Вопрос о том, какие правовые ограничения накладываются на передачу персональных данных третьим лицам без согласия их владельца, стал особенно актуален после внесения поправок в закон «О защите персональных данных» (далее – Закон), вступивших в силу 1 сентября 2025 года. В статье ниже мы подробно разберём, что именно запрещает украинское законодательство, какие исключения предусмотрены, а также какие санкции могут грозить нарушителям.

Содержание

1. Законодательная база
2. Что считается передачей персональных данных?
3. Согласие субъекта: основные требования
4. Исключения, когда согласие не требуется
5. Ответственность за нарушение
6. Практические рекомендации для операторов

Законодательная база

Основным нормативным актом, регулирующим обработку и передачу персональных данных в Украине, является Закон Украины «О защите персональных данных» (закон № 2297‑VIII). Ключевые положения, связанные с передачей данных третьим лицам, находятся в следующих статьях:

• Статья 11 – «Общие принципы обработки персональных данных»;
• Статья 12 – «Согласие субъекта персональных данных»;
• Статья 13 – «Передача персональных данных третьим лицам»;
• Статья 14 – «Трансграничная передача персональных данных».

С 1 сентября 2025 года в закон внесены поправки, уточняющие порядок получения согласия и расширяющие перечень обязательных элементов согласия (см. Согласие на обработку персональных данных с 1 сентября 2025 года должно быть получено операторами по новым правилам).

Что считается передачей персональных данных?

Передача персональных данных третьим лицам охватывает любые формы их перемещения, включая:

• передачу в электронном виде (по электронной почте, через API, облачные хранилища);
• передачу в бумажном виде (копии документов, архивы);
• субподрядную обработку (когда оператор передаёт данные субподрядчику для выполнения части работ);
• обмен данными в рамках совместных проектов, консорциумов и т.п.

Важно: даже если третье лицо получает данные «для внутреннего использования», без явного согласия субъекта такая передача считается нарушением.

Согласие субъекта: основные требования

Согласно статье 12 Закона, согласие должно быть:

1. Осознанным – субъект должен понимать, какие именно данные передаются, кому и с какой целью;
2. Добровольным – отсутствие принуждения и скрытых условий;
3. Конкретным – согласие должно быть дано на конкретный перечень получателей и конкретные цели;
4. Письменным (в т.ч. в электронном виде) – в новых правилах 2025 года допускается электронная подпись или подтверждение через специальный сервис согласия.

Согласие должно включать следующие обязательные элементы (поправки 2025 года):

• полное наименование оператора и третьих лиц‑получателей;
• перечень персональных данных, подлежащих передаче;
• конкретные цели передачи;
• информацию о сроках хранения данных у получателя;
• право субъекта отозвать согласие в любое время и порядок отзыва.

Исключения, когда согласие не требуется

Закон предусматривает ряд ситуаций, когда передача может осуществляться без предварительного согласия субъекта:

Осуществление правовых обязанностей

Если передача данных необходима для выполнения требований законодательства (например, передача в налоговые органы, суд, правоохранительные органы), согласие не требуется.

Защита жизни и здоровья

При угрозе жизни или здоровью субъекта (или других лиц) данные могут быть переданы медицинским учреждениям, спасательным службам и др.

Выполнение договора

Если передача данных необходима для исполнения договора, в котором субъект является стороной (например, передача банковских данных в страховую компанию), согласие может быть заменено пунктом договора.

Обезличивание

Если данные передаются в обезличенной (анонимной) форме, они перестают считаться персональными, и согласие не требуется.

Другие законные интересы оператора

В редких случаях, когда у оператора есть законный интерес, а интересы субъекта не преобладают, передача может быть осуществлена без согласия, но только после проведения баланса интересов и документирования решения.

Ответственность за нарушение

Нарушения, связанные с передачей персональных данных без согласия, регулируются статьёй 46 Закона «О защите персональных данных» и уголовным кодексом Украины. Основные виды ответственности:

• Административные штрафы – от 17 000 до 170 000 гривен для юридических лиц; от 3 400 до 34 000 гривен для физических лиц‑предпринимателей.
• Уголовная ответственность – в случае крупномасштабного или повторного нарушения может наступать наказание в виде лишения свободы до 3 лет.
• Гражданско‑правовая ответственность – субъект имеет право требовать возмещения морального вреда и ущерба, причинённого неправомерной передачей.

С 2025 года усилены требования к документированию согласий, а также к уведомлению уполномоченного органа (Украинской комиссии по защите персональных данных) о случаях массовой передачи данных.

Практические рекомендации для операторов

Чтобы избежать штрафов и судебных разбирательств, рекомендуется внедрить следующие практики:

1. Разработать внутреннюю политику обработки персональных данных, включающую процедуры получения, хранения и отзыва согласий.
2. Внедрить систему электронного согласия (e‑Consent), соответствующую требованиям 2025 года (подтверждение через СМС, email‑ссылка, цифровая подпись).
3. Проводить регулярный аудит передачи данных третьим лицам: проверять контракты, наличие согласий, сроки хранения.
4. Обеспечить прозрачность – предоставлять субъектам полную информацию о получателях данных в личном кабинете или через публичный реестр.
5. Обучать персонал правилам работы с персональными данными, особенностям обработки запросов об отзыве согласия.
6. Документировать все исключения (законные обязательства, защита жизни и т.д.) и хранить соответствующие юридические акты.
7. Подготовить план реагирования на инциденты: уведомление субъекта, регулятора и, при необходимости, уполномоченных органов.

Передача третьим лицам персональных данных без согласия субъекта в Украине строго регулируется законом. С 1 сентября 2025 года требования к получению согласия стали более детальными, а штрафы – более ощутимыми. Операторам необходимо:

• Тщательно фиксировать согласие в соответствии с новыми правилами;
• Понимать и документировать все исключения, когда согласие не требуется;
• Обеспечить прозрачность и контроль над процессом передачи данных.

Только комплексный подход к соблюдению требований законодательства поможет избежать правовых рисков и сохранить доверие клиентов.

Дата публикации: