Жалба до КЗЛД за нарушение с лични данни — процедура

Правна рамка

Защитата на личните данни в Европейския съюз и съответно в България се регулира от строга и всеобхватна правна рамка. Основният законодателен акт е:

Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните), известен още като GDPR (General Data Protection Regulation).

В България, GDPR се прилага директно, но е допълнен и конкретизиран от:

Закон за защита на личните данни (ЗЗЛД), обнародван в Държавен вестник, бр. 103 от 10 август 2002 г., последно изменян и допълван. ЗЗЛД урежда създаването и дейността на КЗЛД, както и някои специфични аспекти, които GDPR позволява на държавите членки да доуреждат.

Ключови разпоредби, към които трябва да се обърне внимание при подаване на жалба:

Чл. 77 от GDPR: Установява правото на всяко физическо лице да подаде жалба до надзорен орган, ако счита, че обработването на лични данни, отнасящи се до него, нарушава настоящия регламент. В България този надзорен орган е КЗЛД.
Чл. 78 от GDPR: Предоставя право на ефективно съдебно средство за защита срещу юридически обвързващо решение на надзорен орган, отнасящо се до лицето, или срещу бездействието на надзорен орган.
Чл. 79 от GDPR: Гарантира право на ефективно съдебно средство за защита срещу администратор или обработващ лични данни.
Чл. 20 от ЗЗЛД: Урежда компетентността на КЗЛД да разглежда жалби и сигнали, свързани с нарушаване на правата на физическите лица по отношение на личните им данни.
Чл. 21 от ЗЗЛД: Описва реда и условията за разглеждане на жалби и сигнали от КЗЛД.

Разбирането на тези основни правни текстове е основно за успешното формулиране и подаване на жалба.

Стъпки и процедура за подаване на жалба

Подаването на жалба до КЗЛД е формален процес, който изисква спазване на определени стъпки и изисквания. Ето подробно описание на процедурата:

1. Идентифициране на нарушението

Преди да предприемете каквито и да е действия, уверете се, че действително е налице нарушение на защитата на личните ви данни. Примери за такива нарушения включват:

Неправомерно събиране или обработване на вашите лични данни без вашето съгласие или друго правно основание.
Разпространение на вашите лични данни без вашето разрешение.
Отказ от достъп до вашите лични данни.
Отказ за коригиране или изтриване на неточни/ненужни данни.
Неспазване на принципите за минимизиране на данните, ограничение на съхранението или отчетност.
Неизпълнение на искане за преносимост на данните.
Отказ да ви информират за нарушение на сигурността на данните (data breach), което ви засяга.

2. Опит за пряко разрешаване на проблема с администратора на данни

В много случаи проблемът може да бъде разрешен директно с администратора на лични данни (фирма, институция, НПО и т.н.). Преди да се обърнете към КЗЛД, е силно препоръчително да се свържете с администратора и да изложите проблема си. Това може да стане с писмо (препоръчително с обратна разписка или по имейл с потвърждение за получаване), в което ясно да опишете какво се е случило, какви са вашите искания и да посочите срокове за отговор. Някои администратори имат свои длъжностни лица по защита на данните (ДЗЛД), които са компетентни по такива въпроси. Тази стъпка често спестява време и ресурси и е доказателство за добросъвестност от ваша страна.

3. Подготовка на документите за жалбата

Ако опитът за пряко разрешаване е неуспешен или не получите отговор в разумен срок (обикновено 30 дни), можете да пристъпите към подготовка на жалбата до КЗЛД. Жалбата трябва да съдържа следната информация:

Идентификационни данни на жалбоподателя: Име, ЕГН/ЛНЧ, адрес за кореспонденция (пощенски или електронен), телефон.
Идентификационни данни на администратора/обработващия лични данни: Наименование на фирма/институция, ЕИК или БУЛСТАТ, адрес на управление, длъжностно лице по защита на данните (ако е известно).
Подробно описание на нарушението: Кога, къде и как е извършено нарушението. Какви данни са засегнати. Какви са последиците за вас. Максимално конкретни факти и обстоятелства.
Доказателства: Прикачете всички налични доказателства в подкрепа на твърденията си – кореспонденция с администратора, скрийншоти, договори, банкови извлечения, електронни писма, свидетелски показания и др.
Вашите искания: Ясно формулирайте какво искате от КЗЛД – например, КЗЛД да разпореди преустановяване на обработването, заличаване на данните, корекция, налагане на санкция на администратора и др.
Дата и подпис.

