GDPR Compliance Checklist for Startups: как AI проверил privacy policy за 15 минут

Большинство европейских стартапов на стадии Seed нарушают как минимум одно требование GDPR. При этом большинство нарушений выявляются автоматически: формулировки в privacy policy, отсутствие обязательных разделов, неправильные правовые основания для обработки данных.

Ручной аудит privacy policy юристом занимает 2–4 часа и стоит €300–800. LLM выполняет первичный аудит за 15 минут. Не заменяет юриста, но находит большинство типичных проблем до того, как за них придёт штраф.

Статья содержит полный GDPR-чеклист для стартапов, готовые промпты для AI-аудита и шаблон privacy policy, прошедший проверку по всем пунктам.

GDPR compliance: что именно требуется от стартапа

GDPR выделяет два типа обязанных субъектов: контроллер данных (решает, зачем и как обрабатываются данные) и процессор (обрабатывает данные по поручению контроллера). Стартап с SaaS-продуктом почти всегда выступает контроллером для данных своих пользователей.

Обязательные требования делятся на три группы.

Документация и прозрачность. Privacy policy должна содержать 13 обязательных элементов по статье 13 GDPR. Язык документа должен быть “clear and plain” (ясный и простой). Cookie banner с реальным выбором, а не предустановленными галочками.

Технические меры. Шифрование данных при передаче и хранении. Механизм удаления данных по запросу. Экспорт данных в машиночитаемом формате (право на портативность). Логирование доступа к персональным данным.

Организационные меры. Назначение DPO (обязательно при обработке данных более 5000 субъектов). Реестр операций по обработке данных (Record of Processing Activities). Процедура уведомления о нарушениях в течение 72 часов. Data Processing Agreement с каждым процессором.

Полный GDPR checklist для стартапов

Чеклист организован по приоритету. Блокирующие нарушения отмечены как критичные.

Privacy policy: обязательные элементы (статья 13)

• Наименование и контактные данные контроллера
• Контактные данные DPO (если назначен)
• Цели обработки данных для каждой категории данных
• Правовое основание для каждой цели обработки (consent, contract, legitimate interest, legal obligation)
• Категории обрабатываемых персональных данных
• Получатели или категории получателей данных (third parties, sub-processors)
• Информация о передаче данных в третьи страны и механизм защиты (SCCs, adequacy decision)
• Сроки хранения данных или критерии их определения
• Права субъекта данных: доступ, исправление, удаление, ограничение обработки, портативность, возражение
• Право отозвать согласие в любой момент
• Право подать жалобу в надзорный орган
• Является ли предоставление данных обязательным и последствия непредоставления
• Наличие автоматизированного принятия решений, включая профилирование

Cookie consent и трекинг

• Cookie banner показывается до установки необязательных cookie
• Кнопки “Принять” и “Отклонить” визуально равнозначны
• Предустановленные галочки отсутствуют (никаких pre-ticked boxes)
• Список cookie с описанием целей и сроков хранения
• Возможность изменить выбор после первоначального решения
• Аналитика (Google Analytics, Mixpanel) не загружается до получения согласия
• Marketing-пиксели (Facebook, LinkedIn) блокируются без согласия

Технические требования

• HTTPS на всех страницах и API endpoints
• Шифрование персональных данных в базе (AES-256 или аналог)
• API endpoint для экспорта данных пользователя (JSON/CSV)
• Механизм полного удаления данных пользователя (не soft delete для персональных данных)
• Логирование доступа к персональным данным (кто, когда, к каким данным)
• Минимизация данных: собираются только данные, необходимые для заявленной цели
• Разграничение доступа: не все сотрудники имеют доступ ко всем данным

Организационные требования

• Record of Processing Activities (ROPA) ведется и актуален
• Data Processing Agreement (DPA) подписан с каждым процессором (AWS, Stripe, SendGrid и т.д.)
• Процедура обработки запросов субъектов данных (SAR) задокументирована
• Процедура уведомления о нарушениях (breach notification) готова
• Оценка воздействия на защиту данных (DPIA) проведена для высокорисковых операций
• Сотрудники прошли обучение по работе с персональными данными

AI-аудит privacy policy: промпты и методология

Аудит состоит из трёх этапов: проверка полноты, анализ формулировок и проверка на противоречия. Для каждого этапа нужен отдельный промпт. Один промпт “проверь всё” даёт поверхностные результаты.

Этап 1: Проверка полноты по статье 13

Ты — GDPR compliance auditor. Проанализируй приведённую ниже privacy policy
на соответствие требованиям статьи 13 GDPR.

