Згода на обробку персональних даних у 2026 році: коли потрібна, що вказати, як відкликати

Коротко

1. Згода – лише одна з шести законних підстав обробки даних. Для виконання договору чи обов’язку за законом вона не потрібна.
2. Згода має бути добровільною, поінформованою і під конкретну мету. «На все й назавжди» – погана згода.
3. У документі: хто дає згоду, кому, мета, склад даних, кому дані передаються, строк, повідомлення про права.
4. За дитину підписують батьки; для даних про здоров’я чи біометрію потрібна однозначна згода.
5. Згоду можна відкликати будь-коли без пояснень; якщо вимогу ігнорують – скарга Уповноваженому Верховної Ради з прав людини або до суду.

Який закон діє у 2026 році

Станом на 21.10.2026 чинним залишається Закон України «Про захист персональних даних» від 01.06.2010 № 2297-VI. Новий закон, що мав би наблизити українські правила до європейського GDPR (законопроєкт № 8153), Верховна Рада прийняла лише в першому читанні 20.11.2024; за карткою законопроєкту на сайті Ради з грудня 2025 року він готується до другого читання. Тож усі вимоги нижче – за чинним законом. Якщо новий закон ухвалять, у ньому, найімовірніше, буде перехідний період; ми оновимо цей гайд.

Коли згода справді потрібна

Стаття 11 Закону визначає шість підстав для обробки персональних даних:

1. згода суб’єкта персональних даних;
2. дозвіл, наданий володільцю законом виключно для здійснення його повноважень (державні органи);
3. укладення та виконання правочину, стороною якого є суб’єкт, або заходи перед його укладенням на вимогу суб’єкта;
4. захист життєво важливих інтересів суб’єкта;
5. виконання обов’язку володільця, передбаченого законом;
6. захист законних інтересів володільця чи третьої особи, якщо вони не переважають права суб’єкта.

Практичний висновок: якщо дані потрібні, щоб виконати договір із вами (доставка, оренда, навчання), або закон прямо зобов’язує їх збирати (кадровий облік, податкова звітність, військовий облік), окрема згода не обов’язкова. Згода потрібна тоді, коли мета виходить за ці межі: розсилки й реклама, публікація фото, участь у конкурсах і змаганнях, анкети з додатковими відомостями, передача даних партнерам.

Закон не застосовується, якщо фізична особа обробляє дані виключно для особистих чи побутових потреб – наприклад, телефонна книга знайомих (п. 1 ч. 2 ст. 25).

Що має містити згода

За ст. 2 Закону згода – це добровільне волевиявлення особи, за умови її поінформованості, щодо дозволу на обробку її даних відповідно до сформульованої мети. Вона може бути письмовою або в іншій формі, з якої видно, що згоду надано; в електронній комерції – відміткою під час реєстрації, якщо система не обробляє дані до цієї відмітки. Щоб згода «працювала», вкажіть:

• Хто дає згоду – ПІБ, дата народження, документ, адреса.
• Кому – володілець персональних даних: назва, код ЄДРПОУ (для ФОП – РНОКПП).
• Мета – конкретно: «оформлення та ведення трудових відносин», «участь дитини у змаганнях клубу». Мета має бути законною і визначеною (ч. 1, 5 ст. 6); якщо володілець захоче використати дані для нової несумісної мети, потрібна нова згода (абз. 3 ч. 1 ст. 6).
• Склад даних – лише те, що потрібно для мети: дані мають бути «відповідними, адекватними та ненадмірними» (ч. 3 ст. 6).
• Кому дані можуть передаватися – суб’єкта мають повідомити про таких осіб (ч. 2 ст. 12).
• Строк – не довше, ніж потрібно для мети (ч. 8 ст. 6). Після спливу строку, визначеного згодою, дані видаляються або знищуються (п. 1 ч. 2 ст. 15).
• Застереження – особа має право обмежити обробку під час надання згоди, наприклад «без використання для реклами» (п. 10 ч. 2 ст. 8).
• Повідомлення про права – про володільця, склад даних, мету, одержувачів і права за ст. 8 особу повідомляють у момент збору даних (ч. 2 ст. 12).

Усе це вже передбачено в шаблоні згоди на обробку персональних даних: ПІБ, РНОКПП і паспортні дані підставляються з фото документів, решту ви вписуєте на екрані перевірки.

Згода за дитину

Батьки (усиновлювачі) є законними представниками своїх малолітніх і неповнолітніх дітей (ч. 1 ст. 242 ЦК України), тому згоду для школи, гуртка, табору чи спортивного клубу підписує один із батьків. У шаблоні в полі «Чиїх даних» напишіть: «персональних даних моєї дитини Олени ІВАНЕНКО, 12.03.2015 р. н., законним представником якої я є». Окремо подумайте про фото й відео: знімати людину можна лише за її згодою, крім відкритих публічних заходів (ч. 1 ст. 307 ЦК), тож публікацію фото дитини на сайті чи в соцмережах закладу варто прямо вказати в меті – або прямо заборонити застереженням.

