Ви можете ділитися персональними даними згідно зі статтею 6 GDPR лише за наявності законної підстави, письмово врегульованого питання про те, чи є одержувач обробником, чи контролером, та повідомленого зацікавленим особам про обмін даними. Основними винятками є передача даних за межі Європейської економічної зони (ЄЕЗ) та обробка даних з високим рівнем ризику, що передбачає додаткові вимоги згідно з розділом V та статтею 35 GDPR.
У Нідерландах Орган захисту даних Нідерландів ( Autoriteit Persoonsgegevens , AP) забезпечує виконання GDPR разом із голландським імплементаційним актом ( Uitvoeringswet AVG , UAVG). Кожен потік даних до постачальника хмарних послуг, бюро нарахування заробітної плати, колектора боргів або групи компаній за кордоном є окремою операцією обробки, яка потребує власного обґрунтування. Нижче ми викладаємо сім ризиків, які повторюються на практиці, положення, що стоять за ними, та що ви можете зробити з кожним із них.
Зміст
Ризик 1: чи поширюєте ви дані без дійсної правової підстави?
Кожне розкриття персональних даних потребує однієї з шести правових підстав, зазначених у статті 6(1) GDPR. Комерційна причина до них не належить.
Шість підстав є вичерпними: згода, виконання договору, юридичне зобов'язання, життєво важливі інтереси, суспільне завдання та законні інтереси. Стаття 5(1)(a) додає, що обробка має бути законною, справедливою та прозорою, тому підстава, яка ніколи нікому не пояснювалася, все одно залишає прогалину.
Чому законний інтерес є пасткою?
Законні інтереси – це основа, яка найчастіше використовується для обміну інформацією з партнерами, і найчастіше використовується неправильно. Вона вимагає триетапної перевірки:
- інтерес має бути законним;
- спільне використання має бути необхідним для його обслуговування;
- інтереси не повинні переважати права та свободи відповідних осіб.
Ви повинні провести та задокументувати цю перевірку до початку обміну даними, оскільки стаття 5(2) GDPR покладає тягар доведення на контролера (підзвітність). Оцінка, написана після отримання скарги, має дуже малу цінність.
А як щодо згоди та обмеження мети?
Згода працівників рідко є дійсною, оскільки дисбаланс влади означає, що вона не надається добровільно (стаття 7(4) та пункт 43 GDPR). Обмеження мети згідно зі статтею 5(1)(b) також застосовується до обміну: дані, зібрані для надання послуги, не можуть просто передаватися партнеру для маркетингу. Якщо нова мета несумісна з початковою, вам потрібна нова основа.
Що робити: визначте підстави, перш ніж дані залишать вашу організацію, запишіть їх та перевірте, чи ваше повідомлення про конфіденційність вже описує спосіб передачі даних. Згода має бути добровільно наданою, конкретною, усвідомленою, однозначною та так само легкою для відкликання, як і для надання (статті 4(11) та 7(3) GDPR).
Ризик 2: чи ви неправильно розподілили ролі контролера та обробника?
Контролер визначає цілі та засоби обробки; обробник діє лише за документованими інструкціями контролера (стаття 4(7) та (8) GDPR). Важливо, хто фактично приймає рішення, а не як у договорі названо сторони.
Поширеною помилкою є називання кожного постачальника обробником. Однак жоден з наступних не діє виключно за інструкціями:
- постачальник SaaS, який використовує дані клієнтів для покращення власного продукту;
- бухгалтер, зобов'язаний дотримуватися професійних правил;
- банк, що здійснює платіж;
- рекламна платформа, яка створює власні профілі аудиторії.
Кожен з них є контролером принаймні частини обробки. Якщо дві організації спільно визначають цілі та засоби, вони є спільними контролерами згідно зі статтею 26 GDPR. Вони повинні викласти свої обов'язки в угоді та ознайомити зацікавлених осіб з її сутью.
Наскільки широко Суд ЄС визначає спільний контроль?
