Стаття 9 GDPR містить закритий перелік особливих категорій: расове походження, політичні погляди, релігія, членство у профспілці, генетичні дані, біометричні дані для однозначної ідентифікації, дані про здоров’я і статеве життя. Номера паспорта там немає. Як немає ні імені, ні дати народження, ні громадянства. Усе це звичайні персональні дані, яким достатньо підстави за статтею 6.
Але в переліку є біометричні дані — і вирішальні в цьому пункті три слова: «для однозначної ідентифікації». Фотографія у скані паспорта сама собою ще не біометрія. Вона стає нею тоді, коли проходить спеціальну технічну обробку, призначену однозначно ідентифікувати людину. Саме так це тлумачить іспанський регулятор у звіті 0036/2020, і саме на цьому стоїть різниця між зберіганням фото і його звіркою.
Для агенції наслідок дуже конкретний. Прийняти скан паспорта, прочитати MRZ, витягти ім’я, номер і строк дії — звичайна обробка, одна підстава за статтею 6. Додати звірку селфі з фотографією в паспорті — це вже стаття 9, і до наявної підстави потрібна окрема умова за частиною 2, на практиці зазвичай явна згода.
Тобто одна функція в налаштуваннях OCR змінює юридичний режим усього процесу. У документації вендорів OCR цього не написано: там це просто ще одна опція в прайсі.
Режим визначається двічі. Перший раз — місцем, де зареєстрована агенція і де вона обробляє дані. Другий раз — місцем, звідки прийшли дані кандидата. Агенція в Дубаї, яка набирає кандидатів в Індії, потрапляє під обидва режими, і жоден з них не скасовує інший.
| Режим | Підстава обробки | Транскордонна передача | Статус чинності |
|---|---|---|---|
| GDPR — ЄС, Польща, Чехія | Стаття 6, плюс стаття 9 для біометрії | Адекватність, SCC, BCR | Повна чинність з 2018 року |
| KVKK — Туреччина | Явна згода або виняток у законі | Адекватність, належні гарантії, разові випадки | Зміни чинні з 12.03.2024 |
| PDPL — ОАЕ | Згода за замовчуванням, 10 винятків | Адекватність визначає Data Office | Підзаконні акти не опубліковані |
| DPDP — Індія, країна-джерело | Згода | Правила оприлюднено 13.11.2025 | Основні обов’язки з 13.05.2027 |
Туреччина — найгостріше просто зараз. Після змін 2024 року транскордонна передача стоїть на трьох опорах: рішення про адекватність, належні гарантії і разові випадки. Найпоширеніша опора — стандартний договір. Пастка в тому, що підписати його недостатньо: договір треба повідомити Раді протягом п’яти робочих днів від дати підписання, і саме неповідомлення є окремою підставою для адміністративного штрафу.
ОАЕ — тут треба бути чесними, бо ясності немає. Підзаконні акти до PDPL мали вийти протягом шести місяців від ухвалення закону. За довідником DLA Piper станом на 6 січня 2025 року вони так і не були опубліковані, а після публікації компаніям дадуть ще шість місяців на приведення процесів у відповідність. Частина вторинних джерел згадує рішення Кабінету 33/2024, але жодне з них не посилається на первинний акт в офіційному віснику. Практичний висновок простий: будь-який вендор, який продає вам «сертифіковану відповідність PDPL», продає те, що зараз неможливо перевірити.
Індія — тут є календар, і він уже йде. Правила DPDP оприлюднено 13 листопада 2025 року. З 13 листопада 2026 року запрацює реєстрація Consent Manager. Основні обов’язки — повідомлення, заходи безпеки, сповіщення про витік і права суб’єкта даних — набувають чинності 13 травня 2027 року. Для агенції, яка набирає кандидатів в Індії, це реальний дедлайн, а не абстракція.
GDPR — діє повністю і перехідного періоду не має. Якщо ваш процес не відповідає йому сьогодні, він не відповідає йому сьогодні.
Агенції, які возять персонал у Затоку, збирають не лише паспорти. Довідка про придатність до роботи — обов’язковий документ коридору, і це дані про здоров’я. За GDPR вони прямо названі в статті 9, тобто потребують окремої підстави, а не тієї, що у вас уже є на паспорт.
В ОАЕ діє жорсткіше обмеження: дані про здоров’я не можна передавати за межі країни, крім випадків, дозволених Федеральним міністерським рішенням 51/2021. Тобто рішення «складемо всі документи кандидата в одну папку в хмарі» може бути законним для паспорта і незаконним для медичної довідки в тій самій папці.
Це рідко кому спадає на думку, бо в операційному процесі обидва документи приходять від однієї людини в один день і лягають в одне місце.
Це найчастіша причина, через яку аудит у коридорі Затоки дає зауваження. Не паспорти, а медичні довідки поруч з ними.
Поширена помилка — вважати, що GDPR вимагає тримати дані в ЄС. Не вимагає. Він вимагає законного механізму передачі: рішення про адекватність, стандартні договірні положення або обов’язкові корпоративні правила. Зберігання в ЄС просто знімає це питання з порядку денного, а не є обов’язком саме по собі.
Для агенції, яка працює в кількох коридорах одночасно, практична різниця така. Хмарний OCR зі США означає транскордонну передачу з кожним сканом, і цю передачу треба чимось покрити в кожному з чотирьох режимів. OCR, що працює на вашому сервері, прибирає передачу як факт — і разом з нею прибирає більшість питань на аудиті.
Це не аргумент «self-hosted завжди краще». Це аргумент про те, що вибір місця обробки — частина юридичної конструкції, і приймати його має не той, хто порівнював ціну за тисячу сторінок.
Ми вендор програмного забезпечення, а не юридична фірма. Це опис того, як влаштовані режими і які дати вже зафіксовані — не юридична консультація. Перед тим як будувати на цьому процес, звіряйтеся зі своїм юристом у кожній юрисдикції.
Ні. Стаття 9 містить закритий перелік, і номера паспорта в ньому немає. Це звичайні персональні дані, яким потрібна підстава за статтею 6. Особливою категорією обробка стає тоді, коли ви додаєте біометричну звірку.
Коли фотографія проходить спеціальну технічну обробку, призначену однозначно ідентифікувати людину — наприклад, звірку селфі з фото в паспорті. Саме лише читання MRZ і зберігання скана цього не створює.
Так, якщо передача покрита законним механізмом — рішенням про адекватність, стандартними договірними положеннями або корпоративними правилами. GDPR вимагає механізму, а не географії.
Сам PDPL ухвалено, але підзаконні акти станом на останнє оновлення довідника DLA Piper не опубліковані, а після публікації буде ще шість місяців на приведення у відповідність. Тому твердження про «сертифіковану відповідність PDPL» сьогодні перевірити неможливо.
Основні обов’язки за DPDP набувають чинності 13 травня 2027 року. Реєстрація Consent Manager — з 13 листопада 2026 року. Правила оприлюднено 13 листопада 2025 року.
Почнемо з короткого брифу — відповімо з оцінкою.