Швидка відповідь: Найсуворіші закони про конфіденційність у світі, очолювані GDPR ЄС, PIPL Китаю та CCPA Каліфорнії, накладають значні фінансові штрафи та поширюють свою дію далеко за межі своїх країн. Будь-яка організація, яка збирає або обробляє персональні дані від резидентів у цих юрисдикціях, повинна дотримуватись вимог, незалежно від того, де фізично розташована ця організація. Розуміння територіальної сфери та структури санкцій є першим кроком до формування захищеної позиції відповідності.
Основні висновки
- Понад 160 країн ухвалили комплексне законодавство про конфіденційність даних, що робить глобальну відповідність базовим очікуванням, а не винятком [1].
- GDPR має найвищі фінансові штрафи серед усіх законів про конфіденційність: до €20 мільйонів або 4% глобального річного доходу, залежно від того, що більше [1].
- Штрафи за порушення GDPR перевищили €7 мільярдів з моменту початку дії, з великими штрафами проти Meta, Amazon та TikTok [7].
- PIPL Китаю та GDPR ЄС обидва застосовуються екстериторіально, іноземні компанії, які обслуговують резидентів у цих юрисдикціях, повинні дотримуватись вимог [1].
- У США немає єдиного федерального закону про конфіденційність; відповідність залежить від сектора та штату, при цьому CCPA Каліфорнії є найбільш впливовою рамкою на рівні штату [2].
- Територіальна сфера визначає, який закон застосовується до вашого бізнесу; кілька законів можуть одночасно застосовуватись до однієї організації.
- Малі підприємства не є автоматично звільненими, пороги CCPA та тест "установи" GDPR можуть охоплювати компанії різних розмірів.
- Загальні помилки у відповідності включають недостатні механізми згоди, погане картографування даних та ігнорування правил трансферу через кордон.
- Платформа управління згодою (CMP), така як Biscotti CMP, може допомогти організаціям реалізувати вимоги згоди в рамках кількох систем.
Які найсуворіші закони про конфіденційність у світі за країнами
Найсуворіші закони про конфіденційність у світі — це Загальний регламент захисту даних (GDPR) ЄС, Закон про захист персональної інформації (PIPL) Китаю, Загальний закон про захист даних (LGPD) Бразилії та CCPA/CPRA Каліфорнії. Кожен з них поєднує широкий територіальний охоплення з реальними механізмами виконання.
Ось стислий порівняльний аналіз основних рамок:
| Закон | Юрисдикція | Максимальний штраф | Екстериторіальний? | Діє з |
|---|---|---|---|---|
| GDPR | Європейський Союз | €20M або 4% глобального доходу | Так | Травень 2018 |
| UK GDPR | Сполучене Королівство | £17.5M або 4% глобального доходу | Так | Січень 2021 |
| PIPL | Китай | До ¥50M або 5% річного доходу | Так | Листопад 2021 |
| CCPA/CPRA | Каліфорнія, США | До $7,988 за навмисне порушення | Обмежено | Січень 2020 |
| LGPD | Бразилія | До 2% доходу Бразилії, обмежено до R$50M | Так | Вересень 2020 |
GDPR залишається глобальним еталоном. Його поєднання високих штрафів, широкого охоплення та активного виконання робить його рамкою, яку більшість організацій пріоритизує першою при створенні міжнародних програм відповідності [1].
Як працюють санкції GDPR і які штрафи
Санкції GDPR діють на основі двох рівнів штрафів. Порушення нижчого рівня, такі як невиконання вимог щодо ведення обліку діяльності з обробки, можуть призвести до штрафів до €10 мільйонів або 2% глобального річного обороту. Порушення верхнього рівня, включаючи незаконну обробку персональних даних або ігнорування прав суб'єктів даних, тягнуть за собою штрафи до €20 мільйонів або 4% глобального річного доходу, залежно від того, що більше [1].