Для каждого из 13 обязательных элементов статьи 13 укажи:
- PRESENT: элемент есть, формулировка корректна
- PARTIAL: элемент упомянут, но формулировка неполная или неточная
- MISSING: элемент отсутствует

Обязательные элементы:
1. Наименование и контакты контроллера
2. Контакты DPO
3. Цели обработки
4. Правовое основание для каждой цели
5. Категории данных
6. Получатели данных
7. Трансграничная передача данных
8. Сроки хранения
9. Права субъекта данных
10. Право отзыва согласия
11. Право на жалобу в надзорный орган
12. Обязательность предоставления данных
13. Автоматизированное принятие решений

Формат ответа — таблица с колонками:
Элемент | Статус | Цитата из документа | Рекомендация

Privacy policy для анализа:
[ВСТАВИТЬ ТЕКСТ]

Этап 2: Анализ правовых оснований

Проанализируй правовые основания (legal bases) в приведённой privacy policy.

Для каждой операции обработки данных проверь:

1. Указано ли конкретное правовое основание из статьи 6(1) GDPR:
   (a) consent, (b) contract, (c) legal obligation,
   (d) vital interests, (e) public task, (f) legitimate interest

2. Для consent: описан ли механизм получения и отзыва согласия?
   Является ли согласие freely given, specific, informed, unambiguous?

3. Для legitimate interest: проведён ли balancing test?
   Указан ли конкретный legitimate interest?

4. Для contract: действительно ли обработка необходима для исполнения договора,
   а не просто удобна?

Отметь случаи, где:
- Правовое основание не указано
- Правовое основание выбрано неверно (например, consent для обработки,
  необходимой для исполнения договора)
- Одна операция ссылается на несколько оснований без приоритизации

Privacy policy:
[ВСТАВИТЬ ТЕКСТ]

Этап 3: Проверка формулировок и противоречий

Проверь privacy policy на проблемы с языком и внутренние противоречия.

Критерии проверки:

ЯЗЫК:
- Найди формулировки, нарушающие требование "clear and plain language"
- Отметь юридический жаргон без пояснений
- Найди неопределённые формулировки: "may", "might", "from time to time",
  "and/or", "including but not limited to", "etc."

ПРОТИВОРЕЧИЯ:
- Сроки хранения в одном разделе противоречат другому
- Заявленные цели не совпадают с реальными операциями
- Права субъекта описаны в одном месте шире, чем в другом

ПОЛНОТА:
- Данные собираются (forms, cookies, API), но не описаны в policy
- Third-party сервисы используются, но не указаны как получатели
- Категории данных перечислены не для всех целей обработки

Для каждой находки укажи:
- Тип проблемы (язык / противоречие / пробел)
- Цитата
- Рекомендованная правка

Privacy policy:
[ВСТАВИТЬ ТЕКСТ]

Типичные находки AI-аудита: что LLM находит в большинстве политик

AI-аудит privacy policy стартапов выявляет повторяющиеся паттерны нарушений. Ниже приведены реальные примеры (обезличенные) с пояснениями.

Проблема 1: “Legitimate interest” как универсальная отмазка

Формулировка из реальной privacy policy:

“We process your data based on our legitimate interest to improve our services and provide you with a better experience.”

Почему это нарушение: legitimate interest требует balancing test — взвешивания интереса контроллера против прав субъекта данных. “Улучшение сервиса” слишком расплывчато. Надзорные органы неоднократно штрафовали за использование legitimate interest вместо consent для маркетинговых целей.

Правильная формулировка:

“We process anonymized usage analytics based on our legitimate interest in improving application performance and reliability (Article 6(1)(f) GDPR). We have conducted a balancing test and determined that this processing does not override your rights, as the data is aggregated and cannot identify individual users. For personalized recommendations, we rely on your explicit consent (Article 6(1)(a) GDPR), which you can withdraw at any time in Settings > Privacy.”

Проблема 2: Неопределённые сроки хранения данных

Формулировка:

“We retain your data for as long as necessary to provide our services or as required by law.”

Почему это нарушение: статья 13(2)(a) требует указать конкретные сроки хранения или критерии их определения. “As long as necessary” не является критерием.

Правильная формулировка:

“Account data: retained for the duration of your account plus 30 days after deletion request. Transaction records: retained for 7 years (tax compliance obligation under [local law]). Support tickets: retained for 2 years after resolution. Usage analytics: aggregated after 90 days, raw data deleted.”

Проблема 3: Отсутствие информации о трансграничной передаче

Стартап использует AWS (серверы в US-East), Stripe (США), SendGrid (США), Mixpanel (США), но в privacy policy написано:

“Your data is stored securely on our servers.”

Почему это нарушение: статья 13(1)(f) требует информировать о передаче данных в третьи страны. Использование любого US-based SaaS означает трансграничную передачу. После решения Schrems II это требует дополнительных гарантий (Standard Contractual Clauses).

