GDPR для української IT-компанії: коли вимоги є обов’язковими та як уникнути порушень

Інформаційне право

9 хвилин

GDPR для української
IT-компанії: коли вимоги
є обов’язковими та як
уникнути порушень

Анастасія Шишенко

2 листопада, 2026

Всі статті

Читати статтю

Всі статті

Повернутись на головну

‍Загальна інформація

Уявімо звичайну українську IT-компанію. Вона розробляє мобільний застосунок, продає доступ до SaaS-платформи (Software as a Service — програмне забезпечення як послуга) або створює програмне забезпечення для іноземних замовників. Користувач реєструється, вказує електронну адресу, ім’я, номер телефону, погоджується з умовами використання. Застосунок запам’ятовує його дії, аналізує поведінку та пропонує персоналізований контент.

Для розробника це звичайна робота продукту. Для юриста — низка запитань: навіщо компанія збирає ці дані? Чи має вона право їх використовувати? Хто ще отримує до них доступ? Як довго інформація зберігатиметься? І що станеться, якщо користувач попросить її видалити?

Саме на такі запитання допомагає відповісти GDPR — Загальний регламент Європейського Союзу про захист персональних даних. Він змінив підхід до приватності: компанія більше не може вважати дані користувачів своїм необмеженим ресурсом лише тому, що вони потрапили до її системи.

Для українського IT-бізнесу ця тема особливо важлива. Компанія може працювати з клієнтами з Європи, надавати послуги іноземному бізнесу, підтримувати закордонний продукт або розробляти інструменти для аналізу поведінки користувачів. І навіть якщо її офіс, працівники та сервери розташовані в Україні, це не завжди означає, що європейські правила на неї не поширюються.

Тому головне запитання — не лише як захистити дані, а й чи поширюється GDPR на конкретну компанію, які обов’язки він створює та як виконувати їх так, щоб комплаєнс не перетворився на формальність.

Що насправді регулює GDPR?

GDPR почав застосовуватися 25 травня 2018 року. Його мета — захистити людей під час обробки їхніх персональних даних і встановити зрозумілі правила для організацій, які з такою інформацією працюють.

Персональні дані — це значно більше, ніж паспортні відомості, номер телефону або адреса електронної пошти. До них можуть належати IP-адреса, ідентифікатор пристрою, дані про місцезнаходження, історія дій у застосунку, файли cookie та інша інформація, за допомогою якої людину можна прямо чи опосередковано ідентифікувати.

Наприклад, IT-компанія створила платформу для онлайн-навчання. Вона зберігає ім’я користувача, його електронну адресу, результати тестів, історію перегляду уроків і час, проведений на платформі. Окремо кожен із цих елементів може здаватися не надто чутливим. Але разом вони дають змогу сформувати досить детальне уявлення про конкретну людину.

GDPR не забороняє збирати такі дані. Він вимагає, щоб компанія розуміла, які дані їй потрібні, для чого вони використовуються, на якій підставі обробляються та як захищаються. У цьому й полягає головна ідея регламенту: персональні дані не можна збирати «про всяк випадок», зберігати безстроково або використовувати для будь-якої нової мети лише тому, що технічно це можливо.

Водночас GDPR — це не лише документ про штрафи. Це система правил, яка допомагає зробити обробку даних передбачуваною для користувача й контрольованою для бізнесу. Для IT-компанії це означає, що захист приватності має враховуватися не наприкінці розробки продукту, а ще під час планування його функцій.

Коли GDPR стає обов’язковим для української IT-компанії?

Це одне з найважливіших питань, адже поширена помилка — вважати, що GDPR автоматично застосовується до кожної української компанії, яка має хоча б одного клієнта з Європейського Союзу. Насправді все залежить від характеру діяльності та обробки даних.

Перший випадок — компанія має установу в Європейському Союзі.

Якщо український IT-бізнес здійснює діяльність через відповідне представництво, філію чи іншу установу в ЄС і обробка персональних даних відбувається в контексті її діяльності, GDPR може застосовуватися незалежно від того, де фізично обробляються дані. Тобто перенесення серверів до України саме по собі не усуває вимог регламенту.

