GDPR для українського бізнесу: чи потрібен сервер у ЄС?

Практичний посібник для українських компаній, які розміщують сайт, інтернет-магазин чи застосунок і хочуть зрозуміти, що залишається на їхній відповідальності. Стан на 30.09.2026.

Коротка відповідь

  1. 1Розташування сервера саме по собі не вирішує, чи діє GDPR. За ст. 3(2) GDPR (текст на gdpr-info.eu) регламент застосовується до обробки даних осіб, які перебувають у Союзі, контролером або обробником поза ЄС, якщо обробка пов'язана з пропонуванням їм товарів чи послуг або зі стеженням за їхньою поведінкою.
  2. 2Тобто український інтернет-магазин, який продає покупцям у ЄС, може потрапляти під GDPR незалежно від того, де стоїть сервер. І навпаки, сервер у ЄС не робить компанію «відповідною GDPR» автоматично.
  3. 3Сервер у ЄС має практичні переваги: договір обробки даних, зрозуміла юрисдикція інфраструктури та менше питань від європейських клієнтів. Це не заміна правового аналізу.
  4. 44hosting розміщує сервери у Франкфурті в ЄС, не в Україні. Ми не сертифікуємо відповідність клієнта і не підписуємо юридичну відповідність замість нього. Стан на 30.09.2026.

Коли GDPR стосується компанії з України

Ключове питання: чи пропонуєте ви товари або послуги людям в ЄС, чи стежите за їхньою поведінкою (наприклад, аналітика й профілювання відвідувачів з ЄС). Якщо так, ст. 3(2) GDPR може застосовуватися, навіть якщо у вас немає офісу в ЄС.

Чи потрібен у такому разі представник в ЄС та які ще обов'язки виникають, залежить від вашої ситуації. Перевірте текст регламенту на EUR-Lex і, за потреби, попросіть висновок юриста.

Український закон про захист персональних даних

В Україні діє власний закон про захист персональних даних. Під час підготовки цієї сторінки сайт zakon.rada.gov.ua був недоступний, тому ми не цитуємо його статті й строки. Читайте актуальний текст закону та роз'яснення Уповноваженого Верховної Ради України з прав людини.

Практично це означає, що для даних українських користувачів вам, імовірно, треба враховувати українське законодавство, а для даних осіб з ЄС ще й GDPR. Ці режими можуть діяти одночасно.

Що дає сервер у ЄС і чого він не дає

Дає: інфраструктуру у Франкфурті, договір обробки даних (DPA) у сенсі ст. 28 GDPR і стандартні договірні положення (SCC) для передач даних. Ми не публікуємо цифр затримки: з Франкфурта вона зазвичай невелика для користувачів у Європі, але це якісна, а не виміряна характеристика.

Не дає: автоматичної відповідності GDPR, юридичного висновку чи відповідальності за ваші процеси обробки. Оператор даних, тобто ваша компанія, визначає мету й спосіб обробки та відповідає за них.

Три приклади

Інтернет-магазин із Києва, що доставляє у Польщу та Німеччину

Покупці з ЄС залишають імена, адреси й телефони. Власник складає реєстр: які дані збирає, де вони зберігаються, хто має доступ. Питання застосування ст. 3(2) GDPR він обговорює з юристом, а хостинг вносить до реєстру як виконавця за договором.

ІТ-аутсорсингова компанія зі Львова з клієнтами з ЄС

Компанія обробляє персональні дані клієнтів свого замовника. Вона підписує з замовником договір обробки даних, а з хостинг-провайдером окремий DPA й веде перелік субпідрядників.

Український сайт без покупців з ЄС

Локальний сервіс працює лише для України. Тут головне українське законодавство, а сервер у ЄС можна вибрати з інших причин, наприклад через близькість до європейських користувачів у майбутньому. Але сам вибір сервера GDPR «не вмикає».

Поширені помилки

  • Вважати, що сервер у ЄС автоматично робить компанію відповідною GDPR.
  • Вважати, що сервер в Україні виводить компанію з-під GDPR, попри пропонування послуг людям в ЄС.
  • Не мати письмового договору з виконавцем, який адмініструє сервери.
  • Не знати, де саме зберігаються дані: пошта, таблиці, бази даних, резервні копії.
  • Не перевіряти відновлення з резервної копії та не мати плану на випадок компрометації сервера.

Чим допомагає 4hosting

  • Інфраструктура в ЄС, у Франкфурті, а не в Україні, із захистом від DDoS рівнів L3/L4 до 1,5 Тбіт/с у складі.
  • Договір обробки даних (DPA) за ст. 28 GDPR і стандартні договірні положення для передач даних; вирівнювання за ISO 27001, що не є сертифікацією ISO 27001.
  • Щомісячні години послуг DevOps і CyberSecurity у тарифі, зокрема Hardening & Compliance, WAF & DDoS, SIEM & Incident Response. Години замовляються в панелі клієнта; понад квоту оплачується окремо.
  • Підтримка англійською та румунською. Рахунки виставляються в євро.
  • 4hosting не має сертифікацій NIS2, ISO чи SOC 2, не сертифікує відповідність клієнта і не підписує юридичну відповідність замість нього.

Поширені запитання

Чи потрібен мені сервер у ЄС, якщо я український бізнес?

Ні, GDPR не вимагає конкретного розташування сервера. Він регулює обробку даних за ст. 3 і передачі за розділом V. Сервер у ЄС можна обрати з практичних причин, але це не заміна аналізу вашої ситуації.

Чи робить сервер у ЄС мою компанію відповідною GDPR?

Ні. Відповідність залежить від ваших процесів: підстав обробки, прав осіб, безпеки, договорів з виконавцями. Хостинг є лише однією частиною цього.

Чи гарантує 4hosting відповідність законодавству?

Ні. 4hosting надає інфраструктуру, DPA та послуги DevOps і CyberSecurity. Відповідальність за відповідність вашої компанії залишається за вами.

Дивіться також