CCPA, CPRA, GDPR и закон Украины “О защите персональных данных”: что нужно знать владельцу сайта

Обновлено по состоянию на июль 2026 года.

Когда бизнес запускает сайт, большинство внимания обычно уходит на дизайн, структуру, скорость, SEO, рекламу и заявки. Но современный сайт почти всегда работает с персональными данными: принимает обращение через формы, подключает аналитику, использует cookies, передает заявки в CRM, запускает ремаркетинг, собирает email-адреса для рассылок или принимает онлайн-оплаты.

Именно поэтому вопрос защиты персональных данных уже давно не касается только юристов. Оно напрямую касается владельцев сайтов, маркетологов, разработчиков, интернет-магазинов, сервисных компаний, клиник, образовательных платформ и всех бизнесов, работающих с клиентами онлайн.

Если вы создаете новый сайт или обновляете уже имеющийся, то юридическую часть лучше учитывать еще на этапе структуры, дизайна и технической реализации. В theDC.studio это можно совместить с разработкой сайта на WordPress под ключ или отдельно заказать юридическое сопровождение сайта, если сайт уже работает, но документы, cookies, формы и аналитика нуждаются в проверке.

В этой статье рассмотрим три важных направления регулирования:

• CCPA и CPRA – правила защиты персональных данных в Калифорнии;
• GDPR – европейский регламент о защите персональных данных;
• Закон Украины “О защите персональных данных” и будущих изменениях украинского законодательства.

Также объясним, что это означает не в теории, а для обычного сайта: политики конфиденциальности, cookie-баннера, форм заявки, аналитики, рекламных пикселей и работы с данными пользователей.

Этот материал носит информационный характер и не является юридической консультацией. Для конкретного бизнеса требования следует проверять отдельно, с учетом страны, рынка, типа сайта, аудитории, способа сбора данных и подключенных сервисов.

Почему владельцу сайта стоит знать о CCPA, CPRA, GDPR и украинском законе

Если сайт работает только для украинской аудитории, кажется, достаточно ориентироваться только на украинское законодательство. Но на практике все зачастую сложнее.

GDPR может быть важным для украинского бизнеса, если сайт ориентируется на пользователей из ЕС, предлагает им товары или услуги, принимает заявки из европейских стран или отслеживает поведение пользователей с ЕС с помощью аналитики и маркетинговых инструментов.

CCPA и CPRA могут быть актуальны, если бизнес работает с рынком США, имеет клиентов из Калифорнии или масштабируется на американскую аудиторию. Калифорния стала одним из первых штатов США, где комплексно урегулировали права потребителей по персональной информации. После этого подобные законы стали появляться и в других штатах.

Украинское законодательство также постепенно двигается в направлении гармонизации с европейскими правилами. Подробнее об этом мы отдельно писали в статье “Новый закон о защите персональных данных в Украине: что должен знать бизнес, у которого есть сайт”. Поэтому даже если сегодня сайт работает только в Украине, владельцу бизнеса следует закладывать правильную логику обработки персональных данных уже сейчас.

Что такое CCPA

CCPA – это California Consumer Privacy Act, закон штата Калифорния о защите конфиденциальности потребителей. Он предоставил жителям Калифорнии больше контроля за персональной информацией, которую собирают, используют, передают или продают бизнесы.

CCPA не является полным аналогом GDPR. Его логика больше сосредоточена на правах потребителя, прозрачности сбора данных, возможности узнать какие данные собраны, удалить их или отказаться от продажи или передачи персональной информации для определенных целей.

Для сайта это означает, что пользователь должен понимать:

• какие персональные данные собираются;
• для чего они собираются;
• кому они могут передаваться;
• как можно запросить свои данные;
• как отказаться от продажи или “sharing” персональной информации, если такая передача производится.

Для бизнеса, выходящего на международный рынок, эти вопросы следует учитывать еще до запуска рекламы, CRM, аналитики и форм сбора заявок. Именно поэтому при разработке WordPress сайта важно не просто сделать страницы красивыми, а сразу продумать, как сайт будет работать с персональными данными.

