То дава контрол на индивидите върху техните лични данни онлайн, позволявайки им да поискат изтриване на информация, която е неточна, нерелевантна, прекомерна или вече не е необходима за целите, за които е била събрана.
Правото „да бъдеш забравен“ не е абсолютно и подлежи на определени ограничения, балансирайки интересите на субекта на данни с други основни права, като например свободата на изразяване и информация, или съображения от обществен интерес. Разбирането на тези нюанси е важно както за гражданите, желаещи да упражнят това право, така и за организациите, които трябва да спазват разпоредбите за защита на данните.
Специално внимание ще бъде отделено на процедурите пред Комисията за защита на личните данни (КЗЛД) и ролята на търсачки като Google.
Правна рамка — Право „да бъдеш забравен“
Основната правна рамка, уреждаща правото „да бъдеш забравен“ в България, произтича пряко от европейското законодателство и е имплементирана чрез национални закони. Към 2026 г. тези разпоредби са:
- Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните, GDPR):
- Член 17 – Право на изтриване („право да бъдеш забравен“): Този член е основният текст, който урежда правото. Той посочва конкретните основания, при които субектът на данни има право да поиска изтриване на своите лични данни. Те включват:
- Личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин.
- Субектът на данни оттегля своето съгласие, на което се основава обработването, и не съществува друго правно основание за обработването.
- Субектът на данни възразява срещу обработването съгласно член 21, параграф 1, и няма законни основания за обработване, които да имат преимущество, или субектът на данни възразява срещу обработването съгласно член 21, параграф 2 (директен маркетинг).
- Личните данни са били обработвани незаконосъобразно.
- Личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на Съюза или правото на държава членка, което се прилага спрямо администратора.
- Личните данни са били събрани във връзка с предлагането на услуги на информационното общество на деца съгласно член 8, параграф 1.
- Изключения от правото на изтриване (Член 17, параграф 3): GDPR допуска изключения от това право, когато обработването е необходимо за:
- Упражняване на правото на свобода на изразяване и информация.
- Спазване на правно задължение, което изисква обработване по правото на Съюза или правото на държава членка.
- Изпълнение на задача от обществен интерес или при упражняването на официални правомощия, предоставени на администратора.
- Причини от обществен интерес в областта на общественото здраве.
- Цели на архивиране в обществен интерес, за научни или исторически изследвания или за статистически цели, доколкото правото на изтриване би направило невъзможно или сериозно би затруднило постигането на целите на това обработване.
- Установяване, упражняване или защита на правни претенции.
- Член 19 – Задължение за уведомяване относно коригиране или изтриване на лични данни или ограничаване на обработването: Администраторът трябва да уведоми всеки получател, на когото са били разкрити личните данни, за всяко изтриване или ограничаване на обработването, освен ако това е невъзможно или изисква непропорционално големи усилия.
- Член 21 – Право на възражение: Субектът на данни има право на възражение срещу обработване на лични данни, включително профилиране, когато обработването се основава на законен интерес или задача от обществен интерес. При възражение срещу обработване за целите на директния маркетинг, личните данни повече не трябва да се обработват за тези цели.
- Закон за защита на личните данни (ЗЗЛД):
- ЗЗЛД допълва и конкретизира разпоредбите на GDPR в националното законодателство, касаещи процедурите пред КЗЛД, дефиниции, права и задължения на администраторите и обработващите лични данни, както и санкциите за нарушения. Към 2026 г. той е хармонизиран с всички изисквания на регламента.
- Разпоредби относно компетентността на КЗЛД: ЗЗЛД определя КЗЛД като надзорен орган в България, отговорен за прилагането на GDPR и за разглеждането на жалби и искания, свързани с правата на субектите на данни, включително правото "да бъдеш забравен".
- Процедури за подаване на жалби: Законът урежда реда и условията за подаване на жалби до КЗЛД от субекти на данни, чиито права са били нарушени от администратори.
- Закон за електронното управление (ЗЕУ): Макар и косвено, ЗЕУ може да има отношение към начина, по който се подават и обработват електронни заявления и комуникации с публични институции във връзка с лични данни.
- Съдебна практика: Решенията на Съда на Европейския съюз (СЕС), Върховния административен съд (ВАС) и административните съдилища в България също играят важна роля при тълкуването и прилагането на правото „да бъдеш забравен“, особено по отношение на обхвата и ограниченията му. Знаковото дело "Google Spain" на СЕС (2014 г.) утвърди първоначалното разбиране за това право, а последващи решения продължават да го развиват.
