 року. 17 грудня 2025 року Верховна Рада ухвалила окрему постанову про особливості підготовки проєкту до другого читання, визначивши головним Комітет з питань правової політики. Станом на зараз проєкт готується до другого читання й законом не є.

Що він пропонує:

• Новий наглядовий орган — Національну комісію з питань захисту персональних даних та доступу до публічної інформації: контроль, розгляд скарг, накладення штрафів. Зараз ці функції виконує Уповноважений ВРУ з прав людини, який не має ні апарату, ні інструментів масштабу GDPR.
• Штрафи іншого порядку: від 10 тис. грн до 150 млн грн або до 8 % загального річного обороту юридичної особи за найсерйозніші порушення. Для порівняння, зараз максимум близько 34 тис. грн.
• Детальний опис прав суб’єкта даних і відповідних обов’язків контролера — на зразок GDPR, замість загальних формулювань чинного закону.
• Розширення переліку тих, кому дані можуть передаватися за кордон, із включенням міжнародних організацій і транснаціональних корпорацій.
• Термінологію й логіку контролер / оператор замість «володілець / розпорядник», узгоджену з GDPR і Конвенцією 108+.

Практичний висновок для бізнесу: якщо ви вже будуєте процеси за GDPR, реформа не стане шоком — ви просто застосуєте ті самі документи. Якщо ж compliance тримається на тому, що «штраф у нас 34 тисячі», то прийняття нового закону змінить ціну питання у тисячі разів, і підготуватися заздалегідь дешевше.

З чого почати: мінімальний план

1. Визначте свій режим. Чи пропонуєте ви товари й послуги особам у ЄС, чи моніторите їхню поведінку, чи обробляєте дані для європейського замовника. Від відповіді залежить усе інше.
2. Складіть реєстр обробок. Це найважливіший документ: без нього решту зробити неможливо, а з ним решта стає технічною роботою. Пройдіться по процесах: найм і кадри, продажі й CRM, маркетинг і розсилки, сайт і аналітика, служба підтримки, відеоспостереження, пропускний режим, бухгалтерія.
3. Визначте підставу для кожної обробки — і переведіть із «згоди» на «виконання договору» або «юридичний обов’язок» усе, що насправді на них тримається.
4. Проведіть інвентаризацію постачальників, які торкаються даних, і підпишіть із ними договори про обробку. Перевірте, де фізично зберігаються дані.
5. Перепишіть політику конфіденційності під реальні процеси, а не навпаки. Шаблон, який не відповідає фактичній обробці, гірший за відсутність політики: він фіксує порушення письмово.
6. Опишіть дві процедури: відповідь на звернення суб’єкта даних і реагування на інцидент за 72 години. Призначте відповідальну особу.
7. Налаштуйте cookie-банер так, щоб необов’язкові скрипти не вантажилися до згоди, і щоб відмовитися було так само легко, як погодитися.
8. Навчіть людей. Більшість інцидентів — це не хакери, а лист не тому адресату, спільний доступ до таблиці з даними клієнтів і експорт бази на особистий ноутбук.

Якщо готуєтеся до залучення інвестора або продажу бізнесу, усе перераховане все одно доведеться показати — блок захисту даних входить у стандартну перевірку, описану в матеріалі про due diligence бізнесу.