Загалом. У справі Fashion ID (C-40/17) Суд постановив, що оператор веб-сайту, який вбудовує сторонній соціальний плагін, є спільним контролером для збору та передачі даних відвідувачів, навіть якщо він не мав доступу до цих даних згодом. Часткового впливу на цілі достатньо, і результатом є спільна відповідальність за порушення, якого ви не спричинили.
Що робити: скласти карту потоків даних та зафіксувати для кожного потоку, хто вирішує, чому і як обробляються дані. Використовуйте угоду про обробку згідно зі статтею 28 для обробників та угоду про спільного контролера згідно зі статтею 26, якщо рішення приймають обидві сторони.
Ризик 3: чи відсутня або несправна ваша угода про обробку даних?
Якщо обробник обробляє ваші персональні дані, стаття 28(3) GDPR вимагає письмового договору. Без нього ви порушуєте умови договору з моменту початку обробки, навіть якщо жодного витоку даних не відбувається.
Зміст визначається законом. Угода про обробку даних, що відповідає вимогам , визначає предмет, тривалість, характер і мету обробки, типи персональних даних та категорії осіб, а також права та обов'язки контролера. Вона також повинна зобов'язувати обробника:
- обробляти лише за документованими інструкціями;
- зобов'язати своїх співробітників дотримуватися конфіденційності;
- вживати заходів безпеки, передбачених статтею 32;
- допомога із запитами суб'єктів даних та повідомленнями про порушення;
- видалити або повернути дані після завершення взаємодії;
- надавати інформацію, необхідну для демонстрації відповідності, та дозволяти проведення аудитів.
Чому пункти про субобробників так часто не працюють?
Згідно зі статтею 28(2) та (4), обробнику потрібен ваш попередній спеціальний або загальний письмовий дозвіл на будь-якого субпідрядника з обробки даних. За загального дозволу він повинен повідомити вас про заплановані зміни та надати вам можливість заперечити; пункт, що дозволяє йому залучати будь-кого, кого він забажає, не відповідає цьому стандарту.
Що робити: працюйте за шаблоном, який відповідає пункту за пунктом статті 28(3), та переглядайте чинні угоди, а не покладайтеся на власні умови постачальника. Давньотривалі відносини, найімовірніше, будуть незадокументованими.
Ризик 4: чи передаєте ви дані за межі ЄЕЗ без гарантій?
Передача за межі ЄЕЗ дозволяється лише на підставі рішення про адекватність (стаття 45 GDPR) або відповідних гарантій (стаття 46), зазвичай стандартних договірних положень Комісії (SCC) або обов'язкових корпоративних правил. Відступи у статті 49, такі як пряма згода, стосуються епізодичних передач і не можуть підтримувати структурований потік даних.
Передача відбувається щоразу, коли дані стають доступними з-за меж ЄЕЗ, а не лише тоді, коли вони копіюються туди. Віддалене адміністрування материнською компанією за кордоном вважається передачею, навіть якщо сервери залишаються у Франкфурті.
Що для вас означають Schrems II та Рамкова політика конфіденційності даних?
У справі Schrems II (C-311/18) Суд визнав недійсним угоду ЄС-США про захист конфіденційності та постановив, що стандартних договірних положень самих по собі недостатньо. Експортер повинен оцінити, чи порушує законодавство країни призначення ці положення, та додати додаткові заходи, якщо це так; оцінка впливу передачі (TIA) все ще потрібна для кожної передачі згідно зі статтею 46.
У липні 2023 року Комісія ухвалила рішення про адекватність Рамкової угоди про конфіденційність даних (DPF) між ЄС та США, а 3 вересня 2025 року Генеральний суд відхилив позов про її скасування ( Latombe , T-553/23). Передача даних організації США, сертифікованій відповідно до цієї рамки, для даних, що охоплюються її сертифікацією, може покладатися на адекватність; передача іншим одержувачам у США – ні. Апеляція до Суду ЄС можлива, тому перевірте сертифікацію та залиште резервний варіант.
