Що таке GDPR і чому він з'явився
GDPR — General Data Protection Regulation, Загальний регламент про захист даних. Закон ЄС, який набув чинності 25 травня 2018 року. Він замінив попередню Директиву 1995 року, написану в епоху, коли Google ще не існував.
За двадцять років світ змінився радикально. Смартфон збирає дані про місцезнаходження щохвилини. Соціальні мережі знають ваші вподобання, політичні погляди, стан здоров'я. Рекламні мережі відстежують кожен клік. Скандал з Cambridge Analytica (87 мільйонів профілів Facebook використані для маніпуляції виборами) — лише найгучніший приклад.
GDPR — це спроба ЄС повернути контроль над персональними даними людям. Не компаніям, не державі — людям.
Сім прав, які GDPR дає кожній людині
1. Право знати (стаття 13–14)
Будь-яка організація зобов'язана чітко пояснити: які дані збирає, навіщо, як довго зберігатиме, кому передаватиме. Пояснення має бути зрозумілим — не на десяти сторінках дрібним шрифтом. Регулятори штрафували компанії саме за надмірну складність документів.
2. Право на згоду (стаття 7)
Дані збираються лише з вашої явної, інформованої, вільної згоди. Замовчування або заздалегідь поставлена галочка — не згода. Онлайн-магазин не може вимагати доступ до контактів, щоб продати кросівки. Саме звідси банери з cookies: «Прийняти» і «Відмовитися» мають бути однаково доступними.
3. Право на доступ (стаття 15)
Ви маєте право запитати будь-яку організацію: які дані про мене зберігаєте? Відповідь — протягом місяця, безкоштовно. Роботодавець веде негласний файл? Подаєте запит — зобов'язаний надати копію всіх даних.
4. Право на виправлення (стаття 16)
Дані неточні або неповні — ви вимагаєте виправлення. Банк записав неправильну адресу? Зобов'язані виправити.
5. Право на видалення — «право бути забутим» (стаття 17)
Мабуть, найвідоміше право. У справі Google Spain SL v. AEPD (2014) Суд ЄС встановив: громадянин має право вимагати від Google видалення посилань на застарілу інформацію. Це право не абсолютне (журналісти та дослідники мають винятки), але для звичайної людини — працюючий інструмент.
6. Право на перенесення даних (стаття 20)
Ви отримуєте дані у структурованому форматі та передаєте іншій організації. Змінюєте банк — замість нових форм вимагаєте від старого передати дані новому. Головний антимонопольний інструмент GDPR.
7. Право заперечувати (стаття 21)
Заперечення проти прямого маркетингу — абсолютне. Компанія зобов'язана припинити без додаткових запитань. Коли натискаєте «Відписатися» — це ваше юридичне право.
Штрафи: чому Meta заплатила 1,2 мільярда
Штраф до 20 мільйонів євро або 4% глобального обороту — залежно від того, що більше. Для Meta (оборот 130+ мільярдів) 4% — понад 5 мільярдів.
Найбільші штрафи: Meta — €1,2 млрд (2023, незаконна передача даних до США). Amazon — €746 млн (2021, таргетована реклама). TikTok — €345 млн (2023, дані неповнолітніх). WhatsApp — €225 млн. Google — €50 млн. Загальна сума з 2018 року — понад €4,5 мільярда. Це не декоративне регулювання.
Як скаржитися
Кожна країна ЄС має незалежний наглядовий орган (DPA). Процедура: виявляєте порушення → звертаєтесь до компанії → якщо не реагує протягом місяця → скарга в національний DPA → онлайн або поштою, безкоштовно, без адвоката. DPA розслідує і може наказати припинити порушення або сплатити штраф.
Ключові DPA: CNIL (Франція), BfDI (Німеччина), DPC (Ірландія — штаб-квартири Google, Meta, Apple), UODO (Польща).
GDPR за межами ЄС: глобальний ефект
GDPR поширюється на будь-яку компанію у світі, яка обробляє дані громадян ЄС. Американський магазин, який продає в Європі, — підпорядкований. Китайська соцмережа — теж.
«Ефект Брюсселя»: замість двох продуктів багато компаній застосовують стандарти GDPR глобально. Apple впровадила більшість принципів для всіх користувачів. Бразилія (LGPD), Індія (DPDP Act), Каліфорнія (CCPA) — ухвалили законодавство за зразком GDPR.
Критика GDPR
Cookie fatigue: менше 5% змінюють налаштування вручну. Нерівномірне правозастосування: ірландська DPC критикується за повільність (справа Meta — п'ять років). Тягар для малого бізнесу: кав'ярня з сайтом формально підпадає під ті самі вимоги, що й Google. Ілюзія контролю: формальне право є, але реальний контроль — у компаній.
Ці проблеми реальні. Але це проблеми першого покоління регулювання, яке еволюціонує. GDPR — початок розмови про те, кому належать наші дані.
Україна: шлях до GDPR
Закон «Про захист персональних даних» (2010) — частково натхненний Директивою 1995 року. Між ним і GDPR — прірва за обсягом прав, механізмами, штрафами. Омбудсмен формально виконує функцію DPA, але не має порівнянних ресурсів.
Після вступу Україна зобов'язана привести законодавство у відповідність із GDPR: незалежний наглядовий орган, право на видалення та переносимість, значні штрафи. Для українця: банк не зможе передати дані без згоди, інтернет-магазин не зможе зберігати дані картки після видалення акаунту, роботодавець не зможе стежити без попередження.