Закони за защита на личните данни в България: пълно ръководство за GDPR и ЗЗЛД (2026)

Личните данни в България се уреждат от GDPR на ЕС (Регламент (ЕС) 2016/679), който се прилага пряко, и националния Закон за защита на личните данни (ЗЗЛД), последно изменен с ДВ, бр. 70 от 20 август 2024 г. Независимата КЗЛД упражнява надзор за спазването на изискванията и може да налага глоби на нарушителите до 20 млн. евро или 4% от глобалния годишен оборот.

България прилага правото на ЕС за защита на данните чрез пряко приложимия Общ регламент относно защитата на данните (GDPR) и националния Закон за защита на личните данни (ЗЗЛД), под надзора на Комисията за защита на личните данни (КЗЛД). Рамката обхваща цялото обработване на лични данни от администратори и обработващи лица, извършващи дейност в България, независимо дали субектите на данните са български граждани.

Информацията е последно проверена на 10 септември 2026 г. Тази статия представя обща правна информация относно българското законодателство за защита на данните. Тя не представлява правен съвет.

Обхват на юрисдикцията: Тази статия разглежда законодателството за защита на данните на Република България, основно GDPR на ЕС (Регламент (ЕС) 2016/679) и българския Закон за защита на личните данни (ЗЗЛД), изменен с ДВ, бр. 70 от 2024 г., чиято промяна в ЗЗЛД влезе в сила на 1 януари 2026 г. Тя разглежда и Регламента на ЕС за изкуствения интелект (Регламент (ЕС) 2024/1689), доколкото се прилага в България, както и контекста от решението на ЕСПЧ по делото Екимджиев и други срещу България. За по-широката рамка на ЕС вижте нашето ръководство за законите за защита на данните в ЕС. За правилата на България относно записването на разговори и подслушването вижте нашето ръководство за законите за записване в България.

Кратък отговор: спазва ли България GDPR?

България е държава членка на ЕС. GDPR се прилага пряко и изцяло на цялата територия на България, без да е необходимо национално транспониране. Българският Закон за защита на личните данни (ЗЗЛД), обнародван в ДВ, бр. 17 от 26 февруари 2019 г. и последно изменен в ДВ, бр. 70 от 20 август 2024 г., допълва GDPR в областите, в които регламентът изрично позволява или изисква национално законодателство. Те включват структурата и правомощията на КЗЛД като надзорен орган, възрастта за цифрово съгласие (определена на 14 години), разпоредбите относно видеонаблюдението, правилата за обработване на лични данни за журналистически и академични цели, както и транспонирането на Директива (ЕС) 2016/680 (Директивата за правоприлагане). Всяко физическо или юридическо лице, включително организации извън ЕС, което обработва лични данни на лица в България, трябва да спазва както GDPR, така и ЗЗЛД. Неспазването може да доведе до административни глоби до 20 млн. евро или 4% от глобалния годишен оборот, както и до наказателна отговорност по българския Наказателен кодекс за определени категории нарушения.

Правна рамка: GDPR, българският ЗЗЛД и КЗЛД

Правната архитектура на защитата на данните в България се основава на три нива. Първо, GDPR осигурява задължителната рамка на ниво ЕС, приложима от 25 май 2018 г. Второ, ЗЗЛД предоставя националното законодателство по прилагане. Трето, КЗЛД издава задължителни решения, указания и становища, които тълкуват рамката в българската практика.

ЗЗЛД е изменян многократно от 2019 г. насам, за да отрази законодателните развития. Известната хронология на измененията е следната:

• ДВ, бр. 17 от 26 февруари 2019 г. (основен акт по прилагане, влязъл в сила на 2 март 2019 г.)
• ДВ, бр. 93 от 26 ноември 2019 г. (обнародване на Решение № 8 от 15 ноември 2019 г. на Конституционния съд, с което беше обявен за противоконституционен чл. 25з, ал. 2 от ЗЗЛД, задължителният списък от критерии за балансиране между свободата на изразяване и защитата на данните)
• ДВ, бр. 11 от 2 февруари 2023 г. (интегриране на Закона за защита на лицата, подаващи сигнали, определящо КЗЛД за компетентен контролен орган по новия закон, влязло в сила на 4 май 2023 г.)
• ДВ, бр. 84 от 6 октомври 2023 г. (изменение, привеждащо чл. 8, ал. 4 от ЗЗЛД в съответствие със Закона за противодействие на корупцията, като основание за предсрочно прекратяване на мандата на член на комисията)
• ДВ, бр. 70 от 20 август 2024 г. (Закон за въвеждане на еврото в Република България; промяната, която той внася в ЗЗЛД, в чл. 85, ал. 6, влезе в сила на 1 януари 2026 г., когато България прие еврото)

