Защита данных для израильской компании, продающей в Европу: когда применяется GDPR, представитель в ЕС, решение об адекватности и Поправка 13

Тель-авивская компания-разработчик программного обеспечения, продающая подписки в Германии, израильский интернет-магазин, доставляющий товары в Румынию, или маркетинговая компания, ведущая таргетированные кампании во Франции, - все они могут подпадать под Общий регламент ЕС по защите данных (GDPR), даже не имея офиса, сотрудника или банковского счёта в Европе. В гиде объясняется, когда это происходит, каковы основные обязанности, что означают решение об адекватности в отношении Израиля и Поправка 13 к Закону о защите частной жизни и что нужно проверить. Информация актуальна на ноябрь 2026 года.

1Когда GDPR применяется к израильской компании без присутствия в Европе?

Согласно статье 3(2) GDPR, регламент применяется к организации, не учреждённой в ЕС, когда обработка связана с одним из двух видов деятельности: предложением товаров или услуг субъектам данных, находящимся в ЕС, платно или бесплатно, или отслеживанием их поведения в той мере, в какой это поведение происходит в ЕС.

2Каковы основные обязанности, когда GDPR применяется?

Обязанности аналогичны обязанностям европейской компании: правовое основание для каждой обработки, прозрачность по отношению к пользователям, соблюдение их прав, безопасность данных и уведомление об инцидентах безопасности. Главное отличие для компании за пределами ЕС - обязанность назначить представителя.

• Правовое основание: для каждой цели обработки необходимо основание из статьи 6 - согласие, необходимость для исполнения договора, юридическая обязанность, законный интерес и др.
• Политика конфиденциальности: понятная информация о том, что собирается, зачем, как долго хранится, кому передаётся и какие права есть у пользователя.
• Права субъектов данных: доступ, исправление, удаление, ограничение, переносимость и возражение, с внутренней процедурой своевременного ответа.
• Реестр операций по обработке по статье 30, с учётом исключений для небольших организаций.
• Безопасность и уведомление об инциденте: надлежащие меры безопасности, а при инциденте безопасности, создающем риск, - уведомление надзорного органа, как правило, в течение 72 часов.
• Передача данных: передача из ЕС в третью страну требует основания - решения об адекватности, стандартных договорных положений или иного механизма.

3Нужен ли израильской компании представитель в ЕС по статье 27?

Как правило, да. Статья 27 устанавливает, что при применении статьи 3(2) контролёр или обработчик в письменной форме назначают представителя в ЕС. Представитель должен быть учреждён в одном из государств, в которых находятся субъекты данных, которым компания предлагает услуги или поведение которых отслеживает.

• Исключение: обязанность не распространяется на эпизодическую обработку, которая не включает масштабную обработку специальных категорий данных (например, о здоровье) или данных о судимостях и не может создать риск для прав лиц. Компании, регулярно продающей в Европу, как правило, будет трудно подпасть под это исключение.
• Роль представителя: адресат обращений надзорных органов и субъектов данных и ведение реестра обработки по запросу органа. Он не заменяет инспектора по защите данных (DPO), обязанность назначения которого рассматривается отдельно.
• Порядок назначения: письменный договор с представителем и публикация его данных в политике конфиденциальности.
• Ответственность: назначение представителя не переносит на него ответственность компании; компания остаётся ответственной за соблюдение регламента.

4Что даёт решение ЕС об адекватности в отношении Израиля?

Решение Комиссии 2011/61/EU от января 2011 года установило, что Израиль обеспечивает надлежащий уровень защиты персональных данных, передаваемых ему из ЕС. 15 января 2024 года Комиссия опубликовала доклад о первом обзоре одиннадцати прежних решений об адекватности, в том числе в отношении Израиля, и установила, что они продолжают действовать.

• Что оно облегчает: европейский клиент или партнёр может передавать персональные данные компании в Израиле без стандартных договорных положений и без отдельной оценки рисков передачи в рамках этого решения.
• Чего оно не делает: оно не освобождает израильскую компанию от GDPR при применении статьи 3(2) и не отменяет обязанность назначить представителя, соглашение об обработке данных или права пользователей.
• Последующая передача: когда израильская компания передаёт данные поставщику в другой третьей стране, например облачному сервису в США, для такой передачи необходимо отдельное основание.
• Мониторинг: Комиссия объявила, что продолжит следить за развитием ситуации в рассмотренных странах, а организации гражданского общества призвали пересмотреть решение в отношении Израиля. Стоит следить за обновлениями.

5Что изменилось в Израиле с Поправкой 13 к Закону о защите частной жизни?

