Щоразу, коли ви об’єднуєте контракт, редагуєте рахунок-фактуру або конвертуєте банківську виписку в Excel за допомогою онлайн-інструменту для роботи з PDF, виникає питання, яке більшість людей ніколи не ставить: куди саме пішов цей файл?

PDF-файли — це не просто безпечні контейнери для форматування. Вони містять імена, адреси, номери банківських рахунків, зарплати, медичні діагнози та юридичні угоди. Загальний регламент захисту даних ЄС (GDPR) не цікавить, чи мали ви намір «обробляти персональні дані» — його цікавить, чи зробили ви це. І якщо ваш PDF-інструмент завантажив цей файл на сервер, відповідь — так.

Цей посібник детально розглядає, як GDPR застосовується до PDF-інструментів, що вимагає відповідність від постачальників інструментів і як оцінити будь-який інструмент, перш ніж довіряти йому конфіденційні документи.

GDPR Compliance for PDF Tools - what to look for when choosing privacy-compliant document tools

Середній бізнес обробляє тисячі PDF-файлів щомісяця. Внутрішні документи відділу кадрів, контракти з клієнтами, банківські виписки, рахунки-фактури, податкові форми, медичні записи, юридичне листування — практично всі вони містять персональні дані, як це визначено GDPR.

Стаття 4(1) GDPR широко визначає персональні дані: «будь-яка інформація, що стосується ідентифікованої або ідентифікованої фізичної особи». Це включає:

Імена та контактні дані, що містяться в рахунках-фактурах, контрактах та листуванні
Фінансові дані, включаючи номери рахунків, історію транзакцій, зарплати та податкову інформацію в банківських виписках та розрахункових листках
Медична інформація в медичних записах, страхових документах та оцінках інвалідності
Державні ідентифікатори, такі як номери національних посвідчень, податкові номери та номери соціального страхування
Юридична інформація в контрактах, судових документах та звітах про відповідність

Коли ви відкриваєте PDF, що містить будь-які з цих даних, і обробляєте його за допомогою онлайн-інструменту — об’єднання, розділення, конвертація, стиснення або редагування — ви обробляєте персональні дані. Ця обробка підпадає під дію GDPR незалежно від того, чи було вилучення персональних даних вашим наміром.

Наслідки не є теоретичними. Згідно зі звітом DLA Piper GDPR Fines and Data Breach Survey (січень 2026 року), сукупні штрафи з моменту набрання чинності GDPR досягли 7,1 мільярда євро, причому 1,2 мільярда євро було накладено лише у 2025 році. Недотримання загальних принципів обробки даних — категорії, найбільш релевантної для того, як PDF-інструменти обробляють ваші файли — становить п’ять із десяти найбільших штрафів, коли-небудь накладених.

Перш ніж оцінювати PDF-інструменти з точки зору відповідності, вам потрібно зрозуміти чотири основні концепції. Цей розділ пропускає юридичний жаргон і зосереджується на тому, що кожна концепція означає на практиці.

Персональні дані

Будь-яка інформація, яка може ідентифікувати особу, прямо чи опосередковано. Ім'я в контракті — це персональні дані. Номер банківського рахунку у виписці — це персональні дані. Адреса електронної пошти у формі PDF — це персональні дані. Навіть дані, які ідентифікують когось лише в поєднанні з іншою інформацією, враховуються — наприклад, поштовий індекс плюс дата народження.

Якщо PDF, який ви обробляєте, містить інформацію про будь-яку ідентифіковану особу, ви маєте справу з персональними даними.

Контролер даних проти Обробника даних

Контролер даних визначає, чому і як обробляються персональні дані. Якщо ви є бізнесом, який вирішив використовувати PDF-інструмент для конвертації банківських виписок ваших клієнтів, ви є контролером.

Обробник даних обробляє дані від імені контролера. Постачальник PDF-інструменту є обробником — він обробляє дані відповідно до ваших інструкцій (конвертувати цей файл, об’єднати ці документи, вилучити цю таблицю).