Крім штрафів, наглядові органи можуть накладати тимчасові або постійні заборони на обробку даних, що на практиці може бути більш руйнівним для бізнесу, ніж сам фінансовий штраф. З моменту початку дії штрафи за GDPR перевищили €7 мільярдів, з знаковими справами проти Meta Ireland, Amazon Luxembourg та TikTok [7].
Ключові фактори, які регулятори враховують при розрахунку штрафів:
- Природа, серйозність та тривалість порушення
- Чи було порушення навмисним чи ненавмисним
- Співпраця з наглядовим органом
- Історія попередніх порушень
- Категорії персональних даних, які підпадають під вплив (дані про здоров'я, фінансові або біометричні дані підлягають більш суворому контролю)
Різниця між GDPR, CCPA та іншими регуляціями про конфіденційність
GDPR та CCPA мають однакову мету — захист персональних даних, але суттєво відрізняються за обсягом, правами, що надаються, та механізмами виконання [2].
GDPR застосовується до будь-якої організації, що обробляє дані резидентів ЄС, незалежно від розміру компанії. Він вимагає законної основи для кожної діяльності з обробки, зобов'язує проводити оцінки впливу на захист даних для обробки з високим ризиком і надає особам права, включаючи доступ, видалення, портативність та заперечення.
CCPA/CPRA застосовується лише до прибуткових підприємств, які відповідають хоча б одному з цих порогів: річний валовий дохід перевищує $25 мільйонів, купівля або продаж персональних даних 100,000 або більше споживачів Каліфорнії щорічно, або отримання 50% або більше річного доходу від продажу персональних даних [2]. Він більше зосереджується на прозорості та правах на відмову, ніж на вимозі законної основи для обробки.
PIPL (Китай) відображає структуру GDPR, але додає більш суворі вимоги щодо локалізації даних і зобов'язує проводити оцінки безпеки урядом перед передачею "важливих" даних за кордон [1].
Практична різниця: GDPR є за замовчуванням за згодою для більшості обробок; CCPA в основному є за відмовою. PIPL поєднує обидва підходи, додаючи національні безпекові накладки, яких немає в GDPR.
Що таке територіальна сфера в законодавстві про конфіденційність
Територіальна сфера визначає географічні межі, в межах яких застосовується закон про конфіденційність, і, критично, чи охоплює він організації, що працюють за межами цих меж. Більшість сучасних законів про конфіденційність прийняли екстериторіальну модель, що означає, що фізична присутність у країні більше не є необхідною для виникнення зобов'язань щодо відповідності.
Територіальна сфера GDPR регулюється статтею 3, яка застосовує регламент до будь-якої організації, що зареєстрована в ЄС, а також до організацій за межами ЄС, які або пропонують товари чи послуги резидентам ЄС, або контролюють їхню поведінку [1]. UK GDPR слідує ідентичній моделі [9].
PIPL Китаю застосовується до іноземних суб'єктів, які пропонують продукти або послуги особам у Китаї, аналізують або оцінюють поведінку осіб у Китаї, або підпадають під обставини, визначені в інших застосовних законах [1].
Орієнтація в санкціях та територіальних межах: огляд найсуворіших законів про конфіденційність у світі виявляє послідовний шаблон: тенденція полягає в максимальному охопленні. Регулятори прагнуть запобігти тому, щоб організації уникали зобов'язань, просто зареєструвавшись за кордоном.
Як застосовуються закони про конфіденційність до компаній за межами їхньої країни
Закони про конфіденційність застосовуються до іноземних компаній через концепцію екстериторіальної юрисдикції. Компанія, що має штаб-квартиру в Сінгапурі та веде вебсайт, націлений на німецьких споживачів і збирає їхні електронні адреси, підлягає GDPR, навіть без жодного працівника або офісу в ЄС.