Что изменило CPRA

CPRA – это California Privacy Rights Act. Она не создала полностью отдельный закон, а изменила и расширила CCPA. Поэтому сейчас часто говорят о CCPA as amended by CPRA, то есть CCPA с учетом изменений, внесенных CPRA.

С 1 января 2023 г. для жителей Калифорнии появились дополнительные права, в частности:

• право требовать исправления неточной персональной информации;
• право ограничить использование и раскрытие чувствительной персональной информации;
• усиленный контроль за продажей и передачей персональной информации;
• большее внимание к прозрачности privacy-практик бизнеса;
• отдельные требования перед тем, как бизнес должен отвечать на запросы пользователей.

Для владельца сайта это важно потому, что речь идет не только о продаже данных в прямом смысле. Во многих случаях под регулирование могут попадать рекламные и аналитические сценарии: ремаркетинг, реклама поведения, передача данных рекламным платформам, использование посторонних скриптов и трекеров.

Какие права имеет пользователь по CCPA/CPRA

В упрощенном виде пользователь из Калифорнии имеет следующие права:

• право знать, какие персональные данные о нем собирает бизнес;
• право узнать, из каких источников эти данные получены;
• право знать, с какой целью данные используются;
• право узнать, каким категориям третьих лиц данные раскрываются;
• право требовать удаления персональных данных, за определенными исключениями;
• право отказаться от продажи или передачи персональной информации;
• право исправить неточные персональные данные;
• право ограничить использование чувствительной персональной информации;
• право не подвергаться дискриминации из-за использования своих privacy-прав.

Для сайта это означает, что privacy-документы должны быть не просто формальными. Они должны разъяснять реальную работу сайта: формы, cookies, аналитику, рекламу, CRM, email-маркетинг, платежные системы и другие интеграции.

Если сайт уже работает, но вы не уверены, какие именно данные он собирает и куда они передаются, следует начать с аудита. Это может быть частью юридического сопровождения сайта или более широкой технической поддержки WordPress.

К каким бизнесам может применяться CCPA

CCPA применяется не ко всем сайтам в мире. В целом он касается коммерческих бизнесов, которые ведут деятельность в Калифорнии и отвечают определенным критериям, например, имеют значительный годовой доход, обрабатывают персональную информацию большого количества жителей Калифорнии или получают значительную часть дохода от продаж персональной информации.

Для малого украинского бизнеса без американской аудитории CCPA может быть не практической обязанностью. Но если сайт ориентируется на США, принимает заявки от американских клиентов, запускает рекламу на американский рынок или работает с пользователями из Калифорнии, этот вопрос уже следует проверять отдельно.

Особенно это актуально для:

• SaaS-сервисов;
• онлайн-платформ;
• интернет-магазинов;
• образовательных продуктов;
• маркетинговых сервисов;
• медицинских или wellness-проектов;
• B2B-компаний, работающих с американскими клиентами;
• сайтов, активно использующих рекламные пиксели и аналитику.

Для таких проектов важна не только юридическая часть, но и техническая реализация: как работают формы, где хранятся заявки, какие сервисы получают данные, как настроенный cookie-баннер и нет ли лишних скриптов. Это уже зона, где юридическая логика пересекается с техническим обслуживанием WordPress.

Что такое GDPR

GDPR – это General Data Protection Regulation, Общий регламент защиты данных Европейского Союза. Он применяется с 25 мая 2018 г. и устанавливает единые правила обработки персональных данных в ЕС.

GDPR считается одним из самых влиятельных privacy-регулировок в мире. Его важность состоит в том, что он может касаться не только компаний, зарегистрированных в ЕС. Если бизнес вне ЕС предлагает товары или услуги людям в Европейском Союзе или отслеживает их поведение, GDPR также может быть актуальным.

