Як інтегрувати вимоги GDPR у бізнес-процеси, не паралізуючи роботу компанії? Як підготувати документи так, щоб вони не стали слабким місцем під час аудиту? Багато компаній на цьому шляху стикаються з однаковими проблемами:
❌ брак досвідчених внутрішніх фахівців
❌ обмежений бюджет на впровадження GDPR
❌ невизначеність щодо того, які документи/засоби — обов’язкові
❌ складнощі у впровадженні змін у відділах, які безпосередньо працюють із персональними даними (маркетинг, продажі, HR)
❌ відсутність чіткої системи моніторингу відповідності GDPR
Розібралися зі Станіславом Коваленком, які кроки необхідно зробити, щоб мінімізувати ризики та зробити систему захисту персональних даних не лише формальною, але й дієвою. Скоро в Станіслава стартує курс «GDPR та захист персональних даних».
Які компанії мають дотримуватися GDPR
GDPR стосується не лише європейських компаній, як багато хто вважає. Він має екстериторіальну дію та охоплює будь-який бізнес, non-profit організації або державні установи в усьому світі, якщо вони обробляють дані людей, які знаходяться в ЄС (незалежно від громадянства).
Це актуально, якщо таким особам в ЄС пропонують товари/послуги або здійснюють моніторинг онлайн-поведінки цих людей. Навіть якщо компанія або некомерційна структура не продає товари або послуги в Європі, а лише проводить дослідження чи збирає інформацію через опитування в ЄС, вона все одно підпадає під вимоги Регламенту.
Крім того, Україна рухається в напрямку гармонізації законодавства з європейськими нормами. Верховна Рада вже ухвалила в першому читанні законопроєкт 8153 «Про захист персональних даних». Він має замінити чинний закон з урахуванням стандартів ЄС. Це один із ключових кроків на шляху євроінтеграції України. Ймовірність ухвалення законопроєкту цього року доволі висока, а запрацювати він може вже наступного року.
Новий закон буде охоплювати не лише великі корпорації та держустанови, але й весь бізнес, що працює з персональними даними. Найбільші зміни відчують компанії, які обробляють великі масиви даних — телеком-оператори, фінансові установи, медичні та освітні заклади, логістичні компанії та ритейл. Навіть невеликі приватні клініки, що обслуговують кілька тисяч пацієнтів на рік, будуть зобов’язані дотримуватися нових жорстких вимог. А за їхнє порушення доведеться сплатити серйозні штрафи.
Як компанії часто «обманюють» себе, думаючи, що відповідають GDPR (хоча насправді це не так)
Компанії, які підпадають під дію GDPR, зазвичай починають із найочевиднішого — того, на що звертають увагу клієнти й партнери.
Зазвичай це виглядає так:
Якщо компанія має застосунок, для його розміщення в Google Play / App Store потрібно мати Terms of Use та Privacy Policy. Без цих документів розміщення неможливе. Платформи перевіряють ці документи на відповідність вимогам GDPR та іншого законодавства. Компанії, які публікують свої застосунки, знають про ці вимоги та заздалегідь готують необхідні документи. І ставлять у себе галочку, наче це питання вирішено.
Але це схоже на ремонт вітрини магазину — гарний вигляд створює враження порядку, але що відбувається за лаштунками? Як обробляються персональні дані на бекенді? Хто має до них доступ? Як ними управляють, де зберігають? У результаті компанії не лише обманюють себе, але й вводять в оману користувачів, адже виконують лише видиму частину вимог — «верхівку айсберга».
Тоді як у GDPR можна умовно виділити три рівні:
1️⃣ Верхівка — те, що видно користувачам: сайт або застосунок із чіткими політиками (приватності, файлів кукі), згодами на обробку даних та іншими елементами, що демонструють відповідність. Навіть на цьому етапі часто виявляються помилки, особливо коли бізнес без потреби вимагає від користувача згоду на обробку його даних. Наприклад, при укладенні контракту згода (як правова підстава для обробки даних) не потрібна.
