Соответствие GDPR для PDF-инструментов: на что обратить внимание

Каждый раз, когда вы объединяете контракт, редактируете счет-фактуру или конвертируете банковскую выписку в Excel с помощью онлайн-инструмента для работы с PDF, возникает вопрос, который большинство людей никогда не задают: куда только что ушел этот файл?

PDF — это не безобидные контейнеры для форматирования. Они содержат имена, адреса, номера банковских счетов, зарплаты, медицинские диагнозы и юридические соглашения. Общий регламент ЕС по защите данных (GDPR) не заботится о том, намеревались ли вы «обрабатывать персональные данные» — его интересует, сделали ли вы это. И если ваш PDF-инструмент загрузил этот файл на сервер, ответ — да.

Это руководство подробно описывает, как GDPR применяется к PDF-инструментам, что требуется от поставщиков инструментов для обеспечения соответствия и как оценить любой инструмент, прежде чем доверять ему конфиденциальные документы.

Почему GDPR важен для PDF-инструментов

Средний бизнес обрабатывает тысячи PDF-файлов каждый месяц. Внутренние кадровые документы, клиентские контракты, банковские выписки, счета-фактуры, налоговые формы, медицинские записи, юридическая переписка — практически все они содержат персональные данные, как они определены GDPR.

Статья 4(1) GDPR широко определяет персональные данные: «любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу». Это включает:

• Имена и контактные данные, указанные в счетах-фактурах, контрактах и переписке
• Финансовые данные, включая номера счетов, историю транзакций, зарплаты и налоговую информацию в банковских выписках и расчетных листках
• Медицинская информация в медицинских картах, страховых документах и оценках инвалидности
• Государственные идентификаторы, такие как номера национальных удостоверений личности, налоговые номера и номера социального страхования
• Юридическая информация в контрактах, судебных документах и отчетах о соответствии требованиям

Когда вы открываете PDF-файл, содержащий любые из этих данных, и обрабатываете его с помощью онлайн-инструмента — объединяя, разделяя, конвертируя, сжимая или редактируя — вы обрабатываете персональные данные. Эта обработка подпадает под действие GDPR независимо от того, было ли извлечение персональных данных вашим намерением.

Последствия не теоретические. Согласно исследованию DLA Piper GDPR Fines and Data Breach Survey (январь 2026 г.), совокупные штрафы с момента вступления GDPR в силу достигли 7,1 млрд евро, из которых 1,2 млрд евро было наложено только в 2025 году. Несоблюдение общих принципов обработки данных — категории, наиболее актуальной для того, как PDF-инструменты обрабатывают ваши файлы — составляет пять из десяти крупнейших штрафов, когда-либо наложенных.

---

Основы GDPR для неюристов

Прежде чем оценивать PDF-инструменты с точки зрения соответствия требованиям, вам необходимо понять четыре основные концепции. Этот раздел опускает юридический жаргон и фокусируется на том, что каждая концепция означает на практике.

Персональные данные

Любая информация, которая может идентифицировать человека, прямо или косвенно. Имя в контракте — это персональные данные. Номер банковского счета в выписке — это персональные данные. Адрес электронной почты в форме PDF — это персональные данные. Даже данные, которые идентифицируют кого-то только в сочетании с другой информацией, учитываются — например, почтовый индекс плюс дата рождения.

Если PDF-файл, который вы обрабатываете, содержит информацию о каком-либо идентифицируемом лице, вы работаете с персональными данными.

Контролер данных против Обработчика данных

Контролер данных определяет, почему и как обрабатываются персональные данные. Если вы являетесь бизнесом, который решил использовать PDF-инструмент для конвертации банковских выписок своих клиентов, вы являетесь контролером.

Обработчик данных обрабатывает данные от имени контролера. Поставщик PDF-инструмента является обработчиком — он обрабатывает данные в соответствии с вашими инструкциями (конвертировать этот файл, объединить эти документы, извлечь эту таблицу).

Это различие важно, потому что GDPR налагает обязательства на обе роли. Контролеры должны выбирать обработчиков, которые предлагают «достаточные гарантии» соответствия (Статья 28). Обработчики должны следовать инструкциям контролера и внедрять соответствующие меры безопасности. Если ваш поставщик PDF-инструмента не сможет защитить персональные данные, вы оба можете нести ответственность.

