GDPR є серйозним викликом, особливо для компаній, що не входять до ЄС, але обробляють персональні дані осіб у ЄС або надають послуги на території ЄС. При передачі персональних даних у треті країни – зокрема в Україну – вони повинні дотримуватися суворих вимог захисту даних. Багато компаній запитують себе, як забезпечити правомірний обмін даними між ЄС і Україною, яку роль відіграють стандартні договірні положення та що слід враховувати після рішення «Schrems II». Ми пояснюємо, які технічні та організаційні заходи необхідні для захисту персональних даних відповідно до вимог GDPR, як компанії мають враховувати чинні норми та можливі невизначеності, а також які рішення доступні для малих і середніх підприємств без власного представництва в ЄС. Також ви дізнаєтесь, як компанія за межами ЄС може досягти відповідності вимогам із захисту даних та уникнути штрафів.
Найважливіше коротко
- Для України немає рішення Європейської комісії про адекватність.
- Тому передача даних з ЄС українським компаніям зазвичай здійснюється на підставі стандартних договірних положень (Імплементаційне рішення (ЄС) 2021/914) з оцінкою впливу передачі (TIA).
- Privacy Shield застосовувався лише до передачі даних американським компаніям і з 2020 року є недійсним. Для України він ніколи не мав значення.
- Якщо українська компанія пропонує товари чи послуги особам у ЄС, GDPR застосовується безпосередньо (ст. 3(2)) – а отже, як правило, і обов’язок призначити представника в ЄС (ст. 27). Представник у ЄС є контактною особою для органів і суб’єктів даних, але не інструментом для передачі даних.
- Для клієнтів у Швейцарії додатково слід розглянути призначення представника відповідно до ст. 14 revDSG; представник у ЄС Швейцарію не охоплює.
Станом на: жовтень 2026 року
Передача даних ЄС–Україна: правові рамки
Багато малих і середніх підприємств з-за меж ЄС потребують ефективної й водночас законної передачі даних між ЄС і Україною – наприклад, у рамках співпраці з українськими постачальниками послуг чи ІТ-фахівцями. Оскільки Україна не визнана GDPR як «безпечна третя країна», для передачі даних до України необхідно застосовувати спеціальні заходи. Центральну роль тут відіграють стандартні договірні положення (Standard Contractual Clauses, SCC): вони гарантують дотримання стандартів захисту даних ЄС і за його межами. Проте після рішення «Schrems II» самих лише стандартних договірних положень може бути недостатньо. Важливо належно оцінювати ризики та застосовувати додаткові гарантії, щоб запобігти неналежній обробці персональних даних, наприклад, даних клієнтів ЄС у третіх країнах. Лише так можливо гарантувати відповідність передачі даних ЄС–Україна вимогам GDPR.
Schrems II: наслідки для передачі даних
Рішення Європейського суду справедливості (ЄСС) у справі «Schrems II» від липня 2020 року докорінно змінило правила міжнародних передач даних. ЄСС визнав недійсною угоду «Privacy Shield» між ЄС та США. Privacy Shield застосовувався лише до передачі даних американським компаніям; проте сформульовані в рішенні вимоги до стандартних договірних положень діють для всіх третіх країн – зокрема й для України.
Для компаній це означає:
- Передача персональних даних у треті країни дозволяється лише за суворих умов.
- Стандартні договірні положення залишаються чинними, але потребують обов’язкового додаткового аналізу ризиків.
- Має бути забезпечений адекватний рівень захисту даних у країні-отримувачі; якщо цього недостатньо – необхідні додаткові технічні й організаційні заходи.
Це особливо важливо для обмінів між ЄС та Україною, де існують специфічні ризики: наприклад, державний доступ, невизначена правова база або відсутність незалежних наглядових органів. GDPR вимагає прозорого інформування суб’єктів даних про передачу та гарантування їхніх прав: доступу, виправлення, видалення й заперечення. Рішення Schrems II зобов’язує компанії проводити так звану оцінку впливу передачі даних (Transfer Impact Assessment, TIA) при використанні стандартних договірних положень. Мета – оцінити індивідуальні ризики і вжити додаткових заходів захисту там, де це потрібно. Без таких заходів існує ризик значних штрафів і шкоди репутації. Таким чином, захист даних залишається ключовим елементом для будь-якої компанії, яка міжнародно обробляє персональні дані осіб у ЄС.