2️⃣ Реалізація принципів GDPR та прав суб’єктів даних — принципи й права, які мають бути вплетені в зовнішні процеси збору персональних даних та внутрішні процеси компанії, зокрема:
- Прозорість і законність: особи, чиї дані обробляються, мають розуміти, як використовуються їхні дані, а бізнес мусить чітко визначати підстави для обробки даних, пояснювати її мету, термін зберігання та інші важливі деталі.
- Мінімізація: компанія не може збирати більше даних, ніж потрібно. Доступ до них мусить мати тільки той, хто реально їх використовує.
- Точність: персональні дані мають бути правильними та актуальними, з можливістю їхнього виправлення, якщо це потрібно.
3️⃣ Технічний захист персональних даних — це те, що користувач не бачить, але що критично важливо для відповідності GDPR. До технічних заходів захисту даних належать:
- Шифрування даних (особливо під час їхньої передачі)
- Контроль доступу
- Анонімізація або псевдонімізація даних
- Резервне копіювання, щоб уникнути втрат у разі збоїв або атак
- Двофакторна аутентифікація
Компанія не може вважатися повністю відповідною до GDPR, якщо лише «підчистила» публічні документи, залишивши внутрішні процеси без змін.
Що робити компаніям з невеликим бюджетом, щоб мінімізувати ризики
Це задача з зірочкою, проте навіть з мінімальними ресурсами можна суттєво знизити ризики й спробувати уникнути штрафів. Ось 7 основних кроків, які навіть малий бізнес з обмеженим бюджетом може зробити, щоб вибудувати ефективну систему захисту персональних даних.
#1. Визначте відповідальних співробітників
Перш за все, компанія має призначити відповідальну особу або команду для впровадження GDPR Compliance і подальшого контролю. Це може бути внутрішній співробітник, який вже працює в компанії, добре розуміє процеси, знає, де та як зберігаються дані, хто та як ними оперує.
Якщо компанія не може найняти зовнішнього фахівця, який спеціалізується на цій сфері, можна призначити 2–3 співробітників з:
- IT-підрозділу — наприклад, керівника підрозділу, спеціаліста з кібербезпеки або DevOps-інженера, які відповідатимуть за технічну сторону.
- Юридичного або комплаєнс-підрозділу — тих, хто має бодай теоретичну базу у сфері приватності або бажання розібратися в нормативних вимогах.
Таке поєднання дасть найкращий результат.
#2. Проведіть аудит даних
На цьому етапі відповідальна особа чи команда має провести аудит усіх баз даних та процесів, у яких зберігаються або обробляються персональні дані. Він має охоплювати всі підрозділи, а не лише ІТ, маркетинг, продажі та HR.
Підсумком аудиту має стати дорожня карта вашої компанії у сфері персональних даних. На її основі ви зможете створити Record of Processing Activities (RоPA) — реєстр операцій з обробки персональних даних, який компанії зобов’язані вести відповідно до статті 30 GDPR. Така ж вимога є в законопроєкті 8153. Тут фіксуються всі персональні дані, процеси обробки, кому передаються дані тощо.
RоPA — це не просто «папірець» для бюрократії, а зручний інструмент, який допоможе зберігати необхідну інформацію в одному місці та уникнути хаосу. Він також допомагає уникнути можливих штрафів під час перевірок регулятора.
#3. Розробіть та опублікуйте політику приватності
Наступний крок — створення та впровадження Privacy Policy, яка відповідатиме вимогам GDPR. Політика має бути написана зрозумілою мовою для «стандартного» користувача та опублікована на сайті й в мобільному застосунку (якщо є).