Тригери для екстериторіального застосування зазвичай включають:
- Активний маркетинг для резидентів юрисдикції (мова, валюта, місцеві методи оплати)
- Обробка персональних даних резидентів, навіть пасивно через аналітику або куки
- Моніторинг поведінки (поведінкова реклама, пікселі відстеження)
- Функціонування місцевої установи, навіть невеликого представницького офісу
Програма безпеки даних Міністерства юстиції США, що набирає чинності 8 квітня 2025 року, додає ще один рівень: вона накладає експортні обмеження, щоб запобігти доступу іноземних противників до чутливих персональних даних США, забороняючи певні транзакції з даними з визначеними "країнами, що викликають занепокоєння" [5].
Загальна помилка: Припущення, що оскільки компанія не має фізичної присутності в юрисдикції, вона не має зобов'язань щодо відповідності там. Це неправильно для GDPR, PIPL, UK GDPR та LGPD.
Який закон про конфіденційність є найскладнішим для дотримання
GDPR вважається найвимогливішим законом про конфіденційність для дотримання з трьох причин: широта його вимог, суворість стандартів згоди та обсяг дій, вжитих наглядовими органами ЄС.
Відповідність GDPR вимагає від організацій документувати кожну діяльність з обробки, призначати Офіцера з захисту даних у певних випадках, проводити оцінки впливу на захист даних для обробки з високим ризиком і впроваджувати "конфіденційність за дизайном та за замовчуванням" у всіх системах. Стандарт згоди за GDPR, що надається вільно, конкретно, інформовано та однозначно, є значно більш вимогливим, ніж модель відмови за CCPA [2].
PIPL Китаю є близьким другим, особливо для багатонаціональних компаній, оскільки поєднує вимоги згоди на рівні GDPR з вимогами щодо локалізації даних та процесами урядового огляду безпеки для трансферів через кордон [1][4].
Виберіть GDPR як свій базовий стандарт відповідності, якщо ваша організація обслуговує будь-яких резидентів ЄС або Великобританії. Виконання вимог GDPR задовольнить більшість суттєвих вимог UK GDPR і добре підготує вас до відповідності LGPD та PIPL з поступовими коригуваннями.
Що станеться, якщо ви порушите регуляції GDPR або CCPA
Порушення GDPR можуть призвести до штрафів до €20 мільйонів або 4% глобального річного доходу, наказів про виконання, заборон на обробку та репутаційних збитків від обов'язкових повідомлень про порушення [1]. Наглядові органи в усіх країнах-членах ЄС продемонстрували чітку готовність накладати значні штрафи на компанії всіх розмірів.
Порушення CCPA контролюються Агентством захисту конфіденційності Каліфорнії (CPPA). Цивільні штрафи досягають до $2,663 за ненавмисне порушення та $7,988 за навмисне порушення, щорічно коригуються з урахуванням інфляції [3]. На відміну від GDPR, CCPA також надає приватне право на дії за порушення даних, що дозволяє споживачам подавати позови безпосередньо.
Крім фінансових штрафів, вторинні наслідки часто є більш руйнівними:
- Обов'язкове публічне розкриття дій з виконання
- Втрата довіри споживачів та капіталу бренду
- Операційні порушення через заборони на обробку
- Збільшений регуляторний контроль в інших юрисдикціях
Чи застосовуються закони про конфіденційність до малих підприємств чи лише до великих компаній
Закони про конфіденційність можуть застосовуватися до малих підприємств, хоча пороги варіюються залежно від рамки. GDPR не має порогу доходу або розміру, якщо мале підприємство обробляє персональні дані резидентів ЄС, воно підлягає GDPR. CCPA, навпаки, застосовується лише до прибуткових підприємств, які відповідають певним порогам доходу або обсягу даних, що означає, що багато малих підприємств виходять за межі його сфери [2].
Виключення GDPR для малих організацій є вузькими: Підприємства з менш ніж 250 працівниками частково звільняються від ведення детального обліку діяльності з обробки, але лише якщо їхня обробка не є ймовірною причиною ризику для прав осіб, не є випадковою або не включає спеціальні категорії даних.
