Закон про захист персональних даних і GDPR: що має знати український бізнес

Що таке персональні дані і чому це питання бізнесу

Персональні дані — це будь-які відомості, за якими можна прямо чи опосередковано ідентифікувати фізичну особу: ім’я, телефон, електронна пошта, IP-адреса, номер замовлення, фото, дані про здоров’я чи місцезнаходження. Такі дані є майже в кожної компанії: у CRM, у кадрових документах, у логах сервісу, у розсилках і навіть у листуванні з клієнтами.

Захист персональних даних — це не лише юридичний обов’язок. Для клієнтів і партнерів, особливо з ЄС, це показник зрілості компанії. Питання про обробку даних дедалі частіше з’являються в анкетах due diligence, тендерах і договорах.

Обробкою вважається практично будь-яка дія з даними: збирання, запис, зберігання, зміна, використання, передача, знеособлення чи знищення. Тобто навіть якщо компанія лише зберігає резюме кандидатів у спільній папці або експортує список клієнтів у таблицю, вона вже обробляє персональні дані і має дотримуватися відповідних правил.

Закон України «Про захист персональних даних»: основні вимоги

В Україні базовим актом є Закон «Про захист персональних даних» від 1 червня 2010 року № 2297-VI. Він визначає, хто такий володілець і розпорядник персональних даних, на яких підставах дозволено обробку, які права має суб’єкт даних і як дані мають бути захищені.

Контроль за додержанням законодавства про захист персональних даних здійснює Уповноважений Верховної Ради України з прав людини. Омбудсман може проводити перевірки, розглядати скарги громадян і надавати рекомендації щодо практичного застосування закону.

На практиці найчастіше виникають питання щодо згоди. Згода має бути добровільною, поінформованою і такою, яку можна підтвердити. Водночас згода — не єдина підстава: якщо дані потрібні для виконання договору з клієнтом або для ведення кадрового обліку за вимогами законодавства, окрема згода зазвичай не є оптимальним рішенням. Правильно обрана підстава спрощує подальшу роботу з даними.

• Обробка має відбуватися для чітко визначеної та законної мети і на законній підставі — зокрема за згодою особи, для виконання договору чи виконання обов’язку, встановленого законом.
• Обсяг даних має бути пропорційним меті, а строк зберігання — не довшим, ніж потрібно.
• Суб’єкт даних має право знати, хто і навіщо обробляє його дані, отримувати доступ до них, вимагати виправлення чи знищення.
• Володілець і розпорядник повинні вживати організаційних і технічних заходів для захисту даних від випадкової втрати, знищення та незаконного доступу.
• Для обробки окремих категорій даних, що становлять особливий ризик, закон передбачає повідомлення Уповноваженого — порядок і перелік варто перевіряти в актуальних документах Омбудсмана.

Коли GDPR застосовується до українських компаній

Загальний регламент про захист даних (GDPR, Регламент ЄС 2016/679) діє не лише всередині Євросоюзу. Відповідно до статті 3(2) він поширюється на компанії поза ЄС, якщо вони пропонують товари чи послуги людям, які перебувають у ЄС, або відстежують їхню поведінку в межах ЄС. Український інтернет-магазин із доставкою до Польщі чи SaaS-сервіс з аналітикою поведінки користувачів з Німеччини цілком можуть підпадати під дію GDPR.

Другий поширений сценарій — аутсорсинг. Якщо українська ІТ-компанія обробляє дані за дорученням європейського клієнта, вона діє як розпорядник (processor). Тоді клієнт зобов’язаний укласти з нею договір про обробку даних за статтею 28 GDPR, а сама компанія має виконувати його інструкції, забезпечувати безпеку і допомагати клієнту з запитами суб’єктів даних та інцидентами.

Якщо GDPR застосовується за статтею 3(2), компанія, як правило, повинна письмово призначити представника в ЄС відповідно до статті 27. Є винятки для епізодичної обробки з низьким ризиком, але їх варто оцінювати обережно.

Важливо розуміти, що сам факт доступності сайту з території ЄС ще не означає застосування GDPR. Оцінюють сукупність ознак: чи орієнтована пропозиція на ринок ЄС, чи є доставка до країн ЄС, чи ведеться аналітика або реклама, спрямована на користувачів у ЄС. Європейська рада із захисту даних (EDPB) надала щодо цього окремі настанови, до яких варто звертатися в неоднозначних випадках.