Бисквитките и подобното съхраняване на информация в устройството на потребителя не се уреждат от Закона за електронните съобщения. България е поставила това правило в чл. 4а от Закона за електронната търговия, който изисква информацията по чл. 13 от GDPR, както и осигурена възможност потребителят да откаже съхраняването или достъпа.

Законът за електронните съобщения урежда директния маркетинг (чл. 261) и съхранението на трафични и локационни данни (чл. 251б и следващите). Чл. 261, ал. 1, в тази си редакция от ДВ, бр. 105 от 2011 г., изисква предварително съгласие за маркетингови обаждания, съобщения и електронна поща до потребители. Чл. 261, ал. 2 позволява на търговец, получил електронните данни за контакт на клиент при продажба, да предлага собствени сходни продукти или услуги на този клиент, при условие че на клиента е осигурена безплатна и лесна възможност да възрази както при продажбата, така и във всяко следващо съобщение.

Конституционна основа

Конституцията на България от 1991 г. предоставя основата на основните права за защитата на данните. Чл. 32 гарантира, че никой не може да бъде подлаган на намеса в личните или семейните му работи или в кореспонденцията му. Всеки има право на защита срещу незаконно събиране, съхраняване, използване и разпространение на информация за него. Чл. 34 защитава свободата и тайната на кореспонденцията и другите съобщения. Тези конституционни гаранции стоят в основата на ЗЗЛД и дават на българските съдилища правомощието да обявяват за противоконституционни разпоредби, които не осигуряват адекватна защита.

Конституционният съд на България също се е занимавал с въпроси на защитата на данните. С Решение № 8 от 15 ноември 2019 г. (ДВ, бр. 93 от 26 ноември 2019 г.) той обяви за противоконституционен чл. 25з, ал. 2 от ЗЗЛД, който определяше предварително установен списък от критерии за преценка дали обработването за журналистически, академични, художествени или литературни цели на изразяване е пропорционално. Съдът прие, че тези критерии са достатъчно неясни, за да създадат правна несигурност и да ограничат непропорционално свободата на изразяване, като на тяхно място остава преценка за всеки конкретен случай.

КЗЛД: структура, правомощия и прилагане

Комисията за защита на личните данни (КЗЛД) е независимият надзорен орган на България по смисъла на чл. 51 от GDPR. КЗЛД е колегиален орган, състоящ се от председател и четирима членове, всички избирани от Народното събрание за петгодишен мандат. Настоящият председател е Борислав Божинов. Бившият председател Венцислав Караджов е заемал по-рано поста заместник-председател на Европейския комитет по защита на данните през предходен мандат.

Годишният бюджет на КЗЛД за 2024 г. е бил 6 403 403 лв. (около 3 274 008 евро). Комисията разполага с утвърдена численост от 117 щатни бройки, включително петимата членове на комисията. Годишните ѝ доклади отчитат 85 заети бройки към 31 декември 2024 г. и 88 към 31 декември 2025 г. Правилникът за дейността на КЗЛД е последно актуализиран на 28 април 2023 г.

КЗЛД публикува двумесечен бюлетин, който предоставя информация за решенията по прилагане и регулаторните развития. От 2024 г. насам КЗЛД е намалила броя на индивидуално публикуваните решения на своя уебсайт, поради което бюлетинът се е превърнал в основния канал за проследяване на тенденциите в прилагането между годишните доклади.

От 2023 г. насам КЗЛД изпълнява допълнително функциите на компетентен контролен орган по българския Закон за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения. Заседанията, на които КЗЛД действа в това си качество, са закрити.