Крайній випадок: Індивідуальний підприємець, що веде нішевий інтернет-магазин, націлений на клієнтів ЄС і використовує інструменти поведінкової реклами, майже напевно підлягає GDPR, незалежно від річного доходу.
Загальні помилки, які компанії роблять при дотриманні законодавства про конфіденційність
Найчастіші помилки у відповідності не є технічними, вони є організаційними. Компанії регулярно недооцінюють обсяг збору даних, не оновлюють повідомлення про конфіденційність, щоб відобразити фактичну обробку, і сприймають згоду як одноразову галочку, а не як постійні відносини.
Топ помилок у відповідності, ранжованих за частотою:
- Недостатні механізми згоди, використання попередньо позначених полів, згода в пакетах або згода, захована в умовах обслуговування.
- Не задокументована законна основа, обробка даних без визначення та запису дійсної законної основи відповідно до статті 6 GDPR.
- Ігнорування правил трансферу через кордон, передача персональних даних до третіх країн без стандартних контрактних положень або еквівалентних заходів безпеки.
- Неповне картографування даних, незнання, які персональні дані збираються, де вони зберігаються та хто має доступ.
- Невиконання запитів суб'єктів даних, пропуск 30-денного терміну відповіді на запити про доступ, видалення або портативність.
- Застарілі повідомлення про конфіденційність, публікація повідомлення, яке не точно описує поточні діяльності з обробки.
Правильно налаштована CMP, така як Biscotti CMP, безпосередньо вирішує кілька з цих проблем, керуючи збором, зберіганням та відкликанням згоди в рамках кількох регуляторних систем.
Як визначити, які закони про конфіденційність застосовуються до вашого бізнесу
Визначення застосовних законів про конфіденційність вимагає відповіді на чотири запитання: Де розташована ваша організація? Де знаходяться ваші користувачі або клієнти? Які категорії персональних даних ви обробляєте? І чи відповідаєте ви будь-яким специфічним для юрисдикції порогам?
Практична структура прийняття рішень:
- Якщо у вас є установа в ЄС або Великобританії, або ви активно націлюєтеся на резидентів ЄС/Великобританії: застосовуються GDPR та/або UK GDPR [1][9].
- Якщо ви пропонуєте товари або послуги китайським споживачам або аналізуєте їхню поведінку: застосовується PIPL [1].
- Якщо ви є прибутковою компанією, що відповідає порогам доходу або обсягу даних Каліфорнії: застосовується CCPA/CPRA [2].
- Якщо ви працюєте в Бразилії та обробляєте персональні дані резидентів Бразилії: застосовується LGPD.
- Якщо ваш бізнес пов'язаний з міжнародною передачею чутливих персональних даних США: перегляньте вимоги програми безпеки даних DOJ [5].
Кілька законів можуть застосовуватися одночасно. Компанія SaaS, що базується в США, з клієнтами з ЄС, працівниками з Каліфорнії та маркетинговою базою даних, що включає бразильські контакти, може потребувати дотримання вимог GDPR, CCPA та LGPD одночасно.
Чи є закони про конфіденційність, які не мають територіального охоплення
Деякі рамки конфіденційності навмисно обмежені в територіальному охопленні. Закон про захист даних DIFC у Дубаї, наприклад, застосовується до контролерів та обробників, зареєстрованих у DIFC, або тих, хто обробляє дані в межах DIFC, але не претендує на широкий екстериторіальний охоплення, порівнянний з GDPR [8]. Аналогічно, багато старих або специфічних для сектору федеральних законів США (HIPAA для медичних даних, FERPA для освітніх записів) застосовуються на основі природи даних та типу суб'єкта, а не на основі місця розташування суб'єктів даних.
Однак глобальна тенденція чітко спрямована на розширення територіального охоплення. Орієнтація в санкціях та територіальних межах: огляд найсуворіших законів про конфіденційність у світі показує, що нові законодавства, такі як PIPL, LGPD та UK GDPR після Brexit, усі прийняли екстериторіальні моделі, що сигналізує про те, що рамки з обмеженим охопленням стають винятком, а не правилом.