Всяко искане за упражняване на правото „да бъдеш забравен“ се разглежда индивидуално, като се прави преценка на конкретните обстоятелства и се балансират съответните права и интереси.
Стъпки за упражняване на правото „да бъдеш забравен“
Упражняването на правото „да бъдеш забравен“ преминава през няколко последователни стъпки. Първоначално комуникацията е с администратора на лични данни, а при неуспех – с надзорния орган.
Стъпка 1: Идентифициране на администратора на лични данни
Преди да предприемете каквото и да е действие, يجب да установите кой е администраторът на лични данни, обработващ Вашите данни. Това може да бъде уебсайт, онлайн платформа, фирма, медия или друга организация. Информация за администратора обикновено се намира в политиката за поверителност или общите условия за ползване на съответната услуга.
Стъпка 2: Подаване на искане директно до администратора на данни
Това е първата и най-важна стъпка. Искането трябва да е ясно, конкретно и да съдържа необходимата информация.
- Форма на искането:
- Искането може да бъде подадено писмено (на хартия или по имейл) или устно, но писмената форма е силно препоръчителна, тъй като предоставя доказателство за подаване.
- Много администратори предоставят специализирани формуляри за упражняване на правата на субектите на данни, достъпни на техните уебсайтове. Използването на такъв формуляр улеснява процеса.
- Съдържание на искането:
- Идентификация на субекта на данни: Вашите пълни имена, ЕГН (ако е необходимо за еднозначна идентификация в конкретната система на администратора), адрес, телефон и имейл за връзка.
- Идентификация на данните, които да бъдат изтрити: Максимално конкретно посочете кои лични данни желаете да бъдат изтрити. Това може да включва:
- Конкретни URL адреси (ако става въпрос за информация, индексирана от търсачка или публикувана онлайн).
- Публикации, статии, коментари в социални мрежи.
- Бази данни, архивни записи.
- Всички данни, свързани с потребителски профил.
- Основание за изтриване: Ясно посочете кое от основанията по член 17 от GDPR е приложимо във Вашия случай. Например:
- Данните вече не са необходими за целите, за които са събрани.
- Оттегляте съгласието си за обработване (и няма друго правно основание).
- Данните са обработвани незаконосъобразно.
- Възражение срещу обработване за целите на директния маркетинг.
- Публикуваната информация е неточна или неактуална, причинява Ви сериозни вреди или засяга Вашата репутация.
- Причина за искането: Кратко и ясно обяснете защо искате данните да бъдат изтрити и какви са последствията от тяхното продължаващо обработване (напр. уронват престижа, нарушават поверителността).
- Дата и подпис: Подпишете искането, ако е на хартиен носител. При изпращане по имейл се препоръчва използването на квалифициран електронен подпис (КЕП), ако искането съдържа чувствителна информация или се изисква висока степен на сигурност и автентичност.
- Доказателство за самоличност: Администраторът може да поиска допълнителни данни за потвърждаване на Вашата самоличност, за да се увери, че искането е подадено от Вас, а не от трето лице. Това е с цел защита на Вашите данни. Не бива да изпращате копие на лична карта или друг документ за самоличност без изрично искане и без да сте сигурни в необходимостта и сигурността на предаването.
- Адрес за подаване: Изпратете искането до длъжностното лице по защита на данните (DPO) на администратора, ако такова е назначено, или до посочения контакт за въпроси относно защитата на данните.
Стъпка 3: Получаване на отговор от администратора
Администраторът е задължен да Ви уведоми за предприетите действия и/или за причините за невъзможност за удовлетворяване на искането в определен срок (виж секция „Срокове“ по-долу).
- Ако искането е уважено, данните ще бъдат изтрити. Администраторът трябва да Ви информира за това и евентуално за мерките, предприети за уведомяване на трети страни, на които са били разкрити данните.
- Ако искането е отказано, администраторът трябва да Ви даде ясни и мотивирани причини за отказа, като посочи конкретното изключение от правото „да бъдеш забравен“, на което се позовава (напр. свобода на изразяване, законово задължение). Той е длъжен да Ви информира и за Вашето право да подадете жалба до КЗЛД или да потърсите съдебна защита.
Стъпка 4: Подаване на жалба до Комисията за защита на личните данни (КЗЛД)
Ако администраторът не е отговорил в срок или е отказал Вашето искане, или не сте удовлетворени от отговора, имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД).
- Форма на жалбата:
- Жалбата се подава писмено на хартия, по електронен път (чрез системата за сигурно електронно връчване или с КЕП) или чрез електронния формуляр на уебсайта на КЗЛД.