Правомощия и функции на КЗЛД

КЗЛД разполага с целия обхват от надзорни и коригиращи правомощия по GDPR съгласно чл. 58 и чл. 83. Те включват:

• извършване на разследвания по жалби, подадени от физически лица, или по собствена инициатива на КЗЛД
• извършване на проверки на място на администратори и обработващи лица
• издаване на предупреждения, порицания и разпореждания за привеждане в съответствие
• налагане на временни или постоянни забрани за обработване
• разпореждане за спиране на потока от данни към получатели в трети държави
• налагане на административни санкции съгласно чл. 83, §§ 4 и 5 от GDPR

КЗЛД изпълнява и консултативни функции: издава становища по проекти на нормативни актове, предоставя указания на администраторите и провежда кампании за обществена осведоменост. Тя поддържа публичен регистър на администраторите и обработващите лица, назначили длъжностни лица по защита на данните, както и регистър на акредитираните органи за сертифициране.

КЗЛД сама по себе си не изпълнява принудително наложените глоби чрез производство по събиране. Изпълнението на финансовите санкции следва отделна административна процедура съгласно българския Закон за административните нарушения и наказания (ЗАНН). Това разграничение е важно за предприятията, преценяващи срока от налагането на глобата до реалното ѝ събиране.

Статистика за прилагането

Дейност на КЗЛД по прилагане на законодателството по години:

Годишният доклад за дейността на КЗЛД за 2025 г. изброява секторите, събрали най-много жалби от физически лица през тази година: видеонаблюдение (425 жалби), банки и кредитни институции (131), физически лица (106), държавни органи (105), далекосъобщения (56) и медии (48). Видеонаблюдението води класацията всяка година от 2023 г. насам, като жалбите нарастват от 178 през 2023 г. на 345 през 2024 г. и 425 през 2025 г.

България прие еврото на 1 януари 2026 г. при фиксиран курс 1 евро за 1,95583 лв., затова всяка санкция по-долу, наложена преди смяната на валутата, е определена в левове и е преизчислена тук по този курс. Типичният диапазон за производствата по санкции по GDPR и ЗЗЛД е от 1000 до 10 000 лв. (около 511 до 5113 евро). КЗЛД обикновено налага или глоба, или задължителни коригиращи указания, рядко и двете едновременно. Знаковите наказателни постановления срещу НАП и Банка ДСК от 2019 г. бяха изключение, а не представителен пример за ежедневното прилагане, а постановлението срещу НАП впоследствие беше отменено от съда.

Значими действия по прилагане

Национална агенция за приходите (наказателно постановление за 5 100 000 лв., около 2 607 591 евро, издадено през 2019 г. и отменено през 2024 г.): Най-голямата санкция, издавана някога от КЗЛД, последва кибератака, при която хакер получи отдалечен неправомерен достъп до сървърите на НАП и извлече лични данни от около 6 074 140 записа. Данните включваха имена, единни граждански номера (ЕГН), адреси, информация за доходи и данни за данъци и осигуровки. КЗЛД установи, че НАП не е приложила адекватни технически и организационни мерки за сигурност, както се изисква от чл. 32 от GDPR, и председателят ѝ издаде Наказателно постановление № 004 от 28 август 2019 г. за 5 100 000 лв.

Това постановление вече не е в сила. На 26 февруари 2024 г. Административен съд София-град отмени решението на Софийския районен съд от 26 октомври 2023 г., с което то беше потвърдено, отмени Наказателно постановление № 004 и прекрати административнонаказателното производство, тъй като абсолютната погасителна давност от четири години и шест месеца беше изтекла. Съдът отбеляза, че решението е окончателно и не подлежи на обжалване и протест, така че НАП така и не плати санкцията. Самият пробив все пак предизвика национален отзвук относно киберсигурността в публичния сектор и издигна защитата на данните до политически приоритет.

Банка ДСК (наказателно постановление за 1 000 000 лв., около 511 292 евро, 2019 г.): През 2019 г. КЗЛД издаде наказателно постановление за 1 000 000 лв. срещу Банка ДСК, след като неоторизирани лица получиха достъп до личните и финансовите данни на над 33 000 клиенти. КЗЛД установи, че банката не е приложила подходящи технически и организационни мерки за защита на данните на клиентите съгласно чл. 32 от GDPR. Не успяхме да потвърдим окончателния изход на това постановление по официален съдебен източник, затова го приемайте като издадено постановление, а не като санкция, за която се знае, че е издържала обжалване.

