GDPR
GDPR визначає правила обробки персональних даних, права людей та відповідальність організацій. Регламент поєднує законність використання даних із вимогами до їх захисту.
Огляд GDPR
GDPR — Загальний регламент ЄС про захист даних, Регламент (ЄС) 2016/679. Він захищає права і свободи людей під час обробки їхніх персональних даних та встановлює правила вільного руху цих даних у ЄС.
Персональні дані — це інформація про людину, яку можна визначити прямо або опосередковано: ім’я, робоча електронна адреса, номер клієнта, геолокація чи медична історія. Обробка охоплює весь шлях даних: від збирання й зберігання до передавання та видалення.
Заміна імені кодом або шифрування зазвичай не робить дані анонімними. Якщо людину все ще можна ідентифікувати, зокрема за допомогою додаткових відомостей, вимоги до персональних даних зберігаються.
Для кого призначений регламент
GDPR стосується організацій, чия обробка даних підпадає під його сферу застосування, незалежно від розміру та форми власності. У щоденній роботі його вимоги розподіляються між кількома командами.
Керівництво та власники процесів
Визначають цілі обробки, відповідальних осіб, ресурси та правила роботи з даними.
Юристи та фахівці із захисту даних
Перевіряють правові підстави, договори, повідомлення про приватність і виконання прав людей.
ІТ, кібербезпека та продуктові команди
Закладають захист у сервіси, обмежують доступ і забезпечують пошук, виправлення та видалення даних.
HR, маркетинг і підтримка
Застосовують правила у роботі з кандидатами, працівниками та клієнтами й передають запити відповідальній команді.
Для яких галузей
GDPR має міжгалузеву дію: важливі вид обробки, її мета та ризики для людей. У кожній галузі поряд із ним можуть діяти спеціальні закони, наприклад щодо медицини, трудових відносин або електронних комунікацій.
ІТ і цифрові сервіси
Облікові записи, аналітика поведінки, хмарне зберігання та доступ постачальників до даних.
Торгівля та послуги
Замовлення, програми лояльності, контакти клієнтів і рекламні розсилки.
Фінанси та страхування
Ідентифікація клієнтів, платіжні дані, оцінка ризику та автоматизовані рішення.
Медицина та соціальна допомога
Дані про здоров’я та інша чутлива інформація потребують додаткових умов обробки й суворого контролю доступу.
Освіта та дослідження
Дані учнів і студентів, навчальні платформи та участь людей у дослідженнях.
Публічний і громадський сектори
Звернення громадян, публічні послуги, дані донорів і волонтерів — за умови застосовності регламенту.
Коли застосовується GDPR
Регламент охоплює повністю або частково автоматизовану обробку, а також паперові дані, що входять або мають увійти до впорядкованої картотеки. Стаття 2 містить винятки, зокрема для суто особистої чи побутової діяльності та діяльності поза сферою права ЄС, як-от національна безпека.
GDPR діє для обробки, пов’язаної з діяльністю філії чи іншого постійного осередку контролера або оператора в ЄС, навіть якщо дані обробляють за його межами. Він також охоплює організації поза ЄС, коли обробка пов’язана з пропонуванням товарів чи послуг людям у ЄС або відстеженням їхньої поведінки в ЄС; регламент діє також у Європейському економічному просторі.
Для української організації застосовність перевіряють за конкретною діяльністю: українська реєстрація або громадянство клієнта самі по собі не дають відповіді. Наприклад, інтернет-магазин, який цілеспрямовано пропонує доставку людям у Польщі, має оцінити відповідну обробку за статтею 3; просто доступного з ЄС сайту недостатньо.
Контролери та оператори персональних даних
Роль визначають для конкретної обробки за фактичними рішеннями й діями. Та сама організація може бути контролером для власних кадрових даних і оператором для даних клієнта.
Наприклад, компанія визначає мету нарахування зарплати, а постачальник розрахункового сервісу обробляє дані лише за її дорученням. У цьому процесі компанія є контролером, а постачальник — оператором; їхні відносини потрібно оформити відповідно до статті 28.
Контролер — controller
Визначає, навіщо та якими засобами обробляють дані, і відповідає за законність та дотримання прав людей.
