GDPR и ЗЗЛД 2026: Практическа информация за защита на личните данни в България

То е синтез на практика, тълкувания и реални казуси, целящ да ви даде ясна, структурирана и най-вече приложима информация. Да започваме.

Правна рамка: GDPR и ЗЗЛД в синергия

Основната правна уредба, която регулира защитата на личните данни в целия Европейски съюз, включително България, е Регламент (ЕС) 2016/679, по-известен като GDPR (General Data Protection Regulation). Като регламент, той има пряко действие и е задължителен за прилагане във всички държави членки, без да е необходимо вътрешно законодателство да го „преписва“.

Българският Закон за защита на личните данни (ЗЗЛД) има за цел да доразвие и конкретизира някои аспекти от Регламента, както и да определи националния надзорен орган и неговите правомощия. Тоест, GDPR поставя общата рамка, а ЗЗЛД я адаптира към националния контекст. Двата нормативни акта се четат и прилагат заедно.

Какво са "лични данни" и "обработване"?

Преди да продължим, трябва да сме наясно с ключовите дефиниции, дадени в чл. 4 от GDPR:

Лични данни означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

На практика, това е огромен обхват от информация: три имена, ЕГН, адрес, имейл, телефонен номер, IP адрес, снимка, видеозапис, данни за здравословно състояние, биометрични данни и много други.

Обработване означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Накратко: всяко нещо, което правите с лични данни, е "обработване" – от събирането на имейли за нюзлетър до съхранението на трудовите досиета на служителите.

Основни принципи при обработка на лични данни

В основата на GDPR и ЗЗЛД стоят 7 основни принципа, залегнали в чл. 5 от GDPR. Всяко обработване на лични данни трябва да отговаря на тях. Неизпълнението дори на един от тях може да доведе до сериозни санкции.

  • Законосъобразност, добросъвестност и прозрачност: Данните трябва да се обработват на валидно правно основание (напр. договор, закон, съгласие), по честен за субекта начин и с пълна прозрачност относно това какво се случва с тях.
  • Ограничение на целите: Трябва да събирате данни за конкретни, изрично указани и легитимни цели и да не ги обработвате по-нататък по начин, несъвместим с тези цели. Не можете да съберете имейли за фактури, а после да ги ползвате за маркетинг без съгласие.
  • Свеждане на данните до минимум: Трябва да събирате и обработвате само данните, които са абсолютно необходими за постигане на целите. Ако продавате обувки онлайн, не ви е нужен ЕГН-то на клиента.
  • Точност: Личните данни трябва да са точни и поддържани в актуален вид. Трябва да имате процедури за коригиране или изтриване на неточни данни.
  • Ограничение на съхранението: Данните не трябва да се съхраняват за период, по-дълъг от необходимото за целите, за които се обработват. След изтичане на нуждата (и законовите срокове за съхранение, напр. в счетоводството), те трябва да бъдат изтрити или анонимизирани.
  • Цялостност и поверителност: Трябва да приложите подходящи технически и организационни мерки, за да защитите данните от неразрешено или незаконосъобразно обработване и от случайна загуба, унищожаване или повреждане. Тук влизат криптиране, контролиран достъп, обучения и др.
  • Отчетност: Това е новият ключов принцип, въведен с GDPR. Администраторът на данни носи отговорност и трябва да е в състояние да докаже, че спазва всички гореизброени принципи. Това налага поддържане на подробна документация.

Права на субектите на данни — Вашият щит в дигиталния свят

GDPR (членове 12-22) дава на всеки гражданин мощен набор от права за контрол върху личните му данни. Всеки бизнес, който обработва данни на граждани, е длъжен да улеснява и изпълнява тези права, обикновено в едномесечен срок.