Български пощи ЕАД (наказателно постановление за 1 000 000 лв., около 511 292 евро, 2022 г.): През 2022 г. КЗЛД издаде наказателно постановление за 1 000 000 лв. срещу Български пощи за неподходящи технически и оперативни мерки за сигурност, довели до неправомерен достъп и разгласяване на лични данни, включително документи за самоличност, адреси, телефонни номера, финансови данни и здравна информация. Както и при Банка ДСК, окончателният изход на това постановление не е потвърден тук по официален съдебен източник.

Политическа партия (25 000 лв. / около 12 782 евро, 2023 г.): КЗЛД глоби политическа партия с 25 000 лв. за неправомерно обработване на лични данни на симпатизанти във връзка с парламентарни избори, което показва, че прилагането на законодателството обхваща и извън частния сектор.

Министерство на вътрешните работи (2000 лв. / 1022 евро, 2023 г.): КЗЛД глоби Министерството на вътрешните работи с 2000 лв. за съхраняване на лични данни след изтичане на законоустановения срок, което показва, че дори по-леки нарушения от страна на публични органи водят до формални санкции.

Конституционна основа и контекст на ЕСПЧ

Ангажиментът на България към защитата на личния живот надхвърля ЗЗЛД и GDPR. Чл. 8 от Европейската конвенция за правата на човека (ЕКПЧ), която България е ратифицирала, гарантира правото на зачитане на личния и семейния живот, жилището и кореспонденцията. Европейският съд по правата на човека (ЕСПЧ) се е произнасял пряко относно практиките на наблюдение в България.

По делото Екимджиев и други срещу България (жалба № 70078/12, решение от 11 януари 2022 г.) съдът единодушно приема, че България е нарушила чл. 8 от Конвенцията в две отношения. Първо, българското законодателство, уреждащо тайното наблюдение (специалните разузнавателни средства), не осигурява ефективни правни гаранции срещу произвол и злоупотреба, като не отговаря на изискването за качество на закона по Конвенцията. Второ, българските правила относно съхранението на трафични данни от далекосъобщения и достъпа на правоприлагащите органи до тях също са били недостатъчни, оставяйки данните от наблюдение без адекватна защита срещу злоупотреба. Делото засяга както общата правна рамка, така и практиките на Държавна агенция „Национална сигурност" (ДАНС) на България.

Решението по делото Екимджиев има пряко значение за защитата на данните в България. То потвърждава, че дейностите по наблюдение трябва да се основават на ясен, достъпен и предвидим закон. Всяко обработване на лични данни от българските разузнавателни или правоприлагащи органи, което остава извън разпоредбите на ЗЗЛД за транспониране на Директивата за правоприлагане, трябва самостоятелно да отговаря на стандартите по чл. 8 от ЕКПЧ.

Последващо свързано дело, Кънев и Български хелзинкски комитет срещу България, установи, че отказът на Държавна агенция „Национална сигурност" да потвърди или отрече, че държи данни за правозащитен активист и неправителствена организация, нарушава чл. 8 поради липсата на ефективни гаранции срещу произволно обработване.

Правни основания и съгласие

Шестте правни основания по чл. 6 от GDPR се прилагат пряко в България без национална модификация. Администраторът, обработващ лични данни, трябва да определи и документира поне едно приложимо основание, преди да започне обработването:

ЗЗЛД добавя специфично правило в чл. 25а. Когато субект на данни е предоставил лични данни на администратор или обработващ лични данни без правно основание по чл. 6, § 1 или в нарушение на принципите по чл. 5, администраторът или обработващият трябва да върне данните в срок от един месец от узнаването. Само когато връщането е невъзможно или изисква несъразмерно големи усилия, той може вместо това да изтрие или унищожи данните, като изтриването и унищожаването се документират.

Специални категории лични данни

Специалните категории данни (чл. 9 от GDPR) получават засилена защита в България. Обработването изисква както правно основание по чл. 6, така и допълнително условие по чл. 9, § 2. ЗЗЛД не налага допълнителни ограничения извън GDPR за повечето специални категории и не съдържа отделно правило за данните за присъди и нарушения. Този въпрос се урежда от самия чл. 10 от GDPR, който допуска такова обработване само под контрола на официален орган или когато то е разрешено от правото на Съюза или на държава членка.

