Не тільки ШІ: де ще ховаються ризики для даних клієнтів

Я й сама все зберігаю в Google — пошта, файли, таблиці. І коли почала розбиратися в темі персональних даних, Google-сервіси стали другим великим сюрпризом після Telegram. Не тому, що вони «погані». А тому, що ми настільки до них звикли, що навіть не ставимо питань. Двофакторка є — значить все ок. А закон питає зовсім про інше.

Gmail: що бачить Google

Gmail для бухгалтерки — головний робочий канал. Акти, рахунки, скани документів, листування з клієнтками і податковою — все через пошту.

Google автоматично сканує кожен лист. Вхідний і вихідний. Спам, віруси, класифікація контенту — це технічна реальність, так працює сервіс. Але це означає одне: скан паспорта, який клієнтка надіслала тобі на пошту, — Google побачив ще до того, як ти його відкрила.

А в жовтні 2025 року Google увімкнув Gemini — свій ШІ — на 1,8 мільярда акаунтів. Без окремого запиту згоди. Проти Google вже є позов (Thele v. Google). До звичайного сканування додався генеративний ШІ, який аналізує зміст листів. Ти могла навіть не помітити, що це вже працює на твоїй пошті.

І ще одне, про що ніхто не думає. Лист із вкладенням не зникає після прочитання. Скан паспорта, який клієнтка надіслала два роки тому, — все ще у тебе у вхідних. Акт від клієнтки, з якою ти давно не працюєш, — лежить. За законом персональні дані не мають зберігатися довше, ніж потрібно. А в Gmail документи накопичуються роками — і ніхто їх не чистить.

Google Drive: центральне сховище

Google Drive для більшості бухгалтерок-фрілансерок — це місце, де живе все. Скани паспортів, банківські виписки, зарплатні відомості, кадрові документи, договори. Найбільша концентрація персональних даних клієнтів в одному місці.

Одна папка — і там десятки клієнтів. За три роки роботи — сотні файлів. І все це доступне з одного акаунту.

Тепер про доступ. На Drive є два режими. Обмежений — файл бачать тільки ті, кого ти додала за адресою. І «усі за посиланням» — хто має URL, той відкриє файл. Навіть без входу в Google-акаунт.

Якщо стоїть «усі за посиланням» — посилання живе скрізь. У старих чатах. У листах. У колишнього працівника клієнтки. Хто його зараз має і хто вже відкривав — ти не контролюєш. Ти навіть не знаєш.

І файли накопичуються. Клієнтка, з якою ти два роки не працюєш, — її скан паспорта все ще лежить на твоєму Drive. В тій самій папці. З тим самим доступом. Ніхто не переглядав, ніхто не чистив, ніхто не закривав доступ.

А при чому тут закон

В Україні з 2010 року діє Закон «Про захист персональних даних» (№2297-VI). Він стосується будь-кого, хто працює з чужими даними — включаючи бухгалтерку-ФОП. Поки що штрафи невеликі. Але законопроєкт №8153, який фактично є українською версією GDPR, пройшов перше читання. Штрафи для ФОП: до 300 000 грн, стеля — 20 мільйонів. Це не «може колись» — це зобов'язання перед ЄС.

Ті самі п'ять питань, які закон задає до Telegram і до ШІ-сервісів, — він задає і до Google. Детально я їх розклала в головній статті. А тут — як кожне з цих питань виглядає конкретно для Gmail і Drive.

Повідом. Клієнтка знає, що її документи зберігаються на серверах Google? Що Google їх автоматично сканує? Що Gemini вже аналізує пошту? Більшість клієнток навіть не задумуються, що їхні скани десь «живуть» — вони просто надіслали і забули. А ти — ні, ти їх зберігаєш.

Підстава. Договір з клієнткою згадує Google? У більшості — ні. Google настільки звичний, що ніхто не думає, що це взагалі питання. Але за законом — це питання. Ти обробляєш чужі дані через сторонній сервіс, і для цього потрібна підстава.