Для сайта это означает, что украинская компания может попасть в зону действия GDPR, если она:

• имеет европейскую аудиторию;
• продает товары или услуги клиентам из ЕС;
• имеет англоязычную, немецкоязычную, польскоязычную или другую локализованную версию для рынка ЕС;
• принимает заявки от пользователей из ЕС;
• использует аналитику, рекламу или треккинг для пользователей из ЕС;
• работает с европейскими партнёрами или клиентскими базами.

Если сайт создается для нескольких рынков, GDPR логику лучше учитывать еще на этапе структуры, языковых версий, форм, cookie-баннера и страниц с юридической информацией. Это особенно важно для бизнесов, заказывающих разработку сайта на WordPress под ключ и планирующих продвижение не только в Украине.

Персональные данные на сайте: что именно может собираться

Многие владельцы сайтов думают, что персональные данные – это только паспорт, идентификационный код или адрес проживания. На самом деле для сайта персональными данными могут быть и более простые вещи.

Например:

• имя пользователя;
• номер телефона;
• email;
• город или страна;
• IP-адрес;
• данные по форме заявки;
• история заказов;
• данные личного кабинета;
• информация о записи на консультацию;
• данные онлайн-оплаты;
• cookie-ідентифікатори;
• рекламні ідентифікатори;
• поведенческие данные в аналитике;
• сообщения, которые пользователь отправляет через форму или чат.

Если сайт имеет форму “Оставить заявку”, “Получить консультацию”, “Заказать звонок”, “Записаться на прием”, “Скачать файл”, “Подписаться на рассылку” или “Купить онлайн”, он уже работает с персональными данными.

Это также важно для SEO. Поисковая оптимизация не сводится только к ключевым словам: структура страниц, техническое состояние, скорость, корректные формы, индексация и доверие к сайту влияют на общее качество проекта. Поэтому SEO-оптимизация WordPress-сайта должна учитывать не только мета-теги, но и техническую и контентную логику сайта.

Основные принципы GDPR

GDPR построен не только на формальных документах. Его суть – в принципах обработки персональных данных. Для владельца сайта наиболее важны следующие принципы:

Законность, прозрачность и справедливость

Пользователь должен понимать, кто собирает его данные, какие именно данные собираются, с какой целью и что с ними будет дальше. Это объясняется в политике конфиденциальности, cookie policy, текстах на местах форм и механизмах согласия.

Ограничение цели

Данные нужно собирать для конкретной цели. Например, если человек оставил телефон для консультации, не следует автоматически использовать этот номер для других целей, которые не были ясно объяснены.

Минимизация данных

Сайт не должен собирать больше данных, чем необходимо для конкретного действия. Если для заявки достаточно имени и телефона, не всегда необходимо просить дату рождения, адрес, компанию, должность или другие детали.

Точность данных

Данные должны быть актуальны и корректны. Если пользователь просит исправить информацию, то бизнес должен иметь понятный процесс для таких обращений.

Ограничение срока хранения

Персональные данные не следует хранить дольше, чем нужно для целей, с которыми они были собраны. Это особенно важно для заявок, старых клиентских баз, CRM, email-рассылок и резервных копий.

Безопасность

Сайт должен быть технически защищен: SSL-сертификат, обновление WordPress, защита форм, контроль доступа, резервное копирование, ограничение ролей пользователей, защита админпанели и осторожная работа с плагинами.

Если вы хотите отдельно проверить именно техническую сторону, полезна статья “Аудит безопасности WordPress сайта: 10 критических проверок” или услуга технического обслуживания и поддержки WordPress.

Согласие – не единственное основание для обработки по GDPR

Одна из частых ошибок – считать, что GDPR всегда требует именно согласие. На самом деле, согласие является лишь одним из правовых оснований для обработки персональных данных.

По GDPR обработка может быть законной, если есть хотя бы одно правовое основание:

• пользователь дал согласие;
• обработка необходима для выполнения договора;
• обработка необходима для выполнения юридической обязанности;
• обработка необходима для защиты жизненно важных интересов;
• обработка необходима для выполнения задачи в общественных интересах;
• обработка необходима для legitimate interests, то есть законных интересов контролера или третьей стороны, если они не преобладают права и свободы человека.

