Не тільки ШІ: де ще ховаються ризики для даних клієнтів

Я й сама все зберігаю в Google — пошта, файли, таблиці. І коли почала розбиратися в темі персональних даних, Google-сервіси стали другим великим сюрпризом після Telegram. Не тому, що вони «погані». А тому, що ми настільки до них звикли, що навіть не ставимо питань. Двофакторка є — значить все ок. А закон питає зовсім про інше.

Gmail: що бачить Google

Gmail для бухгалтерки — головний робочий канал. Акти, рахунки, скани документів, листування з клієнтками і податковою — все через пошту.

Коли через Gmail проходить лист із документом, його вміст уже обробляють автоматизовані системи Google — для боротьби зі спамом, шкідливими файлами та іншими загрозами. Це технічна реальність, так працює сервіс.

А в листопаді 2025 року проти Google подали позов (Thele v. Google): позивачі стверджували, що компанія без окремої явної згоди увімкнула пов'язані з Gemini Smart Features для Gmail, Chat і Meet. У липні 2026 суд відхилив першу версію позову з правом подати виправлену. Якщо в акаунті увімкнені Gemini/Smart Features, вміст листів може використовуватися для AI-функцій. Саме тому варто не гадати, а зайти в налаштування і перевірити, що реально ввімкнено у твоєму акаунті.

І ще одне, про що ніхто не думає. Лист із вкладенням не зникає після прочитання. Скан паспорта, який клієнтка надіслала два роки тому, — все ще у тебе у вхідних. Акт від клієнтки, з якою ти давно не працюєш, — лежить. За законом персональні дані не мають зберігатися довше, ніж потрібно. А в Gmail документи накопичуються роками — і ніхто їх не чистить.

Google Drive: центральне сховище

Google Drive для більшості бухгалтерок-фрілансерок — це місце, де живе все. Скани паспортів, банківські виписки, зарплатні відомості, кадрові документи, договори. Найбільша концентрація персональних даних клієнтів в одному місці.

Одна папка — і там десятки клієнтів. За три роки роботи — сотні файлів. І все це доступне з одного акаунту.

Тепер про доступ. На Drive є два режими. Обмежений — файл бачать тільки ті, кого ти додала за адресою. І «усі за посиланням» — хто має URL, той відкриє файл. Навіть без входу в Google-акаунт.

Якщо стоїть «усі за посиланням» — посилання живе скрізь. У старих чатах. У листах. У колишнього працівника клієнтки. Хто його зараз має і хто вже відкривав — ти не контролюєш. Ти навіть не знаєш.

І файли накопичуються. Клієнтка, з якою ти два роки не працюєш, — її скан паспорта все ще лежить на твоєму Drive. В тій самій папці. З тим самим доступом. Ніхто не переглядав, ніхто не чистив, ніхто не закривав доступ.

А при чому тут закон

В Україні з 2010 року діє Закон «Про захист персональних даних» (№2297-VI). Він стосується будь-кого, хто працює з чужими даними — включаючи бухгалтерку-ФОП. За чинною ст. 188-39 КУпАП штрафи для ФОП залежно від порушення доходять до 17 000 грн, а за повторні — до 34 000 грн. Але законопроєкт №8153 — фактично українська версія GDPR — уже пройшов перше читання: 20 листопада 2024 року прийнятий за основу, готується до другого читання. Це ще не закон, але масштаб зрозумілий: максимальний штраф для фізичної особи сягає 20 мільйонів гривень. Це не «може колись» — це зобов'язання перед ЄС.

Ті самі п'ять питань, які закон задає до Telegram і до ШІ-сервісів, — він задає і до Google. Детально я їх розклала в головній статті. А тут — як кожне з цих питань виглядає конкретно для Gmail і Drive.

Повідом. Клієнтка знає, що її документи зберігаються на серверах Google? Що Google їх автоматично обробляє? Що AI-функції можуть бути увімкнені в її акаунті? Більшість клієнток навіть не задумуються, що їхні скани десь «живуть» — вони просто надіслали і забули. А ти — ні, ти їх зберігаєш.

Підстава. Договір з клієнткою згадує Google? У більшості — ні. Google настільки звичний, що ніхто не думає, що це взагалі питання. Але за законом — це питання. Ти обробляєш чужі дані через сторонній сервіс, і для цього потрібна підстава.

