Навіщо українському бізнесу новий закон про персональні дані
Закон України «Про захист персональних даних» №2297-VI ухвалили ще 1 червня 2010 року. Він і досі чинний, але писався до GDPR, до хмарних сервісів, до масового аутсорсу в ІТ і до того, як персональні дані стали одним із головних активів бізнесу. У ньому немає ані поняття «біометричні дані», ані чіткого розмежування контролера й оператора персональних даних у сенсі, звичному для GDPR, ані обов'язку повідомляти про витік у певний строк.
Проблему визнають на рівні Верховної Ради: ще у 2022 році група депутатів на чолі з Русланом Стефанчуком зареєструвала законопроєкт №8153 «Про захист персональних даних» — фактично нову редакцію закону 2010 року. Мета, прописана в пояснювальній записці, пряма: усунути невідповідність українського законодавства нормам ЄС у цій сфері, зокрема Регламенту (ЄС) 2016/679, тобто GDPR.
Для бізнесу, який працює з клієнтами чи партнерами з ЄС, це не абстрактна законотворчість. GDPR має екстериторіальну дію: якщо компанія — навіть українська, без офісу в Європі — пропонує товари або послуги мешканцям ЄС або відстежує їхню поведінку (аналітика, реклама, профілювання), на неї поширюються вимоги GDPR вже сьогодні, незалежно від того, коли запрацює новий український закон. Український законопроєкт у цьому сенсі не створює нових обов'язків «з нуля» для такого бізнесу, а радше приводить внутрішнє законодавство у відповідність до реальності, у якій частина компаній уже живе.
Що зараз із законопроєктом №8153: стан на серпень 2026
Законопроєкт зареєстрували 25.10.2022. Спершу профільним був Комітет Верховної Ради з питань прав людини, деокупації та реінтеграції тимчасово окупованих територій — саме він супроводжував розгляд у першому читанні, і 20 листопада 2024 року Верховна Рада прийняла законопроєкт за основу, з дорученням доопрацювати його положення відповідно до частини першої статті 116 Регламенту Верховної Ради (тобто з правом вносити правки, що виправляють текст, без повторного першого читання).
Після цього законопроєкт понад рік лежав у роботі. Рух відновився наприкінці 2025 року: 4 грудня 2025 року зареєстровано проєкт постанови №8153/П1 «про особливості підготовки до другого читання», а постановою Верховної Ради від 17 грудня 2025 року справу законопроєкту передали Комітету з питань правової політики — саме він тепер головний комітет і готує текст до другого читання. За офіційною карткою законопроєкту на сайті Верховної Ради станом на серпень 2026 його статус — «готується на друге читання». Дати ухвалення в другому читанні, підписання і, головне, набрання чинності поки що немає — і це важливо: жодних договірних чи операційних рішень не варто відкладати «до нового закону», бо термінів ще не існує.
Комітет Верховної Ради з питань інтеграції України до Європейського Союзу вже висловився: законопроєкт не суперечить цілям Угоди про асоціацію й праву ЄС, але потребує доопрацювання саме для повного врахування положень Регламенту 2016/679. Це та експертиза, з якої й випливають правки другого читання.
Кого стосується закон: контролери, оператори і «це не тільки про ІТ»
І чинний закон, і законопроєкт стосуються будь-кого, хто обробляє персональні дані фізичних осіб у межах господарської діяльності — а це практично весь бізнес, а не лише продуктові ІТ-компанії. Дані клієнтів у CRM, резюме кандидатів, дані працівників у кадровому обліку, контакти в базі розсилки, записи камер відеоспостереження в офісі чи магазині — усе це персональні дані в розумінні закону.
