Захист персональних даних в Україні: закон, GDPR і роль ISO/IEC 27001 та ISO 27701 (2026)

Уявіть просту ситуацію: HR-платформа зберігає резюме п'яти тисяч кандидатів, e-commerce магазин веде історію замовлень і адреси доставки, SaaS-стартап обробляє email і платіжні дані користувачів з Польщі та Німеччини. У кожному з цих випадків компанія збирає, зберігає і використовує персональні дані — і саме тому захист персональних даних перестав бути темою для юристів «на випадок перевірки» і став питанням щоденної операційної дисципліни.

В Україні це не абстрактна вимога. Обробку персональних даних регулює Закон України «Про захист персональних даних» № 2297-VI — чинний з 1 січня 2011 року і досі базовий нормативний акт у цій сфері. Закон визначає, хто такий володілець і розпорядник даних, які підстави для обробки законні, а які ні, і що робити, якщо стався витік. Але закон — лише половина картини: він каже, що потрібно захищати і за яких умов, а не як саме побудувати систему, яка це гарантує на практиці. Відповідь на «як» частіше дають стандарти — ISO/IEC 27001 і ISO 27701, про які й піде мова далі.

Ми детально розбирали сам стандарт інформаційної безпеки в повному посібнику з ISO/IEC 27001; тут фокус вужчий і практичніший — на перетині українського закону, GDPR і двох стандартів, які разом закривають вимоги саме до персональних даних, а не лише до інфраструктури.

Закон № 2297-VI ухвалили 1 червня 2010 року, і відтоді його неодноразово змінювали — поточну редакцію оновили 14 червня 2025-го після Закону № 4240-IX від 12 лютого 2025 року. Це не застиглий текст пʼятнадцятирічної давнини, а документ, який регулярно підлаштовують під нові реалії: воєнний стан, цифровізацію державних реєстрів, вимоги євроінтеграції.

Що закон вимагає від бізнесу вже сьогодні. По-перше, законна підстава для обробки — згода суб'єкта, виконання договору, вимога закону чи інший законний випадок; обробка «про всяк випадок» без підстави є порушенням. По-друге, повідомлення суб'єкта даних про мету збору і його права, включно з правом на доступ, виправлення і видалення даних. По-третє, обмеження на транскордонну передачу: передавати персональні дані за кордон можна лише в держави з адекватним рівнем захисту або за додатковими гарантіями.

Контроль за виконанням закону здійснює не окреме агентство, а Уповноважений Верховної Ради України з прав людини — омбудсмен, у структурі секретаріату якого працює профільний департамент із захисту персональних даних. Він проводить планові й позапланові перевірки, видає обов'язкові приписи і складає протоколи про адміністративні порушення. Для власника малого чи середнього бізнесу це означає просту річ: перевірка можлива не лише «якщо хтось поскаржився», а й з ініціативи омбудсмена.

Чинний закон писали в 2010 році — до GDPR, до хмарних сервісів у сучасному вигляді і до статусу країни-кандидата в ЄС. Тому з жовтня 2022-го в Раді лежить законопроєкт № 8153 «Про захист персональних даних» — фактично нова редакція закону, яка приводить українське регулювання ближче до GDPR і оновленої Конвенції Ради Європи 108+. Верховна Рада ухвалила його за основу (перше читання) 20 листопада 2024 року постановою № 4065-IX, а 17 грудня 2025-го депутати ухвалили окрему постанову № 4729-IX про особливості підготовки документа до другого читання. Тобто станом на середину 2026 року законопроєкт усе ще проходить парламентську процедуру, а не діє як закон.

Що пропонує нова редакція, якщо коротко. Дію закону поширюють на всі дії з обробки персональних даних, а не лише на ті, що ведуться в базах даних, — зникає лазівка «ми просто зберігаємо файл, а не базу». Розширюють права суб'єктів даних: заперечення проти обробки, оскарження автоматизованих рішень, чіткіші умови відкликання згоди. Паралельно в Раді розглядають законопроєкт № 6177 про створення окремого незалежного органу — Національної комісії з питань захисту персональних даних та доступу до публічної інформації, колегіального органу з семи членів, покликаного посилити нагляд у цій сфері.