Мінімізація. Одна папка — всі клієнти. Файли за три роки. Доступ не переглядається. Gmail перетворюється на архів вкладень, Drive — на склад документів, про які ти забула. А закон каже: не тримай більше, ніж потрібно для конкретного завдання.

Захист. На безкоштовному акаунті ти не вибираєш, де зберігаються файли. Не контролюєш, хто має доступ зсередини Google. Не маєш окремого договору про захист бізнесових даних — діють загальні споживчі умови. А «усі за посиланням» — це окрема історія, де контроль доступу залежить від того, кому потрапив URL.

Видалення. Файли не видаляються автоматично. Скан паспорта від колишньої клієнтки — все ще на Drive. Листи з вкладеннями — все ще у вхідних. Google нічого не чистить за тебе. А за законом відповідаєш ти — бо це ти обрала зберігати там ці дані.

Google — не заборонений

Я не кажу «видали Google і перейди на папки з паперами». Я сама ним користуюся щодня.

Але є різниця між «користуюся і не думаю» і «користуюся і розумію, на яких умовах». Перевірити, хто має доступ до папок. Прибрати «усі за посиланням» там, де це не потрібно. Подивитися, які файли від клієнток, з якими ти вже не працюєш, все ще лежать на Drive. Це не вимагає переїзду на інший сервіс — це вимагає уваги.

Я кілька місяців копала цю тему — по кожному сервісу окремо: Telegram, Gmail, Google Drive, ШІ-сервіси, бухгалтерські програми. Прочитала Terms of Service, перевірила позиції юристів, пройшлась по судовій практиці.

І зрозуміла: знати, що «є ризики» — недостатньо. Потрібно знати, що конкретно робити. Які налаштування перевірити. Що написати в договорі з клієнткою. Як виглядає мінімальний набір документів, який закриває основні питання закону. І як це зробити за один вечір, а не за місяць.

Все це тепер — окремі зустрічі на курсі «Цифровий заступник бухгалтера» і в групі «ШІ-команда». Конкретно під бухгалтерку-ФОП, яка хоче працювати і з Google, і з ШІ, і розуміти, що робить це правильно. Готові шаблони документів, чекліст налаштувань по кожному сервісу, матриця ризиків — щоб не розбиратися самій з нуля.

Матеріал подано у спрощеному вигляді й не є індивідуальною юридичною консультацією. Статті закону наведені зі скороченнями — повний текст дивись у Законі України «Про захист персональних даних» №2297-VI.

Часті запитання

Чи сканує Gmail листи з документами клієнтів?

Так, автоматизовані системи Google обробляють кожен лист — вхідний і вихідний — для боротьби зі спамом, шкідливими файлами та іншими загрозами. Крім того, проти Google є позов (Thele v. Google) щодо того, що компанія без окремої явної згоди увімкнула пов'язані з Gemini Smart Features для Gmail, Chat і Meet. Якщо в акаунті увімкнені ці функції, вміст листів може використовуватися для AI-функцій.

Чи безпечно зберігати документи клієнтів на Google Drive?

Google Drive не заборонений, але створює ризики. Головні: режим «усі за посиланням» відкриває файл будь-кому з URL, файли накопичуються роками без чистки, на безкоштовному акаунті немає окремого договору про захист бізнесових даних. За законом відповідаєш ти як ФОП — бо ти обрала цей сервіс для зберігання даних клієнтів.

Які штрафи за порушення закону про персональні дані в Google-сервісах?

Зараз, за ст. 188-39 КУпАП, штрафи для ФОП залежно від порушення доходять до 17 000 грн, а за повторні — до 34 000 грн. Законопроєкт №8153 прийнято за основу 20 листопада 2024 року, зараз готується до другого читання — конкретні суми ще можуть змінитися, але максимальний штраф для фізичної особи вже визначений на рівні 20 мільйонів гривень.

Чи потрібно повідомляти клієнтів, що їхні документи зберігаються в Google?

Так. За законом клієнтка має знати, де зберігаються її документи і через які сервіси вони проходять. Більшість клієнток навіть не задумуються, що їхні скани живуть на серверах Google, що Google їх автоматично обробляє, а AI-функції можуть бути увімкнені в акаунті. Повідомлення — перша з п'яти вимог закону.