Законное основание для обработки

Статья 6 требует законного основания для обработки персональных данных. Для большинства деловых случаев использования PDF-инструментов соответствующими основаниями являются законные интересы (реальная деловая причина, такая как конвертация банковских выписок для бухгалтерского учета), исполнение договора (обработка, необходимая для выполнения договорных обязательств) или согласие (менее распространено в B2B-рабочих процессах). Законное основание должно существовать до начала обработки.

Права субъекта данных

Физические лица, чьи данные появляются в этих PDF-файлах, имеют права в соответствии с GDPR. Наиболее актуальными для использования PDF-инструментов являются право на доступ (Статья 15 — запрос копии персональных данных), право на удаление (Статья 17 — запрос удаления, когда данные больше не нужны или согласие отозвано) и право на переносимость данных (Статья 20 — запрос данных в машиночитаемом формате).

Контролеры должны отвечать в течение одного месяца. Если ваш поставщик PDF-инструмента сохранил копии документов, содержащих данные этого лица, вы должны иметь возможность обеспечить удаление этих копий.

---

Когда использование PDF-инструмента влечет за собой GDPR

Не каждое использование PDF-инструмента создает обязательства по GDPR. Различие простое, но критически важное.

Сценарий 1: Обработка в браузере (без передачи)

Вы открываете PDF-инструмент в браузере, выбираете файл, и он обрабатывается полностью с использованием клиентского кода. Файл никогда не покидает ваше устройство.

В этом сценарии поставщик PDF-инструмента не является обработчиком данных по GDPR. Персональные данные не передавались. Соглашение об обработке данных (DPA) не требуется. Это самый чистый возможный подход с точки зрения соответствия требованиям.

Сценарий 2: Облачная обработка (передача обработчику)

Вы загружаете PDF на сервер онлайн-инструмента. Сервер обрабатывает файл — конвертирует, объединяет, извлекает или выполняет любую другую выбранную вами операцию — и возвращает результат. В течение этого времени файл существовал на инфраструктуре поставщика.

В этом сценарии поставщик PDF-инструмента является обработчиком данных по GDPR. Вы, как контролер, передали персональные данные обработчику. Это влечет за собой ряд юридических требований:

• Соглашение об обработке данных (DPA) должно быть заключено до передачи
• Обработчик должен внедрить соответствующие технические и организационные меры для защиты данных
• Если обработчик находится за пределами ЕС/ЕЭЗ, передача является международной передачей данных, подпадающей под дополнительные гарантии

Сценарий 3: Обработка с использованием ИИ (дополнительные соображения)

Некоторые PDF-инструменты используют ИИ или машинное обучение для обработки документов — для OCR, извлечения данных, суммаризации или перевода. Если это включает отправку вашего файла в сторонний сервис ИИ (Google Gemini, OpenAI GPT и т. д.), поставщик ИИ является субобработчиком. Цепочка обязательств расширяется:

• Поставщик PDF-инструмента нуждается в вашем разрешении на использование субобработчиков
• Субобработчик должен быть связан эквивалентными обязательствами по защите данных
• Вы должны знать, какие сервисы ИИ используются и где они обрабатывают данные
• Должны быть четкие обязательства о том, что ваши файлы не используются для обучения моделей ИИ

---

Ключевые требования GDPR для поставщиков PDF-инструментов

Если PDF-инструмент обрабатывает файлы на своих серверах — становясь обработчиком данных — GDPR налагает конкретные требования. Вот на что следует обратить внимание.

Соглашение об обработке данных (DPA)

Статья 28 GDPR делает это обязательным. Любой обработчик данных должен иметь письменное DPA с каждым контролером. DPA должно определять характер и цель обработки, типы персональных данных, категории субъектов данных, обязательства обработчика по обеспечению безопасности и конфиденциальности, правила в отношении субобработчиков, требования к удалению данных после прекращения действия и права контролера на аудит.

Поставщик PDF-инструмента, который не предлагает DPA, представляет собой риск несоответствия. Любой легитимный облачный обработчик должен иметь стандартное DPA.

