[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"advice-uk-what-is-rodo":3},{"slug":4,"title":5,"excerpt":6,"body":7,"datePublished":8,"dateModified":8},"what-is-rodo","RODO у фірмі 2026 — обов'язки, аудит, штрафи та захист даних","RODO 2026 у фірмі — хто й коли потребує IOD, як провести аудит, що з інцидентом і витоком, штрафи UODO та обов'язки щодо клієнтів і працівників.","\u003Cp>RODO (загальний регламент про захист даних 2016\u002F679, GDPR) діє в Польщі від 25 травня 2018 р. і зобов'язує кожного суб'єкта, який обробляє персональні дані фізичних осіб — від одноосібної діяльності зі списком клієнтів до великої компанії, що наймає сотні працівників. У 2026 р. практика нагляду зосереджена на трьох сферах: маркетингова згода та профілювання, безпека IT-систем та реагування на інциденти, а також правильне інформування осіб, чиї дані обробляють. Невідповідність коштує — штрафи UODO (Управління з захисту персональних даних) сягають 20 млн євро або 4% річного обороту.\u003C\u002Fp>\u003Ch2>Хто мусить застосовувати RODO\u003C\u002Fh2>\u003Cp>RODO застосовує кожен адміністратор персональних даних і кожен суб'єкт, що здійснює обробку (процесор). Адміністратор — це фірма, яка вирішує про цілі та способи обробки — роботодавець щодо працівників, інтернет-магазин щодо покупців, бухгалтерське бюро щодо власних клієнтів. Процесор — суб'єкт, що обробляє дані від імені адміністратора — наприклад, постачальник CRM-системи, хостингова компанія, канцелярія, яка здійснює стягнення боргів.\u003C\u002Fp>\u003Cp>Нижнього порогу розміру фірми немає. Одноосібний фотограф, що знімає весілля, персональний тренер з базою контактів у телефоні та інтернет-магазин з мільйоном користувачів підпорядковуються тим самим правилам — їх відрізняє лише обсяг документаційних обов'язків і необхідний масштаб засобів безпеки.\u003C\u002Fp>\u003Ch2>Сім принципів, яких не можна порушувати\u003C\u002Fh2>\u003Cp>Ст. 5 RODO перелічує принципи, яких має дотримуватись кожен адміністратор. На практиці аудитори зводять їх до семи правил:\u003C\u002Fp>\u003Cul>\u003Cli>законність, добросовісність і прозорість — обробка спирається на конкретну правову підставу (згода, договір, правовий обов'язок, суспільний інтерес, законний інтерес адміністратора, життєвий інтерес особи), а особа знає, що відбувається з її даними;\u003C\u002Fli>\u003Cli>обмеження мети — дані, зібрані для рекрутингу, не можуть потрапити в розсилку без окремої згоди;\u003C\u002Fli>\u003Cli>мінімізація — збираємо лише те, що справді потрібно (наприклад, не просимо клієнта інтернет-магазину про PESEL (ідентифікаційний номер) для виставлення фактури для фірми);\u003C\u002Fli>\u003Cli>правильність — дані мають бути актуальними, а неактуальні — виправлені або видалені;\u003C\u002Fli>\u003Cli>обмеження зберігання — після досягнення мети дані слід видалити або анонімізувати, крім періодів, вимаганих нормами (наприклад, 5 років на податкові документи);\u003C\u002Fli>\u003Cli>цілісність і конфіденційність — відповідні технічні та організаційні засоби захисту;\u003C\u002Fli>\u003Cli>підзвітність — адміністратор повинен уміти довести відповідність, недостатньо її декларувати.\u003C\u002Fli>\u003C\u002Ful>\u003Ch2>Документація, якої вимагає UODO\u003C\u002Fh2>\u003Cp>Кожна фірма повинна визначити, які дані вона обробляє, з якою метою та на якій правовій підставі. З цього аналізу постає реєстр дій обробки (RCPD) та, якщо є обробка від імені інших суб'єктів, реєстр категорій дій (RKPD). Деякі фірми мають обов'язок вести обидва документи паралельно.