Персональні дані — не тема «для ІТ-відділу». Анкета кандидата, копія диплома в особовій справі, телефон у CRM, запис із камери на складі — усе це обробка, за яку відповідає компанія. Цей матеріал доповнює підрозділ посібника «Корпоративна безпека» про захист персональних даних практичними розʼясненнями: типові ситуації, порядок дій і ризики.
Що вважається персональними даними і хто за них відповідає?
Основа — ст. 32 Конституції України (чинна редакція станом на жовтень 2026 року): не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом. Деталізує це Закон України «Про захист персональних даних» (в редакції від 14.06.2025, далі — Закон). Його можуть доповнювати інші закони, що йому не суперечать (ч. 1 ст. 27 Закону), — зокрема трудове й податкове законодавство.
За ст. 2 Закону персональні дані — це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Це не лише ПІБ, а й телефон, фото, голос — усе, що вказує на людину. Обробка — будь-яка дія, від збирання до знищення: навіть резюме в поштовій скриньці HR — це вже обробка.
Компанія, яка визначає мету й склад даних, є володільцем. Бухгалтерський аутсорс, хмарна CRM, служба доставки чи кол-центр, що працюють із даними за вашим дорученням, — розпорядники. Доручити їм обробку можна лише за договором, укладеним у письмовій формі, а розпорядник обробляє дані тільки з метою та в обсязі, визначених у договорі (ч. 4–5 ст. 4 Закону). Той, кому ви передаєте дані, має попередньо вжити заходів для виконання вимог Закону (ч. 4 ст. 14); якщо третя особа відмовляється взяти на себе такі зобовʼязання, доступ їй не надається (ч. 2 ст. 16).
Чи потрібна згода працівника чи клієнта на все?
Ні. Ч. 1 ст. 11 Закону називає шість підстав обробки, і згода — лише одна з них. Решта: дозвіл, наданий володільцю законом виключно для здійснення його повноважень; укладення та виконання правочину із субʼєктом даних або на його користь; захист життєво важливих інтересів субʼєкта; виконання обовʼязку володільця, передбаченого законом; захист законних інтересів володільця чи третьої особи, якщо їх не переважають основоположні права і свободи субʼєкта.
Адресу покупця для доставки ви обробляєте для виконання договору, дані працівника для звітності — на виконання закону. Згода потрібна там, де інших підстав немає: розсилки, фото працівника на сайті, резюме після завершення конкурсу.
Якщо ж ви спираєтеся на згоду, вона має бути добровільною, поінформованою і привʼязаною до сформульованої мети (ст. 2 Закону). В електронній комерції достатньо відмітки під час реєстрації — за умови, що система не обробляє дані до її проставлення. Згоду можна відкликати (п. 11 ч. 2 ст. 8), а якщо мета змінилася на нову, несумісну з попередньою, потрібна нова згода (ч. 1 ст. 6).
Незалежно від підстави дані мають бути ненадмірними стосовно мети (ч. 3 ст. 6): копія паспорта відвідувача заради разового пропуску на склад цьому навряд чи відповідає. І людину треба повідомити про володільця, склад даних, мету, її права та осіб, яким дані передаються, — у момент збору, якщо дані отримують від неї самої, а в інших випадках протягом тридцяти робочих днів з дня збору (ч. 2 ст. 12).
Які дані можна обробляти лише за особливих умов?
Ч. 1 ст. 7 Закону забороняє обробку даних про расове чи етнічне походження, політичні, релігійні чи світоглядні переконання, членство в партіях і профспілках, засудження до кримінального покарання, а також даних про здоровʼя, статеве життя, біометричних і генетичних даних. Винятки перелічені в ч. 2 ст. 7; для бізнесу найважливіші — однозначна згода субʼєкта (п. 1) та обробка, необхідна для прав і обовʼязків роботодавця у трудових відносинах відповідно до закону із забезпеченням захисту (п. 2), як-от листки непрацездатності. І ще: відомості про особисте життя не можуть використовуватися як чинник, що підтверджує чи спростовує ділові якості особи (ч. 4 ст. 10).
Міні-кейс 1. Облік робочого часу за відбитком пальця
Ситуація. Компанія хоче замінити картки доступу терміналами з відбитком пальця.
Що каже закон. Відбиток — біометричні дані, обробка яких за загальним правилом заборонена (ч. 1 ст. 7). Облік часу можна вести й без біометрії, тож довести, що вона необхідна для трудових відносин, складно; надійніша підстава — однозначна згода (п. 1 ч. 2 ст. 7). Про обробку, що становить особливий ризик для прав і свобод людей, володілець повідомляє Уповноваженого протягом тридцяти робочих днів з її початку, а види такої обробки визначає сам Уповноважений (ч. 1 ст. 9). Якщо ваша обробка підлягає повідомленню, потрібна ще й відповідальна особа чи підрозділ із захисту даних (ч. 2 ст. 24).
Що робити. Письмово обґрунтувати, чому карток недостатньо; дати альтернативу тим, хто не погоджується; оформити окрему згоду; звірити процес із чинним переліком видів обробки особливого ризику і за потреби подати повідомлення.
Міні-кейс 2. Колишній клієнт вимагає показати й видалити його дані
Ситуація. Колишній клієнт пише: «Що ви про мене зберігаєте? Видаліть усе».