Для сайта это означает, что не каждый чекбокс должен быть согласен на все. Например, обработка заявки может потребоваться для ответа на запрос пользователя или подготовки к заключению договора. А вот рекламная рассылка, рекламные cookies или передача данных в рекламные системы могут потребовать отдельного подхода.

Поэтому важно не просто поставить шаблонный cookie-баннер, а понять, какие данные реально собирает сайт и на каком основании они обрабатываются. Практический список действий можно посмотреть в нашем материале “Чеклист для соответствия сайта требованиям GDPR”.

Основные права пользователя по GDPR

GDPR предоставляет пользователям широкий набор прав на персональные данные. Среди них:

• право получить информацию об обработке своих данных;
• право доступа к персональным данным;
• право исправить неточные данные;
• право требовать удаления данных;
• право ограничить обработку;
• Право на переносимость данных.
• право возражать против обработки;
• право не быть объектом решений, основанных только на автоматизированной обработке, если такие решения оказывают существенное влияние;
• право отзывать согласие, если обработка базировалась как раз на согласии.

На практике это означает, что на сайте должен быть ясен канал связи для таких обращений. Обычно это email в политике конфиденциальности или отдельная форма для privacy-запросов.

Штрафы по GDPR

GDPR имеет более жесткий подход к ответственности, чем действующее украинское законодательство о персональных данных. Для серьезных нарушений штрафы могут достигать 20 млн евро или до 4% общего годового мирового оборота компании — в зависимости от того, какая сумма больше.

Но для владельца сайта главное не только штрафы. Есть еще репутационные риски, жалобы пользователей, блокировка рекламных инструментов, проблемы с партнерами, недоверие клиентов и сложность работы на международных рынках.

Поэтому privacy-требования лучше воспринимать не как формальность, а часть нормальной цифровой инфраструктуры бизнеса.

Закон Украины “О защите персональных данных”

В Украине основным актом в этой сфере является Закон Украины “О защите персональных данных”. Он регулирует отношения, связанные с защитой и обработкой персональных данных, и направлен на защиту прав и свобод человека, в частности, права на невмешательство в личную жизнь.

По украинскому закону персональные данные – это сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано.

Обработка персональных данных – это не только их сбор. Это также хранение, использование, распространение, передача, изменение, обновление, обезличивание или уничтожение данных.

Для сайта это означает, что любая форма заявки, база клиентов, CRM, email-рассылка или личный кабинет – это не просто техническая функция, а процесс обработки персональных данных.

Что украинский закон означает для сайта

Владельцу сайта следует понимать несколько базовых вещей.

Во-первых, пользователь должен знать, кто собирает его данные и с какой целью.

Во-вторых, данные нужно собирать для конкретной и законной цели.

В-третьих, состав данных должен быть адекватным и нечрезмерным по поводу цели обработки.

В-четвертых, если сайт собирает чувствительные данные, например, информацию о здоровье, биометрические данные или другие специальные категории, к этому нужно относиться особенно внимательно.

В-пятых, тексты согласий, политика конфиденциальности, cookie-сообщения и формулировки у форм должны соответствовать реальной работе сайта, а не быть скопированными из случайного шаблона.

Именно на этом часто возникают проблемы: сайт технически собирает одни данные, а в документах написано совсем другое. В таких случаях помогает не просто переписать политику, а провести полный юридический аудит сайта вместе с проверкой форм, cookies, аналитики и CRM.

Украинское законодательство двигается ближе к GDPR

Украина постепенно обновляет подход к защите персональных данных. Законопроект №8153 “О защите персональных данных” был принят за основу в первом чтении 20 ноября 2024 года и по состоянию на июль 2026 года готовится ко второму чтению.

Этот законопроект важен, потому что он направлен на приближение украинского законодательства к европейским стандартам, в частности, GDPR. Ожидается, что новое регулирование может ужесточить требования бизнеса, расширить права субъектов персональных данных, детализировать обязанности контролеров и распорядителей, а также изменить подход к ответственности.