Законопроєкт №8153 вводить звичну для GDPR термінологію: контролер (володілець) визначає мету й засоби обробки даних, оператор (розпорядник) обробляє дані за дорученням контролера. Це не косметична заміна слів — від статусу залежить обсяг обов'язків: контролер відповідає за законність обробки й за відносини із суб'єктом даних, оператор — переважно за технічну й організаційну безпеку в межах доручення. Для компаній, які працюють на аутсорсі чи субпідряді (типова модель для ІТ-аутсорсу), це означає необхідність чітко прописувати в договорі, хто є контролером, а хто оператором, і на яких умовах відбувається обробка.
| Критерій | Закон №2297-VI (чинний) | Законопроєкт №8153 | GDPR (ЄС) |
|---|---|---|---|
| Наглядовий орган | Уповноважений ВРУ з прав людини (з 2014 р.) | Окремий незалежний регулятор — за супутнім законопроєктом №6177 | Національні органи захисту даних (DPA) у кожній країні ЄС |
| Термінологія «контролер / оператор» | Відсутня в сучасному вигляді (є «володілець/розпорядник» без деталізації GDPR-стандарту) | Вводиться за зразком GDPR | Controller / processor |
| Обов'язок повідомляти про витік | Чітко не прописаний | Планується запровадити обов'язкове інформування регулятора й суб'єктів даних | 72 години на повідомлення наглядового органу |
| Максимальний штраф | До 2000 неоподатковуваних мінімумів (КУпАП, ст. 188-39) | Обговорюється підвищення штрафів у процесі другого читання | До 20 млн євро або 4% глобального річного обороту |
| Статус на серпень 2026 | Чинний | Прийнято за основу, готується друге читання | Чинний з 25.05.2018 |
Права суб'єктів даних і нові обов'язки бізнесу
Уже чинний закон дає людині право знати, які її дані обробляються, вимагати їх виправлення чи знищення і відкликати згоду на обробку. Законопроєкт №8153 деталізує цей перелік у логіці GDPR: право на доступ до своїх даних, право на виправлення, право на видалення («право бути забутим» у обмеженому вигляді), право на обмеження обробки й право на заперечення проти обробки в певних випадках, зокрема для маркетингових цілей.
Для бізнесу практичний наслідок один: потрібен не просто рядок «згоден з обробкою персональних даних» у формі на сайті, а робочий процес. Хто в компанії відповідає за такі запити, у який строк на них відповідають, як підтвердити особу заявника, що робити, якщо видалити дані технічно неможливо (наприклад, вони потрібні для бухгалтерської звітності) — усе це має бути прописано внутрішньою політикою ще до того, як перший клієнт напише «видаліть мої дані».
Окремо законопроєкт закладає обов'язок повідомляти суб'єкта даних про факт і мету обробки в момент збору даних, а не постфактум. Це стосується форм на сайті, анкет при працевлаштуванні, опитувань — практично будь-якої точки контакту, де компанія отримує персональні дані від людини напряму.
Новий регулятор замість Уповноваженого ВРУ: чому це окрема історія
З 1 січня 2014 року контроль за дотриманням законодавства про захист персональних даних в Україні здійснює Уповноважений Верховної Ради України з прав людини — це та функція, яку раніше виконувала окрема Державна служба з питань захисту персональних даних. Омбудсман проводить перевірки володільців і розпорядників баз персональних даних, і за результатами може передати матеріали для притягнення до адміністративної чи, у виняткових випадках, кримінальної відповідальності.
Але за архітектурою GDPR наглядовий орган — це спеціалізований незалежний регулятор, а не одна з функцій інституції з ширшим мандатом на захист прав людини загалом. Саме тому паралельно із законопроєктом №8153 ще у 2021 році зареєстрували законопроєкт №6177 «Про Національну комісію з питань захисту персональних даних та доступу до публічної інформації» — про створення окремого центрального органу виконавчої влади зі спеціальним статусом. Цей законопроєкт рухається повільніше за №8153 і станом на середину 2026 року все ще опрацьовується робочою групою профільного комітету, без прийняття в першому читанні. Це означає, що навіть коли (і якщо) №8153 ухвалять, питання «хто саме буде наглядовим органом» може ще певний час залишатися перехідним — і бізнесу варто стежити за обома законопроєктами, а не лише за одним.
