GDPR може поширюватися на українську компанію навіть без офісу в ЄС. Це можливо, коли бізнес цілеспрямовано пропонує товари чи послуги людям, які перебувають у ЄС, або відстежує їхню поведінку там. Сам факт доступності українського сайту з Європи ще не означає автоматичного застосування регламенту.
Перед адаптацією сайту визначають, які персональні дані збираються, навіщо вони потрібні, кому передаються. Окремо перевіряють cookies, CRM, аналітику й рекламні пікселі.
GDPR це: коли правила поширюються на український бізнес
General Data Protection Regulation регулює обробку персональних даних у Європейському економічному просторі та за певних умов діє за його межами. Українська реєстрація компанії сама по собі не виключає застосування цих правил.
Що таке GDPR: територіальна дія, орієнтація на ринок ЄС
GDPR – це General Data Protection Regulation, або Загальний регламент про захист даних. Він встановлює правила збирання, використання, зберігання, передачі та видалення персональних даних, а також визначає права людей. Якщо пояснювати GDPR що це простими словами, це система вимог до роботи з персональною інформацією клієнтів, користувачів і працівників.
Регламент може поширюватися і на компанію поза ЄС. Це відбувається, зокрема, коли бізнес цілеспрямовано пропонує товари чи послуги людям, які перебувають у ЄС, або відстежує їхню поведінку. Ознаками такої орієнтації можуть бути доставка до країн ЄС, ціни в євро, локалізовані версії сайту чи реклама, спрямована на європейську аудиторію.
Самої доступності сайту з території ЄС недостатньо. Важливо, чи бізнес реально працює з цією аудиторією і обробляє персональну інформацію.
Захист даних: чим відрізняються controller і processor
Компанія має визначити свою роль у кожній операції з персональними даними. Від цього залежать обов’язки, договори з підрядниками, відповідальність перед користувачем.
Controller і processor: хто за що відповідає
Controller визначає цілі та основні засоби обробки, а processor працює з інформацією від його імені. Один бізнес може бути controller щодо клієнтів і processor у роботі на замовника.
Різницю зручно бачити на практиці:
| Роль | Що робить | Приклад |
|---|---|---|
| Controller | визначає цілі, засоби обробки | інтернет-магазин щодо даних покупців |
| Processor | обробляє інформацію за дорученням | CRM, хостинг, сервіс розсилок |
| Joint controllers | спільно визначають цілі й істотні засоби | партнери в одній операції обробки |
Поняття загальний регламент про захист даних охоплює обидві ролі, але їхні обов’язки різняться. Controller визначає правову підставу й забезпечує реалізацію прав користувача, а processor діє в межах документованих інструкцій та договору.
Ролі потрібно визначити до підготовки privacy-документів і договорів із сервісами.
GDPR compliance: що потрібно змінити на сайті
Щоб сайт відповідав вимогам, недостатньо лише опублікувати Privacy Policy і встановити cookie-банер. Спочатку потрібно описати потоки даних, а потім узгодити з ними документи, налаштування та роботу команди.
Правова підстава, cookies і права користувача
Практичну перевірку сайту варто провести послідовно:
- Визначити дані й цілі – форми, акаунти, платежі, CRM, аналітика, реклама, розсилки.
- Встановити правову підставу – згода, договір, законний інтерес, юридичний обов’язок або інша підстава ст. 6.
- Оновити Privacy Policy – описати controller, цілі, строки зберігання, отримувачів, права й передачі даних.
- Налаштувати cookies – необов’язкові трекери не запускати до належної згоди, а відмову зробити доступною.
- Побудувати процедури – доступ, виправлення, видалення, заперечення, витоки, звернення користувачів.
Статус GDPR compliant не підтверджується самим текстом політики. Компанія має довести, що заявлені правила виконуються, а згода, коли вона потрібна, є добровільною, конкретною, поінформованою та однозначною.
Cookie-банер має відповідати фактичним налаштуванням сайту та давати користувачеві можливість керувати згодою. Які документи потрібні сайту та як вони пов’язані між собою, детальніше пояснює матеріал «Політика конфіденційності, Cookie Policy та оферта».
Якщо цифровий продукт збирає персональні дані, передає їх підрядникам або працює з користувачами з ЄС, IT-право допомагає узгодити договори, privacy-документи та правила обробки даних із реальною моделлю роботи сервісу.
Дотримання вимог GDPR починається з розуміння того, яку інформацію збирає бізнес, як їх використовує, кому передає. Privacy-документи мають відповідати цим реальним процесам.
GDPR в Україні: права користувачів, передачі, штрафи
Україна не входить до ЄЕЗ, але український сайт або сервіс може підпадати під регламент через критерії ст. 3. Тому місце реєстрації бізнесу не можна використовувати як єдиний критерій.
GDPR countries: ЄЕЗ, міжнародні передачі та відповідальність
Регламент діє в державах ЄС і застосовується в Ісландії, Ліхтенштейні та Норвегії через ЄЕЗ. Для бізнесу поза ЄЕЗ вирішальними є критерії пропонування товарів, послуг і моніторингу поведінки.
Користувачеві потрібно забезпечити основні права:
- доступ – отримання інформації про обробку та копії даних;
- виправлення – коригування неточної інформації;
- видалення – стирання інформації за передбачених умов;
- обмеження та заперечення – припинення або звуження обробки у визначених випадках;
- переносимість – отримання певних даних у структурованому форматі, коли право застосовується.
Якщо інформація передається з ЄЕЗ в Україну, потрібно перевірити правовий механізм такої передачі, оскільки Україна не має рішення Єврокомісії про адекватність. Одним із поширених інструментів є Standard Contractual Clauses.
Регламент GDPR передбачає значні санкції. За найбільш серйозні порушення штраф може сягати 20 млн євро або 4% загального світового річного обороту підприємства – застосовується вищий показник.
GDPR compliance передбачає комплексну роботу із сайтом, договорами, підрядниками, передачею даних за кордон і внутрішніми процесами компанії.
FAQ: відповіді на часті питання
Чи застосовується GDPR до українського сайту без офісу в ЄС?
Так, якщо бізнес цілеспрямовано пропонує товари чи послуги людям у ЄС або відстежує їхню поведінку там.
Чи потрібна згода на всі cookies?
Ні. Технічно необхідні cookies можуть не вимагати згоди, а необов’язкові трекери оцінюють за ePrivacy та GDPR.
Чи достатньо опублікувати Privacy Policy?
Ні. Політика має відповідати фактичній обробці, правовим підставам, строкам зберігання, підрядникам і процедурам.
Який максимальний штраф передбачає GDPR?
Для найсерйозніших порушень – до 20 млн євро або 4% світового річного обороту підприємства, залежно від того, що вище.