При чому документ має знаходитися в доступному для користувачів місці: пряме посилання на нього має бути чітко видно на кожній сторінці сайту й позначатися терміном, що часто використовується («Приватність», «Конфіденційність», «Політика приватності» чи «Сповіщення про захист даних»). Розміщення або колір тексту й посилань, які ускладнюють їхній пошук для користувача, — погана практика й може навіть порушувати правила.
Для застосунків відповідний документ має бути доступний в самому інтернет-магазині, через який завантажується застосунок, а також після його завантаження. Один зі способів виконати вимогу розміщення в застосунку — забезпечити, щоби політика знаходилася в місці, до якого можна дійти, не перевищуючи два дотики. Наприклад, додавши розділ «Приватність» або «Захист даних» у функціональному меню застосунку. Інформація про обробку персональних даних має відповідати конкретному застосунку, його функціоналу й типам зібраних даних.
Найлегший спосіб швидко отримати політику приватності — використати генератор політик, яких на ринку достатньо. Проте жодний автоматично згенерований документ не забезпечить індивідуального підходу, в якому будуть враховані всі особливості збору та обробки даних.
#4. Налаштуйте вебсайт і застосунок
Правильна політика приватності на сайті або в застосунку — must have, але це лише початок. Усі форми збору даних мають не просто виглядати красиво, але й повністю відповідати вимогам GDPR: мати чітко визначені підстави збору даних. Причому для різної мети можуть бути різні законні підстави, зрозумілі пояснення щодо використання даних та посилання на політику приватності.
Якщо компанія використовує сайт для продажів або він містить реєстраційні форми, слід оновити його відповідно до вимог GDPR. Це допоможе гарантувати правильний збір та подальшу обробку персональних даних. Ось кілька ключових аспектів, які слід врахувати:
✅ Законна підстава для обробки даних. Важливо правильно визначити юридичну основу для збору та обробки персональних даних. Ст. 6 GDPR передбачає шість умов. Розглянемо три найрозповсюдженіші в бізнесі:
- Згода (Consent) — застосовується, коли інші підстави обробки не підходять. Наприклад, якщо дані будуть використовуватися для маркетингових розсилок. Згода суб’єкта даних має бути чіткою, позитивною та недвозначною (наприклад, порожній чекбокс, який користувач мусить самостійно відзначити).
- Підготовка до укладення або виконання договору (The performance of a contract) — якщо дані збираються для виконання запиту перед укладенням договору, а також для обробки замовлення чи надання послуги. І хоча згода тут не потрібна, користувач має бути проінформований, що його дані обробляються саме для цього.
- Законний інтерес (Legitimate interest) — використовується, коли компанія може обґрунтувати, що обробка даних необхідна для цілей її законних інтересів або третьої сторони й це не порушує фундаментальні права та свободи суб’єкта даних. Цю підставу можна використовувати бізнесу для цілей прямого маркетингу, обґрунтувавши це.
✅ Форми збору даних. Поля форми мають запитувати лише необхідний мінімум інформації для відповідних цілей обробки. Біля форми (з окремим чекбоксом) має бути чітко сформульований текст про те, як використовуватимуться дані. Користувач мусить чітко розуміти, чи дає він згоду на обробку даних, чи компанія має іншу законну підставу, через яку збір даних є обов’язковим. Заборонено застосовувати попередньо відзначені чекбокси або приховані механізми отримання згоди.
✅ Прозорість та інформування користувачів. Поруч із формами збору персональних даних потрібно розмістити посилання на політику приватності, яка містить усю необхідну інформацію для користувача в момент збору даних. При цьому, якщо дані передаються іншим контролерам, процесорам або ж третім сторонам (наприклад, CRM-системам чи рекламним платформам), це потрібно зазначити в політиці.
✅ Право користувачів керувати своїми даними. Користувачі мусять мати можливість відкликати згоду так само легко, як вони її надали (наприклад, через налаштування облікового запису або через окремий запит). Необхідно передбачити механізм для обробки запитів на видалення або зміну персональних даних.