Препоръчително е да използвате образец на жалба, публикуван на сайта на КЗЛД, ако такъв е наличен, тъй като той често включва всички необходими полета.

4. Начини за подаване на жалбата

Жалбата може да бъде подадена по няколко начина:

По пощата: Изпратете жалбата си с обратна разписка до адреса на КЗЛД. Това осигурява доказателство за подаване.
На място: Лично в деловодството на КЗЛД. Не забравяйте да поискате входящ номер и копие с печат за приемо.
По електронен път: Чрез Система за сигурно електронно връчване (ССЕВ) с квалифициран електронен подпис (КЕП) или чрез електронна поща (e-mail) до официалния адрес на КЗЛД, ако в нея е посочен КЕП или са приложени сканирани документи с подпис. Важно: Ако не използвате КЕП, е възможно да бъдете извикани за потвърждение на самоличността или подписване на място.

5. Разглеждане на жалбата от КЗЛД

След подаване, жалбата преминава през следните етапи:

Регистрация и първоначална оценка: КЗЛД регистрира жалбата и извършва първоначална проверка за нейната допустимост и пълнота. Ако има пропуски, може да бъдете поканени да ги отстраните в определен срок.
Събиране на информация: КЗЛД изисква становище и доказателства от администратора на лични данни, срещу когото е подадена жалбата. Може да поиска и допълнителна информация от вас или други трети страни.
Разглеждане по същество: Въз основа на събраните доказателства и становища, КЗЛД преценява дали е налице нарушение и дали са нарушени вашите права. Може да бъдат насрочени изслушвания на страните.
Вземане на решение/издаване на акт: КЗЛД може да издаде решение, с което да установи нарушение и да разпореди коригиращи мерки (напр. заличаване на данни, преустановяване на обработване), или да наложи административни наказания (глоби/имуществени санкции). Възможно е и прозиводството да бъде прекратено, ако не се установи нарушение.

Документи

За да бъде жалбата ви до КЗЛД максимално обоснована и успешна, е важно да приложите всички релевантни документи. Ето списък с примерни документи:

Лична карта или друг документ за самоличност (копие): За удостоверяване на самоличността на жалбоподателя.
Пълномощно: Ако жалбата се подава от упълномощено лице. Пълномощното трябва да е нотариално заверено, ако се отнася до действия, за които законът изисква такава форма.
Писма, имейли, чатове, кореспонденция: Доказателство за комуникация с администратора на данни преди подаване на жалбата до КЗЛД.
Договори, формуляри за съгласие: Които сте подписали или сте получили от администратора. Те показват даденото съгласие (или липсата на такова) за обработване на данни.
Снимки/Скрийншоти: Ако нарушението е свързано с публикации в интернет, социални мрежи, или други визуални доказателства.
Банкови извлечения или фактури: Ако нарушението е довело до финансови щети.
Протоколи, удостоверения, други официални документи: Ако са свързани със случая.
Свидетелски показания (по възможност): Въпреки че КЗЛД провежда свое разследване, писмени свидетелски показания могат да бъдат полезни.
Всякакви други документи, подкрепящи твърденията ви.

Важно: Приложете копия на документите, а оригиналите запазете при себе си. КЗЛД може да поиска да представите оригинали за справка.