1. Право на достъп (чл. 15 GDPR)

Имате право да поискате и получите от администратора потвърждение дали се обработват лични данни, свързани с вас, и ако това е така, да получите достъп до данните и следната информация:

  • целите на обработването;
  • категориите лични данни;
  • получателите, пред които данните са или ще бъдат разкрити;
  • срока за съхранение на данните;
  • информация за правото ви на корекция, изтриване, ограничаване и възражение;
  • правото ви да подадете жалба до КЗЛД;
  • източника на вашите данни, ако не са събрани от вас;
  • наличието на автоматизирано вземане на решения, включително профилиране.
Администраторът е длъжен да ви предостави и безплатно копие от личните данни, които се обработват.

2. Право на коригиране (чл. 16 GDPR)

Ако установите, че администратор обработва неточни или непълни ваши лични данни, имате право да поискате те да бъдат коригирани или допълнени без ненужно забавяне.

3. Право на изтриване („правото да бъдеш забравен“) (чл. 17 GDPR)

Това е едно от най-дискутираните права. Можете да поискате пълно изтриване на личните ви данни, когато е налице някое от следните основания:

  • Данните повече не са необходими за целите, за които са били събрани.
  • Оттеглили сте съгласието си, на което се е основавало обработването, и няма друго правно основание.
  • Възразили сте срещу обработването и няма законни основания, които да имат предимство.
  • Данните са обработвани незаконосъобразно.
  • Данните трябва да бъдат изтрити с цел спазване на правно задължение по правото на ЕС или на държава членка.
Правото не е абсолютно и има редица изключения, например когато обработването е необходимо за изпълнение на правно задължение, за архивиране в обществен интерес, или за установяване, упражняване или защита на правни претенции.

4. Право на ограничаване на обработването (чл. 18 GDPR)

Можете да поискате „замразяване“ на обработването на данните ви. В този период те могат само да се съхраняват, но не и да се обработват по друг начин. Това право е приложимо, когато:

  • оспорвате точността на данните (за периода на проверката);
  • обработването е неправомерно, но не желаете изтриване, а само ограничаване;
  • администраторът не се нуждае повече от данните, но вие ги изисквате за правни претенции;
  • сте възразили срещу обработването (в очакване на проверка дали законните основания на администратора имат превес).

5. Право на преносимост на данните (чл. 20 GDPR)

Това право ви позволява да получите личните данни, които сте предоставили на администратор, в структуриран, широко използван и пригоден за машинно четене формат (напр. JSON, CSV, XML) и да ги прехвърлите на друг администратор безпрепятствено. Това се отнася само за данни, обработвани на основание „съгласие“ или „договор“ и по автоматизиран начин. Целта е да се улесни смяната на доставчици на услуги (напр. от една социална мрежа на друга).

6. Право на възражение (чл. 21 GDPR)

Имате право по всяко време да възразите срещу обработване на лични данни, което се основава на обществен интерес или на легитимните интереси на администратора. В такъв случай администраторът трябва да прекрати обработването, освен ако не докаже, че съществуват убедителни законови основания, които имат предимство пред вашите интереси, права и свободи.

Важно: Когато данните се обработват за цели на директен маркетинг, имате абсолютно право на възражение по всяко време и без да посочвате причина. Администраторът е длъжен незабавно да преустанови обработването.

7. Права, свързани с автоматизирано вземане на решения и профилиране (чл. 22 GDPR)

Имате право да не бъдете обект на решение, основаващо се единствено на автоматизирано обработване (включително профилиране), което поражда правни последици за вас или ви засяга в значителна степен. Типичен пример е автоматизиран отказ за отпускане на кредит онлайн. Това право не се прилага, ако решението е необходимо за сключване на договор, разрешено е от закона или се основава на изричното ви съгласие, но дори тогава имате право на човешка намеса.

Ролята на Длъжностното лице по защита на данните (DPO)

Длъжностното лице по защита на данните (Data Protection Officer – DPO) е ключова фигура в структурата за GDPR съответствие на всяка организация, която отговаря на определени критерии. Неговата роля е да бъде независим експерт, който информира, съветва и наблюдава спазването на законодателството.