Другий випадок — компанія пропонує товари або послуги людям, які перебувають у ЄС.

Наприклад, український розробник створив SaaS-платформу для управління проєктами та цілеспрямовано пропонує її клієнтам у Франції, Німеччині чи Польщі.

Якщо діяльність відповідає критеріям регламенту, GDPR може поширюватися на обробку даних цих користувачів, навіть якщо компанія не має офісу в Європі та продає послуги онлайн.

Третій випадок — компанія відстежує поведінку людей у ЄС.

Це може стосуватися сервісів вебаналітики, рекламних платформ, мобільних застосунків або продуктів, що аналізують дії користувачів, створюють поведінкові профілі чи прогнозують їхні інтереси. Якщо така діяльність підпадає під критерії GDPR, місце реєстрації компанії не звільняє її від відповідних обов’язків.

Важливо розуміти й протилежне: сам факт, що сайт доступний у Європі або що його відвідувачем випадково стала людина з ЄС, ще не означає автоматичного застосування GDPR. Враховуються конкретні обставини, зокрема те, чи спрямована діяльність компанії на людей у ЄС і чи відстежується їхня поведінка саме там.

Окремо потрібно враховувати роль українського IT-підрядника. Якщо компанія розробляє програмне забезпечення для європейського замовника та обробляє дані користувачів за його документованими вказівками, вона може виступати обробником персональних даних. У такому разі вимоги GDPR можуть поширюватися на неї безпосередньо, а не лише через договір із клієнтом.

Наприклад, замовник доручає українській компанії підтримувати CRM-систему, у якій зберігаються дані європейських клієнтів. Українська команда отримує доступ до цієї інформації для технічної підтримки. Така діяльність потребує оцінки не лише умов договору, а й ролі компанії, характеру доступу до даних і територіальної сфери дії GDPR.

Отже, для українського IT-бізнесу правильне запитання звучить не «Чи є серед наших клієнтів європейці?», а «Де перебувають люди, чиї дані ми обробляємо, для чого ми це робимо та яку роль виконуємо в цьому процесі?».

Чому навіть великі компанії порушують GDPR: реальні кейси

Найкраще зрозуміти практичне значення GDPR допомагають справи, у яких регулятори вже встановили порушення. Вони показують, що ризик виникає не лише через масштабний витік даних. Іноді достатньо неправильно організувати збір контактів, зберігання інформації або роботу з підрядниками.

KASPR: якщо дані доступні в інтернеті, це ще не означає, що їх можна збирати без обмежень

У грудні 2024 року французький регулятор із захисту даних CNIL оштрафував компанію KASPR на 240 000 євро.

Компанія розвивала розширення для браузера, за допомогою якого користувачі могли отримувати професійні контактні дані людей, чиї профілі переглядали в LinkedIn. Проблема полягала, зокрема, у тому, що до бази потрапляли контактні дані людей, які обмежили видимість своєї інформації. Регулятор також звернув увагу на надмірний строк зберігання даних, несвоєчасне інформування людей про їх збирання та недостатню прозорість щодо джерел отримання інформації.

Ця справа руйнує поширений міф: якщо дані можна знайти в інтернеті, їх можна вільно копіювати, об’єднувати в бази та використовувати для комерційних цілей. Публічна доступність інформації сама по собі не означає, що будь-який спосіб її збирання та подальшого використання є законним.

Урок для IT-компанії: перед створенням баз контактів, інструментів для пошуку потенційних клієнтів або сервісів автоматизованого збирання інформації потрібно оцінити правову підставу, очікування людей, прозорість обробки та строки зберігання. Технічна можливість зібрати дані не замінює юридичного права це робити.

Mobius Solutions: договір завершився, але дані залишилися

У грудні 2025 року CNIL оголосив про штраф у розмірі 1 мільйона євро для Mobius Solutions Ltd — компанії, яка виконувала функції обробника даних у межах рекламних кампаній для Deezer. Після завершення договірних відносин Mobius зберегла копію даних понад 46 мільйонів користувачів Deezer.