Специфичните за трудовите правоотношения правила на ЗЗЛД се намират другаде. Чл. 25и задължава работодателя или органа по назначаването да приеме, документира и оповести правила и процедури за системите за подаване на сигнали, за ограниченията при използване на вътрешните информационни ресурси и за системите за контрол на достъпа, работното време и трудовата дисциплина. Чл. 25к, ал. 1 ограничава съхранението на лични данни на участници в процедури по подбор до шест месеца без съгласието на кандидата, а чл. 25к, ал. 2 изисква оригиналите или нотариално заверените копия на документи да бъдат върнати на неуспелия кандидат в срок от шест месеца от приключване на процедурата.

КЗЛД е издала указания и относно биометричните технологии в образователна среда, подчертавайки, че използването на разпознаване на лица в училища изисква убедителна обосновка предвид характера на биометричните данни като специална категория и уязвимостта на децата като субекти на данни.

Възраст за цифрово съгласие

България определи възрастта за цифрово съгласие на 14 години, по-ниска от стандартните 16 години по GDPR, но в рамките на допустимия диапазон по чл. 8, § 1 от GDPR (който позволява на държавите членки да намалят прага до 13 години). През март 2022 г. КЗЛД публикува информационна брошура с подробни изисквания: съгласието за онлайн услуги за деца трябва да бъде събирано за всяка дейност по обработване поотделно, чрез активни интерфейси за положителен избор (без предварително отметнати квадратчета) и при стриктно прилагане на принципите за минимизиране на данните. Децата под 14 години се нуждаят от съгласие на родител или настойник за обработване на основание съгласие в услуги на информационното общество.

Права на субектите на данни

Съгласно GDPR и ЗЗЛД, физическите лица в България разполагат със следните права:

• Право на достъп (чл. 15): Физическите лица могат да поискат потвърждение дали техните данни се обработват и да получат копие от тях. Първото копие е безплатно. Администраторът, а не КЗЛД, може да начисли разумна такса въз основа на административните разходи за допълнителни копия или за искания, които са явно неоснователни или прекомерни, а може и да откаже да предприеме действия, като носи тежестта да докаже, че искането е явно неоснователно или прекомерно (чл. 12, § 5 и чл. 15, § 3 от GDPR).
• Право на коригиране (чл. 16): Физическите лица могат да поискат коригиране на неточни данни и допълване на непълни данни.
• Право на изтриване (чл. 17): Известно още като „правото да бъдеш забравен". Прилага се, когато данните вече не са необходими, съгласието е оттеглено (и не съществува друго основание) или обработването е неправомерно. Съществуват изключения за правни претенции, обществен интерес и архивиране.
• Право на ограничаване на обработването (чл. 18): Прилага се при спорове относно точността, когато обработването се оспорва или когато субектът на данни се нуждае от данните за правни претенции.
• Право на преносимост на данните (чл. 20): Прилага се, когато обработването се основава на съгласие или изпълнение на договор и се извършва по автоматизиран начин.
• Право на възражение (чл. 21): Прилага се към обработване на основание изпълнение на задача от обществен интерес или легитимни интереси. Осигурява и абсолютно право на възражение срещу директен маркетинг по всяко време.

Исканията трябва да бъдат подадени писмено, с посочена дата и подпис. ЗЗЛД запазва стандартните изключения по GDPR за журналистически, академични, художествени и литературни цели на изразяване. Администраторите трябва да отговорят на исканията на субектите на данни без ненужно забавяне и в срок от един месец, който може да бъде удължен с още два месеца за сложни искания.

Лица, чиито права са отказани или пренебрегнати, могат да подадат жалба до КЗЛД, което е безплатно, или да потърсят съдебна защита пред българските съдилища съгласно чл. 79 от GDPR.

Пътят през КЗЛД е обвързан с твърд срок. Съгласно чл. 38, ал. 1 от ЗЗЛД субектът на данни има право да сезира комисията в срок 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му. Двата срока се прилагат кумулативно, а жалба, подадена извън който и да е от тях, се оставя без разглеждане по същество.

