GDPR комплаенс для бизнеса

Быстрая логика пакетов

Пакет 1 — GDPR Start

Цена: от 900 EUR | Срок: 7–10 рабочих дней

Для кого: малый бизнес, сайты, лендинги, простые e-commerce-проекты, MVP, сервисы без сложной обработки персональных данных и без значительного объема пользователей из ЕС.

Пакет 2 — GDPR Business

Цена: от 2 500 EUR | Срок: 15–20 рабочих дней

Для кого: SaaS, e-commerce, маркетплейсы, IT-компании, агентства, компании с клиентами или пользователями из ЕС, которым нужен не только набор документов, а понятная compliance-структура.

Пакет 3 — GDPR Pro / Investor Ready

Цена: от 5 000 EUR | Срок: 25–35 рабочих дней

Для кого: компании с активными продажами в ЕС, FinTech, HealthTech, EdTech, AI/ML, HR-tech, маркетплейсы, сервисы с большим объемом пользовательских данных или подготовкой к due diligence.

Сравнение GDPR-пакетов

Когда GDPR может применяться, даже если Вы не в ЕС

GDPR может распространяться на бизнес за пределами ЕС, если он предлагает товары или услуги людям, находящимся в ЕС, или отслеживает их поведение. Важна не только страна регистрации компании, но и фактическая модель работы с европейской аудиторией.

• Вы предлагаете товары или услуги в ЕС: например, SaaS, мобильное приложение, e-commerce, подписку или онлайн-сервис.
• Вы отслеживаете поведение пользователей: через аналитику, профайлинг, cookies, рекламные идентификаторы, SDK или другие tracking-инструменты.

Быстрая самооценка

• У Вас есть клиенты или пользователи из ЕС?
• Сайт или приложение имеет цены в евро, доставку в ЕС или локализацию на языках стран ЕС?
• Вы используете cookies, SDK, аналитику, рекламу или профайлинг?

Если хотя бы на один вопрос ответ «да», это повод провести оценку применимости GDPR. Один индикатор не всегда означает автоматическое действие Регламента, но игнорировать его уже рискованно.

Что чаще всего останавливает сделки и GDPR-проверки

На практике проблемы возникают не из-за отсутствия одного документа, а из-за разрыва между политиками, договорами и реальными процессами бизнеса.

• Нет карты данных: непонятно, какие данные собираются, зачем, где хранятся и кому передаются.
• Не определены роли: компания не понимает, когда она controller, processor или joint controller.
• Отсутствуют DPA или другие договорные условия: с облачными сервисами, CRM, аналитикой, саппортом, платежными провайдерами и другими подрядчиками.
• Не урегулированы трансферы данных: персональные данные передаются за пределы ЕС/ЕЭЗ без надлежащего механизма или оценки рисков.
• Нет DSAR-процесса: команда не знает, как реагировать на запросы касательно доступа, удаления, переноса или возражения против обработки данных.
• Нет сценария инцидентов: отсутствует понятный порядок действий при утечке или нарушении безопасности данных.

Роли: controller, processor и joint controller

Правильно определенная роль — основа для договоров, политик, ответственности и архитектуры GDPR-документов.

Controller: определяет, зачем и каким образом обрабатываются персональные данные.

Processor: обрабатывает данные от имени controller и по его инструкциям.

Joint controllers: две или более сторон совместно определяют цели и ключевые средства обработки данных.

Пример для SaaS

• Если клиент загружает в Ваш сервис контакты своих пользователей, клиент часто является controller, а SaaS-компания — processor.
• Если Вы собираете данные пользователей для собственного маркетинга, аналитики или продаж, Вы обычно действуете как controller.

Практический каркас GDPR-подготовки: 10 направлений

1. Data mapping. Определяем, какие данные обрабатываются, откуда они поступают, где хранятся и кому передаются.
2. RoPA. При необходимости готовим или обновляем реестр операций обработки: цели, категории данных, сроки хранения, получатели, трансферы и меры безопасности.
3. Lawful basis. Определяем правовое основание для каждого ключевого процесса: договор, юридическая обязанность, законный интерес, согласие и т. д.
4. Прозрачность. Готовим Privacy Notice, Cookie Notice и другие документы, объясняющие пользователю, как именно работает обработка данных.
5. Cookie и tracking management. Проверяем баннер, логику согласия и использование аналитических или рекламных инструментов.
6. Вендоры и договоры. Готовим DPA, vendor clauses и другие договорные механизмы для работы с подрядчиками и процессорами.
7. Права субъектов данных. Выстраиваем DSAR-процесс и шаблоны ответов на типичные запросы пользователей.
8. Безопасность и инциденты. Формируем базовые правила доступа, реагирования на инциденты и внутреннюю логику эскалации.
9. DPIA. Оцениваем, требует ли конкретный процесс Data Protection Impact Assessment из-за высокого риска для прав и свобод пользователей.
10. Трансферы данных. Анализируем передачи за пределы ЕС/ЕЭЗ и определяем надлежащий механизм: adequacy decision, SCC, DPF или другие гарантии в зависимости от ситуации.

Трансферы данных: SCC, DPF и TIA

Если персональные данные передаются за пределы ЕС/ЕЭЗ, нужно оценить маршрут данных, получателя и юридический механизм передачи.

• Adequacy decision: для отдельных стран или механизмов, которые Европейская Комиссия признала обеспечивающими надлежащий уровень защиты.
• EU–US Data Privacy Framework: может применяться к американским компаниям, участвующим в Framework.
• Standard Contractual Clauses: используются, когда для передачи нет соответствующего adequacy mechanism.
• Transfer Impact Assessment: помогает оценить риски конкретного трансфера и потребность в дополнительных мерах защиты.

Документы без реального процесса не решают проблему. Если данные фактически передаются через CRM, облако, аналитику или support-сервисы, это должно быть отражено в карте данных, договорах и внутренних процедурах.

Штрафы и коммерческие риски

За отдельные нарушения GDPR могут применяться административные штрафы до 20 млн евро или 4% общего мирового годового оборота за предыдущий финансовый год — в зависимости от того, какая сумма больше.

Для бизнеса практический риск часто возникает раньше: проверка со стороны клиента, банка, PSP, инвестора или крупного контрагента может задержать сделку, увеличить объем юридических запросов или изменить условия сотрудничества.

Как помогает Prikhodko & Partners

Анализируем реальные процессы работы с персональными данными и готовим документы и процедуры, которые можно использовать в работе с клиентами, подрядчиками и при проверках.

• Аудит и карта данных: источники, системы, вендоры, трансферы и ключевые риски.
• Роли и договоры: controller / processor, DPA и условия для подрядчиков и субпроцессоров.
• Политики и внутренние процессы: Privacy Notice, Cookie Notice, retention, DSAR и реагирование на инциденты.
• Сложные кейсы: SCC / DPF, международные трансферы и DPIA — при необходимости.

GDPR — это как ремень безопасности: кажется лишним ровно до первого резкого торможения. Лучше, чтобы он был Вашим, а не навязанным юристом клиента в момент, когда сделку уже “почти подписали”.