Крім того, дані копіювалися та використовувалися для поліпшення власних сервісів компанії без належних вказівок контролера. Ці обставини розглядалися в контексті інциденту, пов’язаного з даними користувачів Deezer, які згодом опинилися в мережі. Цей випадок особливо важливий для IT-аутсорсингу.

Підрядник може отримувати доступ до великих масивів інформації, працювати з тестовими середовищами, створювати резервні копії та використовувати технічні інструменти для підтримки продукту. Але це не означає, що після завершення проєкту він може залишити собі дані замовника або використовувати їх для власних цілей.

Урок для IT-компанії: у договорах із клієнтами потрібно чітко визначати, які дані обробляються, з якою метою, хто має до них доступ і що відбувається після завершення співпраці. Не менш важливо перевіряти, чи справді дані видалено з робочих, тестових та інших середовищ відповідно до погоджених правил.

Meta: безпека — це не лише захист від зовнішніх хакерів

У вересні 2024 року ірландський регулятор із захисту даних оголосив про штраф у розмірі 91 мільйона євро для Meta Platforms Ireland. Розслідування стосувалося випадків, коли певні паролі користувачів Facebook зберігалися у відкритому текстовому вигляді без належного криптографічного захисту.

Регулятор встановив порушення вимог щодо належних заходів безпеки, документування інцидентів і повідомлення про порушення безпеки персональних даних.

Важливо, що йшлося не про підтверджене передавання цих паролів стороннім особам, а про неналежний спосіб їх зберігання та недотримання відповідних обов’язків.

Для IT-бізнесу це нагадування: безпека даних — не окремий пункт у політиці конфіденційності. Вона має бути вбудована в архітектуру продукту, процеси розробки, контроль доступу, журналювання подій та реагування на інциденти.

Урок для IT-компанії: навіть якщо витік не підтверджений, неналежні заходи захисту можуть створювати серйозні ризики. Потрібно не лише запобігати інцидентам, а й мати зрозумілий порядок їх фіксації, оцінювання та реагування.

Як українській IT-компанії уникнути порушень GDPR?

Дотримання GDPR не означає, що компанія повинна припинити збирати дані або створити складну систему документів на сотні сторінок.

Головне — побудувати зрозумілий процес, у якому кожна дія з персональними даними має обґрунтовану мету, правову підставу та належний рівень захисту.

1. Проведіть інвентаризацію даних

Компанія має з’ясувати, які саме персональні дані вона отримує, де вони зберігаються, хто має до них доступ, кому передаються та коли видаляються. Для цього потрібно перевірити не лише основну базу продукту, а й CRM, системи аналітики, журнали подій, резервні копії, тестові середовища та сервіси підтримки.

2. Визначте мету й правову підставу обробки

Для кожного процесу потрібно розуміти, навіщо компанія використовує дані та на якій підставі це робить. Такою підставою залежно від ситуації може бути виконання договору, дотримання юридичного обов’язку, законний інтерес, згода людини або інша передбачена GDPR підстава.

Згода не є універсальним рішенням для будь-якої обробки, а її наявність не виправдовує збирання надмірної кількості інформації.

Наприклад, якщо сервісу потрібна електронна адреса для створення облікового запису, компанія має пояснити цю мету. Але якщо вона додатково хоче використовувати адресу для рекламних розсилок, необхідно окремо оцінити правову підставу та вимоги, що застосовуються до такого маркетингу.

3. Зробіть правила зрозумілими для користувачів

Політика конфіденційності не повинна бути формальним документом, який ніхто не читає. Людина має розуміти, хто збирає її дані, для чого, кому вони передаються, як довго зберігаються та які права вона має.

Якщо інформація фактично використовується для профілювання, аналітики або рекламних цілей, це не варто приховувати за загальними формулюваннями.

4. Встановіть обґрунтовані строки зберігання

Персональні дані не потрібно зберігати безстроково лише тому, що вони можуть колись знадобитися. Компанії варто визначити строки зберігання або критерії їх встановлення, а також передбачити процедури видалення чи знеособлення інформації, коли вона більше не потрібна для відповідної мети. Це стосується й копій даних, які залишаються після завершення проєкту.

