Конфіденційна інформація Archives - Polikarpov Law Firm

Question 1

Моя IT-компанія розробляє ПЗ для клієнта з Німеччини, і ми маємо доступ до його бази даних користувачів. Хто в цьому випадку є «контролером», а хто «процесором», і яка різниця у відповідальності?

Accepted Answer

Це класичний сценарій для аутсорсингу, і тут важливо чітко розмежовувати ролі:

Ваш клієнт з Німеччини є Контролером (Controller). Він визначає мету та засоби обробки даних (наприклад, “збираємо email для розсилки новин”). Він несе основну відповідальність перед кінцевими користувачами.
Ваша українська IT-компанія є Процесором (Processor). Ви обробляєте дані від імені та за дорученням контролера.

Практична різниця у відповідальності:
Ваше головне зобов’язання як процесора — це забезпечити технічну безпеку даних та обробляти їх суворо за інструкціями контролера. Ваші відносини мають бути закріплені в спеціальному документі — Data Processing Agreement (DPA). Якщо ви вийдете за межі інструкцій (наприклад, почнете використовувати дані клієнта для своїх цілей), ви самі станете контролером для цієї операції і будете нести повну відповідальність.

Question 2

Чи потрібно отримувати явну згоду (наприклад, через cookie-банер) абсолютно для будь-якої обробки даних? Чи існують інші законні підстави?

Accepted Answer

Ні, згода — це лише одна з шести законних підстав для обробки даних. GDPR не вимагає отримувати згоду на все. Ви можете обробляти дані без згоди, якщо це необхідно для:

Виконання договору: Ви не питаєте згоди на обробку адреси доставки, коли клієнт купує товар. Це необхідно для виконання договору купівлі-продажу.
Виконання юридичного обов’язку: Наприклад, ви зобов’язані передавати дані до податкових органів.
Захисту життєво важливих інтересів особи: Наприклад, передача медичних даних лікарям у разі нещасного випадку.
Виконання завдань в суспільних інтересах.
Законних інтересів вашої компанії (Legitimate Interests): Це гнучка підстава, але вона вимагає балансу. Наприклад, ви можете обробляти IP-адреси для захисту вашого сайту від кібератак. Однак ваші інтереси не повинні переважати права та свободи користувача.

Згода є обов’язковою для дій, які не є критично необхідними, наприклад, для маркетингових розсилок або встановлення аналітичних та рекламних cookie

Question 3

Як саме європейські регулятори можуть застосувати штраф до української компанії, яка не має офісу чи банківських рахунків в ЄС?

Accepted Answer

Хоча прямого механізму “стягнення через кордон” може не бути, існують інші, не менш дієві важелі впливу:

Блокування доступу: Регулятор може зобов’язати інтернет-провайдерів на території ЄС заблокувати доступ до вашого сайту чи сервісу.
Репутаційні втрати: Інформація про порушення та штрафи є публічною, що може повністю зруйнувати довіру європейських клієнтів та партнерів.
Тиск через партнерів: Ваші європейські партнери (наприклад, платіжні системи як Stripe чи Adyen, банки, постачальники хмарних послуг) можуть відмовитися з вами співпрацювати, щоб не бути втягнутими у скандал. Це може фактично зупинити ваш бізнес на ринку ЄС.
Призначення представника в ЄС: Якщо ви систематично працюєте з даними з ЄС, GDPR вимагає від вас призначити офіційного представника в одній з країн Євросоюзу. Саме цей представник буде контактною особою для регуляторів і може нести відповідальність.

Question 4

Я використовую популярні сервіси: Google Analytics, Mailchimp, AWS. Чи є їхнє використання порушенням GDPR, адже дані передаються за межі ЄС (наприклад, до США)?

Accepted Answer

Використання цих сервісів не є автоматичним порушенням, але вимагає від вас певних дій для легалізації передачі даних. Самі сервіси (Google, Mailchimp, Amazon) є GDPR-сумісними, але відповідальність за правильне їх налаштування лежить на вас.

Що потрібно зробити:

Підписати Data Processing Addendum (DPA): Усі великі сервіси надають цей договір, який юридично оформлює ваші відносини “контролер-процесор” та містить умови захисту даних.
Налаштувати сервіс правильно: Наприклад, в Google Analytics увімкнути анонімізацію IP-адрес. У Mailchimp використовувати форми з подвійним підтвердженням (double opt-in).
Обрати правильне місце зберігання даних: Деякі сервіси, як AWS, дозволяють обрати дата-центр. Для роботи з клієнтами з ЄС краще обирати сервери, розташовані в Європі (напр., у Франкфурті чи Ірландії).
Інформувати користувачів: У вашій Політиці приватності ви повинні чітко вказати, які сторонні сервіси ви використовуєте, і надати посилання на їхні політики.

Question 5

Як мені визначити, чи є користувач резидентом ЄС? Що робити, якщо громадянин ЄС користується моїм сайтом з України або використовує VPN?

Accepted Answer

GDPR захищає персональні дані будь-якої фізичної особи, яка фізично перебуває на території ЄС, незалежно від її громадянства.

Основний критерій — геолокація, а не громадянство. Якщо громадянин Німеччини живе і працює в Києві, його дані, зібрані в Україні, підпадають під українське законодавство, а не GDPR. Якщо ж турист з України зайшов на ваш сайт, перебуваючи в Берліні, його дані захищені GDPR.
Як визначати? Найпоширеніший спосіб — аналіз IP-адреси користувача.
А якщо VPN? Ви не можете контролювати використання VPN. Однак головне питання, яке ставить GDPR: чи орієнтований ваш бізнес на ринок ЄС? Якщо ви пропонуєте ціни в євро, маєте мовну версію сайту для країни ЄС, здійснюєте доставку в ЄС, то ви свідомо таргетуєте цей ринок. У такому випадку ви зобов’язані дотримуватися GDPR для всіх користувачів, які потенційно можуть бути з ЄС, навіть якщо не можете точно визначити їхнє місцезнаходження.

Блог

Налаштування конфіденційності

Керувати налаштуваннями

Необхідні

Маркетинг

Персоналізація

Аналітика