Поправка 13 к Закону о защите частной жизни, 5741-1981, была принята Кнессетом в августе 2024 года и вступила в силу 14 августа 2025 года. Она расширила полномочия Управления по защите частной жизни, включая право налагать денежные санкции, и установила обязанность назначать ответственного за защиту частной жизни в определённых организациях.

• Ответственный за защиту частной жизни: Управление опубликовало руководящие указания, а льготный период для применения санкций за неназначение истёк 31 октября 2025 года. Распространяется ли обязанность на конкретную компанию, зависит от вида и объёма её деятельности.
• Правоприменение: Управление объявило, что часть санкций может налагаться и без предварительного предупреждения.
• Две системы параллельно: израильская компания, продающая в Европу, подчиняется израильскому праву в отношении всей своей базы данных и GDPR - в отношении деятельности, связанной с лицами в ЕС. Соответствие GDPR, как правило, облегчает и соблюдение израильского права, но требования не идентичны, и каждое из них нужно проверять отдельно.

6Что должно быть в соглашении об обработке данных (DPA) с поставщиками?

Каждый поставщик, обрабатывающий персональные данные от имени компании, - облачный сервис, CRM, сервис рассылок, служба поддержки - должен подписать соглашение об обработке данных, соответствующее статье 28. Когда израильская компания сама является поставщиком европейского клиента, клиент потребует от неё такого соглашения.

• Обработка только по документированным указаниям контролёра и для установленных целей.
• Обязанность конфиденциальности для сотрудников, имеющих доступ к данным.
• Надлежащие меры безопасности.
• Условия привлечения субобработчика, включая предварительное согласие или уведомление и возможность возразить.
• Содействие контролёру в ответах на запросы субъектов данных и в уведомлении об инцидентах безопасности.
• Удаление или возврат данных по окончании сотрудничества.
• Право на аудит и предоставление информации, необходимой для подтверждения соблюдения обязанностей.

7Каковы правила для cookies и отслеживания на сайте?

Для cookies, не являющихся необходимыми для работы сайта, - аналитики, таргетированной рекламы, пикселей социальных сетей - как правило, требуется предварительное согласие пользователя в ЕС. Это требование вытекает из статьи 5(3) Директивы ePrivacy, которая имплементирована в национальное законодательство каждого государства, поэтому в деталях между странами есть различия.

• Баннер согласия, позволяющий отказаться так же легко, как согласиться, без предварительно проставленных отметок.
• Никакой загрузки сторонних инструментов до получения согласия.
• Политика в отношении cookies с перечнем инструментов, целей и сроков хранения.
• Документирование согласия и возможность его отозвать.

8Чек-лист для израильской компании, продающей в Европу

1. Составить карту данных: какие персональные данные собираются у лиц в ЕС, где они хранятся и каким поставщикам передаются.
2. Определить применимость: есть ли целевое предложение или отслеживание по статье 3(2).
3. Назначить представителя в ЕС, если исключение не применяется, и опубликовать его данные.
4. Проверить обязанность назначить DPO по GDPR и по Поправке 13 в Израиле.
5. Обновить политику конфиденциальности и политику в отношении cookies и установить механизм получения согласия.
6. Подписать соглашения об обработке данных со всеми поставщиками и проверить основание для последующих передач за пределы Израиля и ЕС.
7. Подготовить процедуру на случай инцидента безопасности, позволяющую соблюсти срок уведомления.
8. Подготовить процесс ответа на запросы субъектов данных.
9. Документировать принятые решения, включая реестр обработки и оценки воздействия, когда они требуются.

9Что проверить перед выходом на европейский рынок и как мы сопровождаем этот процесс

Перед запуском продукта или кампании в Европе стоит проверить, влечёт ли деятельность применение GDPR, каких договоров с поставщиками и клиентами не хватает и как соответствие GDPR сочетается с израильскими требованиями после Поправки 13. Мы помогаем в анализе применимости, проверке и составлении соглашений об обработке данных, условий использования и политики конфиденциальности, а также в координации с представителем в ЕС и с техническими и местными консультантами по мере необходимости.

Ещё по теме: Деятельность израильской компании в Румынии · Компания за рубежом: сравнение стран · Бизнес с израильским партнёром

Читать дальше · 10 мин чтенияПостоянное представительство и удалённый работник за рубежом: когда израильская компания облагается налогом в стране работника и как быть с заработной платой и Национальным страхованиемУдалённый работник за рубежом может создать израильской компании постоянное представительство: агент, стройплощадка, OECD 2025, зарплата и соцстрахование.Читать руководство