Ограничение цели

Статья 5(1)(b) GDPR гласит, что персональные данные должны быть «собраны для конкретных, явных и законных целей и не должны далее обрабатываться способом, несовместимым с этими целями».

Для PDF-инструмента цель ясна: вы загрузили файл для конвертации, объединения, разделения или другой трансформации. Поставщик может обрабатывать ваш файл только для этой заявленной цели. Они не могут анализировать ваши документы для получения аналитических данных в рекламных целях. Они не могут использовать содержимое вашего файла для обучения моделей ИИ. Они не могут передавать ваши данные партнерам в маркетинговых целях.

Если политика конфиденциальности инструмента включает формулировки об использовании загруженных файлов «для улучшения наших услуг» или «в исследовательских целях», это является нарушением ограничения цели, которое может произойти.

Минимизация данных

Статья 5(1)(c) требует, чтобы персональные данные были «адекватными, релевантными и ограниченными тем, что необходимо в отношении целей, для которых они обрабатываются».

На практике это означает, что PDF-инструмент должен иметь доступ только к тем частям вашего файла, которые необходимы для запрошенной операции. Он не должен извлекать метаданные, записывать содержимое документов или сохранять информацию сверх того, что необходимо для выполнения задачи.

Наиболее сильная форма минимизации данных — это вообще не собирать данные, что именно и достигается при обработке в браузере.

Меры безопасности

Статья 32 требует «соответствующих технических и организационных мер», пропорциональных риску. Для PDF-инструмента это означает шифрование при передаче (TLS/HTTPS), шифрование при хранении, надлежащий контроль доступа, безопасные среды хостинга и регулярное тестирование безопасности. Поставщик, который не может описать свою архитектуру безопасности, не должен обрабатывать ваши файлы.

Срок хранения и удаление файлов

Вот где многие PDF-инструменты терпят неудачу. Принцип ограничения хранения GDPR (Статья 5(1)(e)) требует, чтобы персональные данные «хранились в форме, позволяющей идентифицировать субъектов данных, не дольше, чем это необходимо».

Для PDF-инструмента необходимый срок — это время, необходимое для завершения операции обработки и предоставления результата. Как только вы скачали свой сконвертированный файл, у поставщика не должно быть причин хранить оригинал или результат.

Некоторые инструменты хранят файлы в течение 24 часов, 7 дней или даже 30 дней. Спросите себя: зачем? Удобство для пользователя не является законным основанием для хранения персональных данных. Увеличенный срок хранения создает риск без соответствующей выгоды.

Лучшая практика — немедленное удаление после завершения обработки.

Международные передачи данных

Если поставщик PDF-инструмента или его субобработчики находятся за пределами ЕС/ЕЭЗ, Глава V GDPR требует дополнительных гарантий: решение об адекватности (Комиссия определила, что страна назначения обеспечивает адекватную защиту — по состоянию на начало 2026 года это включает Великобританию, Японию, Южную Корею, Канаду и США в рамках Рамочного соглашения о конфиденциальности данных ЕС-США), Стандартные договорные положения (SCCs) или Обязательные корпоративные правила (BCRs).

Рамочное соглашение ЕС-США о конфиденциальности данных пережило юридический вызов в сентябре 2025 года, но комментаторы отмечают, что в 2026 году может возникнуть новая проверка. Организации, полагающиеся на это рамочное соглашение, должны следить за развитием событий.

Уведомление об утечке данных

Статья 33 требует, чтобы контролеры уведомляли надзорный орган в течение 72 часов после обнаружения утечки. Для поставщиков PDF-инструментов это означает, что они должны уведомить вас (контролера) без неоправданной задержки, чтобы вы могли выполнить свои собственные обязательства. DPA должно включать четкие обязательства и сроки уведомления об утечке.

---

Красные флаги в политиках конфиденциальности PDF-инструментов

Политики конфиденциальности часто бывают длинными и намеренно расплывчатыми. Вот конкретные фразы и практики, которые должны вызывать беспокойство.

«Мы можем передавать данные третьим сторонам в деловых целях»

Расплывчатые условия передачи нарушают принцип прозрачности. Вам нужно точно знать, какие третьи стороны получают данные, для какой цели и на каком законном основании. «Деловые цели» — это не законное основание, а уклонение.