\u003C\u002Fp>\u003Cp>Мінімальний набір документів у середній фірмі охоплює:\u003C\u002Fp>\u003Cul>\u003Cli>політику захисту персональних даних (внутрішню) разом з процедурами;\u003C\u002Fli>\u003Cli>реєстр дій обробки;\u003C\u002Fli>\u003Cli>інформаційні застереження для різних категорій осіб (клієнт, працівник, кандидат, одержувач розсилки);\u003C\u002Fli>\u003Cli>договори про доручення обробки з усіма постачальниками, яким передаємо дані (хостинг, бухгалтерське бюро, SaaS);\u003C\u002Fli>\u003Cli>процедуру опрацювання вимог осіб (доступ, виправлення, видалення, перенесення, заперечення);\u003C\u002Fli>\u003Cli>процедуру реагування на інциденти та порушення захисту даних;\u003C\u002Fli>\u003Cli>аналізи ризиків і — коли потрібно — оцінку впливу на захист даних (DPIA).\u003C\u002Fli>\u003C\u002Ful>\u003Ch2>Аудит RODO — як його провести\u003C\u002Fh2>\u003Cp>Аудит RODO — це інвентаризація фактичного стану і порівняння його з вимогами регламенту. Правильно спроєктований складається з п'яти етапів:\u003C\u002Fp>\u003Col>\u003Cli>мапування процесів — визначення, де в фірмі взагалі з'являються персональні дані (ERP, CRM, e-mail, хмара, локальні диски, паперові документи);\u003C\u002Fli>\u003Cli>аналіз правових підстав — для кожної дії обробки вказати, чи вона спирається на згоду, договір, обов'язок, законний інтерес;\u003C\u002Fli>\u003Cli>огляд документів — інформаційні застереження, згоди, політика, договори про доручення;\u003C\u002Fli>\u003Cli>аналіз ризику — оцінка ймовірності та тяжкості потенційних порушень і адекватності засобів захисту;\u003C\u002Fli>\u003Cli>звіт з рекомендаціями — ієрархія дій, терміни, відповідальні особи.\u003C\u002Fli>\u003C\u002Fol>\u003Cp>Аудит варто повторювати кожні 12–24 місяці, а також завжди після істотної зміни — впровадження нової системи, запуску інтернет-продажів, початку рекрутингу у великому масштабі, зміни IT-постачальника.\u003C\u002Fp>\u003Ch2>IOD — хто мусить його призначити\u003C\u002Fh2>\u003Cp>Інспектора захисту даних (IOD) обов'язково призначають три категорії суб'єктів:\u003C\u002Fp>\u003Cul>\u003Cli>органи та публічні суб'єкти (крім судів);\u003C\u002Fli>\u003Cli>адміністратори і процесори, головна діяльність яких полягає в операціях, що потребують регулярного та систематичного моніторингу осіб у великому масштабі (наприклад, маркетингові платформи, великі портали, системи телемедицини);\u003C\u002Fli>\u003Cli>адміністратори і процесори, головна діяльність яких полягає в обробці у великому масштабі особливих категорій даних (про здоров'я, біометричних, щодо сексуальної орієнтації, походження, переконань).\u003C\u002Fli>\u003C\u002Ful>\u003Cp>Мала чи середня фірма з кадрами, кількома процесами та кількома сотнями клієнтів зазвичай не має обов'язку призначати IOD. Однак може зробити це добровільно — і тоді до неї застосовуються ті самі вимоги незалежності та звітування перед UODO, що й до зобов'язаного суб'єкта. IOD можна найняти на штат або укласти договір із зовнішнім спеціалістом.\u003C\u002Fp>\u003Ch2>Витік даних — що робити в перші 72 години\u003C\u002Fh2>\u003Cp>Порушення захисту персональних даних (інцидент) виникає щоразу, коли дані будуть втрачені, розкриті неуповноваженій особі, змінені або знищені — незалежно від того, чи наслідок уже видно. Сценарії прозаїчні: загублений ноутбук працівника, фішингова атака з перехопленням e-mail-скриньки, надсилання групового листа з адресатами в «Кому» замість «Прихована копія».