Кога е задължително да има DPO?

Съгласно чл. 37 от GDPR, назначаването на DPO е задължително в три случая:

  1. Когато обработването се извършва от публичен орган или структура (с изключение на съдилищата при изпълнение на съдебните им функции). Всички министерства, агенции, общини и т.н. трябва да имат DPO.
  2. Когато основните дейности на администратора или обработващия се състоят в операции по обработване, които поради своето естество, обхват и/или цели изискват редовно и систематично мащабно наблюдение на субектите на данни. Примери: телекоми, охранителни фирми, компании за пазарни проучвания.
  3. Когато основните дейности се състоят в мащабно обработване на специални категории данни (по чл. 9 от GDPR - здраве, раса, политически убеждения) или на данни за присъди и нарушения (по чл. 10 от GDPR). Примери: болници, застрахователни компании, лаборатории.

Процедура "Последователност на действията" при пробив в сигурността

Едно от най-големите предизвикателства е адекватната реакция при инцидент със сигурността на личните данни. GDPR въвежда стриктно задължение за уведомление. Ето как изглежда процесът:

  1. Стъпка 1: Идентифициране и ограничаване на пробива. Незабавно след като узнаете за възможен пробив (напр. хакерска атака, изгубен лаптоп, изтекъл имейл), трябва да мобилизирате екипа си, за да ограничите щетите. Прекъснете нерегламентирания достъп, сменете пароли, изолирайте засегнатите системи.
  2. Стъпка 2: Оценка на риска. Не всеки инцидент е „пробив в сигурността“, изискващ уведомление. Трябва бързо да оцените дали инцидентът е довел до „риск за правата и свободите на физическите лица“. Ако например изтеклата база данни е била силно криптирана и ключът не е компрометиран, рискът може да е нисък. Ако обаче са изтекли имена, пароли и адреси в чист вид, рискът е висок.
  3. Стъпка 3: Уведомление до КЗЛД в срок от 72 часа. Ако установите, че пробивът създава риск, сте длъжни да уведомите надзорния орган - Комисията за защита на личните данни (КЗЛД), без ненужно забавяне и, когато е възможно, не по-късно от 72 часа след като сте научили за него. Това е залегнало в чл. 33 от GDPR. Уведомлението трябва да съдържа поне:
    • Естество на пробива, категории и брой засегнати субекти и записи с данни.
    • Име и данни за контакт на DPO или друга контактна точка.
    • Вероятни последици от пробива.
    • Предприети или предложени мерки за справяне с пробива.
    КЗЛД предоставя електронен формуляр за уведомление на своя уебсайт.
  4. Стъпка 4: Уведомяване на субектите на данни. Ако пробивът „е възможно да породи висок риск за правата и свободите на физическите лица“, сте длъжни да уведомите и самите засегнати субекти без ненужно забавяне (чл. 34 от GDPR). Това е необходимо, за да могат те да предприемат мерки за самозащита (напр. да сменят пароли).
  5. Стъпка 5: Документиране и последващи действия. Всеки пробив, независимо дали е уведомен, трябва да бъде документиран във вътрешен регистър. Това е част от принципа за отчетност. Необходимо е да анализирате причините за инцидента и да подобрите мерките си за сигурност.

Необходими документи за GDPR съответствие

За да изпълните принципа на отчетност, трябва да създадете и поддържате набор от документи. Това не е просто бюрокрация, а основата на вашата програма за защита на данните.