Оператор — processor
Обробляє дані від імені контролера за документованими інструкціями. Має власні обов’язки, зокрема щодо безпеки та повідомлення контролера про порушення.
Спільні контролери
Разом визначають цілі й засоби обробки та прозоро розподіляють обов’язки. Назва сторони в договорі не замінює оцінки її фактичної ролі.
Принципи та правові підстави
Для кожної мети потрібна належна підстава зі статті 6: згода, необхідність виконання договору, юридичний обов’язок, життєво важливі інтереси, завдання в суспільних інтересах або законні інтереси. Кожна підстава має свої умови; законні інтереси потребують оцінки необхідності та балансу з правами людини.
Згода — лише одна з підстав: вона має бути добровільною, конкретною, поінформованою та однозначною; відкликати її має бути так само легко, як надати. Для даних про здоров’я та інших спеціальних категорій додатково потрібна умова зі статті 9; відомості про судимості регулює стаття 10.
Законність, справедливість і прозорість
Мати правову підставу, діяти справедливо та зрозуміло пояснювати людям використання їхніх даних.
Мета та мінімізація
Збирати дані для визначених цілей і лише в необхідному обсязі. Наприклад, для реєстрації на вебінар не просити домашню адресу без потреби.
Точність і строки зберігання
Виправляти неточності й установлювати обґрунтовані строки видалення або перегляду даних.
Безпека та підзвітність
Захищати дані від втрати та неправомірного доступу й мати докази виконання вимог.
Права людей щодо своїх даних
Людина, чиї дані обробляють, є суб’єктом даних. Контролер має зрозуміло пояснювати обробку та забезпечити доступний спосіб звернення; конкретні права залежать від підстави й обставин обробки.
За загальним правилом контролер відповідає без невиправданої затримки, протягом одного місяця від отримання запиту. За потреби строк можна подовжити ще на два місяці з огляду на складність або кількість запитів, повідомивши про це та причини в перший місяць; відмову також потрібно обґрунтувати.
Інформація, доступ і виправлення
Дізнатися, хто й навіщо використовує дані, отримати до них доступ і виправити неточності.
Видалення та обмеження
Вимагати видалення або обмеження обробки за передбачених умов. Видалення не є безумовним: частину даних може бути потрібно зберігати за законом.
Перенесення та заперечення
Перенесення стосується певних даних за автоматизованої обробки на підставі згоди або договору. Проти прямого маркетингу можна заперечити будь-коли.
Автоматизовані рішення та захист прав
Стаття 22 захищає від суто автоматизованих рішень із правовими чи подібними істотними наслідками, з визначеними винятками та гарантіями. Людина також може відкликати згоду й подати скаргу до наглядового органу.
Організація роботи та безпека
Відповідність GDPR потребує щоденних процесів: знати свої дані, призначити відповідальних, виконувати права людей та перевіряти захист. Обсяг заходів залежить від характеру обробки й ризиків для людей.
Облік процесів і постачальників
Фіксувати цілі, категорії даних, одержувачів і строки зберігання; вести реєстр операцій, коли цього вимагає стаття 30. З операторами оформлювати договір за статтею 28.
Захист під час проєктування
Від початку передбачати мінімізацію, видалення та обмеження доступу. За замовчуванням обробляти лише дані, необхідні для конкретної мети.
Заходи безпеки
Добирати технічні й організаційні заходи відповідно до ризику: керування доступом, шифрування, резервування, відновлення та перевірку ефективності захисту.
Оцінка впливу — DPIA
До початку обробки з імовірним високим ризиком оцінити її необхідність, наслідки для людей та заходи зменшення ризику. Якщо високий залишковий ризик не вдається зменшити, потрібна попередня консультація з наглядовим органом.
Фахівець із захисту даних — DPO
DPO обов’язковий у випадках статті 37: зокрема для публічних органів, крім судів у їхній судовій діяльності, або коли основна діяльність передбачає масштабний регулярний систематичний моніторинг чи масштабну обробку спеціальних категорій даних або даних про судимості. Законодавство ЄС чи держави-члена може встановлювати додаткові випадки.
Порушення безпеки персональних даних
Порушенням може бути витік, втрата, знищення, зміна даних або несанкціонований доступ до них. Наприклад, лист із даними клієнтів, надісланий сторонньому адресату, теж потребує оцінки, навіть без кібератаки.