Що каже закон. Людина має право на доступ до своїх даних і на відповідь, чи обробляються вони, не пізніш як за тридцять календарних днів з дня запиту (п. 3–4 ч. 2 ст. 8). Строк вивчення запиту — до десяти робочих днів, задовольняється він протягом тридцяти календарних днів, якщо інше не передбачено законом (ч. 5 ст. 16). Дані підлягають видаленню у разі припинення правовідносин, якщо інше не передбачено законом (п. 2 ч. 2 ст. 15), а про видалення володілець протягом десяти робочих днів повідомляє і самого субʼєкта, і тих, кому ці дані передавав (ч. 3 ст. 21).
Що робити. Зареєструвати запит і контролювати строки; надати перелік даних; видалити зайве в CRM, розсилках і в розпорядників; залишити лише те, що зобовʼязані зберігати за іншими законами (наприклад, первинні бухгалтерські документи), і письмово пояснити це клієнтові.
Міні-кейс 3. Менеджер при звільненні «забрав» клієнтську базу
Ситуація. Після звільнення продавця клієнтам почав дзвонити конкурент.
Що каже закон. Працівники використовують персональні дані лише відповідно до своїх обовʼязків і зобовʼязані не допускати їх розголошення; зобовʼязання чинне й після припинення діяльності, повʼязаної з даними (ч. 3 ст. 10). Незаконне збирання, використання чи поширення конфіденційної інформації про особу підпадає під ст. 182 КК України (в редакції від 18.09.2026): штраф від пʼятисот до однієї тисячі неоподатковуваних мінімумів доходів громадян, виправні роботи до двох років, пробаційний нагляд або обмеження волі до трьох років; за повторність чи істотну шкоду — до позбавлення волі на строк від трьох до пʼяти років. Але й компанії доведеться пояснити, як вона захищала дані (ч. 1 ст. 24).
Що робити. Зберегти журнали доступу й вивантажень, одразу закрити доступи, оцінити, чиї дані постраждали, звернутися із заявою до правоохоронних органів. На майбутнє — розмежування прав у CRM і заборона масового експорту.
Хто перевіряє і чим ризикує компанія?
Контроль здійснюють Уповноважений Верховної Ради України з прав людини і суди (ст. 22 Закону). Уповноважений розглядає скарги, проводить виїзні й безвиїзні, планові та позапланові перевірки з доступом до приміщень, документів і баз даних, видає обовʼязкові приписи — аж до зупинення чи припинення обробки — і складає протоколи про адміністративні правопорушення, які направляє до суду (ч. 1 ст. 23). Порушення законодавства тягне відповідальність, встановлену законом (ст. 28): адміністративні штрафи, кримінальну відповідальність за ст. 182 КК, дисциплінарну для працівників і відшкодування шкоди за рішенням суду.
Якщо серед ваших клієнтів є люди з ЄС, орієнтиром стає також Загальний регламент ЄС про захист даних (GDPR): він поширюється на компанії поза ЄС, які пропонують товари чи послуги особам в ЄС або відстежують їхню поведінку, і, зокрема, вимагає повідомляти наглядовий орган про витік даних; в українському Законі такої окремої норми немає, але порядок реагування на інциденти варто мати вже зараз.
Часті помилки
- Політика конфіденційності скопійована з чужого сайту і не описує ваших реальних процесів.
- Мета сформульована розмито — «для ведення діяльності», — і під неї збирають усе підряд.
- Згоду беруть «про всяк випадок» на все, а там, де вона справді потрібна, не зберігають жодного доказу її надання.
- З розпорядниками (CRM, хостинг, бухгалтерія, доставка) немає письмових договорів про обробку даних.
- Бази кандидатів і колишніх клієнтів роками лежать без визначеного строку зберігання.
Що робити покроково
- Скласти реєстр обробки: які дані, про кого, мета, підстава зі ст. 11, системи, доступ, одержувачі — і прибрати зайве.
- Оформити документи: положення про обробку, повідомлення про обробку на сайті й у формах, згоди там, де вони потрібні, договори з розпорядниками.
- Призначити відповідального за персональні дані: коли обробка підлягає повідомленню Уповноваженого, це прямий обовʼязок, в інших випадках — питання керованості.
- Отримати від працівників підписані зобовʼязання про нерозголошення й розмежувати доступи.
- Затвердити порядок розгляду запитів субʼєктів зі строками відповіді та порядок реагування на інциденти.
- Визначити строки зберігання для кожної категорії даних і регулярно знищувати те, що їх відслужило, складаючи акт.
Щоб перевірити, чи витримають ваші процеси перевірку Уповноваженого або скаргу, почніть із консультації юриста для бізнесу — 1 500 грн. Якщо положення, згоди чи договори з розпорядниками вже є, юрист перегляне їх у межах консультації бізнесу з перевіркою документів — 2 300 грн.
З повагою, Твій Юрист.
Дана інформаційна стаття згенерована за допомогою ШІ, перевірена юристом щодо актуальності положень і норм чинного законодавства на відповідність станом на день публікації, з метою інформування громадян про можливість звернутися до спеціаліста у сфері права, адже ніхто не зможе замінити консультацію досвідченого юриста