  • Регистър на дейностите по обработване (чл. 30 GDPR): Това е най-важният вътрешен документ. Той описва всички процеси по обработка на данни във вашата организация - какви данни събирате, за какви цели, на какво правно основание, колко време ги съхранявате, на кого ги предоставяте и как ги защитавате.
  • Политика за поверителност / Уведомление за поверителност: Публичен документ, насочен към субектите на данни (клиенти, потребители на сайт), който ги информира по прозрачен начин за обработката на техните данни.
  • Декларации за съгласие: Ако разчитате на съгласие като правно основание, трябва да имате ясни, недвусмислени и отделени от други текстове формуляри за съгласие. Трябва и да пазите запис на дадените съгласия.
  • Договори с обработващи лични данни (чл. 28 GDPR): Ако използвате външни услуги, които обработват данни от ваше име (напр. счетоводна къща, доставчик на cloud услуги, маркетингова агенция), сте длъжни да имате писмен договор, който ги задължава да спазват GDPR.
  • Вътрешни политики и процедури: Процедура при пробив в сигурността, процедура за отговор на искания от субекти на данни, политика за информационна сигурност, политика за „чисто бюро и чист екран“ и др.

Срокове и такси (хипотеза 2026 г.)

Едно от големите предимства за гражданите е, че упражняването на правата им по GDPR е по правило безплатно. Ето обобщение на ключови срокове и такси, актуализирани към 2026 г. и с новата валута на България.

Услуга / Процедура Срок Такса (€)
Отговор на искане от субект на данни (за достъп, корекция, изтриване и др.) 1 месец (може да бъде удължен с още 2 месеца при сложни или многобройни искания) 0.00 € (Безплатно)
Такса при явно неоснователни или прекомерни искания N/A Администраторът може да наложи „разумна такса“ за покриване на административните разходи или да откаже да изпълни искането (чл. 12, параграф 5 от GDPR).
Уведомление до КЗЛД за пробив в сигурността До 72 часа след узнаването 0.00 €
Подаване на жалба до КЗЛД Без законоустановен срок за подаване от гражданина, но е препоръчително да е скоро след нарушението. 0.00 €

Санкции, рискове и отговорност

Това е частта, която привлича най-голямо внимание. Глобите по GDPR са умишлено проектирани да бъдат възпиращи. Съгласно чл. 83 от GDPR, те са разделени на два тарифа:

  1. До 10 000 000 € или, в случай на предприятие, до 2% от общия годишен световен оборот за предходната финансова година (която от двете суми е по-висока). Тази санкция се налага за нарушения като:
    • Неизпълнение на задълженията на администратора и обработващия съгласно членове 8, 11, 25—39 (напр. липса на DPO, когато е задължителен; липса на регистър на дейностите; неспазване на Privacy by Design; недостатъчни мерки за сигурност).
    • Неуведомяване за пробив в сигурността.
  2. До 20 000 000 € или, в случай на предприятие, до 4% от общия годишен световен оборот за предходната финансова година (която от двете суми е по-висока). Това е по-високата и по-тежка санкция, налагана за най-сериозните нарушения:
    • Нарушаване на основните принципи за обработване (чл. 5).
    • Липса на валидно правно основание за обработка, вкл. проблеми със съгласието (чл. 6).
    • Нарушаване на правата на субектите на данни (чл. 12-22).
    • Незаконно предаване на данни извън ЕС/ЕИП (чл. 44-49).
    • Неизпълнение на разпореждане на надзорен орган.

В България органът, който налага тези санкции, е КЗЛД. При определяне на размера на глобата се вземат предвид множество фактори: естеството, тежестта и продължителността на нарушението, броя на засегнатите лица, дали е умишлено или по небрежност, предприетите действия за овладяване на щетите, сътрудничеството с надзорния орган и др.

Освен административните санкции, рисковете включват и репутационни щети (загуба на доверие у клиенти и партньори) и гражданска отговорност (всеки, претърпял вреди от нарушение, има право на обезщетение от администратора или обработващия).