Правильная формулировка:

“Your data is transferred to the United States through the following processors: Amazon Web Services (hosting), Stripe (payment processing), SendGrid (email delivery). These transfers are protected by Standard Contractual Clauses (SCCs) approved by the European Commission, supplemented by additional technical measures including encryption in transit and at rest.”

Проблема 4: Неразличение обязательных и необязательных данных

Формулировка:

“We collect your name, email, phone number, company name, and job title when you sign up.”

Почему это нарушение: статья 13(2)(e) требует указать, является ли предоставление данных обязательным. Если для регистрации нужен только email, а остальное опционально, это должно быть явно указано. Кроме того, нарушается принцип минимизации данных (статья 5(1)(c)), если все поля обязательны без обоснования.

Проблема 5: Cookie consent без реального выбора

AI-аудит не ограничивается текстом policy. Промпт для проверки cookie-реализации:

Проанализируй HTML-код cookie banner ниже на соответствие GDPR
и ePrivacy Directive.

Проверь:
1. Загружаются ли скрипты аналитики/маркетинга ДО взаимодействия
   пользователя с баннером?
2. Есть ли кнопка "Отклонить все" на первом экране баннера
   (не в подменю)?
3. Равнозначны ли визуально кнопки "Принять" и "Отклонить"
   (размер, цвет, расположение)?
4. Есть ли предустановленные (pre-ticked) переключатели
   для необязательных категорий?
5. Сохраняется ли выбор пользователя и можно ли его изменить позже?

HTML-код:
[ВСТАВИТЬ КОД БАННЕРА]

Шаблон privacy policy для SaaS-стартапа

Шаблон закрывает все 13 элементов статьи 13. Секции помечены комментариями с номером требования. Текст намеренно конкретный — абстрактные формулировки заменяются на плейсхолдеры [ЗАПОЛНИТЬ].

# Privacy Policy

Last updated: [DATE]

## Who we are

[COMPANY NAME] ("[SHORT NAME]", "we", "us") is the data controller
for personal data processed through [PRODUCT NAME].

Contact: [EMAIL]
Address: [LEGAL ADDRESS]
Data Protection Officer: [DPO NAME, EMAIL] <!-- если применимо -->

<!-- Статья 13(1)(a)(b) — контроллер и DPO -->

## What data we collect and why

### Account data
**Data:** email address, display name
**Purpose:** account creation and authentication
**Legal basis:** contract performance (Article 6(1)(b))
**Mandatory:** email is required; display name is optional
**Retention:** duration of account + 30 days after deletion

### Billing data
**Data:** payment method (processed by Stripe), billing address, invoices
**Purpose:** payment processing and tax compliance
**Legal basis:** contract performance (Article 6(1)(b))
  and legal obligation (Article 6(1)(c)) for invoice retention
**Mandatory:** required for paid plans
**Retention:** invoices retained for [7] years (tax law);
  payment details stored by Stripe per their retention policy

### Usage data
**Data:** pages visited, features used, session duration
**Purpose:** product improvement and reliability monitoring
**Legal basis:** legitimate interest (Article 6(1)(f))
**Balancing test:** data is aggregated within [90] days;
  individual users cannot be identified from aggregated data
**Mandatory:** collected automatically; opt-out available in Settings
**Retention:** raw data [90] days, aggregated data [2] years

### Marketing communications
**Data:** email address, communication preferences
**Purpose:** product updates and educational content
**Legal basis:** consent (Article 6(1)(a))
**Mandatory:** not required
**Retention:** until consent is withdrawn

<!-- Статья 13(1)(c)(d), 13(2)(a)(e) — цели, основания, сроки -->

## Who receives your data

| Processor | Purpose | Location | Safeguard |
|-----------|---------|----------|-----------|
| [AWS] | Hosting | [EU/US] | [SCCs / Adequacy] |
| [Stripe] | Payments | US | SCCs |
| [SendGrid] | Email | US | SCCs |
| [Sentry] | Error tracking | US | SCCs |

We do not sell personal data. We do not share data with third parties
for their own marketing purposes.

<!-- Статья 13(1)(e)(f) — получатели, трансграничная передача -->

## Your rights

Under GDPR, you have the right to:

- **Access** your personal data (Article 15)
- **Rectify** inaccurate data (Article 16)
- **Erase** your data ("right to be forgotten", Article 17)
- **Restrict** processing (Article 18)
- **Data portability** — receive your data in JSON format (Article 20)
- **Object** to processing based on legitimate interest (Article 21)
- **Withdraw consent** at any time without affecting prior processing

To exercise any right: email [PRIVACY EMAIL] or use Settings > Privacy
in the application. We respond within 30 days.