«Файлы хранятся до 30 дней»

Чрезмерное хранение без обоснования. Если цель инструмента — конвертировать PDF, зачем ему нужен ваш банковский счет в течение месяца? Длительные сроки хранения увеличивают риск утечки и их трудно согласовать с принципом ограничения хранения.

«Мы используем загруженные файлы для улучшения наших услуг»

Это самый большой красный флаг. Если поставщик инструмента использует ваши документы — содержащие персональные данные ваших клиентов — для обучения моделей ИИ или улучшения своих алгоритмов, он обрабатывает персональные данные для цели, которую вы не разрешали. Это нарушает ограничение цели, вероятно, не имеет законного основания и может представлять собой вторичную обработку данных, требующую отдельного согласия.

Отсутствие доступного DPA

Если облачный PDF-инструмент не может предоставить Соглашение об обработке данных, он не соответствует GDPR. Точка. Статья 28 недвусмысленна в этом отношении. Отсутствие DPA означает отсутствие законного основания для обработки персональных данных от вашего имени.

Местоположение серверов не раскрывается

Если поставщик не сообщит вам, где обрабатываются ваши файлы, вы не сможете оценить, требует ли передача дополнительных гарантий в соответствии с Главой V. Прозрачность в отношении инфраструктуры — это базовое требование.

Отсутствие списка субобработчиков

GDPR требует, чтобы обработчики информировали контролеров о субобработчиках. Если инструмент использует сторонние сервисы для обработки ваших файлов (облачный хостинг, API ИИ, CDN) и не раскрывает их, вы не можете провести адекватную проверку.

---

Зеленые флаги: Как выглядят соответствующие GDPR PDF-инструменты

Обратное каждому красному флагу выше — это зеленый флаг. Но несколько заслуживают особого внимания:

• Обработка в браузере — это самая сильная функция конфиденциальности, которую может предложить PDF-инструмент. Когда файл никогда не покидает ваше устройство, поставщик никогда не становится обработчиком данных. Нет передачи персональных данных, нет необходимости в DPA для этой операции, нет риска хранения на стороне сервера. Это не теоретическое различие — клиентская обработка действительно устраняет целую категорию рисков несоответствия.
• Немедленное удаление файлов после завершения обработки. Любое хранение сверх этого требует обоснования.
• DPA общедоступно или может быть получено без звонка в отдел продаж корпоративных клиентов.
• Серверы в ЕС или четко документированные механизмы передачи (решение об адекватности, SCCs, BCRs) для серверов за пределами ЕС/ЕЭЗ.
• Отсутствие вторичного использования содержимого файлов — зафиксировано в письменной форме, как в политике конфиденциальности, так и в DPA.
• Прозрачный список субобработчиков с механизмом уведомления об изменении субобработчиков (Статья 28(2)).

---

Как PDFSub обеспечивает соответствие GDPR

PDFSub был создан с архитектурой, ориентированной на конфиденциальность, которая решает требования GDPR по дизайну, а не как запоздалая мысль. PDFSub соответствует GDPR и CCPA, а также готов к SOC 2.

Обработка в браузере по умолчанию

Для операций редактирования — объединение, разделение, сжатие, поворот — PDFSub обрабатывает файлы в вашем браузере. Конвертации и расширенная обработка выполняются движком PDFSub Engine — изолированным сервисом без доступа в Интернет. Файлы обрабатываются в изолированной среде и автоматически удаляются после обработки.

Это не маркетинговое заявление, а архитектурное решение. Клиентская обработка полностью исключает отношения обработчика данных для этих операций. DPA не требуется. Нет риска международной передачи. Нет хранения на стороне сервера.

Когда требуется серверная обработка

Некоторые операции требуют серверной обработки: OCR для сканированных документов, извлечение данных с помощью ИИ для сложных финансовых документов и определенные расширенные конвертации. Когда это происходит, PDFSub следует строгим протоколам:

• Шифрование при передаче — все передачи файлов используют шифрование TLS
• Изолированная обработка — файлы обрабатываются в изолированной среде без доступа в Интернет
• Немедленное удаление — файлы удаляются сразу после завершения обработки
• Отсутствие обучения на файлах пользователей — загруженные документы никогда не используются для обучения моделей ИИ или улучшения алгоритмов
• Ограничение цели — файлы обрабатываются исключительно для запрошенной операции

DPA доступно для корпоративных клиентов

PDFSub предоставляет Соглашение об обработке данных для корпоративных клиентов, которым требуется официальная документация об отношениях обработчика. Это охватывает сценарии серверной обработки и включает все обязательные положения Статьи 28.