Що робити: перелічіть передачі даних до третіх країн у вашому ланцюжку постачання, включаючи субпідрядників з обробки даних та домовленості про підтримку. Якщо адекватність не застосовується, використовуйте чинні стандартні договірні клаузули (СДК), задокументуйте угоду про призупинення передачі даних (TIA) та зафіксуйте додаткові заходи, такі як шифрування з ключами, що зберігаються в ЄЕЗ. AP може наказати призупинити передачу даних відповідно до статті 58(2)(j) GDPR.
Ризик 5: чи пропускаєте ви оцінку впливу на захист даних?
Стаття 35 GDPR вимагає проведення оцінки впливу на захист даних (DPIA), якщо обробка даних ймовірно призведе до високого ризику для фізичних осіб. Обмін даними часто перетинає цей поріг раніше, ніж очікують організації.
У статті 35(3) названо три випадки: систематична та масштабна автоматизована оцінка з правовими або аналогічно значними наслідками, масштабна обробка спеціальних категорій або кримінальних даних та масштабний систематичний моніторинг громадського місця. AP також публікує перелік операцій, для яких завжди потрібна ВПЗ. Об’єднання наборів даних, обмін даними про здоров’я з постачальником аналітичних послуг або моніторинг співробітників часто самі по собі перетинають поріг.
Що має містити DPIA?
Згідно зі статтею 35(7), ВПЗ описує обробку та її цілі, оцінює необхідність та пропорційність, визначає ризики для відповідних осіб та встановлює заходи для їх усунення. Якщо залишається високий залишковий ризик, стаття 36 вимагає попередньої консультації з АП перед початком обробки.
Що робити: перевіряти кожну нову угоду про обмін даними на відповідність статті 35(3) та списку дій, що підлягають обробці, а також залучати свого співробітника із захисту даних, якщо такий є. Переглядати ВПЗ, коли змінюється обробка; невиконання необхідного ВПЗ саме по собі є порушенням.
Ризик 6: чи не надто мало ви розповідаєте людям про спільне використання інформації?
Прозорість – це окреме зобов’язання, яке ви можете порушити, навіть якщо саме поширення даних є законним. Статті 13 та 14 GDPR вимагають від вас вказати цілі, правову основу та одержувачів або категорії одержувачів.
Речення, в якому йдеться про те, що дані «можуть бути передані довіреним партнерам», нічого не вказує. Назвіть конкретні категорії, такі як хостинг-провайдери, адміністратори заробітної плати або агентства кредитної інформації. Щодо передачі даних за межі ЄЕЗ, статті 13(1)(f) та 14(1)(f) вимагають, щоб повідомлення вказувало це та визначало запобіжний захід, на який посилаються.
Які додаткові умови застосовуються, якщо ви не збирали дані самостійно?
Згідно зі статтею 14, у повідомленні також мають бути зазначені категорії даних та їх джерело. Ви повинні надати його протягом розумного періоду, але не пізніше одного місяця, або під час першого спілкування з особою, якщо це відбудеться раніше. Повний зміст викладено на нашій сторінці про політику конфіденційності в Нідерландах .
Що робити: оновити повідомлення до того, як новий одержувач отримає дані, а не під час наступного щорічного перегляду. Стаття 12(1) вимагає, щоб повідомлення були лаконічними, зрозумілими та складеними чіткою та простою мовою.
Ризик 7: чи розглядаєте ви псевдонімізовані дані як анонімні?
Для організації, яка зберігає ключ, псевдонімізовані дані залишаються персональними даними. Тільки справжня анонімізація виводить дані за межі GDPR.
Стаття 4(5) GDPR визначає псевдонімізацію як обробку даних таким чином, що їх більше не можна пов’язати з особою без додаткової інформації, яка зберігається окремо. Пункт 26 преамбули підтверджує, що такі дані залишаються під дією GDPR для будь-кого, хто може їх повторно ідентифікувати. Таким чином, заміна імен номерами клієнтів не усуває необхідності у правовій основі, угоді про обробку або повідомленні про конфіденційність з вашого боку.