Штрафи: чинні за КУпАП і різниця з GDPR
Сьогодні відповідальність за порушення законодавства про захист персональних даних передбачена статтею 188-39 Кодексу України про адміністративні правопорушення. Стаття має п'ять частин і розрізняє склади: неповідомлення або несвоєчасне повідомлення Уповноваженого про обробку даних (найлегший склад), невиконання приписів Уповноваженого, недодержання порядку захисту даних, що спричинило незаконний доступ до них чи порушення прав суб'єкта (найважчий типовий склад), і повторне протягом року вчинення будь-якого із цих порушень (найсуворіші санкції). Санкції виражені в неоподатковуваних мінімумах доходів громадян: для громадян — від 100 до 500 нмдг залежно від складу й повторності, для посадових осіб і фізичних осіб-підприємців — від 200 до 2000 нмдг. Для цілей адміністративної відповідальності неоподатковуваний мінімум зафіксований на рівні 17 грн (п. 5 підрозділу 1 розділу XX Податкового кодексу України), тобто орієнтовно це 1700–8500 грн для громадян і 3400–34000 грн для посадових осіб і ФОП. У виняткових випадках, коли порушення завдало істотної шкоди, можлива кримінальна відповідальність за статтею 182 Кримінального кодексу.
Порівняно з GDPR це інший порядок величин: там максимальна санкція — до 20 млн євро або 4% глобального річного обороту компанії за попередній фінансовий рік, залежно від того, яка сума більша. Європейські регулятори застосовували штрафи у сотні мільйонів євро до великих технологічних компаній, хоча для малого й середнього бізнесу типові санкції в рази скромніші. Публічна дискусія навколо законопроєкту №8153 обговорює підвищення чинних українських штрафів, але станом на серпень 2026 конкретні цифри в тексті, що готується до другого читання, ще можуть змінитися, і орієнтуватися варто на редакцію, ухвалену остаточно, а не на проміжні версії.
| Україна, ст. 188-39 КУпАП (чинна) | GDPR | |
|---|---|---|
| База розрахунку | Неоподатковувані мінімуми доходів громадян | Фіксована сума або відсоток обороту |
| Для громадян | Від 100 до 500 нмдг (≈1700–8500 грн) залежно від складу порушення | Не застосовується (санкції адресовані контролерам/операторам) |
| Для посадових осіб і ФОП | Від 200 до 2000 нмдг (≈3400–34000 грн) залежно від складу порушення | — |
| Для компанії | Не виокремлено як категорія — відповідальність через посадових осіб | До 20 млн євро або 4% глобального річного обороту (більша сума) |
| Хто накладає | Уповноважений ВРУ з прав людини / суд | Національний орган захисту даних (DPA) |
Транскордонна передача даних: ЄС, аутсорс і хмарні сервіси
Окрема больова точка для ІТ-бізнесу — передача персональних даних за кордон, наприклад, коли українська компанія-підрядник обробляє дані користувачів європейського замовника на своїх серверах або через хмарного провайдера поза ЄС. GDPR регулює такі передачі окремо: вони можливі за наявності рішення Єврокомісії про адекватність захисту в країні призначення, стандартних договірних застережень (Standard Contractual Clauses) або інших визнаних механізмів. Україна станом на серпень 2026 не має рішення Єврокомісії про адекватність, тому на практиці партнери з ЄС найчастіше вимагають від українських підрядників підписання SCC або включення відповідних застережень у договір про обробку даних (Data Processing Agreement, DPA).
Це стосується і компаній, які працюють через закордонні рахунки чи платіжні системи, і тих, хто наймає фрілансерів для обробки клієнтських баз, — у будь-якому такому договорі варто окремо прописувати, хто є контролером, які категорії даних передаються, з якою метою і які технічні та організаційні заходи безпеки застосовує сторона, що отримує дані. Це той самий принцип, що діє і для договорів з фрілансерами й підрядниками загалом: чим чіткіше прописано предмет і межі обробки в самому договорі, тим менше простору для спору, якщо станеться витік або перевірка.
Що бізнесу робити вже зараз: практичний чекліст
Чекати остаточної редакції законопроєкту №8153, щоб почати наводити лад із персональними даними, — стратегія з високим ризиком: компанії, які працюють із клієнтами з ЄС, уже підпадають під GDPR, а перевірки Уповноваженого ВРУ з прав людини за чинним законом ніхто не скасовував.