Для бизнеса это означает простую вещь: privacy-логику следует закладывать в сайт уже сейчас. Особенно если у сайта есть заявки, онлайн-оплаты, личный кабинет, CRM, реклама, аналитика, медицинские или финансовые данные.

Больше об украинских изменениях мы разобрали в отдельной статье новый закон о защите персональных данных в Украине.

CCPA/CPRA, GDPR и закон Украины: главные отличия

География действия

CCPA/CPRA касается, прежде всего, жителей Калифорнии и бизнесов, которые подпадают под критерии этого законодательства.

GDPR действует в Европейском Союзе, но может применяться и к бизнесу вне ЕС, если они предлагают товары или услуги людям в ЕС или отслеживают их поведение.

Украинский закон регулирует обработку персональных данных в Украине и применяется к субъектам, обрабатывающим персональные данные в соответствии с украинским законодательством.

Подход к согласию

CCPA/CPRA больше сосредотачивается на праве пользователя знать, удалять, исправлять данные и отказываться от продажи или передачи персональной информации для определенных целей.

GDPR имеет более широкий подход: согласие является лишь одним из правовых оснований обработки, а не единственным вариантом.

Украинский закон также работает с понятием согласия, но постепенно приближается к более детализированной европейской модели.

Права пользователей

GDPR предоставляет очень широкий набор прав: доступ, исправление, удаление, ограничение обработки, переносимость, отрицание, отзыв согласия и защита от определенных автоматизированных решений.

CCPA/CPRA фокусируется на правах потребителя относительно персональной информации, прозрачности ее использования, отказе от продаж или sharing, исправлении данных и ограничении использования чувствительной информации.

Украинский закон также закрепляет права субъекта персональных данных, но действующая система пока менее детализирована, чем GDPR.

Штрафы и контроль

GDPR имеет один из самых жестких режимов ответственности в мире.

CCPA/CPRA также подразумевает ответственность, но работает в другой правовой системе и имеет другой подход к применению.

В Украине действующие штрафы пока значительно ниже, но предстоящая реформа может изменить ситуацию.

Что это значит для владельца сайта

Для владельца сайта все эти законы сводятся к очень практическим вопросам.

Политика конфиденциальности

На сайте должна быть политика конфиденциальности, объясняющая:

• кто является владельцем сайта;
• какие персональные данные собираются;
• для каких целей они используются;
• через какие формы или сервисы собираются данные;
• кому могут передаваться данные;
• как долго они могут храниться;
• какие права имеет пользователь;
• как пользователь может обратиться к своим данным.

Политика конфиденциальности должна соответствовать реальному сайту. Если на сайте есть Google Analytics, Meta Pixel, CRM, email-рассылка, онлайн-оплата или чат-бот, это нужно учесть.

Если документы давно не обновлялись или взяты из шаблона, следует проверить их через юридическое сопровождение сайта под ключ.

Cookie-баннер

Cookie-баннер должен быть не просто декоративным попапом. Он должен соответствовать тому, какие куки и скрипты реально работают на сайте.

Для европейской аудитории особенно важно, чтобы аналитические и маркетинговые файлы cookie не запускались некорректно до получения соответствующего согласия, если такое согласие требуется.

Для сайта это означает, что нужно проверить:

• какие cookies используются;
• какие скрипты запускаются при первой загрузке;
• можно ли отказаться от необязательных cookies;
• сохраняется ли выбор пользователя;
• можно ли изменить настройки cookies;
• соответствует ли текст баннера реальному функционалу.

Cookie-логика часто связана с технической частью сайта, поэтому ее следует проверять вместе с технической поддержкой WordPress или во время полного аудита сайта.

Формы заявки

Формы на сайте должны четко объяснять, что происходит с данными после отправки.

К примеру, если пользователь оставляет имя и телефон, нужно понимать:

• попадает ли заявка на email;
• записывается ли она в админке WordPress;
• передается ли она в CRM;
• идет ли уведомление в Telegram;
• получает ли эти данные менеджер;
• используются ли эти контакты для дальнейшего маркетинга.