✅ Налаштування cookie-банера. Якщо сайт використовує файли кукі, пікселі або інші технології моніторингу, користувачі мусять бути проінформовані про це та мати можливість вибирати, які кукі вони дозволяють. Окрему увагу варто приділити cookie-банеру, оскільки це може стати причиною скарг користувачів та навіть серйозних штрафів аж до €20 млн або 4% від загального світового річного обороту компанії.
Наприклад, у 2019 році наглядовий орган Іспанії оштрафував Vueling Airlines на €30 тис., бо компанія не дала користувачам можливість відмовитися від cookies, а тільки залишила загальні пояснення про налаштування браузера. А у 2020 оштрафували соцмережу X на €30 тис. за банер, що не містив жодної інформації про те, як керувати налаштуваннями cookies на платформі.
Користувач має отримати реальний вибір: погодитися лише на базові кукі, вибрати певні з категорій або дозволити всі. Жодних хитрощів з прихованими кнопками або неочевидними налаштуваннями.
Гарна новина: це не обов’язково робити самостійно «з нуля». В інтернеті достатньо пропозицій від провайдерів готових cookie-банерів, які коштують за підпискою в межах €12–15/міс. Проте все одно потрібно буде приділити час для їхньої кастомізації під ваші потреби.
#5. Розробіть внутрішні політики та інструкції з обробки й захисту даних
Щоб компанія справді відповідала вимогам GDPR, треба також закріпити правила роботи з персональними даними у внутрішніх документах:
✅ Політика обробки та захисту персональних даних. Цей документ визначає, як і які саме дані збирає компанія, з якою метою, хто має до них доступ, де та як довго вони зберігаються, хто відповідальний за захист даних у компанії, які технічні заходи захисту використовуються.
Наприклад, чи зберігаються дані в зашифрованому вигляді? Чи є обмеження на копіювання файлів? Чи передаються дані стороннім особам (клієнтам, партнерам, державним органам)?
✅ Політика реагування на витоки даних. Що робити, якщо стався витік персональних даних? За яких умов, кому та як про нього повідомляти? Відповідно до GDPR, компанія мусить повідомити регулятора без затримки, але не пізніше ніж впродовж 72 годин після виявлення інциденту.
Політика має містити детальний план дій: що мусить робити співробітник, який виявив витік даних? Хто відповідальний за розслідування та як воно проводиться? Коли та як повідомляють постраждалих користувачів про витік даних, що роблять, щоб запобігти повторним витокам?
✅ Регламенти роботи з персональними даними. Документи, які деталізують правила роботи з даними для різних підрозділів:
- HR — як розміщувати вакансії та зберігати резюме кандидатів, коли видаляти дані звільнених працівників.
- Бухгалтерія — хто має доступ до даних про зарплати, чи може бухгалтер змінювати персональні дані співробітників, як захищати файли з даними.
- Маркетинг — як формувати базу даних для маркетингових активностей, працювати з email-розсилками та реагувати на відписки від маркетингу.
Крім цього, можна створити короткі чек-листи для співробітників: наприклад, нагадування щодо безпечного зберігання документів, шифрування файлів або правил використання корпоративної електронної пошти.
#6. Проведіть навчання для команди
Навчання має охоплювати всіх, хто залучений до процесів обробки персональних даних. А в більшості компаній майже кожен співробітник так чи інакше взаємодіє з ними: від HR-менеджера, який обробляє дані кандидатів та співробітників, — до маркетолога, що аналізує та використовує базу даних лідів і клієнтів. Виняток — працівники виробничих ліній, які зосереджені на процесі виробництва та не мають доступу до персональних даних.
Наприклад, бухгалтерія в цьому контексті часто залишається поза увагою, хоча саме тут зосереджена велика частина інформації, яку можна віднести до персональних даних. Іронія в тому, що, поки вся увага прикута до маркетингу чи продажів, бухгалтер може ненавмисно залишити незашифровану флешку з даними в кавʼярні або загубити ноутбук. Щоб уникнути подібних ситуацій, важливо навчати зокрема бухгалтерів (і всіх, хто працює з персональними даними) основ інформаційної безпеки.
