Українські компанії застрягли між двома системами координат. Закон «Про захист персональних даних» 2010 року досі чинний, але Європейська Комісія у звіті від листопада 2025 року назвала відсутність гармонізації з GDPR системним ризиком для вступу до ЄС. Правила ось-ось зміняться, тож саме час оцінити готовність — надто компаніям із клієнтами в ЄС. Перший крок — аудит GDPR, що виявляє слабкі місця в роботі з даними ще до візиту інспектора.
Що змінює гармонізація з ЄС
Реформа тягнеться довше, ніж розраховували ініціатори. Законопроєкт №8153 зареєстрували 25 жовтня 2022 року, за основу проголосували 20 листопада 2024-го, а до другого читання готують досі — попри відкриті у 2024-му переговори про вступ до ЄС. Доки триває розгляд, діють норми 2010 року й нагляд Уповноваженого Верховної Ради з прав людини, а зміни наближають правила до європейських:
- «захист за проєктуванням» — коли безпеку закладають ще на етапі розробки продукту;
- відповідальна особа з питань захисту даних, аналог DPO, — за масштабного моніторингу людей чи обробки чутливих даних;
- окремий орган нагляду замість Омбудсмена — на цьому наполягає бюджетний висновок парламенту.
Коли GDPR стосується українських компаній
GDPR діє екстериторіально: за статтею 3 він охоплює бізнес поза межами ЄС, що продає товари чи послуги клієнтам у Союзі або стежить за їхньою поведінкою онлайн. Наприклад, магазин із замовленнями з Польщі підпадає під нього напряму. Ціна невідповідності відрізняється на порядки:
| Режим відповідальності | Максимальна санкція |
|---|---|
| Чинний закон (ст. 188-39 КУпАП) | до 1000–2000 неоподатковуваних мінімумів |
| Законопроєкт №8153 (проєкт) | до 90 млн грн або 5% обороту |
| GDPR, стаття 83 | до 20 млн євро або 4% світового обороту |
Рішення про адекватність захисту для України ЄС поки не ухвалив, тож легальний обмін даними з європейськими партнерами потребує окремих механізмів передачі.
Як підготуватися до перевірки
Підготовка зводиться до порядку в самих процесах обробки даних — паперами за день до перевірки його не створити. Орієнтир — вимоги GDPR:
- Зафіксувати правову підставу обробки — одну з шести за ст. 6 (згода, договір, законний інтерес тощо).
- Скласти реєстр операцій обробки (ст. 30): дані, мета, отримувачі, строки зберігання.
- Оцінити ризики через DPIA (ст. 35) для високоризикових операцій.
- Призначити відповідальну особу за захист даних (ст. 37) за масштабної обробки чи спеціальних категорій.
- Налаштувати реагування на інциденти — повідомлення наглядового органу за 72 години (ст. 33).
- Забезпечити права людей: доступ, виправлення, видалення, перенесення (ст. 12–22).
За підсумками перевірки Омбудсмен складає акт, а за порушень — припис або протокол за ст. 188-39 чи 188-40 КУпАП. Послідовна ревізія процесів коштує менше за ризик, який вона знімає.