\u003C\u002Fp>\u003Cp>Реакція має кілька кроків:\u003C\u002Fp>\u003Col>\u003Cli>негайно забезпечити ситуацію (заблокувати обліковий запис, перекрити доступ, змінити паролі);\u003C\u002Fli>\u003Cli>з'ясувати, які дані були розкриті та скількох осіб торкнулися;\u003C\u002Fli>\u003Cli>оцінити ризик для прав і свобод осіб, яких стосується інцидент;\u003C\u002Fli>\u003Cli>якщо ризик реальний — повідомити про порушення в UODO протягом 72 годин від виявлення (бланк доступний на uodo.gov.pl);\u003C\u002Fli>\u003Cli>якщо ризик високий — повідомити осіб, яких торкнулась подія, і описати, які заходи реагування пропонує адміністратор;\u003C\u002Fli>\u003Cli>кожен інцидент занотувати у внутрішньому реєстрі — навіть коли він не вимагав повідомлення UODO.\u003C\u002Fli>\u003C\u002Fol>\u003Ch2>Штрафи UODO — на що звертає увагу орган нагляду\u003C\u002Fh2>\u003Cp>Голова UODO може накласти адміністративний грошовий штраф до 10 млн євро або 2% річного світового обороту (за легші порушення, наприклад прогалини в документації, неправильний IOD) або до 20 млн євро або 4% річного світового обороту (за тяжкі — відсутність правової підстави обробки, порушення принципів RODO, неповагу до прав осіб). Застосовується більша із сум.\u003C\u002Fp>\u003Cp>За останні роки UODO карало, зокрема, за відсутність належного захисту додатку, що передавав дані клієнтів, за обробку записів з моніторингу без правової підстави, а також за недбалості в рекрутингових процесах. Незалежно від адміністративного штрафу особа, чиїх даних торкнувся інцидент, може вимагати відшкодування у цивільному суді.\u003C\u002Fp>\u003Ch2>Маркетинг, cookies і згода у 2026 р.\u003C\u002Fh2>\u003Cp>Маркетингова комунікація залишається найбільш проблемною сферою RODO. У Польщі поряд з регламентом діє закон про надання послуг електронним шляхом та Prawo komunikacji elektronicznej (Закон про електронну комунікацію, раніше Право телекомунікацій). Разом вони вимагають, щоб:\u003C\u002Fp>\u003Cul>\u003Cli>розсилка комерційного e-mail чи SMS мала окрему згоду, добровільну та чітко описану;\u003C\u002Fli>\u003Cli>згода на cookies була активною (не припустимою зі «scroll» або «continue»), з легкою опцією відмови;\u003C\u002Fli>\u003Cli>кожен одержувач мав просту доріжку відмови (посилання у підписі, ключове слово в SMS);\u003C\u002Fli>\u003Cli>адміністратор реєстрував, хто і коли згоду висловив — так, щоб могти це довести.\u003C\u002Fli>\u003C\u002Ful>\u003Cp>Практика показує, що добре спроєктований банер cookie-файлів і форма підписки на розсилку з окремими полями згоди — це інвестиція, яка окуповується вже при першій перевірці UODO.\u003C\u002Fp>\u003Ch2>Як Good Balance допомагає\u003C\u002Fh2>\u003Cp>Команда Good Balance у межах \u003Ca href=\"\u002Fuk\u002Fservices\u002Flegal\u002Fconsultation\">юридичної консультації\u003C\u002Fa> проводить аудит RODO, розробляє політику й процедури, пише інформаційні застереження, договори про доручення та реєстр дій, а також підтримує при інцидентах — від оцінки ризику до повідомлення в UODO. Для фірм з обов'язком IOD пропонуємо аутсорсинг функції інспектора та навчання для працівників. Якщо Ви отримали листа з UODO, допоможемо підготувати відповідь та захист від штрафу.\u003C\u002Fp>","2026-10-09"]