Изисквания за длъжностно лице по защита на данните

Назначаването на длъжностно лице по защита на данните (ДЛЗД) в България следва чл. 37 от GDPR без допълнителни национални изисквания. ДЛЗД трябва да бъде назначено, когато:

• администраторът или обработващото лице е публичен орган или структура (с изключение на съдилища, действащи в съдебното си качество)
• основната дейност се състои от операции по обработване, изискващи редовно и систематично мащабно наблюдение на субектите на данни
• основната дейност се състои от мащабно обработване на специални категории данни (чл. 9) или данни за присъди и престъпления (чл. 10)

КЗЛД поддържа публичен регистър на администраторите и обработващите лица, назначили ДЛЗД. Администраторите трябва да уведомят КЗЛД за данните на ДЛЗД чрез одобрени формуляри за регистрация. Организациите, установени в България, могат да назначат ДЛЗД, намиращо се в чужбина, но то трябва да бъде регистрирано в КЗЛД.

ДЛЗД не могат да бъдат освобождавани или санкционирани за изпълнението на функциите си и трябва да докладват пряко на висшето ръководство на организацията. Те могат да бъдат наети от организацията (вътрешно ДЛЗД) или да действат по силата на договор за услуги (външно ДЛЗД). Споделени ДЛЗД в група предприятия са допустими, при условие че ДЛЗД е лесно достъпно от всяко от предприятията.

Уведомяване за пробив в сигурността на данните

В България се прилагат стандартните изисквания на GDPR за уведомяване при пробив в сигурността на данните. Администраторите трябва да уведомят КЗЛД за пробив в сигурността на личните данни без ненужно забавяне и не по-късно от 72 часа след узнаването за него, освен ако е малко вероятно пробивът да породи риск за правата и свободите на физическите лица. Когато уведомлението не може да бъде подадено в срок от 72 часа, то трябва да бъде придружено от обяснение за забавянето.

Когато е вероятно пробивът да породи висок риск за правата и свободите на физическите лица, администраторът трябва също така да уведоми засегнатите лица без ненужно забавяне. КЗЛД предоставя образци на формуляри за уведомяване. Комисията поддържа непубличен регистър на пробивите в сигурността на личните данни.

Пробивът в НАП подчерта сериозния подход на КЗЛД към разследването на пробиви. Комисията провери не само дали уведомлението е своевременно, но и дали основната архитектура за сигурност е адекватна съгласно чл. 32 от GDPR.

Докладване на инциденти по NIS2 (от февруари 2026 г.)

Отделно от това, българският Закон за киберсигурност беше изменен, за да транспонира Директива NIS2 (Директива (ЕС) 2022/2555), с изменителен закон, обнародван в ДВ, бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Докладите се подават до секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС) към съответния национален компетентен орган, а не до CERT.bg. Съществените и важните субекти трябва да подават:

• 24 часа: ранно предупреждение след установяване на значим инцидент. Доставчиците на удостоверителни услуги подават пълното уведомление за инцидент също в срок от 24 часа.
• 72 часа: уведомление за инцидент, което актуализира ранното предупреждение и дава първоначална оценка на тежестта и въздействието
• При поискване: междинен доклад, ако СЕРИКС го изиска
• Един месец: окончателен доклад, не по-късно от един месец след уведомлението в 72-часовия срок. Ако инцидентът все още не е овладян към този момент, субектът подава междинен доклад, а след това окончателен доклад в срок от един месец от овладяването му.

Когато инцидент в киберсигурността представлява едновременно и пробив в сигурността на личните данни, трябва да бъдат уведомени както СЕРИКС, така и КЗЛД. Ако обаче КЗЛД вече е наложила глоба за същото нарушение по законодателството за защита на данните, органът по киберсигурност не следва да налага допълнителна глоба за същото нарушение. Транспонирането на NIS2 в България разшири обхванатите сектори от 8 на 18 и включи в обхвата си приблизително 10 000 до 12 000 субекта. На 7 май 2025 г. България получи официално мотивирано становище от Европейската комисия за неуведомяване за пълното транспониране преди крайния срок през октомври 2024 г., което отразява забавянията в законодателния процес.