Срокове

Спазването на сроковете е от съществено значение при подаване на жалба до КЗЛД:

Срок за подаване на жалба до КЗЛД: ЗЗЛД (Чл. 21, ал. 2) предвижда жалбата да се подава в срок от 6 месеца от узнаване на нарушението, но не по-късно от 2 години от извършването му. Важно: Този срок е преклузивен, което означава, че след изтичането му правото да се подаде жалба отпада.
Срок за отговор от администратора на данни: GDPR не определя конкретен срок за отговор при искания на субектите на данни, но в Чл. 12, параграф 3 се посочва, че администраторът предоставя информация за действията, предприети във връзка с искане, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Този срок може да бъде удължен с още два месеца, когато е необходимо, като се взема предвид сложността и броя на исканията. Администраторът информира субекта на данните за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето.
Срок за разглеждане на жалбата от КЗЛД: ЗЗЛД не предвижда изричен срок за приключване на производството по жалба. Разглеждането може да отнеме от няколко месеца до над година, в зависимост от сложността на случая, обема на събраните доказателства и натовареността на комисията. GDPR предвижда, че надзорният орган информира жалбоподателя за напредъка и резултата от жалбата в разумен срок, а ако има значително забавяне – и за причините.
Срок за обжалване на решението на КЗЛД: Решението на КЗЛД може да бъде обжалвано пред Административен съд в 14-дневен срок от връчването му (съгласно АПК).

Такси и разходи

Добрата новина е, че:

Подаването на жалба до Комисията за защита на личните данни не подлежи на държавна такса. Това е важен принцип, залегнал в GDPR – достъпът до правосъдие и защитата на основните права не трябва да бъде възпрепятстван от финансови бариери.

Въпреки това, може да възникнат други разходи:

Разходи за изготвяне на копия на документи: Ако се налага да правите многобройни копия на доказателства.
Разходи за изпращане по пощата: За препоръчани писма с обратна разписка.
Разходи за правна помощ: Ако решите да наемете адвокат, който да ви консултира и/или представлява пред КЗЛД. Тези разходи са по договорка с адвоката и варират значително.

Имайте предвид, че ако в резултат на нарушението сте претърпели имуществени или неимуществени вреди, имате право да потърсите обезщетение чрез съдебен иск по общия ред, независимо от решението на КЗЛД. Разноските по такъв иск ще бъдат съгласно Закона за държавните такси и адвокатските възнаграждения.

Права и задължения

Като субект на данни и жалбоподател, вие имате определени права:

Право на информация: Да бъдете информирани за обработването на вашите лични данни.
Право на достъп: Да получите потвърждение дали се обработват лични данни, свързани с вас, и ако това е така, да получите достъп до данните и информация за целите на обработването, категориите данни, получателите и срока на съхранение.
Право на коригиране: Да изискате коригиране на неточни лични данни.
Право на изтриване (право „да бъдеш забравен”): Да изискате изтриване на лични данни, ако вече не са необходими за целите, за които са събрани, или ако обработването е неправомерно.
Право на ограничаване на обработването: В определени случаи (напр. оспорване точността на данните) да изискате ограничаване на обработването.
Право на преносимост на данните: Да получите личните си данни, които сте предоставили на администратор, в структуриран, широко използван и пригоден за машинно четене формат и да ги прехвърлите на друг администратор.
Право на възражение: Да възразите срещу обработването на лични данни, включително за целите на директния маркетинг.
Право да не бъдете обект на решение, основаващо се единствено на автоматизирано обработване: Включително профилиране, което поражда правни последствия за вас или по подобен начин ви засяга в значителна степен.

Имате и задължение да предоставите на КЗЛД точна и фактологична информация, както и да съдействате за изясняване на случая.

Администраторите на лични данни, срещу които е подадена жалба, имат следните задължения:

Да сътрудничат изцяло на КЗЛД.
Да предоставят изисканата информация и доказателства в определените срокове.
Да изпълняват решенията и разпорежданията на КЗЛД.