Чи можуть псевдонімізовані дані бути неперсональними для одержувача?
Можливо. У справі EDPS проти SRB (C-413/23 P, 4 вересня 2025 р.) Суд постановив, що псевдонімізовані дані не обов'язково є персональними даними для одержувача, який не може обґрунтовано повторно ідентифікувати відповідних осіб. Суд також постановив, що контролер, що розкриває дані, все одно повинен інформувати цих осіб про одержувача під час збору.
Що робити: оцініть засоби, які, ймовірно, будуть використані одержувачем, включаючи інші набори даних, які він зберігає; поштовий індекс, дата народження та історія транзакцій часто дозволяють повторну ідентифікацію. Задокументуйте, як ключ зберігається окремо. У статті 32 псевдонімізація називається заходом безпеки, що враховується на вашу користь, якщо буде оцінено порушення.
Як виглядає правозастосування в Нідерландах?
Згідно зі статтею 58 GDPR, AP може попереджати, виносити догани, наказувати дотримання вимог, забороняти обробку та призупиняти передачу даних, а стаття 83 дозволяє штрафи. Для бізнесу, який залежить від певного потоку даних, заборона часто завдає більше шкоди, ніж штраф.
Стаття 83 має два рівні, кожен з яких має фіксований максимум або відсоток від світового річного обороту за попередній фінансовий рік, залежно від того, що вище:
- Нижній ярус: до 10 мільйонів євро або 2%, наприклад, за відсутність угоди про обробку або ВПЗ (статті 25–39).
- Вищий рівень: до 20 мільйонів євро або 4% за порушення принципів, правових основ, прав суб'єктів даних та правил передачі даних.
Стаття 82 GDPR надає кожному, хто зазнав матеріальної чи нематеріальної шкоди, право на відшкодування від контролера або обробника. У Нідерландах фонди все частіше подають такі позови колективно відповідно до Закону про врегулювання масових збитків у колективних позовах ( Wet afwikkeling massaschade in collectieve actie , WAMCA, стаття 3:305a BW).
Якщо незаконне поширення призводить до витоку даних, стаття 33 вимагає повідомлення AP без невиправданої затримки та, де це можливо, протягом 72 годин, якщо тільки витік навряд чи призведе до ризику. Згідно зі статтею 34, ви також повинні повідомити постраждалих осіб, якщо ризик для них є високим. Документуйте кожне порушення внутрішньо, включаючи тих, про яких ви не повідомляєте.
Що вам слід перевірити як організації, яка надає доступ до даних?
Як контролер, ви несете основну відповідальність і повинні мати змогу довести відповідність вимогам статті 5(2) GDPR. Перевірте ці пункти, перш ніж дані залишать вашу організацію:
- Правову основу згідно зі статтею 6 визначено, а для законних інтересів тест на балансування вже зареєстровано.
- Роль одержувача зафіксована у вашому обліку діяльності з обробки даних відповідно до статті 30.
- Підписано угоду про обробку даних відповідно до статті 28 або домовленість відповідно до статті 26.
- Будь-яка передача за межі ЄЕЗ залежить від достатності або стандартних довільних умов (SCC) плюс Угоди про цінні папери (TIA).
- Було проведено та задокументовано перевірку на наявність впливу на захист даних.
- У вашому повідомленні про конфіденційність зазначено ім’я одержувача або його категорію.
Що вам слід перевірити як одержувачу даних?
Як обробник або контролер-отримувач, ви маєте власні зобов’язання та можете бути оштрафовані безпосередньо відповідно до статті 83 GDPR. Перевірте ці пункти, перш ніж приймати дані:
- Чи дієте ви лише за інструкціями (обробник), чи також використовуєте дані для власних цілей (контролер).
- Чи відповідають інструкції в угоді про обробку тим, що ви фактично робите з даними.