- Съдържание на жалбата:
- Ваши идентификационни данни и данни за връзка.
- Идентификация на администратора, срещу когото е насочена жалбата.
- Подробно описание на нарушението на Вашите права и причините, поради които смятате, че правото „да бъдеш забравен“ е било нарушено.
- Копия от кореспонденцията с администратора (искане до администратора, неговия отговор, ако има такъв).
- Всички други доказателства, които подкрепят Вашата жалба.
- Вашето искане до КЗЛД (напр. да разпореди изтриване на данните, да наложи санкция).
- Дата и подпис.
- Процедура пред КЗЛД:
- КЗЛД регистрира жалбата и образува производство.
- Комисията извършва проверка на изложените в жалбата факти, като изисква становище от администратора на лични данни.
- КЗЛД може да извърши допълнителни проучвания, проверки и да изиска писмени обяснения или доказателства от двете страни.
- След приключване на проверката, КЗЛД се произнася с решение. Решението може да бъде за уважаване на жалбата (нареждане за изтриване на данните, налагане на санкция), отхвърляне на жалбата или прекратяване на производството.
Стъпка 5: Съдебна защита
Ако не сте удовлетворени от решението на КЗЛД или КЗЛД не се произнесе в законоустановения срок, имате право да обжалвате решението на Комисията пред Административния съд по реда на Административнопроцесуалния кодекс (АПК). Можете също така да заведете иск за обезщетение за претърпени вреди срещу администратора или обработващия лични данни.
Необходими документи
За успешното упражняване на правото „да бъдеш забравен“ е важно да разполагате със следните документи и информация:
| Етап | Изисквани документи/информация | Забележки |
|---|---|---|
| Подаване на искане до администратора |
| Колкото по-конкретно е искането, толкова по-бързо и лесно може да бъде обработено. |
| Комуникация с администратора |
| Съхранявайте цялата кореспонденция. |
| Подаване на жалба до КЗЛД |
| Всички документи трябва да бъдат представени в четлив вид. |
| Съдебна защита |
| Препоръчва се консултация с адвокат. |
Срокове
Спазването на сроковете е от съществено значение при упражняване на правото „да бъдеш забравен“.
Срок за отговор от администратора на лични данни:
- Съгласно член 12, параграф 3 от GDPR, администраторът предоставя информация на субекта на данни относно действията, предприети по искането му, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането.
- Този срок може да бъде удължен с още два месеца, когато е необходимо, като се взема предвид сложността и броя на исканията. Администраторът е длъжен да уведоми субекта на данни за всяко такова удължаване в рамките на един месец от получаване на искането, заедно с причините за забавянето.
- Ако администраторът не предприеме действия по искането на субекта на данни, той трябва без забавяне и най-късно в срок до един месец от получаване на искането да уведоми субекта на данни за причините за това и за възможността за подаване на жалба до надзорен орган и търсене на съдебна защита.
Срок за разглеждане на жалба от КЗЛД:
- ЗЗЛД не установява конкретен фиксиран срок за произнасяне на КЗЛД по жалби. Обичайната практика показва, че разглеждането на жалба може да отнеме няколко месеца (обикновено от 3 до 6 месеца, но може и повече), в зависимост от сложността на случая, необходимостта от събиране на доказателства и натовареността на Комисията.
- Въпреки липсата на ясен срок, КЗЛД е задължена да действа ефективно и своевременно.
Срок за обжалване на решение на КЗЛД:
- Решенията на КЗЛД могат да бъдат обжалвани пред Административния съд по реда на АПК в 14-дневен срок от съобщаването им.
Срок за заличаване на данни от търсачки (напр. Google):
- След като подадете искане до търсачка (например Google, чрез нейния формуляр), те имат собствен процес на преоценка. Срокът за отговор варира, но обикновено е в рамките на няколко седмици до 2-3 месеца, в зависимост от сложността и обема на исканията.
- Ако искането бъде уважено, съответните връзки ще бъдат премахнати от резултатите от търсенето за дадено име, но съдържанието може да остане на оригиналния уебсайт.
Важно е да се има предвид, че тези срокове са максимални и администраторът или КЗЛД могат да отговорят по-рано. От друга страна, забавяния могат да възникнат поради необходимост от допълнителни изяснявания или голям брой постъпили искания.
Такси
При упражняване на правото „да бъдеш забравен“ в България, към 2026 г., приложими са следните правила относно таксите:
Подаване на искане до администратора на лични данни:
- Упражняването на правата на субекта на данни, включително правото на изтриване, е безплатно. Съгласно член 12, параграф 5 от GDPR, администраторът не може да налага такса за обработване на искания, освен ако те са явно неоснователни или прекомерни.