важни уточнения

Бъдете точни и конкретни: Ясно опишете фактите, датите, имената и какво точно се е случило. Избягвайте емоционални излияния.
Събирайте доказателства навреме: Веднага след като установите нарушение, започнете да събирате всякакви доказателства – скрийншоти, кореспонденция, записи. Колкото по-скоро, толкова по-добре.
Комуникирайте писмено: Всичката комуникация с администратора на данни преди подаване на жалбата до КЗЛД е добре да бъде в писмена форма (имейл, писмо с обратна разписка).
Използвайте правна консултация: Ако случаят е сложен или смятате, че правата ви са сериозно нарушени, потърсете адвокатска консултация. Един опитен юрист може да ви помогне да формулирате жалбата ефективно и да ви преведе през процеса.
Бъдете търпеливи: Процесът по разглеждане от КЗЛД може да отнеме значително време.
Следете сроковете: Особено срока за подаване на самата жалба.
Запознайте се със сайта на КЗЛД: Често там се публикуват шаблони, насоки и актуална информация.
Имайте предвид GDPR: Когато комуникирате с администратори на данни, позовавайте се на конкретни членове от GDPR и ЗЗЛД. Това показва, че сте запознати с правата си.

Често допускани грешки

Недостатъчно доказателства: Жалба без подкрепящи доказателства е трудно да бъде удовлетворена. КЗЛД не може да действа само въз основа на твърдения.
Пропуснат срок: Подаване на жалба след изтичане на 6-месечния или 2-годишния срок.
Неясна формулировка: Неконкретно описание на нарушението или неясни искания.
Липса на опит за комуникация с администратора: Въпреки че не е задължително, липсата на опит за първоначално разрешаване показва, че не сте положили усилия преди да ангажирате надзорен орган.
Предоставяне на непълни идентификационни данни: Както за жалбоподателя, така и за администратора, което забавя процедурата.
Очакване на бързо решение: Процедурите могат да бъдат дълги и изискват търпение.
Подаване на жалба за несъществуващо нарушение: Не всяка ситуация, свързана с данни, представлява нарушение на GDPR.

Актуални промени 2025-2026

Закон за цифровите услуги (Digital Services Act – DSA) и Закон за цифровите пазари (Digital Markets Act – DMA): Тези законодателни актове, макар и да не са пряко свързани със защитата на личните данни, имат огромен ефект върху начина, по който големите онлайн платформи събират, обработват и споделят информация. Нарушенията на DSA и DMA могат индиректно да водят до нарушения на GDPR, тъй като често се отнасят до манипулативни практики или непрозрачност, което може да засегне даването на доброволно съгласие за обработка на данни.
Развитие на националното законодателство: Възможно е да има точкови изменения в ЗЗЛД, насочени към по-ясно дефиниране на определени процедури или към хармонизиране с новите европейски актове. КЗЛД издава и регулярни насоки, становища и препоръки, които, макар и да не са със силата на закон, предоставят ценни разяснения за практическото прилагане на правилата и могат да бъдат полезни при подготовка на жалба.

За да сте актуални, е препоръчително редовно да следите публикациите на официалния уебсайт на КЗЛД и Европейския комитет по защита на данните (EDPB).

Често задавани въпроси (FAQ)

Имам ли нужда от адвокат, за да подам жалба до КЗЛД?

Не, не е задължително да имате адвокат, за да подадете жалба до КЗЛД. Можете да направите това лично, без правно представителство. Формулярите и изискванията са достъпни и е възможно да се справите сами, особено ако случаят не е изключително сложен. Въпреки това, ако се чувствате несигурни, ако случаят е голям, сложен, с потенциални значителни вреди или включва множество заинтересовани страни, консултацията и представителството от адвокат, специалист по защита на личните данни, може да бъде от голяма полза. Адвокатът може да формулира по-прецизно правните аргументи, да ви помогне със събирането на доказателства и да ви преведе през административната и евентуално съдебната процедура.

Какво може да постигне една жалба до КЗЛД?

С една жалба до КЗЛД можете да постигнете следното:

Установяване на нарушение: КЗЛД може да установи официално, че администраторът е нарушил GDPR или ЗЗЛД.
Предписване на мерки: КЗЛД може да разпореди на администратора да предприеме конкретни мерки, като например: да прекрати неправомерното обработване, да изтрие или коригира неточни данни, да предостави достъп до данни, да информира субектите на данни за нарушение на сигурността.
Налагане на санкции: КЗЛД има право да наложи административни наказания (глоби или имуществени санкции) на администратора за нарушения на законодателството. Тези глоби могат да достигнат значителни размери (до 20 милиона евро или 4% от годишния световен оборот на предприятието).
Защита на вашите права: Като подадете жалба, вие допринасяте за защитата на вашите основни права и за прилагането на правилата за защита на данните.

