GDPR за фирми: задължителни документи, срокове и какво проверява КЗЛД

Ива Петкова, адвокат · Актуализирано 30 септември 2026 г. · 7 мин.

Какво трябва да има всяко дружество по GDPR и Закона за защита на личните данни, кога е задължително длъжностно лице по защита на данните, как се действа при изтичане на данни и при искане на служител или клиент и как КЗЛД проверява и налага глоби.

Как можем да помогнем

Общият регламент относно защитата на данните (Регламент (ЕС) 2016/679, GDPR) се прилага към всяко дружество, което обработва лични данни на служители, клиенти или контрагенти, независимо от размера му. В България той се допълва от Закона за защита на личните данни (ЗЗЛД), а надзорът се осъществява от Комисията за защита на личните данни (КЗЛД). Регламентът не съдържа единен списък на задължителните документи, но администраторът трябва да може да докаже, че спазва принципите му (чл. 5, пар. 2).

Документите, които трябва да има почти всяко дружество

Регистърът на дейностите по обработване (чл. 30) описва за всяка дейност целта, категориите лица и данни, получателите, сроковете за изтриване и мерките за сигурност. Изключението за предприятия с по-малко от 250 служители не се прилага, когато обработването не е спорадично, може да породи риск или включва специални категории данни, например здравни данни от болничните листове, затова на практика всеки работодател води регистър. През юни 2026 г. преговарящите от Европейския парламент и Съвета постигнаха предварително споразумение задължението за предприятията и организациите с по-малко от 1000 служители да се ограничи до дейностите с висок риск, но към септември 2026 г. Европейският парламент още не е гласувал текста и изменението не е в сила, затова се прилага прагът от 250 служители.

Освен регистъра обикновено са необходими:

• уведомления за поверителност (чл. 13 и 14) за клиенти, посетители на сайта, кандидати за работа и служители;
• договори с обработващите лични данни (чл. 28, пар. 3), например с доставчиците на хостинг, облачни услуги и софтуер за заплати;
• вътрешни правила при системи за подаване на сигнали, ограничения при използването на служебните ресурси и контрол на достъпа и работното време (чл. 25и ЗЗЛД);
• правила за сроковете на съхранение и за изтриването на данните;
• описание на техническите и организационните мерки за сигурност (чл. 32).

Работодателите с 50 или повече работници и служители трябва да поддържат и вътрешен канал за подаване на сигнали по Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения (ЗЗЛПСПОИН), а централен орган по този закон е КЗЛД.

Служители, кандидати и видеонаблюдение

Според ЗЗЛД документите на кандидатите за работа се пазят най-много 6 месеца, освен ако кандидатът е съгласен с по-дълъг срок (чл. 25к). Вътрешните документи на работодателя от подбора, например протоколите за класиране, могат да се пазят до 3 години – срока по чл. 52 от Закона за защита от дискриминация (становище на КЗЛД от 2019 г.), а за документите на кандидатите остава 6-месечният срок. Лична карта, шофьорска книжка или документ за пребиваване се копират само когато това е предвидено в закон (чл. 25г). Ведомостите за заплати се пазят 50 години, а счетоводните регистри и финансовите отчети 10 години (чл. 12 от Закона за счетоводството); където законът мълчи, срокът се определя от администратора и се вписва в регистъра.

Видеонаблюдението в офис или магазин обикновено се основава на легитимния интерес от охрана на хората и имуществото. Преди зоната на наблюдение се поставя табела с основната информация. Според насоките на Европейския комитет по защита на данните записите по правило се изтриват след няколко дни и колкото по-дълъг е срокът, особено над 72 часа, толкова по-сериозна обосновка е нужна. При систематично мащабно наблюдение на публично достъпни зони са необходими писмени правила (чл. 25д ЗЗЛД) и оценка на въздействието (чл. 35, пар. 3, буква „в“).

Мерките за сигурност (чл. 32) се определят според риска. По българското дело C-340/21, свързано с изтичането на данни от НАП, Съдът на ЕС прие, че самото неразрешено разкриване от трети лица не доказва, че мерките са неподходящи. При иск за обезщетение обаче администраторът трябва да докаже, че мерките му са подходящи, а опасенията от злоупотреба с данните могат сами по себе си да бъдат нематериална вреда.

Кога е задължително длъжностно лице по защита на данните

Длъжностно лице по защита на данните (ДЛЗД) е задължително, когато обработването се извършва от публичен орган или когато основната дейност на администратора или обработващия включва редовно и систематично мащабно наблюдение на лица или мащабно обработване на специални категории данни или на данни за присъди и нарушения (чл. 37, пар. 1). Обработването на данни на собствените служители е спомагателна дейност и само по себе си не налага ДЛЗД. Определеното ДЛЗД и промените в данните му се съобщават на КЗЛД (чл. 25б ЗЗЛД) по образец на комисията.