Прозрачность в отношении происходящего

Подход PDFSub к конфиденциальности прост: обрабатывать локально, когда это возможно, и когда серверная обработка необходима, минимизировать раскрытие данных с помощью шифрования и немедленного удаления. Нет расплывчатых положений о «деловых целях». Нет вторичного использования ваших данных.

Вы можете просмотреть более 77 инструментов PDFSub и попробовать 7-дневную бесплатную пробную версию, чтобы самостоятельно убедиться в модели обработки в браузере, прежде чем принимать решение.

---

Чек-лист соответствия GDPR при выборе PDF-инструмента

Используйте этот чек-лист при оценке любого PDF-инструмента на соответствие GDPR. Инструменты, работающие в браузере, полностью обходят несколько категорий, но для любого облачного инструмента важен каждый пункт.

#	Вопрос	На что обратить внимание
1	Обрабатывает ли он файлы локально?	Обработка в браузере = нет передачи данных = нет отношений обработчика. Проверьте, отслеживая сетевой трафик в инструментах разработчика браузера.
2	Доступно ли DPA?	Должно быть доступно без звонка в отдел продаж корпоративных клиентов. Должно включать все обязательные положения Статьи 28.
3	Где расположены серверы?	Обработка в ЕС/ЕЭЗ позволяет избежать сложностей с передачей. Если за пределами ЕС, проверьте наличие решения об адекватности, SCCs или BCRs.
4	Какова политика хранения файлов?	Немедленное удаление — лучшая практика. Любое хранение после завершения обработки требует обоснования.
5	Используются ли данные для каких-либо вторичных целей?	Политика конфиденциальности должна явно исключать использование содержимого файлов для обучения ИИ, аналитики и рекламы.
6	Как обрабатываются запросы субъектов данных?	Должна быть возможность подтвердить удаление сохраненных копий, когда субъект данных осуществляет право на удаление.
7	Какие субобработчики задействованы?	Опубликованный список с описаниями, местоположением и механизмом уведомления об изменении субобработчиков.
8	Какие меры безопасности приняты?	Шифрование при передаче и хранении, контроль доступа, соответствующие сертификаты (ISO 27001, SOC 2).
9	Каковы обязательства по уведомлению об утечке?	Уведомление в течение 72 часов (или раньше) с выделенным контактным лицом для инцидентов безопасности.
10	Можете ли вы проверить соответствие?	DPA должно включать права на аудит. Поставщик должен предоставлять документацию о соответствии и назначать DPO.

---

Цена ошибки: Штрафы GDPR в контексте

Штрафы GDPR призваны быть сдерживающими. Низший уровень (Статья 83(4)) предусматривает штрафы до 10 миллионов евро или 2% годового мирового оборота за нарушения со стороны обработчика и нарушения безопасности. Высший уровень (Статья 83(5)) предусматривает штрафы до 20 миллионов евро или 4% годового мирового оборота за нарушения принципов обработки данных и прав субъектов данных.

Тенденция правоприменения очевидна. В 2025 году недостаточным законным основанием для обработки данных было обусловлено 90% общей стоимости штрафов (приблизительно 1,03 млрд евро). TikTok получил штраф в размере 530 миллионов евро в мае 2025 года за незаконную передачу пользовательских данных из ЕС в Китай без адекватных гарантий. Небольшие организации не застрахованы — надзорные органы штрафовали малые и средние предприятия за неадекватные DPA, недостаточную безопасность и чрезмерное хранение.

Репутационные издержки могут превысить финансовые штрафы. Утечка данных, связанная с банковскими выписками или медицинскими записями клиентов, подрывает доверие таким образом, что ни один штраф не сможет исправить.