Згода на роботі

Під час працевлаштування роботодавець обробляє дані з паспорта, РНОКПП, військово-облікового документа та інших документів, які працівник зобов’язаний подати (ст. 24 КЗпП). Для цього достатньо трудового договору та обов’язків за законом (п. 3, 5 ч. 1 ст. 11 Закону), а для даних про здоров’я – норми про трудові правовідносини (п. 2 ч. 2 ст. 7). Водночас вимагати відомості про партійну і національну приналежність, походження, реєстрацію місця проживання та документи, не передбачені законодавством, заборонено (ст. 25 КЗпП). Згоду працівника беруть для «додаткових» цілей: фото на сайті компанії, привітання з днем народження, передача даних страховій чи банку для зарплатного проєкту, якщо це не випливає з договору. Згоду не можна робити умовою прийняття на роботу – тоді вона не добровільна. До пакета документів зазвичай додають заяву про прийняття на роботу.

Згода для орендодавця, ФОП, клубу

Власник, який здає квартиру, обробляє ПІБ, паспортні дані й контакти наймача для укладення й виконання договору (п. 3 ч. 1 ст. 11), тож окрема згода зазвичай не потрібна – реквізити сторін вже є в договорі найму квартири. Згода знадобиться, якщо власник хоче, наприклад, передати дані агентству або зберігати копії документів після завершення оренди. Не просіть більше, ніж треба: копія всіх сторінок паспорта для договору найму – надмірна. ФОП, лікарі, адвокати, нотаріуси особисто відповідають за захист даних, якими володіють (ч. 4 ст. 24).

Чутливі дані: здоров’я, біометрія, переконання

Обробка даних про расове чи етнічне походження, політичні, релігійні чи світоглядні переконання, членство в партіях і профспілках, судимість, здоров’я, статеве життя, біометричні та генетичні дані за загальним правилом заборонена (ч. 1 ст. 7). Один із винятків – однозначна згода суб’єкта (п. 1 ч. 2 ст. 7). Тому в згоді такі дані треба назвати прямо: «відомості про стан здоров’я (медична довідка про допуск до тренувань)», а не ховати в загальному «та інші дані».

Як відкликати згоду

Право відкликати згоду гарантує п. 11 ч. 2 ст. 8 Закону; пояснювати причину не потрібно. Крім того, можна заперечити проти обробки (п. 5) і вимагати знищення даних, які обробляються незаконно чи є недостовірними (п. 6). Порядок:

1. Складіть заяву про відкликання згоди на обробку персональних даних: коли і де надано згоду, вимога припинити обробку, видалити дані й повідомити, кому їх передавали.
2. Надішліть її цінним листом з описом вкладення на юридичну адресу або на email з політики конфіденційності; збережіть доказ.
3. Про видалення чи знищення даних володілець має повідомити вас і тих, кому дані передавав, протягом десяти робочих днів (ч. 3 ст. 21).

Відкликання стосується подальшої обробки на підставі згоди. Дані, які володілець мусить зберігати за законом (бухгалтерські, кадрові документи), він зберігатиме й далі, бо для них є інша підстава – п. 5 ч. 1 ст. 11.

Хочете спершу дізнатися, які саме дані про вас мають? Суб’єкт має право отримати відповідь, чи обробляються його дані, і їх зміст – не пізніш як за 30 календарних днів з дня надходження запиту (п. 4 ч. 2 ст. 8). Доступ до даних про себе безоплатний (ч. 1 ст. 19).

Скарга Уповноваженому з прав людини

Контроль за додержанням законодавства про персональні дані здійснюють Уповноважений Верховної Ради України з прав людини і суди (ст. 22). До скарги Уповноваженому додайте копію своєї заяви, доказ надсилання, скриншоти дзвінків чи розсилок. За результатами Уповноважений може перевірити компанію і видати обов’язковий припис – зокрема про знищення даних чи припинення обробки (п. 1, 2, 5 ч. 1 ст. 23), а також скласти протокол про адміністративне правопорушення (п. 10 ч. 1 ст. 23; відповідальність – ст. 188-39 КУпАП). Паралельно або замість цього можна звернутися до суду (п. 8 ч. 2 ст. 8 Закону).

Типові помилки

• Згода «на все»: мета «для статутної діяльності» без конкретики – не та «сформульована мета», якої вимагає ст. 2 Закону.
• Згода замість договору: якщо обробка потрібна для договору, згоду не можна робити «обов’язковою» – а її відкликання не повинно зривати виконання договору.
• Надмірні дані: збирати РНОКПП і копію паспорта для запису в гурток чи розсилки не потрібно (ч. 3 ст. 6).
• Немає строку або «безстроково» – суперечить ч. 8 ст. 6.
• Чутливі дані в загальному переліку без однозначної згоди (ст. 7).
• Не вказано, кому передаються дані – порушення ч. 2 ст. 12.
• Згода за малолітню дитину, підписана самою дитиною, а не батьками (ст. 242 ЦК).