Ця відмінність має значення, оскільки GDPR накладає зобов’язання на обидві ролі. Контролери повинні вибирати обробників, які пропонують «достатні гарантії» відповідності (Стаття 28). Обробники повинні дотримуватися інструкцій контролера та впроваджувати відповідні заходи безпеки. Якщо ваш постачальник PDF-інструменту не захищає персональні дані, ви обидва можете нести відповідальність.

Законна підстава для обробки

Стаття 6 вимагає законної підстави для обробки персональних даних. Для більшості бізнес-використань PDF-інструментів відповідними підставами є законні інтереси (реальна бізнес-причина, така як конвертація банківських виписок для бухгалтерського обліку), виконання договору (обробка, необхідна для виконання договірного зобов’язання) або згода (менш поширено в B2B робочих процесах). Законна підстава повинна існувати до початку обробки.

Права суб’єкта даних

Особи, чиї дані з’являються в цих PDF-файлах, мають права згідно з GDPR. Найбільш релевантними для використання PDF-інструментів є право доступу (Стаття 15 — запит копії персональних даних), право на видалення (Стаття 17 — запит на видалення, коли дані більше не потрібні або відкликано згоду) та право на переносимість даних (Стаття 20 — запит даних у машиночитаному форматі).

Контролери повинні відповідати протягом одного місяця. Якщо ваш постачальник PDF-інструменту зберіг копії документів, що містять дані цієї особи, ви повинні мати можливість забезпечити видалення цих копій.

Не кожне використання PDF-інструменту створює зобов’язання за GDPR. Відмінність проста, але критично важлива.

Сценарій 1: Обробка в браузері (без передачі)

Ви відкриваєте PDF-інструмент у своєму браузері, вибираєте файл, і він обробляється повністю за допомогою клієнтського коду. Файл ніколи не залишає ваш пристрій.

У цьому сценарії постачальник PDF-інструменту не є обробником даних згідно з GDPR. Персональні дані не передавалися. DPA не потрібна. Це найчистіший підхід з точки зору відповідності.

Сценарій 2: Хмарна обробка (передача обробнику)

Ви завантажуєте PDF до сервера онлайн-інструменту. Сервер обробляє файл — конвертує, об’єднує, вилучає або виконує будь-яку іншу вибрану вами операцію — і повертає результат. Протягом цього часу файл існував на інфраструктурі постачальника.

У цьому сценарії постачальник PDF-інструменту є обробником даних згідно з GDPR. Ви, як контролер, передали персональні дані обробнику. Це викликає каскад юридичних вимог:

Угода про обробку даних (DPA) повинна бути укладена до передачі
Обробник повинен впровадити відповідні технічні та організаційні заходи для захисту даних
Якщо обробник знаходиться за межами ЄС/ЄЕЗ, передача є міжнародною передачею даних, що підлягає додатковим заходам безпеки

Сценарій 3: Обробка за допомогою ШІ (додаткові міркування)

Деякі PDF-інструменти використовують ШІ або машинне навчання для обробки документів — для OCR, вилучення даних, узагальнення або перекладу. Якщо це передбачає надсилання вашого файлу до стороннього сервісу ШІ (Google Gemini, OpenAI GPT тощо), постачальник ШІ є субобробником. Ланцюг зобов’язань розширюється далі:

Постачальник PDF-інструменту потребує вашого дозволу на використання субобробників
Субобробник повинен бути пов’язаний еквівалентними зобов’язаннями щодо захисту даних
Ви повинні знати, які сервіси ШІ використовуються і де вони обробляють дані
Повинні бути чіткі зобов’язання щодо того, що ваші файли не використовуються для навчання моделей ШІ

GDPR compliance features for PDF tools: 6-feature grid with red flags checklist and fine tier reference

Якщо PDF-інструмент обробляє файли на своїх серверах — роблячи його обробником даних — GDPR встановлює конкретні вимоги. Ось на що слід звернути увагу.

Угода про обробку даних (DPA)

Стаття 28 GDPR робить це обов’язковою. Будь-який обробник даних повинен мати письмову DPA з кожним контролером. DPA повинна визначати характер і мету обробки, типи персональних даних, категорії суб’єктів даних, зобов’язання обробника щодо безпеки та конфіденційності, правила щодо субобробників, вимоги до видалення даних після припинення дії, а також права контролера на аудит.

