Багато власників сайтів і сервісів в Україні вважають, що європейське законодавство про захист персональних даних їх не стосується. Адже офіс розташований у Києві чи Львові, а не в Берліні. Проте GDPR має екстериторіальну дію, і це робить його актуальним для величезної кількості українського бізнесу, який працює з клієнтами з Європейського Союзу.
Кого стосується регламент
Вимоги застосовуються, якщо ви пропонуєте товари чи послуги особам, що перебувають в ЄС, або відстежуєте їхню поведінку, наприклад через аналітику й рекламні пікселі. Достатньо мати європейську мову інтерфейсу, прийом платежів в євро чи таргетовану рекламу для європейської аудиторії. Тобто інтернет-магазин, SaaS-продукт чи мобільний застосунок цілком можуть підпадати під дію регламенту.
Основні принципи обробки даних
Регламент вимагає, щоб обробка була законною, прозорою і обмеженою заявленою метою. Компанія повинна збирати лише необхідні дані, зберігати їх не довше потрібного, забезпечувати безпеку й нести відповідальність за дотримання правил. Для кожної операції з даними має існувати правова підстава: згода користувача, виконання договору, законний інтерес або інша передбачена норма.
Документи, які мають бути в наявності
Мінімальний набір включає політику конфіденційності, політику використання cookie з механізмом згоди, реєстр операцій з обробки, договори з обробниками даних, процедуру реагування на запити суб'єктів і план дій у разі витоку. У ряді випадків потрібна оцінка впливу на захист даних. Усе це не формальності: під час перевірки або скарги користувача саме ці документи показують, що компанія діє добросовісно.
Права користувачів
Люди мають право отримати копію своїх даних, виправити неточності, вимагати видалення, обмежити обробку, заперечити проти неї та перенести дані до іншого сервісу. Компанія повинна відповісти на такий запит у визначений строк. Якщо процедура не налагоджена, один запит від зацікавленого користувача здатний паралізувати роботу відповідального працівника на кілька днів.
Передача даних за межі ЄС
Українські компанії, що отримують дані з Європи, мають забезпечити законний механізм передачі, наприклад стандартні договірні положення. Також важливо перевірити сторонні сервіси: хмарні платформи, CRM, інструменти розсилок. Вони можуть зберігати дані на серверах поза Європою, і відповідальність за правильне оформлення таких відносин залишається на вас.
Витоки даних і повідомлення регулятора
Регламент передбачає обов'язок повідомити наглядовий орган про порушення безпеки протягом сімдесяти двох годин після того, як стало відомо про інцидент, якщо існує ризик для прав людей. Це означає, що план реагування потрібно мати заздалегідь: хто приймає рішення, як фіксуються факти, хто спілкується з регулятором і користувачами.
Штрафи та репутаційні ризики
Максимальні санкції можуть сягати десятків мільйонів євро або відсотка від світового обороту. Для малого й середнього бізнесу такі суми малоймовірні, але навіть скарги користувачів, розслідування чи блокування рекламних кабінетів завдають відчутної шкоди. Крім того, великі європейські клієнти дедалі частіше вимагають підтвердження відповідності ще на етапі укладання угоди.
Із чого почати практично
Проведіть інвентаризацію даних: які категорії ви збираєте, де зберігаєте, з ким ділитеся. Потім оновіть політики та форми згод, налаштуйте cookie-банер, перегляньте договори з підрядниками. Якщо вашій команді потрібна допомога, деталі аудиту та пакет документів описано на сторінці послуги: GDPR-комплаєнс для бізнесу.
Cookie, аналітика та реклама
Одна з найчастіших претензій до сайтів стосується файлів cookie. Для аналітичних та рекламних інструментів потрібна згода користувача, отримана до їх запуску, а відмова має бути такою ж простою, як і погодження. Банери, які автоматично активують трекери, вважаються порушенням. Перевірте налаштування Google Analytics, піксель Meta та інші сервіси, щоб вони спрацьовували лише після відповідного вибору відвідувача.
Договори з підрядниками і працівниками
Якщо ви передаєте дані клієнтів сторонньому сервісу, потрібен договір обробки даних, який закріплює обов'язки щодо безпеки та обмежує мету використання. Те саме стосується фрілансерів, колл-центрів та хмарних провайдерів. Також варто навчити співробітників базовим правилам поводження з даними, адже більшість витоків пов'язана з людським фактором, а не з технічними збоями.
Представник в ЄС і відповідальна особа
Компанії без представництва в Євросоюзі, які підпадають під регламент, у певних випадках зобов'язані призначити представника в одній з держав-членів. Також може знадобитися відповідальна за захист даних особа, зокрема якщо обробка має масштабний або систематичний характер. Рішення про це залежить від виду діяльності, обсягів даних та їхньої чутливості.
Як пояснити вимоги команді
Найкращі політики не працюють, якщо про них не знають співробітники. Проведіть коротке навчання для маркетологів, розробників і служби підтримки, пояснивши, які дані можна збирати, кому їх передавати та що робити, коли користувач надсилає запит. Прості внутрішні інструкції та чек-листи роблять дотримання вимог повсякденною практикою.
Дотримання GDPR — це не разова акція, а процес, який потрібно підтримувати. Проте компанії, які впровадили його правильно, отримують бонус у вигляді довіри клієнтів та кращих умов співпраці з європейськими партнерами.