Для бізнесу висновок практичний, а не політичний: чекати остаточного ухвалення — погана стратегія. Компанії, які вже мають робочу систему на основі ISO 27001 і ISO 27701, адаптують її під нові вимоги набагато швидше, ніж ті, хто взагалі не має задокументованих процесів обробки даних.

GDPR (General Data Protection Regulation) — регламент ЄС, і сам факт, що ваша компанія зареєстрована в Україні, не звільняє від нього автоматично. Стаття 3 GDPR працює екстериторіально: якщо ви пропонуєте товари чи послуги мешканцям ЄС або відстежуєте їхню поведінку — аналітика, ретаргетинг, профілювання, — регламент застосовується незалежно від того, ухвалила Україна свій закон за зразком GDPR чи ні.

Це та ситуація, де плутанина коштує грошей. Український SaaS-продукт із клієнтами у Франції та Нідерландах підпадає під GDPR вже зараз, а не «коли ухвалять законопроєкт № 8153». Компанія, що продає виключно на український ринок, натомість керується чинним законом № 2297-VI, і GDPR її не торкається напряму — хоча партнери з ЄС часто все одно вимагають GDPR-подібних гарантій у контракті, про всяк випадок.

Тому перше практичне питання — не «який закон суворіший», а «хто мої користувачі і де вони знаходяться». Відповідь визначає, чи потрібна вам відповідність GDPR вже сьогодні, чи можна орієнтуватися на графік ухвалення законопроєкту № 8153.

Закон каже, що персональні дані потрібно захищати. Він не каже, скільки резервних копій робити, як налаштувати контроль доступу чи що робити в перші 24 години після витоку. Цю практичну частину закриває сертифікація ISO/IEC 27001 — стандарт системи управління інформаційною безпекою (СУІБ), який ми докладно розбирали в окремому матеріалі.

Механізм простий: компанія проводить оцінку ризиків для всіх інформаційних активів, включно з базами персональних даних, обирає застосовні контролі з Annex A (керування доступом, шифрування, процедура реагування на інциденти) і документує вибір у Statement of Applicability. Коли трапляється витік — а рано чи пізно щось трапляється в будь-якій компанії — заздалегідь прописана процедура реагування перетворює хаотичну паніку на керований процес: хто повідомляє омбудсмена, у які терміни, кого зі співробітників чи клієнтів інформувати.

Тут і криється зв'язок із законом: ISO/IEC 27001 не замінює юридичні обов'язки за № 2297-VI, але дає операційний каркас, який робить їх виконуваними на практиці, а не лише задекларованими на папері. Аудитор під час сертифікації перевіряє саме це — чи працює система, а не чи існує політика у файлі Word.

ISO/IEC 27001 захищає інформацію загалом — від фінансових звітів до вихідного коду. Персональні дані для нього лише один клас активів серед інших. ISO 27701 звужує фокус саме на приватність: це стандарт PIMS (Privacy Information Management System), який відповідає на питання, як компанія обробляє персональні дані, а не тільки як вона захищає їх від зламу.

І тут сталася подія, про яку варто знати кожному, хто зараз обирає стандарт: 14 жовтня 2025 року вийшла нова редакція — ISO/IEC 27701:2025. До цього стандарт існував виключно як розширення до ISO/IEC 27001 і ISO/IEC 27002 — сертифікуватися за ним окремо було неможливо. Редакція 2025 року змінює це принципово: ISO 27701 став самостійним, окремо сертифікованим стандартом. Компанія може отримати сертифікат PIMS, навіть якщо в неї немає і не планується сертифікація ISO/IEC 27001.

Змінилася і структура контролів: замість понад 150 вимог, розкиданих по розділах 6-8 редакції 2019 року, нова версія консолідує 78 контролів у три чіткі таблиці — для володільця даних, розпорядника і спільних випадків. Додався додаток із прямим мапінгом на статті GDPR, що спрощує аргументацію на аудиті чи в переговорах із партнером з ЄС. Компанії, сертифіковані за редакцією 2019 року, мають час до жовтня 2028-го на перехід — не терміново, але й не привід відкладати рішення на потім.

