GDPR-чекліст для сайту компанії: 12 пунктів до і після запуску

Почніть з інвентаризації: куди йдуть дані?

Відкрийте сайт у приватному вікні браузера, увімкніть інструменти розробника (F12) і перезавантажте головну сторінку з відкритою вкладкою «Network». Кожен запит до стороннього домену передає цьому провайдеру щонайменше IP-адресу відвідувача. Запишіть усі домени, перш ніж щось натискати, і повторіть те саме на сторінці контактів, у блозі та магазині.

Типові знахідки:

• ›Шрифти з Google Fonts чи Adobe Fonts, що завантажуються «наживо».
• ›Вбудовані карти (Google Maps) і відео (YouTube, Vimeo).
• ›Аналітика й реклама: Google Analytics, Google Tag Manager, Meta Pixel, LinkedIn Insight Tag.
• ›Чат-віджети, сервіси онлайн-запису, віджети відгуків і капчі.
• ›CDN для бібліотек на кшталт jQuery або наборів іконок.

Обов'язкові тексти: політика конфіденційності та Impressum

Згідно зі ст. 13 GDPR політика конфіденційності має описувати саме ту обробку, яка реально відбувається на сайті: контролера, цілі, правові підстави, отримувачів, передачу до третіх країн, строки зберігання та права суб'єктів даних. Генератор — добрий старт, але він точний настільки, наскільки точна ваша інвентаризація. Якщо там є сервіс, яким ви не користуєтеся, або бракує того, яким користуєтеся, текст неправильний.

Для компаній, що працюють у Німеччині, Impressum із 14 травня 2024 року регулюється § 5 Закону про цифрові послуги (DDG), а не Законом про телемедіа. Посилання на «§ 5 TMG» варто оновити. Обидва тексти мають бути легко помітні й доступні з кожної сторінки, зазвичай через футер, і не перекриватися cookie-банером.

Згода лише там, де вона потрібна

Збереження та зчитування інформації на пристрої відвідувача (cookie, local storage, пікселі) у Німеччині регулює § 25 TDDDG, що впроваджує правила ePrivacy ЄС. Без згоди це дозволено лише тоді, коли це безумовно необхідно для послуги, яку користувач сам запросив: кошик, вхід в акаунт. Аналітика, реклама та вбудований сторонній контент, що ставить cookie, потребують попередньої згоди.

Найкраща згода — та, яка не потрібна: розмістіть шрифти на власному сервері, завантажуйте карти й відео лише після кліку, використовуйте аналітику без cookie. Якщо банер усе ж потрібен, вимоги до нього описано в нашій статті про cookie-банер.

Сторонні сервіси, обробники даних і США

З кожним провайдером, що обробляє персональні дані від вашого імені (хостинг, сервіс форм, розсилки, CRM, аналітика), потрібен договір про обробку даних за ст. 28 GDPR. Великі провайдери зазвичай дають прийняти його в налаштуваннях акаунта; збережіть копію у своїх документах.

Для американських провайдерів із липня 2023 року діє рішення про адекватність EU-US Data Privacy Framework. Загальний суд ЄС відхилив позов проти нього 3 вересня 2025 року (T-553/23); апеляція розглядається в Суді ЄС (C-703/25 P). Перевірте в офіційному списку DPF, чи сертифікований ваш провайдер, і обирайте європейські сервіси там, де є рівноцінна заміна: тоді можливе майбутнє рішення суду зачепить вас менше.

Відомий приклад того, чого коштують дрібні вбудовування: у 2022 році земельний суд Мюнхена присудив відвідувачу €100 компенсації, бо сайт динамічно підвантажував Google Fonts і так передавав його IP-адресу Google без правової підстави (справа 3 O 17493/20). Шрифти на власному сервері повністю знімають цю проблему.

Форми, пошта та строки видалення

Форми зворотного зв'язку — місце, де сайт збирає найбільше персональних даних. Запитуйте лише те, що потрібно для обробки звернення (мінімізація даних, ст. 5 GDPR), передавайте форми тільки через HTTPS і визначте, коли видаляються звернення, що не перетворилися на замовлення. Для розсилок стандартом став double opt-in, бо за ст. 7 GDPR ви маєте довести наявність згоди.

Чекліст із 12 пунктів

Проходьте його знову після кожного великого оновлення сайту, а не лише раз під час запуску:

• ›1. Є актуальний список усіх сторонніх доменів із вкладки Network.
• ›2. Політика конфіденційності описує саме ці сервіси — не більше й не менше.
• ›3. Impressum повний і доступний із кожної сторінки.
• ›4. До згоди не завантажується жодна аналітика, реклама чи сторонній контент.
• ›5. Відмовитися в банері так само легко, як погодитися; згоду можна відкликати будь-коли.
• ›6. Шрифти та іконки завантажуються з власного сервера.
• ›7. Карти й відео вантажаться лише після кліку (рішення у два кліки).
• ›8. Є договори обробки даних із хостингом, сервісами форм, розсилок і CRM.
• ›9. Сервіси зі США сертифіковані в Data Privacy Framework або покриті стандартними договірними положеннями.
• ›10. Форми запитують лише необхідні дані й працюють через HTTPS.
• ›11. Строки видалення звернень і даних розсилки визначені та реально виконуються.
• ›12. Реєстр операцій обробки (ст. 30 GDPR) містить обробку на сайті.