Контролер документує всі порушення й оцінює ризик для прав і свобод людей. Він повідомляє компетентний наглядовий орган без невиправданої затримки та, якщо можливо, не пізніше 72 годин після того, як дізнався про порушення, крім випадків, коли ризик є малоймовірним; затримку потрібно пояснити.
За ймовірного високого ризику людей також повідомляють без невиправданої затримки, з урахуванням винятків статті 34. Оператор повідомляє контролера без невиправданої затримки після того, як дізнався про порушення; для нього правило «72 години до наглядового органу» не замінює цього обов’язку.
Міжнародне передавання даних
Коли організація, що підпадає під GDPR, передає дані іншій організації за межами Європейського економічного простору, потрібно перевірити правила глави V. Це може стосуватися хмарного сервісу або віддаленого доступу іноземного підрядника; місце сервера не є єдиним критерієм.
Поширені механізми — чинне рішення Єврокомісії про належний рівень захисту або відповідні гарантії, наприклад стандартні договірні положення (SCC). Для SCC потрібно оцінити умови передачі та право й практику країни одержувача і за потреби додати заходи захисту; винятки статті 49 мають обмежене застосування.
Механізм міжнародної передачі доповнює правову підставу обробки, прозорість, безпеку та договір з оператором. Наприклад, перед підключенням сервісу підтримки варто з’ясувати, які юридичні особи й з яких країн матимуть доступ до звернень клієнтів.
Кому це буде корисно
Для кожної групи наведено практичну користь GDPR, теми, з яких варто почати, та приклад застосування.
Для навчальних закладів
Практична користь. Допомагає включити захист даних у навчальні програми та впорядкувати роботу з даними учнів, студентів і працівників.
Що вивчити насамперед. Правові підстави, дані дітей, навчальні платформи, права людей та строки зберігання.
Приклад застосування. Розібрати реєстрацію на онлайн-курс: які дані потрібні, хто їх отримує і коли їх видаляють.
Більше про напрям для цієї групиДля студентів
Практична користь. Дає основу для роботи у сфері ІТ, кібербезпеки й права та допомагає розуміти власні права щодо даних.
Що вивчити насамперед. Персональні дані, ролі контролера й оператора, згода, доступ до даних і безпечне проєктування сервісів.
Приклад застосування. На прикладі студентського застосунку описати цілі обробки та прибрати зайві поля анкети.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Допомагає узгодити роботу з даними клієнтів і працівників, договори з постачальниками та вихід на ринки ЄС.
Що вивчити насамперед. Сфера застосування, правові підстави, договори з операторами, міжнародні передачі та реагування на порушення.
Приклад застосування. Перед підключенням CRM перевірити дані клієнтів, доступ постачальника, місця обробки та умови видалення.
Більше про напрям для цієї групиДля державних установ
Практична користь. Допомагає проєктувати зрозумілі правила роботи з даними у публічних послугах і вивчати підходи ЄС до їх захисту.
Що вивчити насамперед. Сфера застосування, законність, суспільний інтерес, прозорість і розподіл відповідальності; для України окремо перевіряти національне право та застосовність GDPR.
Приклад застосування. Описати, які дані потрібні для звернення громадянина, хто їх бачить і як людина отримує відповідь про їх використання.
Більше про напрям для цієї групиДля військових
Практична користь. Може бути навчальним орієнтиром для розуміння мінімізації, доступу та відповідальності в роботі з персональними даними.
Що вивчити насамперед. Спочатку межі статті 2: діяльність у сфері національної безпеки виключена зі сфери GDPR; для цивільних процесів застосовність і спеціальне право перевіряють окремо.
Приклад застосування. У навчальному прикладі цивільного заходу визначити мінімальний перелік даних учасників і доступ організаторів, спочатку встановивши застосовне право.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає захищати донорів, волонтерів і отримувачів допомоги та підтримувати довіру до організації.
Що вивчити насамперед. Правові підстави, чутливі дані, обмеження доступу, передавання партнерам і строки зберігання.
Приклад застосування. Для програми допомоги розділити контакти волонтерів і дані отримувачів, обґрунтувати доступ та перевірити умови передачі партнеру.