<!-- Статья 13(2)(b)(c)(d) — права субъекта -->

## Automated decision-making

[OPTION A: if not used]
We do not use automated decision-making or profiling
that produces legal or similarly significant effects.

[OPTION B: if used]
We use automated processing for [DESCRIBE]. You have the right
to obtain human review of this decision by contacting [EMAIL].

<!-- Статья 13(2)(f) -->

## Complaints

You have the right to lodge a complaint with a supervisory authority.
For [COUNTRY], this is [AUTHORITY NAME] ([WEBSITE]).

<!-- Статья 13(2)(d) -->

## Cookies

See our [Cookie Policy](/cookies) for details on cookies used,
their purposes, and how to manage preferences.

## Changes to this policy

We notify users of material changes via email [and/or in-app notification]
at least [30] days before changes take effect.

Автоматизация: повторяющийся AI-аудит

Разовый аудит находит текущие проблемы. Повторяющийся аудит ловит регрессии. Каждый раз, когда в стек добавляется новый SaaS-инструмент, privacy policy нужно обновить. Каждый раз, когда добавляется новая форма сбора данных, чеклист нужно пройти заново.

Процесс автоматизации состоит из трёх шагов.

Шаг 1: экспорт актуальной privacy policy. Скрипт вытягивает текст privacy policy с сайта и сохраняет в текстовый файл. Можно использовать curl + парсинг HTML или Playwright для SPA.

Шаг 2: запуск аудита через API. Промпты из раздела выше отправляются в LLM API программно. Результат сохраняется в JSON-отчёт.

import openai

def audit_privacy_policy(policy_text: str) -> dict:
    prompts = {
        "completeness": COMPLETENESS_PROMPT,
        "legal_bases": LEGAL_BASES_PROMPT,
        "language": LANGUAGE_PROMPT,
    }
    results = {}
    for audit_type, prompt in prompts.items():
        response = openai.chat.completions.create(
            model="gpt-5.4",
            messages=[
                {"role": "system", "content": prompt},
                {"role": "user", "content": policy_text}
            ],
            temperature=0.1  # минимум креативности для аудита
        )
        results[audit_type] = response.choices[0].message.content
    return results

Шаг 3: интеграция в CI/CD или SOP. Запуск аудита как часть ежемесячного SOP-процесса. Отчёт отправляется в Slack или сохраняется в Notion. При обнаружении MISSING-статуса по любому из 13 элементов создаётся задача в трекере.

Периодичность: ежемесячно для активно развивающихся продуктов, ежеквартально для стабильных.

Ограничения AI-аудита: что LLM не может проверить

AI-аудит покрывает текст и структуру документов. Ряд критичных аспектов GDPR остаётся за пределами возможностей LLM.

Соответствие практики документации. LLM проверяет, что privacy policy говорит “данные удаляются через 30 дней”. Проверить, действительно ли код удаляет данные через 30 дней, LLM не может без доступа к кодовой базе. Это задача для code review и интеграционных тестов.

Юридическая специфика юрисдикции. GDPR дополняется национальными законами. Немецкий BDSG, французский Loi Informatique et Libertés, австрийский DSG добавляют требования сверх базового GDPR. LLM знает общие правила, но не отслеживает актуальные решения национальных надзорных органов.

Оценка рисков. DPIA (Data Protection Impact Assessment) требует анализа конкретного бизнес-контекста: какие данные, какие риски, какие меры митигации. LLM может предложить шаблон DPIA, но заполнить его корректно может только тот, кто понимает бизнес-процессы.

Практическая рекомендация: сначала выполняется AI-аудит. Результат передаётся юристу с пометками “проверено AI, требует юридической валидации”. Юрист фокусируется на сложных вопросах вместо механической проверки чеклиста. Стоимость юридической проверки снижается с €300–800 до €100–200, потому что юрист получает структурированный отчёт, а не сырой текст.

Порядок действий

1. Пройти чеклист из этой статьи и отметить текущий статус по каждому пункту
2. Прогнать privacy policy через три промпта (полнота, правовые основания, формулировки)
3. Исправить MISSING и PARTIAL пункты, используя шаблон как образец
4. Проверить cookie banner отдельным промптом
5. Составить список sub-processors и убедиться, что DPA подписан с каждым
6. Настроить ежемесячный автоматический аудит
7. Передать результат юристу для финальной валидации

Первые три шага занимают 15–20 минут с LLM. Оставшиеся требуют действий от команды, но AI-аудит даёт конкретный план вместо абстрактного “нужно привести в соответствие с GDPR”.

Нужна помощь с GDPR compliance? Я помогаю стартапам внедрять AI-решения и строить продукты — belov.works.