Питання «нам потрібен 27001, 27701 чи обидва» — одне з перших, яке ми обговорюємо на діагностиці. Відповідь залежить не від бюджету, а від того, що саме створює для вас найбільший ризик.

Найпоширеніший шлях для українського IT-бізнесу — другий: додати ISO 27701 до вже наявної чи паралельно впроваджуваної ISO/IEC 27001, бо обидва стандарти діляться однаковою структурою розділів 4-10 і не дублюють роботу. Третій сценарій, самостійна сертифікація PIMS, поки що новий навіть для міжнародного ринку — перші органи сертифікації тільки готують акредитацію під редакцію 2025 року.

Формально жоден зі стандартів не обов'язковий, обов'язковий лише закон. На практиці шість типів бізнесу стикаються з цим питанням майже щотижня.

• IT та SaaS для клієнтів з ЄС. Партнер надсилає security-опитувальник ще до підписання контракту, і без документованої системи на нього просто нічого відповісти.
• Фінтех і необанки. Платіжні дані та KYC-документи вимагають доказу контролю, а не обіцянки.
• HR-tech і рекрутингові платформи. Резюме, контакти й оцінки кандидатів є персональними даними у чистому вигляді, обробленими масово.
• Медичні та телемедичні сервіси. Дані про здоров'я належать до особливої категорії, і репутаційний удар після витоку тут відчутніший, ніж деінде.
• E-commerce і маркетплейси. Історія покупок, адреси, поведінкова аналітика для ретаргетингу.
• Компанії перед тендером чи інвестраундом. Due diligence інвестора чи держзамовника дедалі частіше включає перевірку саме приватності даних, а не тільки фінансів.

Спільна риса всіх шести — не розмір компанії, а те, що персональні дані клієнтів є частиною бізнес-моделі, а не побічним продуктом.

На консультаціях ми регулярно бачимо одні й ті самі прогалини — і жодна з них не про брак технологій чи бюджету.

Компанія встановлює плагін для згоди на cookies і вважає питання закритим. Cookie-згода — лише вузький елемент; вона нічого не каже про те, як дані зберігаються, хто має до них доступ і що відбувається при звільненні співробітника, який мав доступ до бази клієнтів.

Без переліку «які дані, звідки, навіщо, як довго зберігаються» неможливо ні відповісти на запит суб'єкта даних про видалення, ні пройти аудит. Це не бюрократія заради бюрократії — без реєстру компанія сама не знає, наскільки вона вразлива.

Аутсорс-бухгалтерія, CRM-провайдер, служба розсилок — усі вони обробляють персональні дані від вашого імені. Якщо в договорі немає пункту про це, відповідальність за їхню недбалість падає на вас.

Дані клієнтів летять на сервери в США чи Сінгапур разом із хмарним сервісом, який хтось підключив без перевірки, чи це взагалі дозволено законом.

Найчастіша причина цих помилок — не недбалість, а те, що захист персональних даних сприймають як разовий проєкт перед перевіркою, а не постійний процес.

Ekontrol супроводжує підготовку до ISO/IEC 27001 і ISO 27701 як частину напряму інформаційної безпеки, поряд з ISO 22301 для компаній, яким потрібна ширша система. Підхід той самий, що й для класичної сертифікації СУІБ: спершу діагностика — за кілька днів команда визначає, наскільки поточні процеси компанії відповідають вимогам закону № 2297-VI і Annex A/B обраних стандартів, без прикрашання цифр і термінів.

Далі — впровадження: реєстр обробки персональних даних, договори з підрядниками, процедура реагування на інциденти, навчання команди. Для компаній, що вже мають ISO/IEC 27001, додавання PIMS-контролів ISO 27701 відбувається швидше, бо частина роботи — оцінка ризиків, управлінський цикл, документація — вже готова.

Якщо ваша компанія обробляє персональні дані клієнтів з ЄС, готується до тендеру з вимогою privacy-контролю або просто хоче вибудувати захист персональних даних так, щоб він витримав і аудит, і перевірку омбудсмена, — деталі про сертифікацію ISO/IEC 27001 і форма для першої консультації доступні на сайті. Команда Ekontrol працює як партнер Bureau Veritas в Україні з 2014 року.