#7. Організуйте чітку процедуру для обробки запитів суб’єктів даних
Якщо компанія обробляє персональні дані, вона мусить чітко визначити, через які канали можуть звертатися суб’єкти даних та як вона реагуватиме на їхні запити, зокрема щодо доступу до даних, зміни або видалення інформації. Основні дії:
- Виділити окремий email / номер телефону для обробки запитів. Це допоможе оперативно на них реагувати — і запити щодо персональних даних не «потонуть» серед інших питань. Обслуговувати цей email має спеціально призначена людина (DPO) або команда, яка відповідає за захист персональних даних. Якщо в компанії є сайт, бажано розмістити окрему форму для таких запитів.
- Підготувати шаблони відповідей на запити. Достатньо обмежитись основними шаблонами відповідей, до яких належать запит на видалення персональних даних та запит на доступ до них. Наявність таких шаблонів заощадить час, оскільки не потрібно буде щоразу шукати правильний спосіб реагування. Крім того, якщо відповідальний спеціаліст буде у відпустці або на sick leave, інший співробітник (наприклад, юрист) зможе швидко відповісти, використовуючи готовий шаблон.
- Забезпечити своєчасне реагування, щоб уникнути скарг до регуляторних органів. Ті, хто подає такі запити, зазвичай розуміють свої права, вимоги законодавства й терміни виконання їхніх запитів. Якщо компанія не виконує запит вчасно, це часто призводить до скарг у регуляторні органи. А скарга до регулятора може стати причиною проведення аудиту (а там вже й ризик штрафів).
❗️ Важливо памʼятати, що GDPR Compliance — це безперервний процес, схожий на техобслуговування автомобіля: якщо не стежити за станом, одного дня він може просто не завестися. Навіть якщо компанія вже впровадила всі необхідні вимоги, вона має регулярно оновлювати політики, перевіряти процеси та вдосконалювати заходи безпеки.
А ще — моніторити зміни в законодавстві. Хоча сам GDPR змінюється нечасто, з’являються нові судові рішення та гайди або рекомендації, які можуть суттєво вплинути на підходи до захисту даних. Точно варто звертати увагу на судові прецеденти й роз’яснення регулятора в країні ведення бізнесу, особливо якщо вони стосуються кейсів, подібних до ваших. Це може бути сигналом переглянути власні процеси, перш ніж за них візьметься регулятор.
Челенджі, з якими можуть зіткнутися компанії, впроваджуючи GDPR
На перший погляд усе здається не надто складним: оновити політики, додати cookie-банер, налаштувати згоди на обробку даних, пропрацювати технічні аспекти. Але на практиці процес стикається з «людським фактором». Зокрема — з опором на рівні підрозділів та стейкхолдерів процесів. Здебільшого це стосується відділів маркетингу, продажів та HR, які сприймають нові вимоги як зайву бюрократію. Також керівництво часто не готове інвестувати в комплаєнс.
З якими челенджами найчастіше стикається бізнес:
1. Запевнити керівництво, що це необхідно (і переконати виділити на це бюджет)
Навіть великий бізнес в Україні не завжди розуміє, що захист персональних даних — це важлива частина комплаєнсу компанії, без якої вона не може правильно функціонувати.
Що робити:
✅ Мова бізнесу, а не юриспруденції. Замість юридичних термінів використовуйте аргументи, які важливі для керівників: уникнення багатомільйонних штрафів, зменшення репутаційних ризиків та фінансових втрат від витоків даних, додаткові конкурентні переваги.
✅ Реальні кейси. Наведіть приклади компаній, які отримали штрафи або втратили клієнтів через порушення GDPR. Наприклад, штрафи для Meta й Amazon сягали сотень мільйонів євро, а витоки даних можуть коштувати компаніям ще більше через судові позови від суб’єктів даних і втрату довіри клієнтів.