- Скласти реєстр обробки: які персональні дані компанія збирає (клієнти, працівники, кандидати, підрядники), з якою метою, де зберігаються і хто має доступ.
- Перевірити форми згоди на сайті й у договорах — чи прописана мета обробки, чи є механізм відкликання згоди.
- Визначити статус компанії в кожному процесі обробки — контролер чи оператор — і відповідно перевірити договори з підрядниками й хмарними провайдерами.
- Прописати внутрішній порядок реагування на запити суб'єктів даних (доступ, виправлення, видалення) і на можливий витік — хто відповідає, у який строк, кого повідомляють.
- Для компаній з клієнтами в ЄС — окремо перевірити відповідність GDPR, включно з підставами для транскордонної передачі даних (SCC чи інший механізм).
- Стежити за станом законопроєктів №8153 і №6177 на сайті Верховної Ради, щоб не пропустити дату ухвалення остаточної редакції та перехідний період.
Поширені запитання про новий закон і персональні дані в бізнесі
Закон про захист персональних даних уже змінили?
Ні. Станом на серпень 2026 чинний Закон №2297-VI від 2010 року. Законопроєкт №8153 прийнято лише за основу в першому читанні (20.11.2024), він готується до другого читання, і дати набрання чинності нової редакції ще немає.
Чи стосується GDPR українського бізнесу, якщо в нього немає офісу в ЄС?
Так, якщо компанія пропонує товари чи послуги фізичним особам у ЄС або відстежує їхню поведінку — GDPR має екстериторіальну дію і застосовується незалежно від місця реєстрації компанії.
Хто зараз контролює дотримання закону про персональні дані в Україні?
Уповноважений Верховної Ради України з прав людини — з 1 січня 2014 року. Окремий спеціалізований регулятор (Національна комісія) поки що лише в законопроєкті №6177, який не прийнятий навіть у першому читанні.
Які штрафи загрожують бізнесу за порушення вже зараз?
За статтею 188-39 КУпАП — адміністративний штраф у неоподатковуваних мінімумах доходів громадян, вищий для посадових осіб і ФОП, ніж для громадян. За наявності істотної шкоди можлива кримінальна відповідальність за статтею 182 Кримінального кодексу.
Чи потрібен українському бізнесу окремий DPO (відповідальний за захист даних)?
Чинний закон формальної посади DPO не вимагає. Законопроєкт №8153 в опублікованих редакціях обговорює призначення відповідальної особи для певних категорій контролерів і операторів — остаточний обсяг цієї вимоги залежить від тексту, який ухвалять у другому читанні.
Що робити зараз, якщо ухваленої редакції закону ще немає?
Привести у відповідність до чинного закону №2297-VI й, за наявності клієнтів у ЄС, до GDPR: реєстр обробки даних, коректні форми згоди, чіткий розподіл ролей контролер/оператор у договорах і порядок реагування на запити та витоки.
Матеріал ґрунтується на офіційній картці законопроєкту №8153 на сайті Верховної Ради, тексті чинного Закону №2297-VI та Регламенту (ЄС) 2016/679 (GDPR) станом на серпень 2026. Для оцінки статусу законопроєктів варто звірятися з актуальною карткою на itd.rada.gov.ua, оскільки стадії розгляду можуть змінюватися. Компаніям, які працюють з ІТ-контрагентами, корисно також переглянути наш матеріал про відповідність GDPR для SaaS-продуктів, а тим, хто працює із закордонними клієнтами, — статтю про роботу ФОП з іноземними клієнтами й ЗЕД. Питання розподілу ролей контролера й оператора в договорах із підрядниками тісно повʼязане з тим, як узагалі структурувати договір із фрілансером.
Матеріал має інформаційний характер і не є юридичною консультацією. Норми часто змінюються — перед прийняттям рішень звіряйтеся з чинною редакцією актів або зверніться по індивідуальну консультацію. Команда NewFrame Legal супроводжує бізнес у цих питаннях.