КЗЛД не може директно да присъди обезщетение за претърпени имуществени или неимуществени вреди. За такава компенсация трябва да заведете граждански иск пред съд, като решението на КЗЛД може да бъде силно доказателство в полза на вашия иск.

Колко време отнема разглеждането на една жалба?

Времето за разглеждане на жалба от КЗЛД варира значително и зависи от множество фактори, включително:

Сложността на случая: Прости случаи с ясни факти и неоспорими доказателства могат да бъдат решени по-бързо. Сложни случаи, включващи множество страни, сложни технологии или сериозни правни въпроси, отнемат повече време.
Обема на доказателствата: Необходимото време за събиране и анализ на документация.
Сътрудничеството на администратора: Ако администраторът забавя предоставянето на информация, това може да удължи процеса.
Натовареността на КЗЛД: Комисията разглежда голям брой жалби, което може да доведе до забавяне.
Необходимост от изслушвания или допълнителни проверки: Някои случаи изискват изслушване на страните или допълнителни инспекции.

Като ориентир, производството може да отнеме от няколко месеца (3-6 месеца за по-прости случаи) до година и половина или дори повече за много сложни случаи. КЗЛД е длъжна да ви уведомява за напредъка на разглеждането на жалбата. Ако очаквате бързо решение, е добре да сте подготвени, че процесът често е по-дълъг.

Мога ли да оттегля жалбата си до КЗЛД?

Да, можете да оттеглите жалбата си до КЗЛД по всяко време преди постановяване на окончателно решение по същество. Оттеглянето трябва да бъде направено писмено, като е препоръчително да посочите причините за това (напр. постигнато споразумение с администратора, липса на интерес и др.). След оттегляне, производството пред КЗЛД се прекратява. Имайте предвид, че оттеглянето на жалбата не винаги означава, че КЗЛД изцяло ще спре разследването си, особено ако са налице данни за сериозно, системно нарушение, което засяга и други субекти на данни. В такива случаи КЗЛД може да продължи разследването по своя инициатива, но вече не като производство по вашата жалба, а като обща проверка или надзор по спазване на закона.

Какво се случва, ако КЗЛД отхвърли моята жалба?

Ако КЗЛД отхвърли вашата жалба (т.е., не установи нарушение или счете, че няма достатъчно доказателства за такова), вие имате право да обжалвате това решение. Съгласно Административнопроцесуалния кодекс (АПК) и ЗЗЛД, решенията на КЗЛД за отхвърляне на жалба подлежат на обжалване пред Административен съд по местонахождението на КЗЛД (София). Срокът за обжалване е 14 дни от връчването на решението. Пред Административния съд можете да изложите отново своите аргументи и доказателства, както и да оспорите мотивите на КЗЛД за отхвърляне на жалбата. Съдебното решение от своя страна може да бъде обжалвано пред Върховния административен съд (ВАС) по касационен ред, ако законът позволява това.

Администраторът не ми отговаря. Какво да правя?

Ако администраторът на лични данни не ви отговори в рамките на един месец (или удължения срок от още два месеца) след подаване на вашето искане за достъп, корекция, изтриване и т.н., това само по себе си може да бъде считано за нарушение на GDPR (Чл. 12, параграф 3). В такава ситуация имате пълното право да подадете жалба до КЗЛД. В жалбата си изрично посочете, че сте изпратили искане до администратора и че не сте получили отговор в законоустановения срок. Приложете копие от изпратеното искане и доказателство за неговото изпращане (напр. известие за получаване, скрийншот на изпратен имейл). КЗЛД ще разгледа отказа или бездействието на администратора като част от вашето оплакване и ще предприеме необходимите действия.