Персональні дані клієнтів: що має знати кожна фрілансерка, яка працює з чужими документами

«Ти завантажила клієнтські дані в ChatGPT?! Як ти могла!»

Це фраза, яку я чую постійно — в коментарях, в чатах, в приватних повідомленнях. Люди реально лякаються ШІ (ChatGPT, Claude, Gemini). Одна підписниця написала мені в Telegram: «А клієнти знають, що ви обробляєте їхні дані? А ви знаєте, куди ці дані потім потрапляють?»

І я розумію цей страх. Він має підставу.

Але ось що мене не відпускає. Та сама людина, яка кричить про небезпеку ШІ, спокійно пересилає через Telegram скан паспорта клієнтки. Скидає банківську виписку в чат. Відправляє договір електронною поштою, яку завела десять років тому — безкоштовну, без жодного налаштування безпеки.

І в цей момент чомусь нікого не турбує.

Кілька місяців тому, коли ШІ-сервіси стали настільки потужними, що захотілося використовувати їх для кожного пункту, я почала копати тему безпеки даних. І що далі копала, то більше бачила одну і ту ж картину. Навколо ШІ створили справжню маркетингову паніку. А до звичних сервісів — Telegram, Gmail, Google Drive — ставлення таке, ніби там за замовчуванням вже все безпечно. Ніби раз ми до них звикли — значить, все добре.

Це не так.

Парадокс, який стосується всіх

Є таке дослідження — його називають «парадокс приватності». Суть проста: близько 70% людей по всьому світу кажуть, що дуже переживають за свої персональні дані. Що ШІ небезпечний. Що держави мають щось з цим робити.

А потім ці самі люди приходять в кафе, бачать табличку «безкоштовний Wi-Fi» і за дві секунди вводять ім'я, прізвище, телефон, електронну адресу. Не думаючи. Не читаючи умови. Просто щоб підключитися.

Це не тільки про кафе і Wi-Fi. Це про все наше цифрове середовище. Ми звикли до Telegram — і вважаємо його безпечним. Звикли до Gmail — і не ставимо питань. Звикли до Google Drive — і зберігаємо там робочі документи клієнтів, іноді з доступом «усі за посиланням».

Нового кричимо: «Катастрофа!» А до старого ставимося так: «Ну, там вже все добре.» Що не є правдою.

Масштаб: це не тільки твоя проблема

Можна подумати: ну, це ж я маленький ФОП без найманих, кого цікавлять мої дані. Але ця тема стосується будь-кого, хто працює з чужими документами. Навіть у великих корпораціях, де є окремий IT-відділ, внутрішня політика безпеки і правила роботи з ШІ — люди ці правила обходять.

Як це виглядає? Офіційно в компанії є корпоративний акаунт для ШІ. Там усе за правилами: дані знеособлюються, проходять через затверджені системи. Але щоб ним скористатися, треба пройти три кола пекла — заповнити запит, дочекатися доступу, знеособити документ вручну.

І що робить людина? Відкриває телефон, заходить у свій приватний ChatGPT і за хвилину вирішує питання. Без жодних правил.

52% навіть не зізнаються, що використовують ШІ для робочих завдань — бояться, що виглядатимуть замінними, або просто знають, що порушують політику.

Публічно про це не говорять. Але фактично вже давно несуть у ШІ робочі документи.

І є окрема статистика: скільки з того, що люди завантажують у ШІ-сервіси, є чутливою інформацією — паролі, фінансові документи, клієнтські дані, внутрішні звіти. У 2023 — 10,7%. У 2024 — 27%. У 2026 — вже під 40% (Cyberhaven AI Adoption & Risk Report).

Це корпоративний світ. Там хоч якісь правила є. У фрілансерки нічого цього немає. Тільки ти і десяток цифрових сервісів, через які щодня проходять прізвища, номери телефонів, скани документів, банківські виписки твоїх клієнтів. Бухгалтерка, маркетологиня, HR-ниця, дизайнерка — будь-хто, хто працює з чужими документами, автоматично працює з персональними даними.

А що каже закон?

Всі кричать, що ШІ небезпечний, але коли я запитала: а що конкретно каже закон? Що дозволено? Що заборонено? Які штрафи? — ніхто не зміг відповісти. Тому я взяла і прочитала. І Закон України «Про захист персональних даних» №2297-VI від 2010 року, і новий законопроєкт №8153.

І ось що мене здивувало. Перше: закон не про ШІ. Закон про роботу з персональними даними — в будь-якому сервісі. ШІ — це просто найновіша точка, за яку кричать. А вимоги однакові для Telegram, Gmail, Google Drive і ChatGPT.

Друге: якщо відкинути всю термінологію — «оператор», «володілець», «контролер», «процесор» — під ними лежить п'ять конкретних питань.

