Персональні дані після GDPR: нові правові виклики

Розширення поняття персональних даних

Сучасна інтерпретація персональних даних уже давно не обмежується класичними відомостями на кшталт імені, номера телефону чи адреси електронної пошти. Регламент GDPR базується на тому, що персональними вважаються будь-які дані, які прямо чи опосередковано дозволяють ідентифікувати фізичну особу.

Сьогодні до цієї категорії можуть належати IP-адреси, файли cookie, дані геолокації, ідентифікатори пристроїв, історія використання додатків, біометрична інформація та цифрові профілі користувачів. Часто саме комбінація таких даних дає змогу ідентифікувати людину, навіть якщо кожен окремий елемент сам собою не є достатнім для цього.

Вагомий вплив на формування сучасного підходу до тлумачення поняття персональних даних мала справа проти Німеччини, де було встановлено, що динамічна IP-адреса також може належати до персональних даних, якщо існує законна можливість встановити особу користувача за допомогою додаткової інформації.

Крім того, цей підхід підтверджується і судовою практикою Європейського Союзу. Зокрема, псевдонімізовані дані не перестають бути персональними, якщо ідентифікацію особи можна виконати за допомогою «розумних засобів». Тому головним критерієм залишається не метод зберігання або назва даних, а здатність зіставити їх із конкретною людиною.

На практиці це також свідчить про те, що застосування вебаналітики, сервісів налаштування під користувача або рекламних технологій майже завжди супроводжується обробкою персональних даних. Саме тому варто аналізувати не окремі масиви інформації, а весь цифровий слід особи, який виникає внаслідок її діяльності на вебсайтах, у мобільних додатках та онлайн-сервісах.

Штучний інтелект та автоматизовані рішення

Стрімке зростання штучного інтелекту кардинально змінило принципи роботи з персональними даними. Сьогодні їх дедалі частіше використовують для тренування AI-моделей, автоматичного відбору кандидатів, оцінки кредитоспроможності, персоналізації реклами та формування цін.

Водночас використання AI не скасовує вимог GDPR. Навпаки, що більшої автономії набуває алгоритм, то більшої уваги потребує дотримання базових принципів захисту персональних даних.

Зокрема, компаніям варто звернути увагу на такі аспекти:

• законність обробки – використання персональних даних для навчання або вдосконалення AI-моделей завжди повинно мати належну правову підставу та відповідати меті, для якої ці дані були зібрані. Наприклад, у 2025 році італійський регулятор оштрафував розробника AI-чатбота на 5 млн євро через відсутність належної правової підстави для обробки персональних даних користувачів;
• прозорість – особи повинні бути поінформовані про використання AI під час прийняття рішень та розуміти, як саме обробляються їхні персональні дані. Наприклад, кандидат, який отримав автоматичну відмову у працевлаштуванні, має знати, що його резюме оцінювала AI-система, а не виключно рекрутер;
• право на оскарження – автоматизовані рішення не повинні бути остаточними, якщо вони мають правові або інші істотні наслідки для людини. Наприклад, у разі відмови у кредиті особа повинна мати можливість вимагати перегляду такого рішення уповноваженим працівником банку, а не повторної автоматичної перевірки алгоритмом. Крім того, 84% європейців вважають, що використання штучного інтелекту потребує належного регулювання для захисту приватності та забезпечення прозорості.

Окремої уваги заслуговує якість даних, на яких навчаються AI-моделі. Неповні, неточні або упереджені дані можуть призводити до дискримінаційних результатів і створювати юридичні ризики для компаній. Тому впровадження AI має супроводжуватися належним управлінням персональними даними та дотриманням вимог GDPR.

Cookie, таргетована реклама та проблема справжньої згоди

Cookie і надалі закріплюється не лише технічним інструментом для роботи вебсайтів. Сьогодні вони є одним із ключових механізмів збору даних про поведінку користувачів, що дає змогу компаніям створювати детальні цифрові профілі та показувати персоналізовану рекламу.

Водночас практика показує, що формальна згода не завжди означає її добровільність. Щораз частіше користувач погоджується на обробку даних не тому, що дійсно цього бажає, а через відсутність реальної альтернативи або складність механізму відмови.

Водночас для бізнесу це означає, що навіть формально отримана згода може бути визнана недійсною, якщо вона не відповідає вимогам GDPR щодо добровільності та проінформованості. Показовим є рішення CNIL, яка у 2025 році оштрафувала Google на 325 млн євро, зокрема за розміщення cookie під час створення Google-акаунтів без отримання дійсної згоди користувачів.

Саме тому під час оцінювання дійсності згоди особливу увагу варто звертати на такі аспекти:

• добровільність вибору – згода повинна бути результатом вільного волевиявлення, а не наслідком тиску чи відсутності альтернатив. Наприклад, модель «плати або погоджуйся» викликає дискусії, адже користувач фактично змушений або погодитися на використання своїх даних для таргетованої реклами, або сплачувати за доступ до сервісу;
• зрозумілість механізму згоди – користувач повинен однаково легко як погодитися, так і відмовитися від використання необов’язкових cookie. Наприклад, якщо кнопка «Прийняти всі» є помітною, а можливість відмовитися прихована в декількох рівнях налаштувань, така згода навряд може вважатися повністю усвідомленою;
• конкретність мети – користувач має розуміти, для чого саме збираються його дані та як вони використовуватимуться. Наприклад, згода на використання cookie для забезпечення роботи сайту не означає автоматичної згоди на створення поведінкового профілю чи використання даних для персоналізованої реклами.

Не менш актуальним є питання подальшого використання зібраних даних. Інформація, отримана за допомогою cookie, часто передається рекламним платформам та аналітичним сервісам, тому особливо важливо забезпечити прозорість такої обробки та повідомляти користувачів, хто саме отримує доступ до їхніх даних і з якою метою.