- Ако искането е явно неоснователно или прекомерно (особено поради своята повтаряемост), администраторът може да наложи разумна такса, като отчита административните разходи за предоставяне на информацията или комуникацията, или за предприемане на поисканите действия.
- Алтернативно, администраторът може да откаже да предприеме действия по такова искане. В тези случаи, администраторът трябва да докаже ясно неоснователния или прекомерен характер на искането.
Подаване на жалба до Комисията за защита на личните данни (КЗЛД):
- Подаването на жалба до КЗЛД от субект на данни е безплатно. Няма административни такси, свързани с разглеждането на жалбата от надзорния орган съгласно ЗЗЛД.
Важно е да се запомни, че основният принцип е достъпът до правата по GDPR да бъде улеснен и безплатен, за да не се създават пречки пред упражняването им.
Права на субекта на данни:
- Право на изтриване („право да бъдеш забравен“) (Чл. 17 GDPR): Правото да поискате от администратора да изтрие лични данни, отнасящи се до Вас, без ненужно забавяне, при наличието на едно от основанията, изброени в секция "Правна рамка" по-горе.
- Право на информиране (Чл. 13 и 14 GDPR): Право да получите ясна, прозрачна и лесно достъпна информация относно обработката на Вашите лични данни.
- Право на достъп (Чл. 15 GDPR): Право да получите потвърждение дали се обработват лични данни, свързани с Вас, и ако е така, достъп до данните и информация за целите на обработване, категориите данни, получателите и срока на съхранение.
- Право на коригиране (Чл. 16 GDPR): Право да поискате без ненужно забавяне коригиране на неточни лични данни или допълване на непълни данни.
- Право на ограничаване на обработването (Чл. 18 GDPR): Право да поискате ограничаване на обработването в определени случаи (напр. докато се проверява точността на данните, ако обработването е неправомерно, но не желаете изтриване).
- Право на преносимост на данните (Чл. 20 GDPR): Право да получите личните данни, които сте предоставили на администратора, в структуриран, широко използван и пригоден за машинно четене формат, и право да прехвърлите тези данни на друг администратор без възпрепятстване.
- Право на възражение (Чл. 21 GDPR): Право да възразите срещу обработването на лични данни за целите на директния маркетинг или когато обработването се основава на законен интерес или задача от обществен интерес.
- Право на оттегляне на съгласие (Чл. 7 параграф 3 GDPR): Ако обработването се основава на Вашето съгласие, имате право да го оттеглите по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.
- Право на жалба до надзорен орган (Чл. 77 GDPR): Право да подадете жалба до КЗЛД, ако смятате, че обработването на личните Ви данни нарушава GDPR.
- Право на съдебна защита (Чл. 79 GDPR): Право на ефективни съдебни средства за защита срещу администратор или обработващ, както и срещу решение на надзорния орган.
Задължения на администратора на лични данни:
- Отговорност за спазване на GDPR (Чл. 5 параграф 2 и Чл. 24 GDPR): Администраторът носи отговорност за спазването на принципите за обработване на лични данни и трябва да е в състояние да докаже това.
- Обработване на данни по законосъобразен начин (Чл. 5 параграф 1, буква а) GDPR): Личните данни трябва да се обработват законосъобразно, добросъвестно и по прозрачен начин.
- Прозрачност (Чл. 12 GDPR): Да предоставя информация на субектите на данни по ясен, разбираем и лесно достъпен начин.
- Улесняване на упражняването на правата (Чл. 12 GDPR): Да предостави механизми за улесняване на упражняването на правата на субектите на данни и да отговори на техните искания в срок.
- Изтриване на данни (Чл. 17 GDPR): Да изтрие без ненужно забавяне личните данни, когато е налице едно от основанията за изтриване и няма приложимо изключение.
- Уведомяване на трети страни (Чл. 19 GDPR): Ако администраторът е разкрил лични данни на трети страни, той е длъжен да ги уведоми за изтриването, освен ако това е невъзможно или изисква непропорционално големи усилия.
- Доказване на основанията за отказ (Чл. 12 параграф 5 GDPR): Ако администраторът откаже искане, той трябва да докаже, че искането е явно неоснователно или прекомерно, или че е налице законово изключение от правото на изтриване.
- Сигурност на обработването (Чл. 32 GDPR): Да прилага подходящи технически и организационни мерки, за да гарантира ниво на сигурност, съответстващо на риска.