5. Перевірте договори з клієнтами та підрядниками

Якщо компанія обробляє дані за дорученням замовника, у договорі потрібно належно врегулювати предмет і мету обробки, категорії даних, обов’язки сторін, заходи безпеки, залучення субпідрядників та повернення або видалення даних після завершення послуг.

Водночас слід визначити, чи діє компанія як контролер, обробник або має різні ролі залежно від конкретного процесу.

6. Забезпечте належний технічний і організаційний захист

До практичних заходів можуть належати контроль доступу за принципом необхідності, багатофакторна автентифікація, шифрування там, де воно доречне, захист резервних копій, оновлення програмного забезпечення, перевірка прав доступу працівників і належне ведення журналів подій. Конкретний набір заходів має відповідати характеру обробки та ризикам для людей.

7. Підготуйтеся до запитів користувачів та інцидентів

Компанія повинна мати процес опрацювання звернень щодо доступу, виправлення, видалення чи обмеження обробки даних, а також заперечень проти певних видів використання інформації. Окремо необхідно визначити, хто реагує на інцидент безпеки, як він документується та хто оцінює обов’язок повідомити регулятора.

За GDPR, коли виникає обов’язок повідомлення про порушення персональних даних, контролер зазвичай має повідомити компетентний наглядовий орган без невиправданої затримки і, якщо це можливо, протягом 72 годин після того, як йому стало відомо про порушення. За наявності високого ризику для прав і свобод людей може також виникати обов’язок повідомити самих осіб.

8. Регулярно переглядайте процеси обробки даних

GDPR-комплаєнс не закінчується після затвердження політики конфіденційності. Нові функції продукту, зміна постачальника хмарних послуг, запуск аналітики або вихід на новий ринок можуть змінювати ризики та обсяг обов’язків.

Тому процедури потрібно регулярно переглядати й перевіряти, чи відповідають вони реальній роботі компанії.

Які наслідки може мати
недотримання GDPR?

Фінансові санкції — один із найбільш відомих ризиків.

Залежно від виду порушення GDPR передбачає штрафи, які можуть сягати 20 мільйонів євро або 4% загального світового річного обороту підприємства за попередній фінансовий рік. Застосовується вища межа з урахуванням відповідної категорії порушення. Це максимальні межі для певних порушень, а не автоматичний розмір штрафу в кожній справі.

Проте фінансові наслідки — не єдина проблема.

Для IT-компанії порушення вимог може означати втрату довіри клієнтів, витрати на розслідування інциденту, зміну архітектури продукту, перегляд договорів, претензії з боку замовників і затримки у виході на нові ринки. Особливо відчутними такі наслідки можуть бути для компаній, які працюють за моделлю B2B (Business-to-Business — бізнес для бізнесу).

Європейський клієнт може оцінювати не лише якість коду чи вартість послуг, а й те, наскільки надійно підрядник поводиться з даними. Відсутність зрозумілих процедур може ускладнити укладення договору, проходження перевірки постачальника або продовження співпраці.

Тому належна робота з персональними даними — не лише виконання юридичного обов’язку. Вона може стати конкурентною перевагою, яка допомагає доводити надійність компанії та вибудовувати довгострокові відносини із замовниками.

Висновок

Для української IT-компанії GDPR — не абстрактний європейський документ і не правило, яке стосується лише міжнародних технологічних гігантів. Його вимоги можуть поширюватися на розробників мобільних застосунків, SaaS-платформ, сервісів вебаналітики, рекламних інструментів та компанії, які надають технічну підтримку іноземним замовникам.

При цьому відповідність GDPR не обмежується політикою конфіденційності на сайті чи отриманням згоди користувача. Вона потребує розуміння того, які дані обробляє компанія, навіщо вони їй потрібні, на якій підставі використовуються та як захищаються.

Найкраща стратегія для бізнесу — не чекати на скаргу користувача чи перевірку регулятора, а завчасно оцінити свої процеси й усунути слабкі місця.

Коли захист персональних даних стає частиною розробки продукту, договірної роботи та щоденних операцій, GDPR перестає бути лише джерелом юридичних ризиків і стає одним із показників зрілості та надійності IT-компанії.

Автор статті

Анастасія Шишенко

Помічниця адвоката Salamakha & Partners

Поділитись статтею