Перевірка персональних даних Омбудсманом: що має показати бізнес

Уявіть: до вашої компанії дистанційно звертається Секретаріат Уповноваженого і просить показати документи про обробку персональних даних. У вас є політика конфіденційності на сайті – і на цьому все. Через кілька тижнів ви отримуєте акт із приписом: немає внутрішнього порядку, немає журналу доступу, ніхто не знає, що робити у разі витоку.

Показовий приклад – планова дистанційна перевірка комунального підприємства, про яку Секретаріат Уповноваженого повідомив у березні 2025 року. Перевірка завершилася актом і приписом. Серед порушень були відсутність внутрішнього документа про обробку даних, неналежне інформування людей, неврегульований доступ працівників, відсутність журналу операцій, процедури видалення та плану реагування на інциденти.

Проблема в тому, що більшість компаній готуються не до тієї перевірки. Вони думають, що головне – зібрати згоди клієнтів і повісити політику конфіденційності на сайт. 

Омбудсман перевіряє не лише наявність згод і політики конфіденційності. Бізнес має показати, навіщо і на якій підставі він обробляє кожну категорію даних, хто має доступ, як фіксуються операції, коли дані видаляються та що команда робить у разі витоку або втрати доступу.

Цей перелік корисний і приватному бізнесу: він показує, які докази відповідності мають існувати не на папері, а в щоденній роботі.

Перш ніж читати далі, спробуйте чесно відповісти: чи знаєте ви, скільки систем у вашій компанії зберігають персональні дані клієнтів? Якщо відповідь “не впевнений” – ця стаття для вас.

Чому однієї згоди недостатньо

Згода – лише одна з підстав обробки, передбачених статтею 11 Закону України “Про захист персональних даних”. Для кадрового обліку, виконання договору, бухгалтерської звітності чи виконання іншого обов’язку, встановленого законом, підстава може бути іншою.

Збирати згоду “на все” небезпечно. Якщо людина відкличе її, а компанія насправді повинна зберігати частину даних за законом або для виконання договору, внутрішні документи почнуть суперечити реальному процесу. Під час аудиту варто спочатку розкласти обробку за цілями, а вже потім визначити належну підставу для кожної операції.

Наприклад, одна компанія може одночасно обробляти:

• дані працівника для оформлення трудових відносин і сплати податків;
• контакти клієнта для виконання договору;
• електронну адресу для рекламної розсилки;
• записи телефонних розмов для контролю якості;
• зображення з камер відеоспостереження для безпеки офісу.

Це різні цілі, різні ризики й не обов’язково однакові правові підстави.

Дев’ять питань, які варто поставити до перевірки

1. Чи є карта даних

Компанія повинна знати, які дані вона отримує від працівників, клієнтів, кандидатів, відвідувачів сайту та контрагентів. Для кожного процесу потрібні джерело даних, мета, підстава, місце зберігання, користувачі, одержувачі та строк зберігання.

Без такої карти політика конфіденційності майже завжди описує лише сайт і не охоплює кадрові папки, систему керування клієнтами, бухгалтерію, відеоспостереження, хмарні сервіси та резервні копії.

Для медичного бізнесу ця карта даних ускладнюється ще однією категорією – чутливими даними про здоров'я пацієнтів, яким присвячена окрема стаття “Чутливі дані в медицині та їх захист”.

2. Чи затверджено внутрішній порядок обробки

Типовий порядок вимагає, щоб володілець сам визначив правила з урахуванням своєї діяльності. Документ має описувати не абстрактні принципи, а конкретні категорії людей і даних, способи збору, передачу, доступ, строки зберігання, видалення та заходи захисту.

Якщо внутрішній документ скопійовано з іншої компанії, перевірка швидко виявить розбіжності: зазначено одну систему, а фактично використовується інша; у політиці немає підрядника, який отримує дані; строк зберігання названо, але технічно видалення не налаштовано.

3. Чи отримує людина повідомлення про обробку

Стаття 12 Закону вимагає повідомляти суб’єкта про володільця даних, склад і зміст зібраних відомостей, права, мету збору та осіб, яким дані передаються. Важливо мати не лише текст повідомлення, а й доказ того, коли і як його надали.

Для різних каналів потрібні різні рішення: повідомлення в анкеті кандидата, кадрових документах, формі замовлення, застосунку чи біля зони відеоспостереження.

4. Чи обмежено доступ працівників

У перевірці 2025 року окремо зафіксовано відсутність порядку доступу, обліку працівників і розмежування прав. Правильна модель — коли бухгалтер бачить дані, потрібні для обліку, менеджер — дані свого клієнта, а колишній працівник втрачає доступ у день звільнення або зміни ролі.