Если данные из формы используются не только для ответа на заявку, но и для рассылки или рекламы, необходимо оформлять отдельно.

Это особенно важно для сайтов, создаваемых под рекламу или SEO. Если вы планируете запускать новый сайт, лучше учесть это сразу в рамках разработки сайта на WordPress, а не перерабатывать формы после запуска.

Google Analytics, Meta Pixel и рекламные системы

Аналитика и рекламные пиксели часто являются наиболее недооцененной частью аудита privacy.

На сайте могут работать:

• Google Analytics;
• Google Tag Manager;
• Meta Pixel;
• TikTok Pixel;
• LinkedIn Insight Tag;
• Hotjar або Clarity;
• CRM-скрипты;
• онлайн-чат;
• сервисы колтрекинга;
• сервисы email-маркетинга.

Каждый из этих инструментов может собирать или передавать некоторые данные. Поэтому их следует учитывать в политике конфиденциальности, cookie policy и технической логике согласия.

Отдельно следует проверять, не запускаются ли рекламные события некорректно. К примеру, если Meta Pixel посылает событие Lead при обычном просмотре страницы, это вредит и рекламе, и качеству данных. Такие вещи лучше проверять в рамках технического обслуживания WordPress.

WordPress, плагины и персональные данные

Для WordPress-сайтов privacy-вопрос часто связан не только с текстами, но и с технической частью.

Данные могут храниться в:

• формах Elementor или Fluent Forms;
• WooCommerce-заказах;
• аккаунтах пользователей;
• плагинах бронирования;
• плагинах LMS;
• CRM-интеграциях;
• резервных копиях;
• логах безопасности;
• email-сообщениях;
• базе данных WordPress

Поэтому юридическое соответствие сайта – это не только страница Privacy Policy в футере. Это еще и проверка того, как сайт собирает, хранит, передает и удаляет данные.

Если сайт давно не проверялся, следует совместить аудит юридической части сайта с технической проверкой WordPress: обновлениями, безопасностью, формами, доступами, резервными копиями и интеграциями.

Какие сайты требуют особого внимания

Больше внимания к персональным данным нужно сайтам, работающим с чувствительной или коммерчески важной информацией.

К таким сайтам относятся:

• медицинские сайты;
• сайты клиник и врачей;
• образовательные платформы;
• интернет-магазины;
• сайты с онлайн-оплатой;
• сайты с личными кабинетами;
• SaaS-платформы;
• юридические сайты;
• финансовые услуги;
• сайты с онлайн-записью;
• сайты, работающие с аудиторией ЕС или США.

К примеру, сайт клиники может собирать имя, телефон, симптомы, желаемую услугу, дату записи или другую информацию, связанную со здоровьем. Это уже гораздо более чувствительная зона, чем обычная форма “Оставить заявку”.

Для таких проектов важно не просто запустить сайт, а правильно продумать структуру, формы, тексты согласия, документы, аналитику и техническую поддержку. Именно поэтому privacy-вопрос стоит учитывать вместе с разработкой сайта на WordPress и последующим обслуживанием сайта.

Что должно быть на юридически подготовленном сайте

Для большинства бизнес-сайтов базовый набор выглядит следующим образом:

• политика конфиденциальности;
• cookie policy;
• cookie-баннер с корректной логикой согласия;
• условия использования сайта;
• публичная оферта, если сайт продает товары или услуги;
• понятные тексты на местах сбора данных;
• отдельные согласия для рассылок или маркетинга;
• правильно оформленные страницы checkout, если есть WooCommerce;
• контакт для обращений по персональным данным;
• описание посторонних сервисов, которые могут получать данные;
• техническая проверка форм, пикселей, аналитики и CRM.

Если сайт работает с международной аудиторией, этого может оказаться недостаточно. Тогда необходимо отдельно проверять требования GDPR, CCPA/CPRA или законов других стран и штатов.

Базовую логику можно пройти самостоятельно с помощью нашего GDPR-чеклиста для сайта, а если требуется комплексная проверка – обратиться за юридическим сопровождением сайта.