Транскордонне передання даних, хмарні сервіси та кіберризики

Цифровізація бізнесу призвела до того, що персональні дані дедалі рідше залишаються в межах однієї держави. Використання хмарних сервісів, міжнародних платформ та AI-рішень означає, що інформація може оброблятися одночасно в кількох юрисдикціях, кожна з яких встановлює власні вимоги до її захисту.

Саме тому транскордонне передання персональних даних залишається одним із найскладніших питань у практиці застосування GDPR. Компаніям недостатньо знати, де фізично розташовані сервери. Не менш важливо розуміти, хто має доступ до даних, чи залучаються субпроцесори та чи забезпечує законодавство відповідної країни рівень захисту, еквівалентний європейським стандартам.

Важливим орієнтиром у цьому питанні стало рішення Суду ЄС у справі Schrems II, яким було визнано недійсним механізм Privacy Shield для передачі даних між ЄС та США. Суд фактично підтвердив, що використання міжнародних сервісів саме по собі не гарантує належного захисту персональних даних, а контролери повинні самостійно оцінювати ризики такого передання та впроваджувати додаткові гарантії за необхідності.

Окремим викликом залишаються кіберінциденти та витоки персональних даних. Передання інформації хмарному провайдеру не звільняє компанію від відповідальності за її захист, тому контролер повинен оцінювати ризики співпраці з постачальниками цифрових сервісів, контролювати процес обробки даних та своєчасно реагувати на порушення безпеки.

Практичне значення цих вимог підтверджує рішення ірландського регулятора, який у 2025 році оштрафувала TikTok на 530 млн євро за порушення GDPR, пов’язані з передачею персональних даних користувачів із ЄЕЗ до Китаю. Це демонструє, що ризики виникають не лише через місце фізичного зберігання даних, а й через можливість доступу до них із території третіх країн.

Біометричні та чутливі дані: межі допустимої обробки

Біометричні та інші чутливі персональні дані належать до категорії інформації з підвищеним рівнем ризику, оскільки вони безпосередньо пов’язані з унікальними фізіологічними або поведінковими характеристиками особи.

Їх ключова особливість полягає у незмінності, оскільки, на відміну від паролів чи інших ідентифікаторів, такі дані не можуть бути «перевидані» в разі компрометації. Також це зумовлює тривалий та потенційно незворотний характер наслідків їх неправомірного використання.

У практичному вимірі біометричні технології вже інтегровані у значну кількість цифрових сервісів, зокрема в таких сферах:

• автентифікація користувачів у мобільних пристроях (Face ID, відбитки пальців);
• системи контролю фізичного доступу працівників до приміщень та інформаційних ресурсів;
• відеоспостереження із функцією автоматичного розпізнавання осіб;
• медичні та фітнес-застосунки, що обробляють дані про стан здоров’я користувача.

Водночас ступінь ризику таких технологій істотно залежить від контексту їх застосування.

Використання біометрії для індивідуальної автентифікації користувача, наприклад, розблокування пристрою, має обмежений характер втручання у приватність, тоді як її застосування у системах масового спостереження або постійного моніторингу працівників чи відвідувачів створює суттєво вищий рівень ризику та вимагає посиленого обґрунтування необхідності такої обробки.

Практичним підтвердженням цього підходу може бути рішення британського регулятора, де він зобов’язав компанію припинити використання технологій розпізнавання облич і відбитків пальців для обліку робочого часу працівників, оскільки вона не довела, що саме такий спосіб обробки є необхідним і пропорційним для досягнення поставленої мети.

Окремий блок ризиків пов’язаний з обробкою медичних даних, які за своєю природою належать до найбільш чутливих категорій інформації. Вони охоплюють відомості про фізичний стан, результати обстежень, психоемоційні характеристики та інші аспекти здоров’я особи, розкриття яких може мати істотні наслідки для її приватності.

Підтвердженням цього ризику може слугувати справа, де компанія, яка розробляє програмне забезпечення та цифрові сервіси для лікарів і інших медичних працівників, була оштрафована на 800 тисяч євро за порушення вимог щодо обробки медичних даних.

Тому в поєднанні з іншими цифровими джерелами такі дані дають змогу формувати надзвичайно деталізовані профілі осіб, що значно підвищує ризики несанкціонованого використання, дискримінації та втрати контролю над власною інформацією.

Висновок

Таким чином, GDPR залишається ключовим орієнтиром у сфері захисту персональних даних, охоплюючи як традиційні моделі обробки, так і сучасні цифрові технології від алгоритмічних систем і cookie-трекінгу до хмарних сервісів та біометрії.

Для бізнесу відповідність GDPR означає не лише наявність політики конфіденційності, cookie-банера або стандартних договірних положень. Вона передбачає постійний контроль за життєвим циклом персональних даних, обґрунтованість правових підстав обробки, прозорість алгоритмічних рішень, належну оцінку постачальників і міжнародних передач, а також реальне забезпечення прав суб’єктів даних.

Крім того, лише за 2025 рік EDPB перевірили 764 компанії щодо того, як вони забезпечують реалізацію права на видалення персональних даних. Регуляторна практика також свідчить про поступовий перехід від перевірки формальної документації до оцінки фактичної ефективності внутрішніх процедур. Тому компаніям необхідно не лише документувати відповідність, а й бути готовими довести, що запроваджені ними заходи реально працюють, регулярно переглядаються та відповідають характеру і ризикам конкретної обробки.

Отже, ефективне дотримання GDPR сьогодні є безперервним процесом, який потребує поєднання юридичної, технічної та організаційної експертизи, а також своєчасного реагування на зміни технологій, судової практики й підходів наглядових органів.