- Чи мають ваші субпідрядники з обробки даних письмовий дозвіл відповідно до статті 28(2).
- Чи відповідають ваші заходи безпеки статті 32, і чи можете ви повідомити контролера про порушення без зайвої затримки (стаття 33(2)).
- Чи зберігаєте ви власний облік обробки даних відповідно до статті 30(2).
Що ми можемо для вас зробити з обміном даними GDPR?
Наша команда з питань ІТ-права займається захистом даних у домовленостях з постачальниками, групами та партнерами. Конкретно:
- Ми складаємо карту ваших потоків даних і визначаємо для кожного одержувача, чи є він обробником, спільним контролером чи незалежним контролером.
- Ми складаємо або переглядаємо угоди про обробку даних відповідно до статті 28 та угоди про спільну обробку даних відповідно до статті 26.
- Ми оцінюємо передачі за межі ЄЕЗ, перевіряємо сертифікації DPF та складаємо оцінку впливу передачі.
- Ми проводимо або переглядаємо скринінг на ВПВ та сам ВПВ.
- Ми оновлюємо вашу політику конфіденційності, щоб одержувачі та перекази були вказані правильно.
- Ми допоможемо вам у розслідуванні AP або з повідомленням про порушення протягом 72-годинного терміну.
Резюме
- Кожне поширення персональних даних потребує правової основи згідно зі статтею 6 GDPR; комерційної причини недостатньо.
- Визначте для кожного одержувача, чи є він обробником, спільним контролером чи незалежним контролером, і задокументуйте це.
- Угода про обробку даних згідно зі статтею 28 є обов’язковою для обробників; без неї ви порушуєте умови з першого дня.
- Передачі за межі ЄЕЗ потребують адекватності (наприклад, сертифікації DPF) або запобіжних заходів, а також оцінки впливу передачі.
- Псевдонімізовані дані залишаються персональними даними для того, хто володіє ключем, і у вашому повідомленні про конфіденційність має бути вказано конкретні імена одержувачів.
Часті питання
Коли дозволено обмін даними згідно з GDPR?
Тільки за наявності дійсної правової підстави згідно зі статтею 6 GDPR: згода, договір, юридичне зобов'язання, життєво важливі інтереси, суспільне завдання або законні інтереси. Ви також повинні дотримуватися принципів статті 5, таких як обмеження мети та прозорість, та інформувати відповідних осіб згідно зі статтями 13 та 14.
Яка різниця між контролером і процесором?
Контролер визначає цілі та засоби обробки (стаття 4(7) GDPR); обробник обробляє дані за інструкціями контролера (стаття 4(8)). Постачальник послуг з нарахування заробітної плати зазвичай є обробником. Постачальник, який також використовує дані для власних цілей, є контролером або спільним контролером у цьому випадку.
Коли угода про обробку даних є обов'язковою?
Щоразу, коли обробник обробляє персональні дані від вашого імені, незалежно від розміру вашої організації (стаття 28(3) GDPR). Угода має бути укладена у письмовій формі та містити обов’язковий зміст. Без неї ви порушуєте умови з моменту початку обробки.
Чи можу я ділитися даними клієнтів зі стороною за межами ЄС?
Так, якщо існує рішення про адекватність для місця призначення (стаття 45 GDPR) або відповідні гарантії, такі як стандартні договірні положення плюс оцінка впливу передачі (стаття 46). Одержувачі в США, сертифіковані відповідно до Рамкової програми конфіденційності даних ЄС-США, підпадають під дію рішення про адекватність від липня 2023 року.
Що робити, якщо незаконний обмін даними призводить до витоку даних?
Локалізація порушення, оцінка його впливу та документування його. Повідомлення відповідальної особи без зайвої затримки та, по можливості, протягом 72 годин, окрім випадків, коли порушення навряд чи призведе до ризику (стаття 33 GDPR). Якщо ризик для постраждалих осіб є високим, повідомте їх також без зайвої затримки (стаття 34).