Мінімізація. Одна папка — всі клієнти. Файли за три роки. Доступ не переглядається. Gmail перетворюється на архів вкладень, Drive — на склад документів, про які ти забула. А закон каже: не тримай більше, ніж потрібно для конкретного завдання.

Захист. На безкоштовному акаунті ти не вибираєш, де зберігаються файли. Не контролюєш, хто має доступ зсередини Google. Не маєш окремого договору про захист бізнесових даних — діють загальні споживчі умови. А «усі за посиланням» — це окрема історія, де контроль доступу залежить від того, кому потрапив URL.

Видалення. Файли не видаляються автоматично. Скан паспорта від колишньої клієнтки — все ще на Drive. Листи з вкладеннями — все ще у вхідних. Google нічого не чистить за тебе. А за законом відповідаєш ти — бо це ти обрала зберігати там ці дані.

Google — не заборонений

Я не кажу «видали Google і перейди на папки з паперами». Я сама ним користуюся щодня.

Але є різниця між «користуюся і не думаю» і «користуюся і розумію, на яких умовах». Перевірити, хто має доступ до папок. Прибрати «усі за посиланням» там, де це не потрібно. Подивитися, які файли від клієнток, з якими ти вже не працюєш, все ще лежать на Drive. Це не вимагає переїзду на інший сервіс — це вимагає уваги.

Я кілька місяців копала цю тему — по кожному сервісу окремо: Telegram, Gmail, Google Drive, ШІ-сервіси, бухгалтерські програми. Прочитала Terms of Service, перевірила позиції юристів, пройшлась по судовій практиці.

І зрозуміла: знати, що «є ризики» — недостатньо. Потрібно знати, що конкретно робити. Які налаштування перевірити. Що написати в договорі з клієнткою. Як виглядає мінімальний набір документів, який закриває основні питання закону. І як це зробити за один вечір, а не за місяць.

Все це я зібрала у воркшоп — конкретно під бухгалтерку-ФОП, яка хоче працювати і з Google, і з ШІ, і розуміти, що робить це правильно. Готові шаблони документів, чекліст налаштувань по кожному сервісу, матриця ризиків — щоб не розбиратися самій з нуля.

Матеріал подано у спрощеному вигляді й не є індивідуальною юридичною консультацією. Статті закону наведені зі скороченнями — повний текст дивись у Законі України «Про захист персональних даних» №2297-VI.

Часті запитання

Чи сканує Gmail листи з документами клієнтів?

Так. Google автоматично сканує кожен лист — вхідний і вихідний — для фільтрації спаму, вірусів і класифікації контенту. З жовтня 2025 року на 1,8 мільярда акаунтів підключено Gemini — генеративний ШІ, який аналізує зміст листів. Скан паспорта, який клієнтка надіслала на пошту, Google побачив ще до того, як ти його відкрила.

Чи безпечно зберігати документи клієнтів на Google Drive?

Google Drive не заборонений, але створює ризики. Головні: режим «усі за посиланням» відкриває файл будь-кому з URL, файли накопичуються роками без чистки, на безкоштовному акаунті немає окремого договору про захист бізнесових даних. За законом відповідаєш ти як ФОП — бо ти обрала цей сервіс для зберігання даних клієнтів.

Які штрафи за порушення закону про персональні дані в Google-сервісах?

Зараз штрафи за чинним законом 2010 року — від 1 700 до 5 100 грн. Законопроєкт №8153 (українська версія GDPR) пропонує штрафи для ФОП: від 10 000 за легке порушення до 300 000 за серйозне, стеля — 20 мільйонів гривень.

Чи потрібно повідомляти клієнтів, що їхні документи зберігаються в Google?

Так. За законом клієнтка має знати, де зберігаються її документи і через які сервіси вони проходять. Більшість клієнток навіть не задумуються, що їхні скани живуть на серверах Google, що Google їх сканує, а Gemini аналізує пошту. Повідомлення — перша з п'яти вимог закону.