Захист персональних даних у різних країнах: GDPR, CCPA та інші режими

Чому регулювання персональних даних стало глобальним питанням

Феномен «брюссельського ефекту» описує здатність ЄС встановлювати глобальні стандарти через власне законодавство. Один із найбільш показових прикладів — Регламент ЄС із захисту персональних даних (General Data Protection Regulation, GDPR), що набрав чинності у травні 2018 року. Завдяки екстериторіальній дії GDPR фактично зобов’язав компанії з усього світу переглянути свої підходи до обробки даних.

За даними Міжнародної асоціації спеціалістів з приватності (IAPP), станом на 2025 рік щонайменше 144 країни мають власне законодавство у сфері захисту персональних даних¹ — і більшість із них тією чи іншою мірою орієнтувалися на європейську модель. Навіть США, які традиційно уникали комплексного федерального регулювання, поступово рухаються у бік посилення вимог на рівні окремих штатів.

Коли вашій компанії потрібно думати про compliance

Більшість регуляторних режимів у сфері персональних даних застосовують принцип екстериторіальності: закон поширюється не лише на компанії, зареєстровані у відповідній юрисдикції, але й на будь-який бізнес, що обробляє дані резидентів цієї країни. Це означає, що навіть українська компанія без офісу в ЄС зобов’язана дотримуватися GDPR, якщо пропонує товари або послуги клієнтам з ЄС.

Ознаки того, що ваша компанія підпадає під дію GDPR:

• сайт перекладено однією з мов країн Європейської економічної зони (ЄЕЗ);
• ціни на товари або послуги вказані у валюті держав-членів ЄС (євро, злотий, крона тощо);
• використовуються контактні номери телефонів країн ЄЕЗ або домени верхнього рівня (.de, .pl, .nl, .eu);
• є згадка про міжнародну клієнтуру або цілеспрямована орієнтація на споживачів із ЄЕЗ;
• здійснюється доставка товарів або надання послуг на територію країн ЄС.

Аналогічний принцип екстериторіальності діє для CCPA (Каліфорнія), LGPD (Бразилія) та більшості інших сучасних актів у цій сфері.

Європейська модель: GDPR як глобальний стандарт

GDPR (General Data Protection Regulation) — це основний нормативний акт ЄС у сфері захисту персональних даних, що встановлює єдині стандарти для всіх 27 держав-членів та Європейської економічної зони. Важливо: GDPR поширюється не лише на компанії всередині ЄС, але й на будь-якого контролера або обробника за межами ЄС, що обробляє дані суб’єктів, які перебувають на території ЄС, — через принцип екстериторіальності та механізми призначення представника в ЄС. За порушення передбачені штрафи до €20 млн або 4% глобального річного обороту компанії залежно від того, яка сума більша.

Обробка персональних даних відповідно до GDPR має відбуватися за сімома принципами:

1. Законність, справедливість та прозорість: обробка має ґрунтуватися на одній із шести законних підстав (згода, договір, законний обов’язок, захист життєво важливих інтересів, виконання завдань в публічних інтересах, законні інтереси контролера). Суб’єкти даних повинні бути поінформовані про мету обробки.
2. Обмеження мети: дані збираються лише для конкретних і чітко визначених цілей та не можуть оброблятися у спосіб, несумісний із ними.
3. Мінімізація даних: обробляти слід лише ті дані, які є необхідними та достатніми для досягнення мети.
4. Точність: персональні дані мають бути точними та своєчасно оновлюватися; неточні дані підлягають виправленню або видаленню.
5. Обмеження строків зберігання: дані зберігаються лише протягом строку, необхідного для досягнення мети обробки.
6. Цілісність та конфіденційність: обробка здійснюється з належними технічними та організаційними заходами захисту від несанкціонованого доступу, втрати або пошкодження.
7. Підзвітність: контролер не лише зобов’язаний дотримуватися зазначених принципів, але й повинен бути здатен підтвердити таке дотримання.

Для первинної оцінки відповідності сайту нормам GDPR можна скористатися інструментом 2GDPR (2gdpr.com) — він сканує сайт на предмет збору cookies, відстежування та SSL-захисту.

Регулювання в Україні

В Україні обробку та захист персональних даних регулює Закон України «Про захист персональних даних» (2010 рік). Закон визначає основні принципи обробки, права суб’єктів даних та обов’язки володільців і розпорядників баз персональних даних. Уповноваженим органом у цій сфері є Уповноважений Верховної Ради України з прав людини (омбудсман).