Типичные ошибки на сайтах

Чаще проблемы возникают не из-за отсутствия одного документа, а из-за несоответствия между документами и реальной работой сайта.

Типичные ошибки:

• политика конфиденциальности скопирована с другого сайта;
• в политике не упоминаются Google Analytics, Meta Pixel или CRM;
• cookie-баннер есть, но рекламные скрипты запускаются до выбора юзера;
• в формах нет вразумительного объяснения, для чего собираются данные;
• одно согласие используется сразу для заявки, рассылки и рекламы;
• сайт собирает лишние поля в формах;
• старые заявки годами хранятся в админке;
• доступ к заявкам имеют лишние пользователи;
• резервные копии по персональным данным хранятся без контроля;
• користувачу не пояснено, як звернутися щодо видалення або виправлення даних.

Такие вещи не всегда видны с первого взгляда, но они важны для юридической, технической и репутационной надежности сайта.

Если сайт продвигается в Google, эти проблемы могут влиять не только на юридическую сторону, но и на доверие пользователей, поведенческие сигналы, корректность аналитики и качество заявок. Поэтому для бизнеса полезно совмещать SEO-оптимизацию WordPress-сайта с технической и юридической проверкой.

Как подготовить сайт к требованиям по персональным данным

Подход должен быть не формальным, а практическим.

1. Провести аудит сбора данных

Сначала нужно понять, какие данные собирает сайт и через какие точки:

• формы;
• комментарии;
• заказ;
• личные кабинеты;
• подписки;
• чаты;
• аналитика;
• рекламные пиксели;
• CRM;
• email-сервисы;
• платежные системы

2. Проверить посторонние сервисы

Важно знать, куда передаются данные после того как пользователь взаимодействует с сайтом.

К примеру, заявка может одновременно идти на email, в CRM, в Telegram-бот, в таблицу Google Sheets и храниться в базе WordPress. Всё это нужно учесть.

3. Обновить юридические документы

После аудита необходимо подготовить или обновить:

• Privacy Policy;
• Cookie Policy;
• Terms of Use;
• Public Offer;
• тексты согласий у форм;
• сообщение для checkout;
• тексты для подписок и рекламных коммуникаций.

Это можно сделать как отдельную задачу в рамках юридического сопровождения сайта под ключ.

4. Настроить cookie-логику

Cookie-баннер должен работать технически правильно. Недостаточно просто показать сообщение “Мы используем cookies”. Нужно проверить, какие скрипты запускаются до согласия, которые после согласия и может ли пользователь изменить свой выбор.

5. Ограничить лишний сбор данных

Если поле в форме не требуется для обработки заявки, его лучше убрать. Чем меньше лишних данных собирает сайт, тем проще им управлять и тем ниже риски.

6. Проверить безопасность WordPress

Юридическое соответствие невозможно без базовой технической безопасности. Если сайт не обновляется, имеет слабые пароли, лишние админ-доступы или уязвимые плагины, даже правильная политика конфиденциальности не решит проблему.

Для этого можно начать с технического обслуживания и поддержки WordPress или отдельно просмотреть чеклист по аудиту безопасности WordPress.

Как theDC.studio помогает с юридической подготовкой сайта

В theDC.studio мы рассматриваем юридическую часть сайта не отдельно от дизайна или разработки, а как часть полноценного запуска проекта.

При работе с сайтом мы можем проверить:

• какие данные собирает сайт;
• какие формы и интеграции работают;
• есть ли политика конфиденциальности;
• соответствуют ли документы реальному функционалу;
• правильно ли оформлены cookie-сообщения;
• понятно ли пользователю, как обрабатываются его данные;
• не собирает ли сайт лишние данные;
• корректно ли работают аналитика, пиксели и CRM;
• какие юридические страницы нужны именно этому проекту.

Для этого у нас есть отдельная услуга “Юридическое сопровождение сайта под ключ”, в рамках которой можно подготовить Privacy Policy, Cookie Policy, Terms of Use, публичную оферту и провести аудит логики сбора персональных данных на сайте.