Постачальник PDF-інструменту, який не пропонує DPA, є ризиком для відповідності. Будь-який легітимний хмарний обробник повинен мати стандартну DPA.

Обмеження мети

Стаття 5(1)(b) GDPR стверджує, що персональні дані повинні бути «зібрані для визначених, явних і законних цілей і не оброблятися далі у спосіб, несумісний з цими цілями».

Для PDF-інструменту мета зрозуміла: ви завантажили файл для конвертації, об’єднання, розділення або іншої трансформації. Постачальник може обробляти ваш файл лише для цієї зазначеної мети. Вони не можуть аналізувати ваші документи для отримання рекламних інсайтів. Вони не можуть використовувати ваш файл для навчання моделей ШІ. Вони не можуть ділитися вашими даними з партнерами для маркетингових цілей.

Якщо політика конфіденційності інструменту містить формулювання про використання завантажених файлів «для покращення наших послуг» або «для дослідницьких цілей», це є порушенням обмеження мети, яке чекає на своє виявлення.

Мінімізація даних

Стаття 5(1)(c) вимагає, щоб персональні дані були «адекватними, релевантними та обмеженими тим, що необхідно у зв’язку з цілями, для яких вони обробляються».

На практиці це означає, що PDF-інструмент повинен мати доступ лише до тих частин вашого файлу, які необхідні для запитуваної операції. Він не повинен вилучати метадані, реєструвати вміст документів або зберігати інформацію, що перевищує необхідну для виконання завдання.

Найсильніша форма мінімізації даних — це взагалі не збирати дані, що саме досягається обробкою в браузері.

Заходи безпеки

Стаття 32 вимагає «відповідних технічних та організаційних заходів», пропорційних ризику. Для PDF-інструменту це означає шифрування під час передачі (TLS/HTTPS), шифрування при зберіганні, належний контроль доступу, безпечні середовища хостингу та регулярне тестування безпеки. Постачальник, який не може описати свою архітектуру безпеки, не повинен обробляти ваші файли.

Зберігання та видалення файлів

Ось де багато PDF-інструментів зазнають невдачі. Принцип обмеження зберігання GDPR (Стаття 5(1)(e)) вимагає, щоб персональні дані «зберігалися у формі, що дозволяє ідентифікувати суб’єктів даних, не довше, ніж це необхідно».

Для PDF-інструменту необхідний термін — це час, необхідний для завершення операції обробки та надання результату. Після того, як ви завантажили свій конвертований файл, постачальник не повинен мати причин зберігати оригінал або результат.

Деякі інструменти зберігають файли протягом 24 годин, 7 днів або навіть 30 днів. Запитайте себе: навіщо? Зручність для користувача не є законною підставою для зберігання персональних даних. Тривале зберігання створює ризик без відповідної вигоди.

Найкраща практика — негайне видалення після завершення обробки.

Міжнародні передачі даних

Якщо постачальник PDF-інструменту або його субобробники знаходяться за межами ЄС/ЄЕЗ, Розділ V GDPR вимагає додаткових заходів безпеки: рішення про адекватність (Комісія визначила, що країна призначення забезпечує адекватний захист — станом на початок 2026 року це включає Великобританію, Японію, Південну Корею, Канаду та США за Рамковою угодою про захист даних ЄС-США), Стандартні договірні умови (SCCs) або Обов’язкові корпоративні правила (BCRs).

Рамкова угода про захист даних ЄС-США пережила юридичний виклик у вересні 2025 року, але коментатори зазначають, що 2026 рік може принести нову перевірку. Організації, які покладаються на цю рамкову угоду, повинні стежити за розвитком подій.

Повідомлення про порушення

Стаття 33 вимагає від контролерів повідомити наглядовий орган протягом 72 годин після усвідомлення порушення. Для постачальників PDF-інструментів це означає, що вони повинні повідомити вас (контролера) без необґрунтованої затримки, щоб ви могли виконати власні зобов’язання. DPA повинна включати чіткі зобов’язання та терміни повідомлення про порушення.

Червоні прапорці в політиках конфіденційності PDF-інструментів

Політики конфіденційності часто бувають довгими та навмисно розпливчастими. Ось конкретні фрази та практики, які повинні викликати занепокоєння.