Практически насоки — Право „да бъдеш забравен“
За да увеличите шансовете си за успешно упражняване на правото „да бъдеш забравен“, следвайте тези важни проверки:
- Бъдете конкретни в искането си: Колкото по-точно посочите кои данни искате да бъдат изтрити и къде се намират те (напр. конкретни URL адреси), толкова по-лесно ще бъде за администратора да изпълни Вашето искане.
- Аргументирайте се ясно: Посочете кое от основанията по член 17 от GDPR е приложимо във Вашия случай. Например, ако данните са неактуални и уронват престижа Ви, обяснете това внимателно.
- Съхранявайте цялата кореспонденция: Пазете копия на всички изпратени искания, получени отговори и доказателства за изпращане/получаване (разписки, електронни записи). Това ще бъде Вашият коз, ако се наложи да подадете жалба до КЗЛД или да заведете съдебно дело.
- Използвайте електронни средства за комуникация с доказателство за изпращане: E-mail с потвърждение за доставка или система за електронно връчване (ако е възможно) са за предпочитане пред обикновена поща при комуникация с администратора и с КЗЛД.
- Бъдете реалисти: Правото „да бъдеш забравен“ не е абсолютно. То балансира Вашите права с други обществени интереси, като свободата на словото и публичния интерес. Някои данни, особено такива от обществен интерес (напр. информация за политици, извършени престъпления, публични фигури) или данни, които администраторът е законово задължен да съхранява, може да не бъдат изтрити.
- Преценете последствията: Изтриването на акаунт или данни може да доведе до загуба на достъп до услуги или информация, които някога са били полезни. Уверете се, че сте преценили всички последици.
- Започнете от източника на информацията: Ако търсачка индексира информация, която искате да бъде премахната, често е по-ефективно първо да се свържете с оригиналния уебсайт, който публикува данните. Ако те бъдат премахнати оттам, търсачката в крайна сметка ще актуализира своите индекси.
- Бъдете настоятелни, но учтиви: Поддържайте професионален тон в комуникацията си.
- Потърсете правна консултация: Ако случаят е сложен, засяга голям обем данни или потенциално сложни правни въпроси, консултацията с адвокат, специализиран в защитата на личните данни, е силно препоръчителна.
- Не изпращайте излишни лични данни: Когато подавате искане, предоставяйте само необходимата информация за Вашата идентификация и за идентификация на данните, които искате да бъдат изтрити. Избягвайте да споделяте чувствителна информация, освен ако не е изрично поискана и обоснована.
Често допускани грешки
Избягването на тези често срещани грешки може да улесни процеса по упражняване на правото „да бъдеш забравен“:
- Не е подадено искане директно до администратора: Много хора пропускат първата стъпка и директно подават жалба до КЗЛД или до търсачката. GDPR изисква първо да се обърнете към администратора.
- Искането е твърде общо или неясно: Искане от рода на "Изтрийте всички мои данни!" без конкретизация на URL адреси или видове данни може да забави или направи невъзможно изпълнението.
- Не е посочено правно основание: Пропускането на ясно позоваване на член 17 от GDPR и конкретното основание за изтриване може да доведе до неразбиране или до отказ от администратора.
- Липса на доказателство за самоличност или некоректна идентификация: Администраторът има право да поиска верификация на самоличността, за да предотврати злоупотреби. Непредоставянето на адекватно доказателство, или предоставянето на такова, което не позволява еднозначна идентификация, може да бъде причина за отказ.
- Очакване, че изтриването от търсачка означава изтриване от оригиналния източник: Изтриването на резултати от търсачка (деиндексиране) не означава, че информацията е била премахната от оригиналния уебсайт. За пълно премахване трябва да се свържете с администратора на съответния сайт.
- Неразбиране на изключенията от правото: Много хора не осъзнават, че правото „да бъдеш забравен“ не е абсолютно. Искане за изтриване на информация от обществен характер (напр. публикувани присъди, новини за публични личности), може да бъде отказано на основание свобода на изразяване или обществен интерес.
- Несъхраняване на кореспонденция: Липсата на писмени доказателства за подадени искания и получени отговори може да се окаже проблем при ескалиране на случая пред КЗЛД или съд.
- Повторни неоснователни искания: Подаването на многобройни, повтарящи се и еднотипни искания към един и същи администратор, които вече са били разгледани и отказани на законно основание, може да доведе до налагане на такса или отказ за разглеждане.
- Неправилен избор на компетентен орган: Изпращане на жалба до грешен орган (напр. до Комисията за защита на потребителите вместо до КЗЛД за защита на личните данни).