⚡ Стисла відповідь: GDPR стосується української компанії не тому, що сайт «видно з Європи», а тільки якщо ви пропонуєте товари чи послуги людям у ЄС або відстежуєте їхню поведінку. Ознаки наміру — ціни в євро, мовна версія під конкретний ринок, доставка в ЄС. Якщо це про вас, потрібні три речі: політика конфіденційності, коректний cookie-банер і зрозуміла згода у формах. Штрафи за GDPR сягають 20 млн євро або 4% світового річного обороту — залежно від того, що більше.
Одразу застереження: це оглядовий матеріал, а не юридична консультація. Він допоможе зрозуміти, які питання поставити, і що точно варто зробити на технічному боці — але під конкретний бізнес документи має дивитись юрист.
Найпоширеніший міф звучить так: «сайт доступний з Європи, отже GDPR застосовується». Це не так, і офіційний текст регламенту тут досить конкретний.
Стаття 3 описує два випадки, коли GDPR поширюється на компанію, яка не має представництва в ЄС:
Ключове слово — намір. Сама лише технічна доступність сайту з Європи наміру не доводить. А от що доводить: ціни в євро, окрема мовна версія під європейський ринок, умови доставки в країни ЄС, реклама, націлена на європейську аудиторію.
Другий пункт про моніторинг зачіпає більше компаній, ніж здається. Якщо ви ставите рекламний піксель і збираєте аудиторію для ремаркетингу, а серед відвідувачів є люди з ЄС, ви відстежуєте їхню поведінку.
Ситуація, яку варто озвучити чесно, бо на страхові навколо GDPR продано чимало непотрібних послуг.
| Ситуація | GDPR |
|---|---|
| Локальний бізнес, сайт українською, клієнти в Україні | Найімовірніше ні |
| Сайт українською, але хтось із ЄС випадково зайшов | Ні — випадкове потрапляння не рахується |
| Є англійська версія й ціни в євро | Так, це ознака наміру |
| Приймаєте оплату з європейських карток, доставляєте в ЄС | Так |
| Рекламуєтесь на аудиторію в країнах ЄС | Так |
Якщо ви плануєте виходити на європейський ринок, це варто закладати ще на етапі структури сайту — ми розбирали це в матеріалі про багатомовний сайт. Правова частина там така сама «дешевше одразу, ніж переробляти».
Незалежно від GDPR, в Україні діє власний Закон «Про захист персональних даних». Він вимагає, серед іншого, повідомляти людину про мету обробки її даних і мати підставу для цієї обробки.
Практично для сайту це означає те саме, що й у європейській логіці: ви не можете мовчки зібрати ім’я, телефон і пошту з форми й використовувати їх, як заманеться. Людина має розуміти, навіщо ці дані й що з ними буде.
Окремо варто знати, що законодавство в цій сфері змінюється. Законопроєкт про нову редакцію закону, який має наблизити українські норми до європейських, пройшов перше читання ще наприкінці 2024 року, і його доопрацьовували протягом 2025-го. Оскільки статус таких документів змінюється, перед тим як спиратись на конкретні норми, варто перевірити актуальний стан — і зробити це разом з юристом, а не за статтею в блозі.
Добра новина: практичні дії, описані нижче, потрібні за будь-якої редакції. Ніхто ще не скасовував вимоги пояснювати людині, що ви робите з її даними.
Питання, яке власники ставлять першим, звучить просто: а що буде, якщо нічого не робити.
Верхня межа за GDPR виглядає страшно: до 20 мільйонів євро або 4% світового річного обороту — залежно від того, що більше. Але важливо розуміти контекст: такі суми застосовують до великих порушень великих компаній, а не до сайту-візитки без cookie-банера. Регулятор дивиться на характер порушення, його тривалість, кількість постраждалих людей і на те, чи компанія співпрацювала. Для малого бізнесу з України реалістичний сценарій — не мільйонний штраф, а скарга конкретної людини, вимога видалити дані й потенційні проблеми з європейським партнером, для якого відповідність є умовою співпраці. Саме останнє в нашій практиці Netloria стає реальним тригером частіше за будь-які перевірки: компанія роками жила без політики, а потім великий клієнт з ЄС надіслав анкету постачальника з питаннями про обробку даних — і виявилось, що відповісти нічого.
Тобто мотивація тут радше комерційна, ніж страх покарання. Відповідність — це умова входу на певні ринки й до певних клієнтів.
Мінімальний набір виглядає так, і для більшості бізнесів цього достатньо.
Політика конфіденційності. Головний документ. Має відповідати на прості питання: які дані ви збираєте, навіщо, як довго зберігаєте, кому передаєте (сюди входять Google Analytics, рекламні кабінети, CRM, служби доставки), і як людина може попросити їх видалити. Посилання на неї — у підвалі кожної сторінки.
Політика щодо cookie. Може бути окремим документом або розділом політики конфіденційності. Описує, які саме файли ви ставите й для чого.