Забезпечення захисту даних при передачах ЄС–Україна
Компанії, що передають персональні дані осіб у ЄС в Україну, повинні відповідати вимогам GDPR і гарантувати правомірність цього процесу. Рішення можуть включати:
- Використання стандартних договірних положень (SCC): контракти, розроблені Єврокомісією, які зобов’язують отримувача в Україні дотримуватися стандартів ЄС. Текст положень змінювати не можна; індивідуально заповнюються відповідний модуль і додатки (опис передачі, технічні та організаційні заходи). Обидві сторони підписують положення з юридично обов’язковою силою.
- Оцінка впливу передачі даних (TIA): після Schrems II потрібно здійснювати ризик-аналіз кожного випадку передачі. Це включає:
оцінку правового середовища в Україні,
- аналіз потенційних ризиків для суб’єктів даних,
- документування результатів та вжитих заходів.
Додаткові технічні й організаційні гарантії: якщо рівень захисту не достатній, застосовуються додаткові заходи, зокрема: наскрізне (end-to-end) шифрування,
псевдонімізація перед передачею,
обмеження доступу до даних на стороні одержувача,
регулярне навчання українських партнерів із захисту даних.
Прозора інформованість суб’єктів даних: GDPR зобов’язує повідомляти про передачу у треті країни. Особи повинні знати тип, обсяг, мету передачі та свої права.
Документування й докази: усі заходи – від впровадження SCC до технічних гарантій – мають бути зафіксовані й за потреби представлені наглядовим органам.
Призначення представника в ЄС: для відповідності вимогам ст. 27 GDPR і забезпечення контакту з органами ЄС рекомендується призначити офіційного представника в ЄС.
Умовний приклад (для ілюстрації, не випадок клієнта)
Американська софтверна компанія співпрацює з українськими розробниками і отримує доступ до даних клієнтів з ЄС. Для забезпечення відповідності GDPR компанія укладає стандартні договірні положення з українським партнером, шифрує всі дані, проводить детальну TIA та документує заходи. Спілкування з органами захисту даних здійснює призначений представник у ЄС. Так компанія виконує вимоги GDPR і Schrems II для міжнародних обмінів даними між ЄС та Україною та мінімізує ризики порушення.
Висновок
Дотримання GDPR для передач даних ЄС–Україна є обов’язковим. Після Schrems II одних лише стандартних договірних положень часто недостатньо – потрібні додаткові оцінки ризиків і технічні заходи захисту. Це єдиний шлях гарантувати належний захист персональних даних осіб у ЄС в Україні. Компанії з-за меж ЄС повинні документувати всі процеси, забезпечувати права суб’єктів даних і призначати представника в ЄС. Варто звернутися до фахових консультантів, аби забезпечити відповідність вимогам і уникнути значних штрафів. Зверніться до нас за індивідуальними рішеннями для міжнародних передач даних між ЄС та Україною.
Корисні посилання
- Стандартні договірні клаузи та міжнародні передачі
- Спільний висновок Європейської ради з захисту даних (ЄДПБ) та Європейського комітету з захисту даних (ЄДПБ) щодо стандартних договірних клауз
- Інформаційні записки / Найчастіші запитання ЄДПБ щодо передачі даних (включаючи передачу даних у США)
Контакти та консультації Забезпечте дотримання GDPR для вашої компанії! Зателефонуйте нам зараз Замовте безкоштовну консультацію Переглянути всі поширені запитання → Недавні статті → Глосарій (німецькою мовою)
Залишились запитання?
На безкоштовній початковій консультації ми з’ясуємо, які обов’язки стосуються вашої компанії — без зобов’язань, німецькою, англійською чи українською.