Трансграничен трансфер на данни

България следва стандартната рамка на GDPR относно международния трансфер на данни съгласно чл. 44 до чл. 49. Трансферите на лични данни към трети държави извън Европейското икономическо пространство (ЕИП) изискват едно от следните:

• решение за адекватност на Европейската комисия (напр. Рамката на ЕС и САЩ за защита на личните данни, решенията за адекватност на Обединеното кралство, Швейцария)
• подходящи гаранции, като стандартни договорни клаузи, приети от Комисията
• задължителни фирмени правила, одобрени от компетентен надзорен орган
• одобрен кодекс за поведение или механизъм за сертифициране
• дерогации за конкретни ситуации по чл. 49 (с ограничен обхват; не за системни трансфери)

След решението на Съда на Европейския съюз по делото Schrems II (дело C-311/18, Data Protection Commissioner срещу Facebook Ireland и Maximillian Schrems, 16 юли 2020 г.), българските администратори и обработващи лица трябва да извършват оценки на въздействието на трансфера, когато разчитат на стандартни договорни клаузи или задължителни фирмени правила, за да преценят дали законодателството и практиките на приемащата държава осигуряват защита, еквивалентна на стандартите на ЕС. КЗЛД не е издала специфични за България допълнителни указания относно тези оценки извън общите препоръки на ЕКЗД.

Присъединяване към Шенген и обмен на данни чрез ШИС

България се присъедини към Шенгенското пространство поетапно. Контролът по въздушните и морските граници беше премахнат на 31 март 2024 г. Пълноправното членство в Шенген, включително премахването на контрола по сухопътните граници, влезе в сила на 1 януари 2025 г. вследствие на решение на Съвета от 12 декември 2024 г. Достъпът до Шенгенската информационна система (ШИС) не започна тогава. Министерството на вътрешните работи вече поддържаше Националната Шенгенска информационна система на България, свързана с Централната ШИС, заедно с бюро SIRENE за обмен на допълнителна информация, доста преди пълноправното присъединяване. ШИС е базата данни на ЕС за управление на границите, сътрудничество между правоприлагащите органи и контрол на имиграцията. Цялото обработване на данни чрез ШИС трябва да съответства на Регламент (ЕС) 2018/1861 (ШИС за граничен контрол), Регламент (ЕС) 2018/1862 (ШИС за полицейско сътрудничество) и Директивата за правоприлагане (ЕС) 2016/680, както е транспонирана от ЗЗЛД. Присъединяването към Шенген не променя стандартните правила на GDPR относно търговския трансграничен трансфер на данни, който продължава да се урежда от описаната по-горе рамка.

Наслагване с Регламента на ЕС за изкуствения интелект

Регламентът на ЕС за изкуствения интелект (Регламент (ЕС) 2024/1689) влезе в сила на 1 август 2024 г. и се прилага пряко в България като държава членка на ЕС. Цифровият омнибус за изкуствения интелект (Регламент (ЕС) 2026/1744), в сила от 27 юли 2026 г., измести няколко от сроковете му, най-вече тези за високорисковите системи. Актуалният поетапен график е следният:

Регламентът за изкуствения интелект допълва, а не заменя GDPR. Задълженията за защита на данните за системи с изкуствен интелект, обработващи лични данни, продължават да се уреждат от GDPR. Регламентът за изкуствения интелект добавя рисково ориентирано наслагване: високорисковите системи с изкуствен интелект трябва да прилагат системи за управление на качеството, да поддържат техническа документация, да осигуряват човешки надзор и да преминат оценка за съответствие преди пускането им в експлоатация.

България все още не е завършила националната си рамка за прилагане на Регламента за изкуствения интелект. Регистърът на Европейската комисия за единните звена за контакт по надзора на пазара съгласно Регламента за изкуствения интелект, последно актуализиран на 7 септември 2026 г., не посочва определен орган за България. По-рано доклад на българското Министерство на електронното управление потвърди, че не са взети решения относно модела на национална координация, компетентните органи за надзор на пазара или санкционния режим, а създадената междуведомствена работна група не изготви рамка.

