Документи щодо обробки персональних даних

Персональні дані: що бізнес зобов’язаний мати

Персональні дані збирає майже кожен бізнес: форма на сайті, CRM, розсилка, кадрові документи. Закон вимагає повідомити людину про обробку в момент збору, мати підставу для обробки і захищати дані. Якщо серед користувачів є люди з ЄС, додаються вимоги GDPR. Ми готуємо документи під реальні процеси компанії, а не шаблон з чужого сайту.

Які документи потрібні і коли

Документ	Коли потрібен	Підстава
Повідомлення про обробку (політика конфіденційності)	Завжди, коли збираєте дані. Людина має отримати його в момент збору	ч. 2 ст. 12 Закону про захист персональних даних
Згода на обробку	Коли немає іншої підстави: договору, закону, законного інтересу	ст. 11 того ж Закону
Повідомлення Уповноваженому ВРУ з прав людини	Якщо обробка становить особливий ризик. Строк — 30 робочих днів від початку обробки	ст. 9 того ж Закону
Privacy Notice за GDPR	Якщо пропонуєте товари чи послуги людям в ЄС або відстежуєте їхню поведінку	ст. 3(2), 13 GDPR
Договір з обробником (DPA)	Якщо дані обробляє підрядник: хостинг, CRM, розсилка	ст. 28 GDPR
Реєстр операцій обробки	Для більшості компаній, що підпадають під GDPR	ст. 30 GDPR
Cookie-банер і політика cookies	Якщо сайт ставить аналітичні чи рекламні cookies	ст. 5(3) Директиви ePrivacy

Скільки коштують порушення

Порушення	Україна (для посадових осіб і ФОП)	ЄС
Не повідомили Уповноваженого	200–400 НМДГ	—
Не виконали вимогу Уповноваженого	300–1000 НМДГ	—
Недодержання порядку захисту, що призвело до витоку	300–1000 НМДГ, повторно протягом року — 1000–2000 НМДГ	До 10 млн євро або 2% світового обороту
Обробка без підстави, порушення прав суб’єкта	Залежно від складу порушення	До 20 млн євро або 4% світового обороту

Україна — ст. 188-39 КУпАП, 1 НМДГ = 17 грн. ЄС — ст. 83 GDPR.

Український штраф порівняно невеликий. Більший ризик — претензії від партнерів з ЄС, магазинів застосунків і платіжних сервісів, які вимагають документи як умову співпраці.

Передача даних за кордон

Країни ЄЕЗ і держави, що підписали Конвенцію Ради Європи 108, закон визнає такими, що забезпечують належний захист (ст. 29 Закону). Для інших країн, зокрема США, потрібна окрема підстава: згода людини, договір з нею або договірні гарантії з отримувачем. Те саме з боку GDPR: передача з ЄС до України потребує стандартних договірних умов.

Як ми працюємо

Карта данихЯкі дані, звідки, де зберігаються, кому передаються
ПідставиДля кожної мети — договір, закон, згода чи законний інтерес
ДокументиПолітика, згоди, DPA, реєстр, інструкції для команди
ВпровадженняТексти для форм, банер, процедура на випадок витоку

Більше про обов’язки бізнесу — у статтях захист персональних даних для бізнесу і GDPR для SaaS.

Часті запитання

Чи потрібна згода на обробку, якщо людина залишає заявку на сайті?

Не завжди. Якщо дані потрібні, щоб відповісти на заявку чи виконати договір, підставою є сам договір або дії до його укладення. Згода потрібна для розсилки чи передачі даних третім особам. Повідомити людину про обробку треба в будь-якому разі.

Чи поширюється GDPR на українську компанію?

Так, якщо компанія пропонує товари чи послуги людям в ЄС або відстежує їхню поведінку онлайн, незалежно від місця реєстрації (ст. 3(2) GDPR). Сам факт, що сайт доступний з ЄС, ще не означає застосування GDPR.

Чи потрібен cookie-банер, якщо на сайті немає реклами?

Якщо сайт ставить лише технічно необхідні cookies, згода не потрібна. Банер потрібен, коли з’являються аналітика, пікселі соцмереж чи рекламні теги, і вони мають вмикатися лише після згоди.