Практически насоки

След години работа по казуси, свързани с GDPR, мога да ви дам няколко съвета, които често липсват в учебниците:

  • Съгласието е последната Ви опция, не първата. Много бизнеси се втурват да искат съгласие за всичко. Помнете, че съгласието трябва да е свободно дадено и може да бъде оттеглено по всяко време, което създава несигурност. Първо проверете дали не можете да базирате обработката на друго правно основание: изпълнение на договор (данни за доставка), спазване на законово задължение (данни за трудов договор съгласно Кодекса на труда - например съгласно чл. 62 от КТ, който изисква определени документи), или легитимен интерес (видеонаблюдение за охрана).
  • „Privacy by Design and by Default“ не е просто фраза. Още при проектирането на нов продукт, услуга или процес, мислете за защитата на данните. Включете DPO или юрист в най-ранен етап. Настройките по подразбиране трябва да са най-благоприятни за поверителността (напр. профил в социална мрежа по подразбиране е частен, не публичен).
  • Не копирайте Политики за поверителност. Всеки бизнес е различен. Вашата политика трябва да отразява реалните ви процеси. Копирането на чужд документ, който не отговаря на вашата дейност, е по-лошо от липсата на такъв, защото създава фалшиво усещане за сигурност и подвежда субектите, което е пряко нарушение.
  • Обучавайте служителите си. Най-слабото звено в сигурността е човекът. Редовните обучения за рисковете от фишинг, социално инженерство и правилната обработка на лични данни са абсолютно задължителни.
  • Обработка на ЕГН: Бъдете изключително внимателни. Българският ЗЗЛД, в своя чл. 25и, определя специални условия за обработката на ЕГН, като го счита за данни с по-висок риск. Използвайте го само когато законът изрично го изисква (напр. пред НАП или НОИ), а не за рутинна идентификация на клиенти.

Често задавани въпроси (FAQ)

Тук съм събрал отговори на най-често задаваните въпроси, които получавам в практиката.

1. Моят бизнес е малък, имам само онлайн магазин. GDPR важи ли за мен?

Да, абсолютно. Щом обработвате лични данни на клиенти (имена, адрес за доставка, имейл, телефон), вие сте администратор на лични данни и трябва да спазвате GDPR. Размерът на бизнеса има значение за мащаба на мерките и евентуалната санкция, но не и за приложимостта на регламента.

2. Мога ли да използвам снимки от фирменото парти и да ги кача на Facebook страницата на компанията?

С повишено внимание. Снимките, на които лицата на служителите са разпознаваеми, са лични данни. Публикуването им е обработване. Най-чистият подход е да получите изрично, информирано и свободно дадено съгласие от всеки заснет служител преди публикуване. Включването на обща клауза в трудовия договор за това е спорна и често недостатъчна практика, тъй-като съгласието в контекста на трудово правоотношение трудно може да се счете за „свободно дадено“.

3. Каква е разликата между „администратор“ и „обработващ“?

Това е ключово разграничение. Администраторът е този, който определя целите и средствата за обработване (напр. онлайн магазин, който решава какви данни да събира от клиентите си). Обработващият е този, който обработва данните от името на администратора (напр. счетоводната къща, която обработва данните на служителите на магазина, или куриерската фирма, която получава данни за доставка). Администраторът носи основната отговорност за съответствието, но и обработващият има преки задължения по GDPR.

4. Как да подам жалба до КЗЛД?

Ако смятате, че правата ви по GDPR са нарушени, имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД), която е българският надзорен орган. Това може да стане на място, по пощата, по факс или по електронен път чрез сайта на комисията. Жалбата трябва да съдържа вашите имена и адрес, естеството на жалбата, информация за нарушителя и всякакви доказателства. Подаването е безплатно. Повече информация можете да намерите на официалната страница на КЗЛД.

5. Трябва ли да отговарям на всяко искане за достъп до данни, дори ако е от бивш служител, с когото сме в лоши отношения?

Да, задължени сте. Правото на достъп е универсално. Трябва да отговорите в едномесечен срок, като предоставите изискуемата по чл. 15 от GDPR информация. Мотивите на лицето, подало искането, са без значение. Единственото изключение е, ако можете да докажете, че искането е „явно неоснователно или прекомерно“, например ако едно и също лице подава идентични искания всяка седмица. Дори тогава, трябва да документирате и обосновете отказа си.