✅ Фокус на ROI. Поясніть, що GDPR — це не лише витрати, але й інвестиція в ефективність. Впровадження належного управління даними оптимізує процеси, знижує витрати на зберігання непотрібної інформації, покращує якість лідогенерації та маркетингових кампаній.
✅ Вплив на міжнародні ринки. Якщо компанія працює з європейськими клієнтами або планує вихід на міжнародний ринок, відповідність GDPR стає конкурентною перевагою. Багато партнерів та клієнтів просто не співпрацюватимуть із компаніями, які не дотримуються стандартів захисту даних.
2. Навчити персонал
Важливо донести до кожного відділу, чому це важливо, а також розробити навчання, яке буде прив’язаним до реальних робочих процесів.
Відділ, який зазвичай найменше любить впровадження GDPR-комплаєнсу (або Data Protection Compliance загалом), — це маркетинг. Вони часто приходять на навчання вже з негативним настроєм і думкою, що це знизить ефективність їхньої роботи, що через нові вимоги їхні показники просядуть.
Важливо пояснити маркетологам із самого початку, що GDPR — це не лише про обмеження, але й про підвищення ефективності. Часто вони вимірюють результат роботи кількістю відправлених повідомлень: імейлів, SMS, пушів. Але якщо подивитися глибше, ліди відкривають маркетингові повідомлення лише в 10–15% від загальної кількості відправлених, а цільову дію здійснюють ще менше. Тобто реальна конверсія мізерна. GDPR-комплаєнс допомагає оптимізувати процеси: очистити базу від нерелевантних контактів, знизити витрати на розсилки та сфокусуватися на зацікавлених клієнтах.
Співпрацюючи з Data Protection Officer (DPO), маркетологи знаходять способи отримання лідів не лише без порушень, але й з вищою конверсією. DPO знижує ризики штрафів та скарг, маркетологи — покращують результати кампаній. Win-win.
DPO часто стикається з опором з боку не лише маркетологів, але й сейлзів. Маркетинг дає продажам ліди, а сейлзи бояться, що GDPR обмежить їхній доступ до контактів. Однак якщо дані зібрані коректно на першому етапі, то в їхній подальшій обробці ризики мінімальні — і продажі не страждають.
Не менш проблемна зона — HR. Фахівці цього відділу часто не усвідомлюють, що персональні дані кандидатів та співробітників також підпадають під GDPR. Ейчарів дратують обмеження щодо законного пошуку кандидатів, термінів зберігання їхніх персональних даних і контроль над процесами всередині підрозділу, що може навіть призводити до саботажу.
Загалом сприйняття GDPR, як показує практика, залежить від корпоративної культури. Якщо в компанії є практика виконання внутрішніх політик і процедур, впровадження GDPR проходить легше. Але якщо внутрішні нормативні документи розсилають лише «для галочки», без практичного застосування й контролю виконання, впровадження GDPR буде складним. У таких компаніях DPO стикається з найбільшими труднощами, оскільки там немає культури не лише навчання, але й впровадження внутрішніх політик.
БОНУС від Станіслава: де шукати інформацію про GDPR та законопроєкт 8153
🔗 Зручний для використання текст GDPR українською мовою
🔗 Офіційний сайт The European Data Protection Board
🔗 Офіційний сайт Європейської комісії, розділ Data protection in the EU
🔗 GDPR Enforcement Tracker — онлайн-ресурс, який відстежує та публікує інформацію про штрафи й заходи примусового виконання (enforcement actions), пов’язані з порушеннями General Data Protection Regulation
🔗 Проєкт Закону про захист персональних даних
🔗 Рекомендації та розʼяснення Уповноваженого ВРУ з прав людини
Бажаєте отримувати дайджест статей?
