Витік персональних даних у фінансовій компанії — не гіпотетичний ризик. Це питання часу і готовності. Фінансові компанії зберігають найчутливіші дані клієнтів: платіжну поведінку, кредитну історію, паспортні дані. Регулятори це розуміють — тому відповідальність за витік у фінтеху значно жорсткіша, ніж в інших галузях. Один інцидент може одночасно запустити регуляторне провадження НБУ, перевірку Уповноваженого з захисту персональних даних і позови клієнтів. Кожен трек — окрема правова робота.

‍

Що вважається витоком персональних даних у фінансовій компанії

Витік — це не обов'язково злам. До нього прирівнюють несанкціонований доступ співробітника до клієнтської бази, передачу даних третім особам без належної правової підстави, публікацію персональних даних через технічну помилку — відкрите API, незахищений сервер, — втрату носія з незашифрованими даними, фішингову атаку, що призвела до компрометації клієнтських акаунтів.

Фінтех-компанії особливо вразливі: вони обробляють великі масиви даних у реальному часі, інтегруються з десятками API-партнерів і часто зростають швидше, ніж встигають вибудувати compliance-інфраструктуру.

Ключовий момент, який компанії ігнорують: витік може статися не у вас, а у підрядника, якому ви передали дані. Юридична відповідальність при цьому — ваша.

‍

Відповідальність за витік: хто і на якій підставі

Відповідальність за витік персональних даних у фінансовій компанії регулюється кількома правовими блоками одночасно.

Законодавство про захист персональних даних:

• Закон «Про захист персональних даних»;
• підзаконні акти Уповноваженого Верховної Ради з прав людини як регулятора у сфері захисту персональних даних;
• вимоги до обробки, зберігання і передачі персональних даних.

Галузеве регулювання НБУ охоплює вимоги до інформаційної безпеки банків і небанківських фінансових установ, правила звітності про кіберінциденти та повноваження регулятора застосовувати заходи впливу — від попередження до відкликання ліцензії.

Цивільна відповідальність є окремим треком: клієнт, чиї дані скомпрометовані, може подати позов про відшкодування збитків і моральної шкоди. Судова практика по таких справах в Україні формується прямо зараз.

Для компаній, що обробляють дані резидентів ЄС або надають послуги на ринку ЄС, — застосовується GDPR зі штрафами до 4% річного глобального обороту або €20 млн.

‍

Нормативна база: що регулює захист даних у фінтеху

Правовий режим захисту персональних даних у фінансовому секторі охоплює кілька рівнів.

Базове законодавство:

• Закон України «Про захист персональних даних»;
• Закон «Про платіжні послуги»;
• нормативні акти НБУ щодо інформаційної безпеки.

Міжнародні стандарти, що фактично застосовуються:

• GDPR — якщо є клієнти-резиденти ЄС або операції на ринку ЄС;
• стандарти PCI DSS — для компаній, що обробляють платіжні дані карток;
• вимоги SWIFT — для банків і платіжних установ у міжнародних розрахунках.

Договірна база — окремий рівень: data processing agreements з підрядниками, умови обробки даних у договорах із клієнтами, вимоги до партнерів щодо інформаційної безпеки. Законодавство активно змінюється в умовах євроінтеграційних реформ — актуалізація правових вимог є обов'язковим кроком іще до виникнення інциденту.

‍

Як НБУ реагує на інциденти з персональними даними

Національний банк як регулятор фінансового ринку прямо зацікавлений у тому, як піднаглядні установи захищають дані клієнтів. Кіберінциденти та витоки — у зоні його уваги.

НБУ вимагає від фінансових компаній наявності затвердженої політики інформаційної безпеки, процедур реагування на інциденти, звітності про кіберінциденти у встановлені строки та регулярного аудиту систем захисту даних.

Якщо витік стає публічним або на нього реагують медіа — регулятор майже гарантовано запитає пояснення. Несвоєчасне або неналежне повідомлення регулятора є самостійним порушенням і обтяжуючою обставиною у подальшому провадженні.

Ключовий принцип: комунікація з НБУ після інциденту — це не PR-завдання. Це юридично значуща дія, і вести її потрібно під контролем фінансового адвоката.

‍

GDPR і фінтех в Україні: як це взаємодіє на практиці

Формально Україна живе за власним законодавством про захист персональних даних, але де-факто GDPR вже всередині фінтех-індустрії. Більшість великих гравців мають операції або клієнтів у ЄС — і тоді GDPR застосовується прямо. Водночас українське законодавство гармонізується з європейськими стандартами в рамках євроінтеграції.

Практичні наслідки:

• обов'язкове повідомлення регулятора про витік — в ЄС протягом 72 годин;
• вимоги до договорів з підрядниками, що обробляють дані (data processing agreements);
• право клієнта вимагати видалення, уточнення або обмеження обробки своїх даних;
• обов'язкова наявність правових підстав обробки даних — згода, договір, законний інтерес.

Фінтех-компанія, яка ігнорує GDPR, бо «ми ж не в ЄС», ризикує опинитися у правовому вакуумі при першому ж трансграничному інциденті.

‍

Алгоритм реагування на витік персональних даних

Правильна реакція — це не прес-реліз і не внутрішній розбір помилок. Це юридично структурована послідовність дій, де кожен крок фіксується і захищає компанію від подальших претензій.