• Продаж товарів чи послуг людям у ЄС, зокрема з цінами в євро або мовами країн ЄС.
• Відстеження поведінки користувачів у ЄС: профілювання, поведінкова реклама, аналітика.
• Обробка даних за дорученням клієнтів з ЄС у ролі розпорядника.
• Передача даних з ЄС в Україну, яка потребує належних гарантій, наприклад стандартних договірних положень.

Законопроєкт № 8153: курс на наближення до GDPR

Чинний закон 2010 року багато в чому застарів, тому в межах євроінтеграції готується нове регулювання. Законопроєкт № 8153 «Про захист персональних даних» спрямований на наближення українського законодавства до GDPR. Верховна Рада ухвалила його в першому читанні 20 листопада 2024 року.

Законопроєкт передбачає ширший перелік принципів обробки, посилення прав суб’єктів даних та нові обов’язки для компаній, близькі до європейських. Остаточний текст може змінитися під час підготовки до другого читання, тому актуальний статус і редакцію варто перевіряти на офіційному сайті Верховної Ради. Практичний висновок простий: компанія, яка вже вибудувала процеси за логікою GDPR, буде значно краще готова до нового українського закону.

Поки новий закон не набрав чинності, компанії мають виконувати чинний закон 2010 року. Водночас не варто відкладати підготовку: перебудова процесів, оновлення договорів і навчання персоналу потребують часу, а перехідний період після ухвалення може виявитися коротким.

Ключові відмінності у підходах

GDPR детальніше регламентує відповідальність компанії. Він вимагає не просто дотримуватися правил, а вміти довести це документально — принцип підзвітності. Для цього використовуються реєстр операцій з обробки, оцінка впливу на захист даних для ризикових операцій, політики зберігання та процедури реагування на інциденти.

GDPR також встановлює обов’язок повідомляти наглядовий орган про порушення безпеки персональних даних без невиправданої затримки і, де це можливо, не пізніше ніж за 72 години. Штрафи за регламентом можуть бути суттєвими, тому європейські клієнти ретельно перевіряють своїх підрядників.

Ще одна відмінність — роль розпорядника. GDPR прямо покладає на розпорядника власні обов’язки: вести реєстр операцій, які він виконує за дорученням клієнтів, забезпечувати належний рівень безпеки, залучати суброзпорядників лише з дозволу замовника та повідомляти його про інциденти. Для українських аутсорсингових компаній це означає, що відповідальність не можна повністю перекласти на клієнта.

Практичний чек-лист для українського бізнесу

Незалежно від того, яке регулювання застосовується саме до вас, базові кроки однакові. Вони допомагають і виконати вимоги українського закону, і підготуватися до GDPR.

Не намагайтеся зробити все одночасно. Почніть з інвентаризації даних і реєстру операцій: без них неможливо правильно оцінити ризики, написати повідомлення про конфіденційність чи підготувати договори. Далі рухайтеся від найбільш ризикових процесів, наприклад обробки даних клієнтів у продукті, до менш критичних.

• Визначте, які персональні дані ви збираєте, звідки, для чого і де вони зберігаються.
• Складіть реєстр операцій з обробки і вкажіть правову підставу для кожної.
• Оцініть, чи підпадаєте ви під GDPR за статтею 3(2) або як розпорядник для клієнтів з ЄС.
• Оновіть повідомлення про конфіденційність на сайті та в застосунках — зрозумілою мовою.
• Перевірте договори з підрядниками і клієнтами: чи є умови щодо обробки даних.
• Налаштуйте процедуру обробки запитів суб’єктів даних: доступ, виправлення, видалення.
• Визначте строки зберігання і регулярно видаляйте зайве.
• Запровадьте базові заходи безпеки: контроль доступу, шифрування, резервні копії, журналювання.
• Підготуйте план реагування на інциденти та призначте відповідальних.
• Проведіть навчання працівників, які працюють з даними.

Як швидко оцінити свою готовність

Найскладніше — зрозуміти, з чого почати і де саме прогалини. Для цього на baltum.ai є безкоштовна самооцінка відповідності GDPR. Вона займає 10–15 хвилин: ви відповідаєте на запитання про свої процеси, а система формує оцінку готовності, звіт про прогалини і рекомендації на основі ШІ щодо наступних кроків.

Самооцінка не є юридичною консультацією чи сертифікацією, але дає структуровану картину стану справ. З таким звітом легше спланувати роботу, розподілити завдання в команді й, за потреби, предметно обговорити питання з юристом.

Стаття має інформаційний характер і не є юридичною консультацією. baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації.