GDPR для інтернет-магазину

GDPR (Загальний регламент ЄС про захист даних, Регламент 2016/679) — закон ЄС про обробку персональних даних. Він стосується й магазину поза ЄС, якщо той пропонує товари людям, які перебувають в ЄС, або стежить за їхньою поведінкою там.

Це не юридична консультація: нижче викладено, що сказано в джерелах, з посиланнями. Для вашого випадку потрібен юрист із GDPR.

Коли GDPR стосується українського магазину

За ст. 3(2) GDPR регламент діє для компаній не з ЄС, якщо вони обробляють дані людей, що перебувають в ЄС, і обробка пов'язана з:

• пропонуванням товарів чи послуг цим людям, незалежно від оплати, або
• відстеженням їхньої поведінки в ЄС (GDPR, ст. 3).

Як зрозуміти, чи ви «пропонуєте» товар в ЄС? Преамбула 23 каже: треба встановити, чи очевидно, що компанія має намір пропонувати товари людям в одній або кількох країнах ЄС. Сама доступність сайту в ЄС, адреса електронної пошти чи контакти, а також мова, якою говорять у країні, де розташований продавець, для цього недостатні. Свідчити про намір можуть мова чи валюта, поширені в одній або кількох країнах ЄС, разом із можливістю замовити товар, а також згадки про покупців з ЄС. Прочитайте повний текст преамбули 23 у GDPR.

Умовний приклад: український магазин, сайт якого польською, ціни в злотих, а доставка до Варшави, швидше за все, «пропонує товар» в ЄС. Магазин, що має лише українську версію й доставляє по Україні, тут, найімовірніше, ні, навіть якщо хтось із-за кордону випадково відкрив сайт.

Якщо GDPR вас стосується, ст. 27 вимагає призначити письмового представника в ЄС, але не для епізодичної обробки без великомасштабної обробки особливих категорій даних і без ймовірного ризику для прав людей (GDPR, ст. 27). Магазин з регулярними замовленнями з ЄС під таке виключення навряд чи підпадає: це питання до юриста.

Які дані збирає магазин

Ім'я, телефон, адреса доставки, e-mail, історія замовлень, платіжна інформація, IP-адреса, ідентифікатори в cookies, підписка на розсилку. Усе це можна віднести до персональних даних, якщо за ними можна впізнати людину.

Що робити магазину: основні обов'язки

1. Мати підставу для кожної обробки (ст. 6): згоду; потреби договору (замовлення і доставка); виконання закону (бухгалтерія); законний інтерес, якщо він не переважений правами людини, та інші. Для замовлення зазвичай підстава — договір, для розсилки й реклами — згода.
2. Дотримуватися правил згоди (ст. 7): вільна, конкретна, поінформована, однозначна; доведення згоди лежить на вас; відкликати так само легко, як дати. Оцінюючи, чи згода вільна, регламент велить особливо враховувати, чи виконання договору поставлено в залежність від згоди на дані, які для договору не потрібні (ст. 7(4)). Докладніше: cookie-банер.
3. Інформувати людей (ст. 13): хто ви, навіщо збираєте дані, кому передаєте, як довго зберігаєте, які в людей права. Це політика конфіденційності на сайті й біля форм.
4. Відповідати на запити: без зайвої затримки й не пізніше ніж за місяць від отримання запиту; строк можна продовжити ще на два місяці, якщо запит складний (ст. 12(3)).
5. Мати договори з обробниками (ст. 28): CRM, пошта, аналітика, логістика.
6. Захищати дані і повідомляти про витік: без зайвої затримки і, де можливо, не пізніше 72 годин після того, як стало відомо, наглядовому органу, якщо витік імовірно створює ризик для людей (ст. 33).
7. Передача даних за межі ЄЕЗ: розділ V (ст. 44 і далі) ставить умови.
8. Реєстр обробки (ст. 30): виняток для компаній до 250 працівників не діє, якщо обробка не епізодична, ризикова або стосується особливих категорій даних. Для магазину з постійними замовленнями простіше вести реєстр.
9. cookies і пікселі: окрема норма Директиви ePrivacy, див. cookies і Consent Mode.

Штрафи

GDPR встановлює максимуми, а не фіксовані суми: до 10 млн євро або 2% світового річного обороту за порушення, перелічені в ст. 83(4); до 20 млн євро або 4% за порушення, перелічені в ст. 83(5), залежно від того, що більше (GDPR, ст. 83). Скільки накладають у кожному випадку, вирішує наглядовий орган; конкретних штрафів для українських магазинів у відкритих джерелах немає.

Що змінюється: Digital Omnibus

У листопаді 2025 року Єврокомісія запропонувала спростити правила (Digital Omnibus), зокрема щодо cookies. EDPB і EDPS у спільній думці 2/2026 (10 лютого 2026) закликали не приймати запропоновані зміни у визначенні персональних даних (EDPB). За юридичним оглядом, Рада 21 жовтня 2026 року узгодила мандат: визначення персональних даних у ст. 4(1) вона залишила без змін, правила про cookies не переносила в GDPR; Європарламент до 24 жовтня 2026 позиції не ухвалив (Legal247). Це пропозиція, а не закон: діють чинні норми GDPR.

Типові помилки

• вважати, що GDPR «не про нас», бо магазин в Україні, хоча сайт націлений на покупців з ЄС;
• збирати згоду галочкою «погоджуюсь з усім» разом з офертою;
• не мати політики конфіденційності мовою покупців;
• віддати дані сторонньому сервісу без договору;
• не знати, хто з працівників відповідає за запити людей і витоки.

FAQ

Чи потрібно українському магазину дотримуватися GDPR? Якщо ви пропонуєте товари людям в ЄС або відстежуєте їхню поведінку (ст. 3(2)), так. Якщо працюєте лише в Україні, GDPR вас не стосується, але діє український закон.

Чи потрібен представник в ЄС? За ст. 27, якщо ст. 3(2) застосовується, так, окрім обмежених винятків для епізодичної обробки.

Який штраф за порушення GDPR? Максимуми: 10 млн євро або 2% і 20 млн євро або 4% обороту залежно від порушення (ст. 83).

Чи потрібна згода на розсилку? Згода — одна з підстав обробки (ст. 6(1)(a)); правила розсилок мають також окремі національні норми, їх варто перевіряти окремо.

Скільки часу на відповідь на запит людини? Місяць, з можливим продовженням ще на два (ст. 12(3)).

Пов'язані терміни

• Cookies (куки)
• Cookie-банер
• Персональні дані в Україні
• CRM для інтернет-магазину

Джерела

• Регламент (ЄС) 2016/679 (GDPR), ст. 3, 4, 6, 7, 12, 13, 27, 28, 30, 33, 83, преамбула 23 — eur-lex.europa.eu/eli/reg/2016/679/oj
• EDPB-EDPS, новина про спільну думку щодо Digital Omnibus (11.02.2026) — edpb.europa.eu/news/digital-omnibus-edpb-and-edps-support-simplification-and-competitiveness-while-raising-key_en
• Legal247, Digital Omnibus and the GDPR: the Council mandate — legal247.no/en/insights/digital-omnibus-gdpr