---

Распространенные нарушения GDPR, связанные с PDF-инструментами

На основе правоприменительной практики и руководящих указаний регулирующих органов, это наиболее частые сбои в обеспечении соответствия, связанные с инструментами обработки документов.

Чрезмерное хранение файлов

Многие онлайн-инструменты для работы с PDF хранят загруженные файлы в течение дней или недель. Обоснование — «чтобы вы могли скачать свой файл позже» — не выдерживает проверки GDPR. Как только конвертация завершена и результат доставлен, исходный файл должен быть удален.

Нераскрытая передача третьим сторонам

PDF-инструмент, который направляет файлы через несколько облачных сервисов — CDN для загрузки, отдельный сервер обработки, API ИИ для OCR — без раскрытия этих субобработчиков, нарушает требования прозрачности. Вы не можете выполнить обязательства контролера, если не знаете, кто обрабатывает ваши данные.

Использование файлов для обучения ИИ

Некоторые инструменты обработки документов подают загруженные файлы в конвейеры машинного обучения. Если это явно не раскрыто и не получено отдельное согласие, это нарушает ограничение цели. Пользователь загрузил файл для конвертации, а не для внесения в набор данных для обучения ИИ.

Отсутствие или неадекватность DPA

Работа в качестве обработчика данных без DPA является нарушением GDPR как для обработчика, так и для контролера. Контролеры несут явную обязанность обеспечить наличие DPA до начала обработки.

Недостаточная безопасность для временного хранения

Даже краткосрочно хранимые файлы должны быть защищены. Хранение загруженных PDF в незашифрованных временных каталогах, доступных по предсказуемым URL-адресам или без надлежащего контроля доступа, является нарушением мер безопасности согласно Статье 32.

Отсутствие механизма для запросов на удаление

Если субъект данных осуществляет свое право на удаление, вы должны убедиться, что все обработчики удаляют соответствующие данные. Поставщик PDF-инструмента без документированного процесса обработки таких запросов создает пробел в соответствии.

---

Практические шаги для команд по обеспечению соответствия

Если вы отвечаете за закупку инструментов или защиту данных в вашей организации, вот упрощенный подход к выбору PDF-инструмента.

1. Проведите аудит текущих инструментов. Определите каждый используемый PDF-инструмент, включая теневое ИТ. Отдельные сотрудники часто используют любой бесплатный онлайн-инструмент, который они находят первым.
2. Классифицируйте по типу обработки. Для каждого инструмента определите, обрабатывает ли он файлы локально или загружает их на сервер.
3. Запросите DPA. Для любого облачного инструмента запросите Соглашение об обработке данных. DPA недоступно? Планируйте миграцию.
4. Проверьте политики конфиденциальности на наличие красных флагов. Расплывчатые условия передачи, чрезмерное хранение, вторичное использование данных, нераскрытые субобработчики.
5. Стандартизируйте инструменты, работающие в браузере, где это возможно. Это устраняет целые категории рисков несоответствия.
6. Документируйте свою оценку. Принцип подотчетности GDPR (Статья 5(2)) требует демонстративного соответствия. Записывайте свою оценку и обоснование.
7. Пересматривайте ежегодно. Политики конфиденциальности, субобработчики и решения об адекватности меняются. Планируйте периодическую переоценку.

---

Заключение

Соответствие GDPR для PDF-инструментов — это не просто проставление галочек. Речь идет об фундаментальной истине: PDF-файлы содержат персональные данные, и каждый инструмент, обрабатывающий эти PDF-файлы, является частью вашей цепочки обработки данных.

Самый простой и самый эффективный путь к соответствию: выбирайте инструменты, которые обрабатывают файлы в вашем браузере, где это возможно. Когда серверная обработка неизбежна, настаивайте на шифровании, немедленном удалении, четких DPA и прозрачных практиках.

PDFSub был разработан с учетом этой реальности: обработка в браузере по умолчанию, со строгими протоколами серверной обработки при необходимости дополнительной вычислительной мощности. Просмотрите все 77+ инструментов и начните 7-дневную бесплатную пробную версию, чтобы увидеть, как работает конфиденциальная обработка PDF на практике.

Ваши клиенты доверяют вам свои самые конфиденциальные документы. Убедитесь, что ваши инструменты заслуживают этого доверия.