Если сайт только планируется, юридическую часть можно учесть вместе с разработкой сайта на WordPress. Если сайт уже работает, но требует регулярного контроля, обновлений, проверки форм и технической стабильности, лучше рассмотреть поддержку и обслуживание WordPress.

CCPA/CPRA, GDPR и украинский закон: что важно запомнить

CCPA и CPRA важны для бизнеса, работающего с жителями Калифорнии или ориентирующегося на американский рынок.

GDPR важен для сайтов, работающих с аудиторией ЕС, продают услуги или товары европейским клиентам или отслеживают поведение пользователей из ЕС.

Украинский закон уже сейчас требует внимательного отношения к персональным данным, а будущее обновление законодательства скорее всего приблизит Украину к европейской модели.

Для владельца сайта это означает, что юридическая подготовка сайта должна включать в себя не только текст в футере. Следует смотреть на всю систему: формы, cookies, аналитику, рекламу, CRM, рассылки, платежные сервисы, хранение заявок и права пользователей.

Сайт, работающий с персональными данными, должен быть понятным, прозрачным и технически настроенным. Это важно для доверия пользователей, нормальной работы рекламы, выхода на международные рынки и общего качества цифрового продукта.

Если вам нужно проверить, соответствует ли сайт реальным требованиям по персональным данным, cookies, формам, аналитикам и документам, можно заказать юридическое сопровождение сайта под ключ или соединить его с технической поддержкой WordPress.

• GDPR: требует проведения оценки воздействия на защиту данных (Data Protection Impact Assessment, DPIA) в тех случаях, когда обработка данных может привести к высокому риску для прав и свобод лиц.
• Украинский закон: Не содержит конкретных требований о проведении DPIA.

Уведомление о нарушении:

• GDPR: Требует уведомления контролирующих органов и субъектов данных о нарушении защиты персональных данных в течение 72 часов после выявления.
• Украинский закон: Не содержит конкретных сроков для уведомления о нарушении защиты данных, хотя предусматривает обязанность информировать субъекты данных и контролирующие органы.

Как вы поняли, несмотря на то, что украинское законодательство о защите персональных данных имеет много общего с европейским GDPR, оно все же отличается в деталях и степени строгости. Наше законодательство продолжает развиваться и будет приближаться к стандартам GDPR, особенно в контексте гармонизации законодательства с нормами ЕС.

А сейчас вернемся к США и различиям между CCPA и GDPR:

Основные различия между CCPA (Калифорнийским законом) и GDPR (Европейским законом):

Применимость:

• CCPA: Применяется к компаниям, которые ведут бизнес в Калифорнии и соответствуют определенным критериям (например, доход свыше $25 млн в год).
• GDPR: Применяется к любым компаниям, которые обрабатывают данные резидентов ЕС, независимо от местонахождения компании.

Консенсус:

• CCPA: Основывается на праве потребителей отказаться от продажи данных.
• GDPR: Требует явного согласия на обработку данных.

Штрафы:

• CCPA: Штрафы могут достигать $7,500 за умышленные нарушения.
• GDPR: Штрафы могут достигать €20 млн или 4% от годового мирового оборота компании, в зависимости от того, что больше.

Фокус:

• CCPA: Преимущественно направлен на защиту потребительских данных и предотвращение их продажи.
• GDPR: Более всеобъемлющий, охватывает все аспекты обработки данных и включает строгие требования к защите данных.

Мы можем сделать вывод, что GDPR, CCPA и Закон Украины «О защите персональных данных» имеют общую цель – обеспечение защиты персональных данных, однако они различаются по масштабу, строгости и подходам к защите прав граждан.

GDPR является наиболее комплексным и строгим, охватывая все аспекты обработки данных в ЕС. CCPA более сосредоточен на правах потребителей и прозрачности данных в Калифорнии, тогда как украинский закон можно считать более общим, ориентированным на адаптацию к европейским стандартам, но менее детализированным по сравнению с GDPR.

Желаем, чтобы ваши данные были в безопасности, а права не нарушались.