Як санкції відрізняються між GDPR та іншими рамками конфіденційності
Санкції GDPR є найсуворішими та найактивніше виконуваними серед усіх глобальних рамок конфіденційності, але механізми суттєво відрізняються між режимами.
| Рамка | Орган контролю | Максимальний фінансовий штраф | Приватне право на дії |
|---|---|---|---|
| GDPR | Національні наглядові органи | €20M або 4% глобального доходу | Обмежене (варіюється залежно від держави-члена) |
| UK GDPR | ICO | £17.5M або 4% глобального доходу | Обмежене |
| PIPL | CAC / регулятори сектору | ¥50M або 5% річного доходу | Так (для фізичних осіб) |
| CCPA/CPRA | CPPA | $7,988 за навмисне порушення | Так (за порушення даних) |
| LGPD | ANPD | 2% доходу Бразилії, максимум R$50M | Так |
Модель виконання GDPR є унікальною тим, що вона функціонує через мережу з 27 національних органів захисту даних, що створює непослідовність у тому, як агресивно різні держави-члени переслідують порушення. DPC Ірландії, яка контролює багато великих технологічних компаній США через їхні європейські штаб-квартири, піддавалася критиці за повільне виконання, хоча знакові штрафи проти Meta та TikTok демонструють, що система може давати значні результати [7].
Висновок: Дії для орієнтації в санкціях та територіальних межах
Орієнтація в санкціях та територіальних межах: огляд найсуворіших законів про конфіденційність у світі робить одне зрозумілим: ера розгляду відповідності конфіденційності як регіональної проблеми закінчилася. Будь-яка організація з онлайн-присутністю та міжнародною базою користувачів, ймовірно, підлягає принаймні одному великому закону про конфіденційність з реальними наслідками виконання.
Негайні дії, які потрібно вжити:
- Проведіть картографування даних, щоб визначити кожну категорію персональних даних, що збираються, їх джерело, місце зберігання та мету обробки.
- Визначте застосовні закони, використовуючи критерії територіальної сфери, не припускайте, що лише географія визначає ваші зобов'язання.
- Аудитуйте свої механізми згоди, щоб переконатися, що вони відповідають найвищому застосовному стандарту (згода GDPR є найсуворішим еталоном).
- Перегляньте угоди про трансфер даних через кордон та переконайтеся, що стандартні контрактні положення або еквівалентні заходи безпеки впроваджені.
- Впровадьте відповідну CMP, Biscotti CMP надає інфраструктуру для управління збором згоди та документацією в рамках кількох регуляторних систем.
- Встановіть процес запитів суб'єктів даних з документованими робочими процесами та термінами відповіді.
- Переглядайте щорічно, законодавство про конфіденційність не є статичним. Програма безпеки даних DOJ (діє з 2025 року), еволюція регуляцій, що реалізують PIPL, та потенційне федеральне законодавство США про конфіденційність представляють собою рухомі цілі [5].
Організації, які розглядають відповідність конфіденційності як безперервну операційну дисципліну, а не одноразовий проект, будуть значно краще підготовлені, щоб уникнути штрафів, які визначали ландшафт виконання в останні кілька років.
Питання та відповіді
Q: Чи застосовується GDPR до компанії США без офісу в ЄС? Так. Якщо компанія США активно націлюється на резидентів ЄС, наприклад, пропонуючи послуги на європейських мовах або в європейських валютах, GDPR застосовується незалежно від того, де зареєстрована компанія [1].
Q: Яка різниця між контролером даних і обробником даних відповідно до GDPR? Контролер даних визначає цілі та засоби обробки персональних даних. Обробник даних обробляє дані від імені контролера. Обидва мають окремі зобов'язання відповідно до GDPR, і обробники можуть нести пряму відповідальність за певні порушення.