1. Повідом

Клієнтка має знати, що її дані обробляються. Хто це робить. Навіщо. Що саме обробляється (ст. 12 Закону №2297-VI). На практиці це означає: чи є у твоєму договорі або оферті хоча б один абзац про те, що ти працюєш з персональними даними? Чи знає клієнтка, через які сервіси проходять її документи?

У більшості фрілансерок — ні. Немає жодного документа. Ні в договорі, ні окремо.

2. Май підставу

Обробка даних має на чомусь базуватися — договір, згода або вимога закону (ст. 11). Бухгалтерський договір — це підстава. Ти обробляєш дані для надання бухгалтерських послуг. Але якщо ти ці самі дані завантажуєш у ChatGPT, щоб швидше проаналізувати — це вже інша обробка. І для неї має бути своя підстава.

До речі, в новому законопроєкті окремо прописано: згода не може бути автоматичною. Тобто не можна написати дрібним шрифтом «якщо ви відкрили цей документ, ви погодилися». Людина має зробити конкретну дію — поставити галочку, підписати, натиснути.

3. Не бери зайвого

В обробку має потрапляти мінімум інформації, необхідної для конкретної задачі (ст. 6). Треба проаналізувати доходи ФОП — не кидай усю виписку з усіма контрагентами і призначеннями. Витягни цифри, які стосуються задачі.

Юристи називають це мінімізацією. Звучить складно. По суті: не давай більше, ніж потрібно для роботи.

4. Захисти

Ти обираєш сервіс, через який проходять дані клієнтів — ти відповідаєш за те, що ці дані захищені (ст. 24). Під «захист» потрапляє все: наскільки сильні паролі, чи стоїть двофакторна авторизація, хто має доступ до робочих папок.

Якщо перевести на папір: ми ж не тримаємо папки з паспортами клієнтів в коридорі, де дощ капає. До цифрових сервісів — аналогічні вимоги.

5. Видали, коли не потрібні

Закон вимагає не тримати дані довше, ніж потрібно (ст. 15). Скан паспорта від клієнтки, з якою ти вже два роки не працюєш — навіщо він лежить у Telegram? В Gmail? На Drive?

Ти забула. Але сервіс не забув. Він зберігає далі.

Це п'ять базових вимог чинного закону 2010 року. Вони вже діють. Новий законопроєкт №8153 — фактично українська версія європейського GDPR — прописує все те саме, але набагато детальніше, набагато вимогливіше і з принципово іншими штрафами. Закон 2010 року — компактний документ із загальними принципами. Новий законопроєкт — понад 50 сторінок конкретних процедур для кожного типу обробки.

Транскордонна передача — те, про що ніхто не думає

І є ще один аспект, який стосується майже всіх цифрових сервісів, але про який мало хто замислюється.

Коли ти пересилаєш документ через Telegram або зберігаєш його на Google Drive — ці дані фізично покидають Україну. Вони опиняються на серверах в інших країнах. За законом це називається транскордонна передача персональних даних (ст. 29 Закону №2297-VI). І для неї є окремі правила.

Є перелік країн, затверджений Кабміном (Постанова №910), які забезпечують належний захист даних. США в цьому переліку є — тому ChatGPT, Claude і Google формально не є проблемою саме в частині транскордонної передачі. А ось Telegram (юрисдикція — Британські Віргінські Острови, Дубай) і Viber (в політиці прямо вказана Росія) — вже складніша ситуація.

Це не означає, що Telegram треба негайно видалити. Але це означає, що коли ти пересилаєш через нього скан паспорта — ти фактично здійснюєш транскордонну передачу персональних даних у юрисдикцію, яка не гарантує належного захисту. І за це вже є окрема відповідальність.

Які сервіси — які питання

Кожен сервіс, через який проходять дані клієнтів, створює свої ризики. Я розібрала основні — по кожному буде окрема стаття з деталями.

Telegram — немає наскрізного шифрування у звичайних чатах, немає автоматичного видалення файлів, немає процесорних гарантій. Після арешту Дурова різко зросла кількість видач даних за запитами держав. Детальніше — в окремій статті.

Gmail — Google автоматично обробляє кожен лист. А Gemini (ШІ від Google) підключився до 1,8 мільярда акаунтів без окремого запиту згоди. Детальніше — в окремій статті.

Google Drive — найбільша концентрація клієнтських документів. Головний ризик — доступ «усі за посиланням» і відсутність чистки старих файлів. Детальніше — в окремій статті.

Viber — у політиці конфіденційності прямо вказано, що дані можуть оброблятися глобально, включаючи Росію.

ШІ-сервіси (ChatGPT, Claude, Gemini) — головна відмінність від Gmail: ШІ не просто сканує документ, а читає його повністю, розпізнає осіб, суми, зв'язки і створює нову, похідну інформацію. Це інший рівень обробки. Детальніше — в окремій статті.