Умови користування чи публічна оферта. Обов’язкові для магазинів: умови замовлення, оплати, доставки, повернення. Для сайту послуг — за ситуацією.
Найгірше, що можна зробити з цими документами, — завантажити перший шаблон із інтернету й не читати. У них зазвичай лишається чужа назва компанії, згадки сервісів, якими ви не користуєтесь, і посилання на юрисдикцію, до якої ви не маєте стосунку. Такий документ гірший за його відсутність: він створює видимість, що питання закрите, а насправді описує чужий бізнес. Ми в Netloria на технічному аудиті регулярно знаходимо політики, де фігурують сервіси аналітики, яких на сайті немає, і навпаки — реально встановлені скрипти в документі не згадані.
Тут найбільше плутанини, бо банери ставлять «про всяк випадок», не розуміючи логіки.
Правило, яке задає європейська директива, просте: згоду треба отримати до того, як поставлено будь-які cookie, окрім суворо необхідних. Суворо необхідні — це ті, без яких сайт не працює: збереження кошика, авторизація, мовні налаштування. Для них згода не потрібна, але пояснити їхнє призначення все одно варто.
Усе інше — аналітика, рекламні пікселі, чат-віджети, карти — вимагає згоди наперед.
Що робить банер безглуздим:
Форма заявки — найчастіша точка збору персональних даних, і саме тут найпростіше все зробити правильно.
Робочий мінімум: окрема галочка (не поставлена заздалегідь) з коротким текстом на кшталт «Погоджуюсь на обробку персональних даних згідно з політикою конфіденційності», де «політика конфіденційності» — посилання. Формулювання має бути зрозумілим людині без юридичної освіти.
Чого робити не варто: зливати в одну галочку згоду на обробку даних і згоду на рекламну розсилку. Це різні речі з різними наслідками, і об’єднувати їх — поширена помилка. Якщо плануєте писати листи, питайте про це окремо — ми розбирали, чому це важливо ще й практично, у статті про email-маркетинг: база, зібрана без явної згоди, дає скарги на спам і б’є по домену.
І ще одне: кожне поле у формі — це дані, за які ви відповідаєте. Зайве поле «дата народження», яке нікому не потрібне, створює зобов’язання на рівному місці.
Типовий український сайт має встановлені Google Analytics, піксель Meta, іноді ще кілька скриптів — і жодної згадки про них у документах.
Це найпоширеніше порушення, і водночас найпростіше у виправленні. Потрібно зробити три речі: перелічити всі сервіси в політиці конфіденційності, підключити їх через систему керування згодою, щоб вони не спрацьовували до кліку, і перевірити, що відмова реально їх вимикає.
Остання перевірка найважливіша й найрідше робиться. Натисніть «відхилити» й подивіться в інструментах розробника, чи справді скрипти не завантажились. У нашій практиці приблизно в половині випадків вони завантажуються все одно.
Побічний ефект коректного налаштування неприємний, і про нього чесніше сказати заздалегідь: частина відвідувачів відмовиться, і ваша аналітика почне показувати менші цифри. Це не поломка — це реальна картина замість повної.
Копія чужої політики. Найшвидший спосіб отримати документ, який описує не ваш бізнес.
Документ є, посилання немає. Політика лежить за адресою, на яку ніде не посилаються. Формально існує, фактично ні.
Банер без реального блокування. Описано вище — видимість замість дії.
Збір даних «на майбутнє». Чим більше полів, тим більше зобов’язань. Збирайте те, що справді потрібно зараз.
Ігнорування підрядників. Якщо ваші дані обробляє хтось іще — хостинг, CRM, сервіс розсилок, — це має бути відображено в політиці.
Технічна частина невелика: підключити систему керування згодою, налаштувати блокування скриптів до згоди, додати посилання в підвал і галочки у форми. Це кілька годин роботи розробника на типовому сайті.
Основні витрати — юридичні: складання політики під ваш конкретний бізнес і перелік сервісів. Тут вартість залежить від складності й від того, чи потрібна європейська відповідність, чи достатньо української.
Порядок дій, який ми в Netloria зазвичай радимо: спершу скласти повний список того, які дані сайт реально збирає і куди їх передає — без цього списку жоден юрист не напише коректний документ. Далі — документи. І аж потім технічна реалізація банера й форм.
Порушення цього порядку — типова історія: спершу купують готовий банер, потім замовляють політику, і виявляється, що банер блокує не ті скрипти, а політика описує не ті сервіси. Переробляти доводиться обидва.
Якщо більшість пунктів не виконано — це нормальна відправна точка для більшості сайтів, і закривається вона за кілька днів роботи.
Якщо хочете, щоб технічна частина була зроблена правильно з самого початку — напишіть нам, і ми почнемо з аудиту того, які дані ваш сайт збирає насправді. Цей список зазвичай дивує власника більше, ніж самі документи.