З 2019 року Україна активно адаптує своє законодавство до стандартів ЄС в рамках Угоди про асоціацію. Зокрема, розробляється новий законопроєкт, орієнтований на GDPR, що передбачає посилення прав суб’єктів даних, запровадження інституту DPO та підвищення відповідальності за порушення. Однак конкретний строк його прийняття залишається невизначеним, тому для планування compliance слід орієнтуватися на чинний Закон.

Що це означає на практиці:

• Для компаній, що працюють лише на внутрішньому ринку України, поточний Закон є основним регуляторним документом.
• Для тих, хто обробляє дані резидентів ЄС або інших юрисдикцій, паралельно застосовується відповідне іноземне законодавство — передусім GDPR.
• Відповідальність за порушення поточного Закону в Україні є адміністративною і суттєво нижчою, ніж санкції за GDPR. Це не означає меншої важливості compliance: правозастосування посилюється, а нові норми можуть набути чинності в найближчі роки.
• Компанії, що залучають клієнтів або партнерів з ЄС, фактично вже зараз мають дотримуватися стандартів GDPR, навіть якщо їхній основний ринок — Україна.

Американський підхід: секторальне регулювання

На відміну від ЄС, у Сполучених Штатах Америки відсутній єдиний федеральний закон, який би комплексно регулював захист персональних даних. Регулювання має секторальний характер і здійснюється через окремі нормативні акти для конкретних галузей, а також через законодавство окремих штатів, яке активно розвивається.

Федеральні галузеві закони

• HIPAA (Health Insurance Portability and Accountability Act) — встановлює стандарти захисту конфіденційності та безпеки медичної інформації. Охоплює медичні установи, страхові компанії та їхніх бізнес-партнерів.
• COPPA (Children’s Online Privacy Protection Act) — регулює обробку персональних даних дітей до 13 років в Інтернеті. Вимагає від операторів сайтів отримувати підтверджену згоду батьків.
• GLBA (Gramm-Leach-Bliley Act) — регулює використання персональних даних у фінансовому секторі: зобов’язує фінансові установи захищати конфіденційність і безпеку даних своїх клієнтів.

Законодавство штатів

• CCPA / CPRA (California Consumer Privacy Act / California Privacy Rights Act) — найвпливовіший акт на рівні штату, що багато в чому запозичує елементи GDPR. Надає жителям Каліфорнії права знати, які дані збираються, вимагати їх видалення, відмовитися від продажу або поширення даних та отримати доступ до зібраної інформації.
• VCDPA (Virginia Consumer Data Protection Act) — надає жителям Вірджинії права на доступ, виправлення, видалення персональних даних та обмеження їх обробки для цілей таргетованої реклами.
• CPA (Colorado Privacy Act) — є першим у США законом, що почав регулювати роботу алгоритмів штучного інтелекту з метою захисту від дискримінації на основі персональних даних.

Важливо враховувати: регулювання у США здійснюється насамперед на рівні штатів, і підхід до прав споживачів та обов’язків бізнесу може суттєво відрізнятися від штату до штату. Для компаній, що планують діяльність на американському ринку, критично важливо заздалегідь визначити, у яких штатах вони працюватимуть.

Регулювання в інших країнах

У світі не існує єдиної моделі регулювання приватності. Для міжнародного бізнесу це означає, що правила можуть суттєво змінюватися залежно від ринку.

Велика Британія (UK GDPR)

Після виходу з ЄС Велика Британія зберегла стандарти, близькі до GDPR, але поступово формує власну модель регулювання. Нагляд здійснює Information Commissioner’s Office (ICO). Компаніям, що обробляють персональні дані у Великій Британії, варто звернути увагу на обов’язок реєстрації в ICO та сплату щорічного збору.

Австралія (Privacy Act 1988)

Основним нормативним актом є Privacy Act 1988 зі встановленими ним Australian Privacy Principles (APP). Для бізнесу важливо враховувати вимоги щодо прозорості обробки даних, обмеження використання персональної інформації визначеними цілями та забезпечення належного рівня захисту при транскордонній передачі даних.

Бразилія (LGPD)

LGPD (Lei Geral de Proteção de Dados) — «південноамериканський GDPR». Бразилія є лідером регіону у сфері захисту персональних даних: LGPD орієнтований на європейський підхід, включаючи вимоги щодо прозорості, призначення DPO та дотримання прав суб’єктів даних. Штрафи за порушення: до 2% річного доходу компанії від діяльності в Бразилії, але не більше 50 млн бразильських реалів за один інцидент. Залежно від характеру порушення можливі також адміністративні санкції та призупинення діяльності.