Бухгалтерські програми. Те, що на сервісі написано «бухгалтерська програма», не означає автоматично, що він безпечний. При виборі програми ти маєш пересвідчитися: де фізично зберігаються дані, чи використовується ШІ для обробки, чи є договір про обробку даних. І ще одне, що мене дуже дивує: тобі кажуть «не завантажуй дані в ШІ» — а майже всі сучасні бухгалтерські сервіси вже працюють завдяки ШІ. Тобто щоб скористатися обробкою через ШІ, я маю платити за бухгалтерську програму — а сама не можу?

Штрафи — це вже реальність

Може здаватися, що все це — теорія. Ось тобі практика.

Масштаб: у 2024 році Уповноважений з прав людини провів 139 перевірок, видав 85 приписів. У 2025 — 98 перевірок, 75 приписів, 716 рекомендацій. Поки це невелике число. Але тренд зростає. І за оприлюднення паспортних даних уповноважений вже передає матеріали за статтею 182 Кримінального кодексу — це не адмінштраф, це кримінал.

Сказати, що взагалі не дивляться — неправда. Дивляться. І з кожним роком уважніше.

А тепер про нове. Законопроєкт №8153 — фактично українська версія GDPR — пройшов перше читання в листопаді 2024 року. За ним штрафи для фізичних осіб-підприємців починаються від 10 000 грн за легке порушення (щось таке «ай» — і вже десять тисяч) і сягають 300 000 грн за серйозне. Стеля — до 20 мільйонів гривень.

Базові принципи цього закону не поміняють — це калька з Євросоюзу, вимога розділу 24 євроінтеграції. Можливо, підправлять окремі суми чи формулювання, але структура лишиться.

І ця тема стосується не тільки бухгалтерів. Це стосується будь-якого ФОП, який працює з чужими даними. Дизайнерка, яка зберігає контракти клієнтів на Drive. HR-ниця, яка пересилає резюме через Telegram. Маркетологиня, яка веде бази контактів у Google-таблицях. Закон однаковий для всіх.

Детальніше про судову практику і штрафи — в окремій статті.

Що зараз відкрито — і що з цим робити

Якщо чесно подивитися на типову фрілансерку, яка працює з клієнтськими даними — ось що зазвичай є:

Немає жодного документа, який описує, як ти працюєш з даними клієнтів. Ні в договорі, ні в оферті, ні окремо. Клієнти не знають, через які сервіси проходять їхні документи — і ніхто про це не повідомив.

Ти сама не знаєш, що кожен із цих сервісів робить з даними. Яка юрисдикція, куди фізично потрапляють документи, які умови обробки, що відбувається після завершення підписки.

Немає процедури чистки. Документи накопичуються роками — і ніхто їх не видаляє. Ні з чатів, ні з пошти, ні з хмарних сховищ.

Базові вимоги є вже в чинному Законі №2297-VI. Вони діють з 2010 року. Але законопроєкт №8153 прописує все це набагато детальніше і з принципово іншими штрафами. Коли його приймуть — буде мало часу, щоб навести лад у всій архітектурі цифрових сервісів. А кожного дня ми користуємося ще більшою їх кількістю.

Хто починає розбиратися зараз — потім просто докрутить під нові вимоги. Хто ні — буде починати з нуля.

Часті запитання

Які 5 вимог закону про персональні дані стосуються фрілансерки?

Закон №2297-VI ставить п'ять базових вимог: повідом клієнта про обробку (ст. 12), май підставу для обробки (ст. 11), не бери зайвих даних — мінімізація (ст. 6), захисти дані від доступу (ст. 24), видали дані, коли вони більше не потрібні (ст. 15). Ці вимоги стосуються будь-якого сервісу — Telegram, Gmail, Google Drive, ChatGPT.

Які штрафи за порушення захисту персональних даних для ФОП?

За чинним законом — відносно невеликі суми. Законопроєкт №8153 (пройшов перше читання) передбачає штрафи для ФОП від 10 000 грн за легке порушення до 300 000 грн за серйозне, стеля — до 20 мільйонів гривень.

Що таке транскордонна передача персональних даних?

Коли дані фізично покидають Україну — наприклад, через Telegram, Gmail або ChatGPT — це транскордонна передача (ст. 29). США є в переліку Кабміну (Постанова №910), тому ChatGPT, Claude, Google формально не є проблемою. А ось Telegram (BVI/Дубай) і Viber (Росія) — вже складніша ситуація.

Чи безпечніший Telegram за ChatGPT для передачі даних клієнтів?

Закон не розрізняє. Вимоги до захисту персональних даних однакові для ChatGPT, Telegram, Viber і Gmail. При цьому звичайні чати Telegram не мають наскрізного шифрування, а юрисдикція — Британські Віргінські Острови і Дубай.

Матеріал подано у спрощеному вигляді й не є індивідуальною юридичною консультацією. Статті закону наведені зі скороченнями — повний текст дивись у Законі України «Про захист персональних даних» №2297-VI.