Більше про напрям для цієї групиДля громадян
Практична користь. Допомагає розуміти, які пояснення можна отримати від сервісу та як користуватися правами, якщо обробка підпадає під GDPR.
Що вивчити насамперед. Повідомлення про приватність, доступ, виправлення, видалення, заперечення проти маркетингу та звернення до наглядового органу.
Приклад застосування. Попросити сервіс, на який поширюється GDPR, пояснити мету обробки й надати доступ до власних даних; перевірити відповідь і її строк.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Допомагає узгоджувати стандарти, методики й галузеві рекомендації з вимогами захисту персональних даних.
Що вивчити насамперед. Принципи статті 5, захист під час проєктування та заходи статті 32; GDPR є нормативним актом, а сертифікація не звільняє від його вимог.
Приклад застосування. Зіставити вимоги стандарту до журналів подій із мінімізацією даних, строками зберігання та обмеженням доступу.
Більше про напрям для цієї групиІсторія GDPR
Ключові етапи розвитку європейського захисту персональних даних: від директиви 1995 року до нових роз’яснень і практики застосування у 2026 році. Статус біля кожної події допомагає відрізнити чинні правила від пропозицій та консультацій.
Спільна основа захисту даних у Європі
Директива 95/46/ЄС закріпила спільні вимоги до захисту персональних даних і їхнього вільного руху. Держави впроваджували ці вимоги у власне законодавство; згодом директиву замінив GDPR.
Комісія пропонує реформу для цифрової доби
Європейська комісія запропонувала оновити правила 1995 року через розвиток інтернету та глобальний обмін даними. Мета — посилити контроль людей над своїми даними й зменшити відмінності між національними правилами.
Ухвалення GDPR і набрання чинності
Європейський парламент і Рада ухвалили Регламент (ЄС) 2016/679. Він набрав чинності 24 травня 2016 року; організації отримали два роки для підготовки до його застосування.
Початок застосування GDPR
GDPR почав застосовуватися та замінив директиву 1995 року. Від цієї дати організації мають виконувати його вимоги, а люди можуть користуватися передбаченими ним правами.
Schrems II: перевірка захисту під час передачі даних
Суд ЄС визнав недійсним рішення про EU–US Privacy Shield. Стандартні договірні положення залишилися допустимим інструментом, але їх використання потребує перевірки, чи забезпечують умови передачі та гарантії належний захист даних у країні одержувача.
Оновлені стандартні договірні положення
Комісія ухвалила нові стандартні договірні положення (SCC) для передачі персональних даних до третіх країн. Вони визначають обов’язки сторін і гарантії захисту та враховують вимоги GDPR і рішення Schrems II.
Другий звіт про застосування GDPR
Комісія оцінила роботу GDPR та визначила подальші пріоритети: більш узгоджене застосування, зрозумілі практичні роз’яснення й підтримку малих організацій. Це оцінка чинного регламенту, а не нова редакція його вимог.
Пропозиція Digital Omnibus
Комісія запропонувала пакет змін до цифрового законодавства, зокрема GDPR, для спрощення окремих правил. Станом на дату перевірки законодавча процедура 2025/0360/COD триває; запропоновані зміни до GDPR не є чинними вимогами.
Нові правила розгляду транскордонних справ
Регламент (ЄС) 2025/2518 узгоджує процедури співпраці наглядових органів у транскордонних справах GDPR. Він набрав чинності 1 січня 2026 року, але застосовуватиметься з 2 квітня 2027 року.
Висновок EDPB та EDPS щодо Digital Omnibus
EDPB та Європейський інспектор із захисту даних оприлюднили спільний висновок: підтримали спрощення, але висловили застереження щодо окремих змін, зокрема визначення персональних даних. Висновок оцінює законопроєкт і сам не змінює GDPR.
Роз’яснення щодо анонімізації та даних для ШІ
EDPB опублікував для консультації настанови щодо анонімізації та автоматизованого збирання вебданих для генеративного ШІ. Вони пояснюють застосування GDPR; приймання зауважень триває до 30 жовтня 2026 року.
Практика застосування: захист паперових медичних записів
Ірландська DPC повідомила про штраф €645 000 для HSE за порушення під час зберігання паперових записів та повідомлення про витоки. Справа показує значення фізичного захисту документів і дотримання строків зберігання.