Китай (PIPL)

PIPL (Personal Information Protection Law), що набрав чинності у листопаді 2021 року, — найсуворіший із існуючих режимів захисту персональних даних у плані державного контролю. Ключові особливості: жорсткі вимоги до локалізації даних (зберігання всередині Китаю), обов’язкова окрема згода на обробку чутливої інформації, проходження державних процедур оцінки безпеки при транскордонній передачі даних. Санкції за порушення: до 50 млн юанів або до 5% річного обороту компанії (залежно від того, яка сума більша), а також адміністративні та кримінальні санкції для посадових осіб. Компаніям, що працюють з китайськими користувачами, дотримання PIPL є обов’язковим.

Японія (APPI)

APPI (Act on the Protection of Personal Information) поєднує захист користувачів із гнучкістю для бізнесу. Компанії зобов’язані чітко визначати мету використання персональних даних та обмежувати їх використання цією метою. Станом на 2025 рік ключові актуальні вимоги: обов’язкове повідомлення суб’єктів даних та регулятора (PPC) про витоки даних, що відповідають встановленим критеріям; обмеження на передачу даних за кордон — потрібна або згода суб’єкта, або переконатись, що приймаюча країна має належний рівень захисту. За порушення передбачені штрафи та кримінальна відповідальність.

Порівняльна таблиця регуляторних режимів

Нижче наведено ключові характеристики основних регуляторних режимів для зручного порівняння:

* Детальні умови та пороги штрафів залежать від характеру порушення та конкретної юрисдикції.

Спільні тенденції та що це означає для бізнесу

Попри суттєві відмінності між юрисдикціями, глобально простежується кілька спільних тенденцій у регулюванні персональних даних:

• Посилення прав суб’єктів даних: право на доступ, виправлення, видалення та переносимість даних стають стандартом у більшості нових законодавчих актів.
• Розширені права споживачів щодо контролю над персональними даними: нові закони (зокрема CCPA/CPRA, VCDPA) дедалі частіше надають споживачам право відмовитися від продажу чи поширення їхніх даних, право на виправлення неточної інформації та доступ до зібраної інформації у машинозчитуваному форматі.
• Екстериторіальність: все більше законів поширюється на компанії, що обробляють дані резидентів відповідної юрисдикції, незалежно від місця реєстрації.
• Підвищення штрафів та посилення правозастосування: максимальні санкції зростають — GDPR встановив новий орієнтир, за яким слідують інші юрисдикції, а регулятори активніше використовують наявні повноваження.
• Регулювання ШІ та алгоритмів: нові закони (Colorado Privacy Act, EU AI Act) починають регулювати не лише збір даних, але й автоматизоване прийняття рішень та профілювання.
• Accountability за замовчуванням: від компаній все частіше вимагають документувати і підтверджувати відповідність, а не просто декларувати її.

Для українського бізнесу, що виходить на міжнародні ринки, це означає: compliance у сфері персональних даних — це не одноразовий захід, а постійний процес моніторингу та адаптації до змін законодавства в кожній юрисдикції присутності.

GDPR та український Закон «Про захист персональних даних»: ключові відмінності

Для компаній, що одночасно працюють в Україні та на ринках ЄС, важливо розуміти принципові відмінності між двома системами:

Висновок

Вихід на міжнародний ринок означає автоматичне потрапляння під дію різних регуляторних режимів — незалежно від того, чи розуміє компанія це до першої угоди з іноземним клієнтом. Штраф за порушення GDPR або CCPA може в рази перевищити вигоду від одного контракту. Тому compliance у сфері персональних даних — це не фінальний крок перед виходом на ринок, а умова самого виходу.

Три практичні висновки для українського бізнесу:

1. Визначте, дані якої юрисдикції ви фактично обробляєте, ще до початку роботи з іноземними клієнтами. Наявність клієнта з ЄС — вже достатня підстава для застосування GDPR.
2. Не покладайтесь виключно на українське законодавство як на «безпечне». Вітчизняний Закон «Про захист ПД» та GDPR суттєво відрізняються — і відповідність одному з них не гарантує відповідності іншому.
3. Compliance варто будувати як систему, а не як набір окремих документів. Data mapping, актуальна Політика конфіденційності, процедури реагування на запити суб’єктів та порядок дій при витоку даних — мінімальний каркас для будь-якої компанії з міжнародними амбіціями.

Загальна тенденція однозначна: вимоги до прозорості обробки даних, захисту прав користувачів та відповідальності компаній посилюватимуться. Компанії, що будують системи захисту персональних даних завчасно, отримують не лише правову безпеку, але й конкурентну перевагу в очах міжнародних партнерів та клієнтів.

Ваша компанія обробляє персональні дані клієнтів з ЄС, США або інших юрисдикцій?

Barbashyn Law Firm допоможе провести аудит відповідності вимогам GDPR, CCPA та інших регуляторних режимів, розробити документацію та налагодити процеси захисту персональних даних.