Юрист з GDPR для українського бізнесу

Коли GDPR стосується української компанії

Найпоширеніша помилка — вважати, що регламент діє лише для компаній, зареєстрованих у ЄС. Стаття 3 GDPR прив'язує застосування не до місця реєстрації, а до того, чиї дані обробляються. Для бізнесу без осідку в Союзі є дві підстави, і достатньо однієї.

Перша — ви пропонуєте товари або послуги особам, що перебувають у ЄС. Не «маєте клієнтів у ЄС випадково», а саме орієнтуєтесь на них: ціни в євро, мова інтерфейсу, доставка в країни ЄС, реклама на європейську аудиторію.

Друга — ви відстежуєте поведінку людей у ЄС. Це аналітика, рекламні пікселі, профілювання, A/B-тести, скоринг. Тобто майже будь-який сучасний сайт чи застосунок, у якого є європейські відвідувачі та маркетинг.

Типові ситуації, у яких український бізнес підпадає під регламент:

• SaaS-продукт із користувачами з ЄС, навіть якщо їх небагато;
• e-commerce, який приймає замовлення з європейських країн;
• аутсорсингова розробка для замовника з ЄС, де ви маєте доступ до бази його користувачів;
• арбітраж трафіку та affiliate-схеми з європейськими офферами;
• HR: дані кандидатів і працівників, які перебувають у ЄС.

Контролер чи процесор — з цього починається все інше

Перше питання не «що нам треба зробити», а «в якій ролі ми виступаємо». Від відповіді залежить весь обсяг обов'язків.

Контролер визначає мету і засоби обробки: навіщо збираються дані і що з ними робиться. Це ваша роль щодо власних користувачів, клієнтів, працівників.

Процесор обробляє дані за дорученням контролера і в межах його інструкцій. Це типова роль аутсорсингової компанії, яка працює з базою замовника.

Плутанина тут коштує дорого в обидва боки. Компанії, які насправді є процесорами, купують собі повний набір документів контролера і платять за зайве. Компанії, які фактично вирішують долю даних самостійно, називають себе процесорами — і виявляють помилку в момент інциденту, коли відповідальність вже настала.

Що має бути насправді

Мінімальний робочий набір для компанії, яка підпадає під регламент, виглядає так.

• Правові підстави обробки. Для кожної категорії даних і кожної мети — своя підстава: згода, виконання договору, законний інтерес. «Ми взяли згоду на все» — не працює: згода має бути конкретною, поінформованою і відкликаною так само легко, як надана.
• Реєстр операцій обробки (стаття 30). Внутрішній документ: які дані, чиї, навіщо, де зберігаються, кому передаються, скільки живуть. Саме його просять першим при перевірці й при due diligence.
• Договори з процесорами (стаття 28). З кожним, кому ви передаєте дані: хостинг, CRM, розсилки, аналітика, підрядники. Без цього договору передача даних сама по собі є порушенням.
• Політики для користувача. Privacy Policy і Cookie Policy, що описують реальні процеси, а не скопійовані з чужого сайту. Разом із коректним банером згоди, який не вважає мовчання згодою.
• Порядок дій при інциденті. 72 години на повідомлення наглядового органу — це не строк «зібратися й подумати», а строк, за який треба встигнути оцінити інцидент і сформулювати повідомлення. Такий порядок пишеться заздалегідь.
• Представник у ЄС (стаття 27). Компанії без осідку в Союзі, які підпадають під регламент, зобов'язані письмово призначити представника. Виняток — епізодична обробка без чутливих даних у великому обсязі й без ризику для прав осіб.
• Передача даних за межі ЄС. Україна не має рішення про адекватність, тому передача до українського процесора оформлюється стандартними договірними положеннями (SCC) з оцінкою ризиків. Це той документ, який найчастіше вимагає європейський замовник.

Окремо — оцінка впливу на захист даних (DPIA) для обробки з високим ризиком і призначення DPO там, де це обов'язково. Обидва пункти потрібні не всім, і ми чесно кажемо, коли вони вам не потрібні.

Скільки коштує помилка

Штрафи за GDPR мають два рівні. Нижчий — до 10 мільйонів євро або 2% світового річного обороту. Вищий — до 20 мільйонів євро або 4%. Береться більша з двох величин, а рівень залежить від того, яку саме норму порушено: порушення прав суб'єктів даних і принципів обробки караються суворіше, ніж недоліки документації.

Але для української компанії частіше спрацьовує не штраф, а комерційний наслідок. Європейський замовник надсилає security- і privacy-опитувальник, не отримує реєстру обробки й підписаних SCC — і угода зупиняється. Інвестор бачить у due diligence відсутність правових підстав обробки — і знижує оцінку. Це відбувається значно частіше, ніж перевірки, і коштує реальних грошей уже сьогодні.

Український закон і що з ним відбувається

Паралельно з GDPR діє Закон України «Про захист персональних даних» 2010 року — з іншою логікою, іншим обсягом вимог і принципово іншими санкціями. Компанія, що працює з європейською аудиторією, живе одразу у двох режимах, і документи мають задовольняти обидва.

Українське законодавство готується до заміни: розроблено законопроєкт, який наближає правила до стандартів GDPR — із розширеними правами суб'єктів даних, обов'язковим повідомленням про інциденти та значно відчутнішими штрафами. Для бізнесу практичний висновок простий: те, що зараз виглядає як вимога «для іноземців», стане внутрішньою вимогою. Компанії, які вже вибудували процеси під GDPR, перехід не помітять.

Чого ми не робимо

Не продаємо «сертифікацію GDPR» — такої сертифікації, яка давала б імунітет від претензій, не існує. Не даємо гарантій, що до вас ніколи не буде питань. І не тягнемо на компанію з трьома європейськими користувачами набір документів, розрахований на банк. Обсяг визначається реальними ризиками, і ми пояснюємо, звідки взявся кожен пункт.