Перелік допущених працівників, їхні ролі та письмові зобов’язання про нерозголошення мають відповідати фактичним налаштуванням у системах.

За нашими спостереженнями, саме тут часто виникає розрив між документами й реальною роботою: у положенні доступ обмежений посадовими обов’язками, але фактично кілька працівників користуються спільним обліковим записом, а доступи звільнених співробітників ніхто своєчасно не закриває.

5. Чи ведеться облік операцій

Типовий порядок передбачає збереження відомостей про збирання, зміну, перегляд, передачу та видалення персональних даних, а також про працівника, який виконав операцію. Це не означає, що кожна мала компанія повинна придбати складну систему. Але спосіб фіксації має бути реальним, пропорційним ризику й придатним для відновлення подій.

6. Чи контролюються підрядники

Система керування клієнтами, хостинг, хмарний диск, бухгалтерський сервіс, кол-центр і рекламна платформа можуть отримувати персональні дані. Компанії потрібно знати, що саме їм передається, з якою метою, на який строк і які заходи безпеки та повернення або видалення даних передбачено договором.

Фраза “підрядник сам відповідає за безпеку” не усуває ризиків володільця даних.

7. Чи встановлено строки зберігання і видалення

Формулювання “зберігаємо стільки, скільки необхідно” без внутрішнього календаря не працює. Потрібно пов’язати строк із метою, договором, вимогами трудового, податкового, бухгалтерського, архівного чи іншого законодавства. Після завершення строку дані мають бути видалені або знищені способом, що унеможливлює їх відновлення, якщо немає іншої законної підстави для подальшого зберігання.

Окремо перевіряють резервні копії, електронну пошту та паперові архіви: саме там “видалені” дані часто залишаються роками.

Цей пункт – це ще одне типове проблемне місце. Наприклад, компанія встановлює строки зберігання в документах, але не визначає, хто і як має видаляти дані із системи керування клієнтами, електронної пошти, хмарних сховищ і резервних копій. У результаті інформація формально підлягає видаленню, але технічно продовжує зберігатися в кількох системах.

8. Чи є процедура реагування на запити людей

Працівник або клієнт може запитати, які дані про нього обробляються, вимагати виправлення, заперечити проти певної обробки чи оскаржити незаконні дії. Команда повинна знати, хто приймає запит, як перевіряється особа заявника, де шукають інформацію і хто погоджує відповідь.

Передавати дані на будь-який лист із прізвищем людини не можна: спочатку перевіряють повноваження та правову підставу запиту.

9. Чи є план дій на випадок інциденту

Типовий порядок прямо називає план дій у разі несанкціонованого доступу, пошкодження обладнання або надзвичайної ситуації. Практичний план повинен визначати, кому повідомляє працівник, хто зупиняє витік, як зберігаються докази, оцінюється масштаб, відновлюється робота й ухвалюються рішення про зовнішні повідомлення.

План слід перевіряти навчальною ситуацією. Документ, якого не бачили ІТ-фахівець, кадровик і керівник, навряд чи допоможе під час реального інциденту.

Що показати під час дистанційної перевірки

Безвиїзна перевірка відбувається за документами та поясненнями, які подає суб’єкт перевірки. Тому відповідь має складатися не з одного положення, а з узгодженого набору доказів:

• актуальний внутрішній порядок обробки та захисту даних;
• карта процесів і категорій даних;
• зразки повідомлень для працівників, клієнтів та інших осіб;
• перелік ролей із доступом і підтвердження зобов’язань про нерозголошення;
• правила надання та припинення доступу;
• журнали або інші докази обліку операцій;
• строки зберігання та акти або технічні докази видалення;
• договори з ключовими підрядниками;
• порядок розгляду запитів і приклади відповідей без надмірного розкриття;
• план реагування на інциденти та підтвердження навчання працівників.

Документи повинні збігатися з реальними налаштуваннями. Якщо положення забороняє спільні облікові записи, а відділ продажів працює під одним паролем, формальний пакет не захистить компанію.

З чого почати самоперевірку

Перший крок – не замовлення універсальної політики, а коротка діагностика: які дані є в компанії, де вони рухаються та які три прогалини створюють найбільший ризик. Після цього можна визначити пріоритети: 

• перекрити зайві доступи;
• виправити інформування;
• затвердити строки видалення;
• переглянути договори з підрядниками та навчити команду.

Звертайтесь до нас, якщо вам потрібен аудит обробки персональних даних, сформована карта ризиків, внутрішні та зовнішні документи й супровід впровадження процедур у компанії. 

Детальніше – на сторінці послуги Захист персональних даних на підприємстві.

Матеріал підготовлено з урахуванням стану законодавства та офіційних роз’яснень на 11 серпня 2026 року.