«Ми можемо ділитися даними з третіми сторонами для бізнес-цілей»

Розпливчасті умови обміну порушують принцип прозорості. Вам потрібно знати, які саме треті сторони отримують дані, для якої мети та на якій законній підставі. «Бізнес-цілі» — це не законна підстава, а ухилення.

«Файли зберігаються до 30 днів»

Надмірне зберігання без обґрунтування. Якщо мета інструменту — конвертувати PDF, навіщо йому потрібна ваша банківська виписка протягом місяця? Тривалі терміни зберігання збільшують ризик порушення та важко узгоджуються з принципом обмеження зберігання.

«Ми використовуємо завантажені файли для покращення наших послуг»

Це найбільший червоний прапорець. Якщо постачальник інструменту використовує ваші документи — що містять персональні дані ваших клієнтів — для навчання моделей ШІ або покращення своїх алгоритмів, він обробляє персональні дані для мети, яку ви не дозволяли. Це порушує обмеження мети, ймовірно, не має законної підстави та може становити вторинну діяльність з обробки, що вимагає окремої згоди.

Відсутність доступної DPA

Якщо хмарний PDF-інструмент не може надати Угоду про обробку даних, він не відповідає GDPR. Крапка. Стаття 28 однозначна в цьому питанні. Відсутність DPA означає відсутність законної підстави для обробки персональних даних від вашого імені.

Нерозкриття розташування сервера

Якщо постачальник не повідомить вам, де обробляються ваші файли, ви не зможете оцінити, чи вимагає передача додаткових заходів безпеки згідно з Розділом V. Прозорість щодо інфраструктури є базовою вимогою.

Відсутність списку субобробників

GDPR вимагає від обробників інформувати контролерів про субобробників. Якщо інструмент використовує сторонні сервіси для обробки ваших файлів (хмарний хостинг, API ШІ, CDN) і не розкриває їх, ви не можете провести належну перевірку.

Зворотний бік кожного червоного прапорця вище — це зелений прапорець. Але кілька заслуговують на увагу:

Обробка в браузері — це найсильніша функція конфіденційності, яку може запропонувати PDF-інструмент. Коли файл ніколи не залишає ваш пристрій, постачальник ніколи не стає обробником даних. Без передачі персональних даних, без потреби в DPA для цієї операції, без ризику зберігання на сервері. Це не теоретична відмінність — клієнтська обробка справді усуває цілу категорію ризиків відповідності.
Негайне видалення файлів після завершення обробки. Будь-яке зберігання понад це потребує обґрунтування.
DPA, доступна публічно або отримана без виклику відділу продажів для корпоративних клієнтів.
Сервери в ЄС або чітко документовані механізми передачі (рішення про адекватність, SCCs, BCRs) для серверів за межами ЄС/ЄЕЗ.
Відсутність вторинного використання вмісту файлів — зафіксовано письмово, як у політиці конфіденційності, так і в DPA.
Прозорий список субобробників з механізмом сповіщення про зміни субобробників (Стаття 28(2)).

PDFSub був розроблений з архітектурою, орієнтованою на конфіденційність, яка відповідає вимогам GDPR за дизайном, а не як доповнення. PDFSub відповідає GDPR та CCPA, а також готовий до SOC 2.

Обробка в браузері за замовчуванням

Для операцій редагування — об’єднання, розділення, стиснення, обертання — PDFSub обробляє файли у вашому браузері. Конвертації та розширена обробка виконуються за допомогою PDFSub Engine — ізольованої служби без доступу до Інтернету. Файли обробляються в ізольованому середовищі та автоматично видаляються після обробки.

Це не маркетингова заява — це архітектурне рішення. Клієнтська обробка повністю усуває відносини обробника даних для цих операцій. DPA не потрібна. Ризик міжнародної передачі відсутній. Зберігання на сервері відсутнє.