Q: Чи може компанія одночасно отримати штрафи за GDPR та CCPA? Так. Компанія, що обслуговує як резидентів ЄС, так і Каліфорнії, може підпадати під дії обох рамок за однакові основні практики обробки даних, оскільки закони є незалежними один від одного.
Q: Що таке законна основа для обробки відповідно до GDPR? Стаття 6 GDPR вимагає, щоб кожна діяльність з обробки базувалася на одній з шести законних основ: згода, виконання контракту, юридичне зобов'язання, життєві інтереси, публічне завдання або законні інтереси. Обробка без задокументованої законної основи є порушенням верхнього рівня.
Q: Як PIPL Китаю відрізняється від GDPR щодо трансферів даних через кордон? PIPL вимагає проведення урядової оцінки безпеки перед передачею "важливих" даних за кордон, на додаток до вимог на основі згоди. GDPR покладається на рішення про адекватність, стандартні контрактні положення або обов'язкові корпоративні правила, не вимагаючи попереднього схвалення уряду для більшості трансферів [1][4].
Q: Чи є штрафи за невизначення Офіцера з захисту даних відповідно до GDPR? Так. Невизначення DPO, коли це необхідно (для державних органів, системного моніторингу великого масштабу або великої обробки спеціальних категорій даних), є порушенням нижчого рівня GDPR, що підлягає штрафам до €10 мільйонів або 2% глобального доходу.
Q: Чи застосовується CCPA до неприбуткових організацій? Ні. CCPA застосовується лише до прибуткових підприємств, які відповідають його порогам. Неприбуткові організації зазвичай звільнені, хоча вони можуть підпадати під інші закони Каліфорнії про конфіденційність.
Q: Що таке Програма безпеки даних DOJ? Діє з 8 квітня 2025 року, Програма безпеки даних Міністерства юстиції США накладає експортні обмеження, щоб запобігти доступу іноземних противників до чутливих персональних даних США. Вона забороняє певні транзакції з даними з визначеними "країнами, що викликають занепокоєння" [5].
Q: Як швидко потрібно повідомити про порушення даних GDPR? Контролери повинні повідомити свій наглядовий орган протягом 72 годин з моменту, коли вони дізналися про порушення персональних даних, якщо це можливо. Якщо порушення, ймовірно, призведе до високого ризику для осіб, ці особи також повинні бути повідомлені без затримки.
Q: Чи може платформа управління згодою допомогти з відповідністю в кількох юрисдикціях? Так. CMP, така як Biscotti CMP, може управляти збором, зберіганням та відкликанням згоди в рамках різних регуляторних систем, допомагаючи організаціям підтримувати документальне підтвердження згоди, що є основною вимогою як під GDPR, так і під PIPL.
Посилання
[1] International Data Privacy Law Global Frameworks And Rules - https://legalclarity.org/international-data-privacy-law-global-frameworks-and-rules/?utm_source=openai
[2] GDPR vs CCPA - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/gdpr-vs-ccpa/?utm_source=openai
[3] Data Protection Regulations GDPR U.S. Laws Your Rights - https://legalclarity.org/data-protection-regulations-gdpr-u-s-laws-your-rights/?utm_source=openai
[4] Data Sovereignty Meaning Laws Frameworks And Rules - https://legalclarity.org/data-sovereignty-meaning-laws-frameworks-and-rules/?utm_source=openai
[5] DOJ Final Rule Imposes Additional - https://www.dentons.com/en/insights/articles/2025/may/21/doj-final-rule-imposes-additional?utm_source=openai
[6] Geoblocking Legal Issues Compliance And Risks - https://legalclarity.org/geoblocking-legal-issues-compliance-and-risks/?utm_source=openai
[7] World Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/?utm_source=openai
[8] Data Protected DIFC - https://www.linklaters.com/en/insights/data-protected/data-protected---difc?utm_source=openai
[9] DLA Piper Data Protection Index - https://www.dlapiperdataprotection.com/index.html?t=about&utm_source=openai