Оценка на въздействието върху защитата на данните се прави преди обработване, което вероятно ще породи висок риск (чл. 35). Според списъка на КЗЛД тя е задължителна например при мащабно обработване на биометрични данни за идентификация и при обработване на данни на деца при пряко предлагане на онлайн услуги.

Изтичане на данни: срокът от 72 часа

Нарушение на сигурността е всяко случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, например имейл до грешен получател, откраднат лаптоп или криптиращ вирус. Администраторът уведомява КЗЛД без ненужно забавяне и когато това е осъществимо, не по-късно от 72 часа, след като е разбрал за нарушението, освен ако няма вероятност то да породи риск за засегнатите лица (чл. 33). Закъснялото уведомление се придружава от причините за забавянето.

1. Ограничете нарушението и установете какви данни и колко лица са засегнати; обработващият уведомява администратора без ненужно забавяне.
2. Преценете риска и в рамките на 72 часа подайте уведомление по образеца на КЗЛД: на хартия, по имейл с квалифициран електронен подпис или чрез системата за сигурно електронно връчване.
3. Ако рискът за лицата е висок, уведомете и тях без ненужно забавяне (чл. 34), освен ако например данните са били криптирани.
4. Опишете всяко нарушение във вътрешния регистър, включително тези, за които не сте уведомили КЗЛД (чл. 33, пар. 5).

Предложението на Европейската комисия от ноември 2025 г. за промени в GDPR (т.нар. Digital Omnibus), засягащо и уведомяването, още се обсъжда, затова срокът от 72 часа се прилага.

Искания на служители и клиенти: срок от един месец

Всяко лице може да поиска достъп до данните си и копие от тях, коригиране, изтриване, ограничаване на обработването или преносимост, както и да възрази срещу обработването (чл. 15–22). Искането може да е писмено, електронно или по друг начин, определен от администратора (чл. 37б ЗЗЛД). Отговорът се дава без ненужно забавяне и най-късно в срок от един месец от получаването; при сложни или многобройни искания срокът може да се удължи с още два месеца, като лицето се уведомява за това и за причините в рамките на първия месец (чл. 12, пар. 3). В същия срок се мотивира и отказът. Отговорът е безплатен, освен при явно неоснователни или прекомерни искания.

Недоволното лице може да сезира КЗЛД в срок от 6 месеца от узнаването за нарушението, но не по-късно от две години от извършването му (чл. 38 ЗЗЛД), или да обжалва действията на администратора пред административния съд и да поиска обезщетение (чл. 39 ЗЗЛД), но не и двете едновременно.

Проверки на КЗЛД, глоби и обжалване

КЗЛД извършва проверки по своя инициатива, по жалба или по сигнал (чл. 12 ЗЗЛД). Проверяващите могат да изискват информация и достъп до данните, помещенията и оборудването (чл. 58, пар. 1), а проверката приключва с констативен акт. Комисията може да отправи предупреждение или порицание, да разпореди обработването да бъде приведено в съответствие, да го ограничи или забрани и да наложи глоба (чл. 58, пар. 2).

Глобите по чл. 83 достигат 10 млн. евро или 2 на сто от общия годишен световен оборот за предходната финансова година, ако тази сума е по-висока, при нарушения на задълженията за регистъра, сигурността и уведомяването за нарушения, и 20 млн. евро или 4 на сто при нарушения на принципите, на правното основание и на правата на лицата. Размерът се определя според тежестта, вината, предприетите мерки и сътрудничеството (чл. 83, пар. 2), а комисията отчита потребностите и ресурсите на малките и средните предприятия (чл. 10г ЗЗЛД).

Решението по жалба се обжалва по реда на Административнопроцесуалния кодекс в 14-дневен срок от получаването му (чл. 38 ЗЗЛД). Когато нарушението е установено извън производство по жалба, се съставя акт за установяване на административно нарушение, по който могат да се подадат писмени възражения в 7-дневен срок от подписването му, а наказателното постановление се обжалва пред районния съд в 14-дневен срок от връчването (чл. 44 и 59 от Закона за административните нарушения и наказания).

Чести грешки при проверки:

• шаблонни документи, които не описват реалното обработване
• копия на лични карти без законово основание
• липсващи договори с доставчиците на ИТ и облачни услуги
• записи от камери и документи на кандидати, пазени без определен срок
• липса на отговорник за нарушенията, поради което 72-часовият срок изтича

Адвокатско дружество „Петкова & Минков“ консултира дружества по защита на личните данни и ги представлява пред КЗЛД и съда. Екипът работи на български, английски, руски и немски език.

Всички публикации