Крок 1. Локалізація і документування інциденту

Зупинити витік і зафіксувати: що саме скомпрометовано, скільки записів, які категорії даних, за який період. Цей документ стане основою для всіх подальших правових позицій.

Крок 2. Оцінка правових ризиків

Визначити, які регулятори підлягають повідомленню і в які строки, чи є серед постраждалих резиденти ЄС, які договірні зобов'язання порушено і які контрагенти вже мають підстави для претензій.

Крок 3. Повідомлення регулятора і клієнтів

Підготувати юридично вивірену позицію для НБУ та Уповноваженого. Повідомити клієнтів у порядку і строки, передбачені законодавством. Кожне слово у цих комунікаціях стає частиною регуляторного досьє.

Крок 4. Внутрішнє розслідування

Провести під захистом адвокатської таємниці — тоді матеріали розслідування захищені від примусового розкриття. Встановити причину, відповідальних, зафіксувати докази.

Крок 5. Усунення вразливості і превентивні заходи

Документально підтвердити виправлення, оновити політики і процедури, провести повторний аудит. Регулятор враховує, наскільки оперативно і системно компанія відреагувала.

Ключовий принцип: компанія, яка приходить до адвоката через три тижні після інциденту, вже програла частину битви. Перші 48–72 години визначають траєкторію всього кейсу.

‍

Коли потрібен фінансовий адвокат, а не просто юрист

При витоку даних у фінансовій компанії правовий супровід — це не підготовка відповіді на лист регулятора. Масштаб проблеми інший.

Фінансовий адвокат необхідний, коли є ризик регуляторного провадження з боку НБУ або Уповноваженого — адвокат веде справу в провадженні, консультант — ні. Коли клієнти вже подали скарги або погрожують позовом — потрібна стратегія захисту. Коли є трансграничний вимір і потрібна позиція одночасно в кількох юрисдикціях. Коли потрібно провести внутрішнє розслідування під захистом адвокатської таємниці. Коли є ризик кримінального провадження щодо посадових осіб.

Послуги фінансового адвоката в контексті витоку включають оцінку сценаріїв відповідальності, супровід у регуляторних провадженнях, підготовку позиції для НБУ та Уповноваженого, захист у суді при позовах клієнтів та розробку crisis-протоколу для мінімізації подальших наслідків.

Різниця між «зверталися до юриста» і «нас представляв адвокат» є принциповою у разі, якщо справа дійде до провадження.

‍

Як уникнути наслідків: мінімальний стандарт готовності

Базовий правовий захист вибудовується до інциденту, а не після.

Документація і політики: затверджена політика обробки персональних даних, data processing agreements з усіма підрядниками, що мають доступ до даних, реєстр операцій обробки.

Процедури: чіткий протокол реагування на інцидент з визначеними відповідальними, процедура повідомлення регулятора і клієнтів, регулярний аудит доступів до даних.

Правова готовність: визначений фінансовий адвокат або фірма для залучення в разі інциденту, актуальна оцінка відповідності вимогам НБУ щодо кібербезпеки, розуміння, які регулятори і в які строки підлягають повідомленню.

Управління ризиками починається не під час кризи, а в процесі операційної діяльності: фіксація рішень, актів і звітності захищає менеджмент від майбутньої відповідальності.

‍

Висновок

Реагувати на витік персональних даних у фінтеху — означає не лише видати прес-реліз і змінити паролі. Це комплексний процес на перетині регуляторного права, договірних зобов'язань, міжнародних стандартів і кримінальних ризиків для менеджменту.

Щоб захистити компанію і мінімізувати наслідки, звертайтеся до фахівців Juscutum. Ми проведемо правовий аудит системи захисту персональних даних, оцінимо регуляторні ризики та сформуємо покрокову стратегію — від реагування на інцидент до супроводу в провадженнях.

‍

FAQ

1. Чи зобов'язана фінансова компанія повідомляти клієнтів про витік?

Так, якщо витік створює ризик для прав і свобод клієнтів. В контексті GDPR — обов'язково і невідкладно. За українським законодавством також передбачене повідомлення суб'єктів і регулятора. Конкретні строки і порядок залежать від обставин конкретного інциденту.

2. Що буде, якщо не повідомляти НБУ про кіберінцидент?

Несвоєчасне або неналежне повідомлення регулятора є самостійним порушенням. НБУ може застосувати заходи впливу не лише за сам факт інциденту, але й за неналежне реагування. Це обтяжуюча обставина у подальшому провадженні.

3. Чи застосовується GDPR до українського фінтеху?

Застосовується, якщо компанія обробляє дані резидентів ЄС або пропонує їм послуги. Також стандарти GDPR поступово інтегруються в українське законодавство у рамках євроінтеграції.

4. Чи може клієнт подати позов через витік даних?

Так. Клієнт має право вимагати відшкодування збитків і моральної шкоди, якщо доведе, що витік стався з вини компанії і призвів до негативних наслідків. Судова практика по таких справах в Україні формується, але прецеденти вже є.

5. Чим відрізняється фінансовий адвокат від юридичного консультанта в такій ситуації?

Адвокат має право представляти клієнта в регуляторних і судових провадженнях та забезпечує адвокатську таємницю — матеріали внутрішнього розслідування, підготовлені адвокатом, захищені від примусового розкриття. Консультант цього не може. При серйозному інциденті різниця принципова.

‍