Коли потрібна серверна обробка

Деякі операції вимагають серверної обробки: OCR для сканованих документів, вилучення даних за допомогою ШІ для складних фінансових документів та певні розширені конвертації. Коли це відбувається, PDFSub дотримується суворих протоколів:

Шифрування під час передачі — усі передачі файлів використовують шифрування TLS
Ізольована обробка — файли обробляються в ізольованому середовищі без доступу до Інтернету
Негайне видалення — файли видаляються одразу після завершення обробки
Відсутність навчання на файлах користувачів — завантажені документи ніколи не використовуються для навчання моделей ШІ або покращення алгоритмів
Обмеження мети — файли обробляються виключно для запитуваної операції

DPA доступна для корпоративних клієнтів

PDFSub надає Угоду про обробку даних для корпоративних клієнтів, які потребують формальної документації відносин обробника. Це охоплює сценарії серверної обробки та включає всі обов’язкові положення Статті 28.

Прозорість щодо того, що відбувається

Підхід PDFSub до конфіденційності простий: обробляти локально, коли це можливо, а коли серверна обробка необхідна, мінімізувати викриття даних за допомогою шифрування та негайного видалення. Немає розпливчастих пунктів про «бізнес-цілі». Немає вторинного використання ваших даних.

Ви можете переглянути 84+ інструменти PDFSub та спробувати 7-денну безкоштовну пробну версію, щоб самостійно перевірити модель обробки в браузері, перш ніж приймати рішення.

Використовуйте цей чек-лист при оцінці будь-якого PDF-інструменту на відповідність GDPR. Інструменти, що працюють у браузері, повністю оминають кілька категорій, але для будь-якого хмарного інструменту кожен пункт має значення.

#	Питання	На що звернути увагу
1	Чи обробляє він файли локально?	Обробка в браузері = відсутність передачі даних = відсутність відносин обробника. Перевірте, переглянувши мережевий трафік у інструментах розробника браузера.
2	Чи доступна DPA?	Повинна бути доступна без виклику відділу продажів для корпоративних клієнтів. Повинна включати всі обов’язкові положення Статті 28.
3	Де розташовані сервери?	Обробка в ЄС/ЄЕЗ дозволяє уникнути ускладнень передачі. Якщо за межами ЄС, перевірте наявність рішення про адекватність, SCCs або BCRs.
4	Яка політика зберігання файлів?	Негайне видалення — найкраща практика. Будь-яке зберігання після завершення обробки потребує обґрунтування.
5	Чи використовуються дані для будь-якої вторинної мети?	Політика конфіденційності повинна явно виключати використання вмісту файлів для навчання ШІ, аналітики та реклами.
6	Як обробляються запити суб’єкта даних?	Повинна бути можливість підтвердити видалення збережених копій, коли суб’єкт даних реалізує право на видалення.
7	Які субобробники задіяні?	Опублікований список з описами, розташуванням та механізмом сповіщення про зміни субобробників.
8	Які заходи безпеки впроваджені?	Шифрування під час передачі та при зберіганні, контроль доступу, відповідні сертифікати (ISO 27001, SOC 2).
9	Які зобов’язання щодо повідомлення про порушення?	Повідомлення протягом 72 годин (або раніше) з виділеним контактним пунктом для інцидентів безпеки.
10	Чи можна аудитувати відповідність?	DPA повинна включати права на аудит. Постачальник повинен надавати документацію про відповідність та призначати DPO.

Штрафи GDPR розроблені як стримуючі. Нижчий рівень (Стаття 83(4)) дозволяє штрафи до 10 мільйонів євро або 2% річного глобального обороту за порушення, пов’язані з обробником та безпекою. Вищий рівень (Стаття 83(5)) дозволяє штрафи до 20 мільйонів євро або 4% річного глобального обороту за порушення принципів обробки даних та прав суб’єктів даних.

Тенденція правозастосування очевидна. У 2025 році недостатня правова підстава для обробки даних становила 90% загальної суми штрафів (приблизно 1,03 мільярда євро). TikTok отримав штраф у розмірі 530 мільйонів євро у травні 2025 року за незаконну передачу даних користувачів ЄС до Китаю без належних заходів безпеки. Менші організації не є винятком — наглядові органи штрафували МСП за неадекватні DPA, недостатню безпеку та надмірне зберігання.

Репутаційні витрати можуть перевищити фінансові штрафи. Порушення даних, що стосуються банківських виписок клієнтів або медичних записів, руйнує довіру так, як не може відновити жодна виплата штрафу.

На основі дій з правозастосування та регуляторних рекомендацій, це найчастіші збої у відповідності, пов’язані з інструментами обробки документів.

Надмірне зберігання файлів

Багато онлайн-інструментів для роботи з PDF зберігають завантажені файли протягом днів або тижнів. Обґрунтування — «щоб ви могли завантажити свій файл пізніше» — не витримує перевірки GDPR. Після завершення конвертації та надання результату, оригінальний файл має бути видалений.

Нерозкриття передачі третім сторонам

PDF-інструмент, який маршрутизує файли через кілька хмарних сервісів — CDN для завантаження, окремий сервер обробки, API ШІ для OCR — без розкриття цих субобробників, порушує вимоги прозорості. Ви не можете виконати обов’язки контролера, якщо не знаєте, хто обробляє ваші дані.

Використання файлів для навчання ШІ

Деякі інструменти обробки документів передають завантажені файли в конвеєри машинного навчання. Якщо це чітко не розкрито та не отримано окремої згоди, це порушує обмеження мети. Користувач завантажив файл для конвертації, а не для внеску до набору даних для навчання ШІ.

Відсутні або неадекватні DPA

Робота як обробника даних без DPA є порушенням GDPR як для обробника, так і для контролера. Контролери мають активний обов’язок забезпечити наявність DPA до початку обробки.

Недостатня безпека для тимчасового зберігання

Навіть короткочасно збережені файли повинні бути захищені. Зберігання завантажених PDF у незашифрованих тимчасових каталогах, доступних за передбачуваними URL-адресами, або без належного контролю доступу є порушенням заходів безпеки згідно зі Статтею 32.

Відсутність механізму для запитів на видалення

Якщо суб’єкт даних реалізує своє право на видалення, ви повинні забезпечити видалення відповідних даних усіма обробниками. Постачальник PDF-інструменту без задокументованого процесу обробки таких запитів створює прогалину у відповідності.

Практичні кроки для команд з відповідності

Якщо ви відповідаєте за закупівлю інструментів або захист даних у вашій організації, ось спрощений підхід до вибору PDF-інструментів.

Аудит поточних інструментів. Визначте кожен PDF-інструмент, що використовується, включаючи тіньове ІТ. Окремі співробітники часто використовують будь-який безкоштовний онлайн-інструмент, який вони знаходять першим.
Класифікація за типом обробки. Для кожного інструменту визначте, чи обробляє він файли локально, чи завантажує їх на сервер.
Запит DPA. Для будь-якого хмарного інструменту запитайте Угоду про обробку даних. Немає доступної DPA? Плануйте міграцію.
Перегляд політик конфіденційності на наявність червоних прапорців. Розпливчасті умови обміну, надмірне зберігання, вторинне використання даних, нерозкриті субобробники.
Стандартизуйте інструменти, що працюють у браузері, де це можливо. Це усуває цілі категорії ризиків відповідності.
Документуйте свою оцінку. Принцип підзвітності GDPR (Стаття 5(2)) вимагає демонстрованої відповідності. Записуйте свою оцінку та обґрунтування.
Переглядайте щорічно. Політики конфіденційності, субобробники та рішення про адекватність змінюються. Плануйте періодичну переоцінку.

Висновок

Відповідність GDPR для PDF-інструментів — це не про відзначення галочок. Це про фундаментальну істину: PDF-файли містять персональні дані, і кожен інструмент, який обробляє ці PDF-файли, є частиною вашого ланцюга обробки даних.

Найпростіший шлях до відповідності є також найефективнішим: вибирайте інструменти, які обробляють файли у вашому браузері, де це можливо. Коли серверна обробка неминуча, наполягайте на шифруванні, негайному видаленні, чітких DPA та прозорих практиках.

PDFSub був розроблений саме для цієї реальності — обробка в браузері як стандарт, з суворими протоколами серверної обробки, коли потрібна додаткова обчислювальна потужність. Перегляньте всі 84+ інструменти та почніть 7-денну безкоштовну пробну версію, щоб побачити, як працює обробка PDF з пріоритетом конфіденційності на практиці.

Ваші клієнти довіряють вам свої найконфіденційніші документи. Переконайтеся, що ваші інструменти заслуговують на цю довіру.