КЗЛД е определена за един от седемте компетентни органа за защита на основните права съгласно Регламента за изкуствения интелект по силата на Решение № 398 на Министерския съвет от 18 юни 2025 г. Другите шест определени органа са Омбудсманът на Република България, Централната избирателна комисия, Комисията за защита от дискриминация, Комисията за защита на потребителите, Държавната агенция за закрила на детето и Изпълнителна агенция „Главна инспекция по труда".

За системи с изкуствен интелект, обработващи лични данни, предприятията, извършващи дейност в България, следва да очакват двоен контрол от органи: КЗЛД, проверяваща съответствието с GDPR, и (след като националната рамка по Регламента за изкуствения интелект бъде въведена) съответният орган за надзор на пазара, проверяващ съответствието с Регламента за изкуствения интелект. Изискванията на GDPR за оценка на въздействието върху защитата на данните по чл. 35 са пряко относими към високорисковите системи с изкуствен интелект. Администраторите следва проактивно да извършват такива оценки за всяка система с изкуствен интелект, която профилира лица, използва биометрични данни или взема автоматизирани решения със значителни последици.

Единен граждански номер (ЕГН)

Единният граждански номер (ЕГН) на България е уникален десетцифрен личен идентификационен номер, присвояван на българските граждани при раждане. ЕГН кодира датата на раждане и пола на притежателя му. Той се използва широко в държавната администрация, здравеопазването, социалните услуги, банковото дело и сделките в частния сектор.

КЗЛД е установила указания, ограничаващи ненужното разкриване на ЕГН. При налагане на административни санкции, като публични порицания, указанията на КЗЛД потвърждават, че решението не следва да разкрива ЕГН на субекта, датата и мястото на раждане, номера на личната карта, точния адрес, лични данни на трети лица или несвързана лична информация.

Съгласно рамката на GDPR, ЕГН представлява лични данни и може да съставлява уникален идентификатор, изискващ защита, аналогична на специалните категории, в зависимост от контекста. Чл. 87 от GDPR изрично позволява на държавите членки да определят условията, при които могат да се обработват национални идентификационни номера. България е приложила това чрез разпоредби на ЗЗЛД, изискващи специфична правна обосновка за обработването на ЕГН, извън общите задължения за минимизиране на данните.

Пробивът в НАП онагледи катастрофалните рискове от разкриването на ЕГН. Тъй като ЕГН кодира информация за раждането и се използва като основен идентификационен ключ в множество държавни бази данни, разкриването му дава възможност за координирана кражба на самоличност, измами и целенасочен фишинг в национален мащаб. Пробивът предизвика обществени призиви за преработване на зависимите от ЕГН системи с цел намаляване на броя на субектите, изискващи и съхраняващи пълния ЕГН.

Видеонаблюдение

ЗЗЛД съдържа специфични разпоредби относно видеонаблюдението, допълващи общата рамка на GDPR. КЗЛД е активна в тази област: 324 от проверките ѝ на място през 2022 г. са били насочени предимно към съответствието на видеонаблюдението. Администраторите, внедряващи системи за видеонаблюдение в България, трябва да:

• установят и документират легитимно основание за наблюдението
• предоставят ясна и видима информация на лицата, влизащи в наблюдаваните зони (допустими са многослойни уведомления за малки табели)
• извършат оценка на въздействието върху защитата на данните, когато е вероятно наблюдението да породи висок риск, включително при мащабно наблюдение на публични пространства
• определят пропорционални срокове за съхранение и изтриват записите, които вече не са необходими
• прилагат контрол на достъпа, ограничаващ кой може да преглежда записите

КЗЛД е разследвала жалби относно видеонаблюдение на работни места, жилищни сгради и търговски помещения и е издавала разпореждания за премахване на камери, които са нямали правна обосновка или са наблюдавали зони, в които лицата имат разумно очакване за неприкосновеност на личния живот.

Скорошни развития 2024-2026 г.

Изменение на ЗЗЛД (в сила от януари 2026 г.): ЗЗЛД беше последно изменен със Закона за въвеждане на еврото в Република България, обнародван в ДВ, бр. 70 от 20 август 2024 г. Разпоредбата, засягаща ЗЗЛД, не влезе в сила на тази дата. Тя влезе в сила на датата, на която България прие еврото, 1 януари 2026 г. Промяната се свежда до чл. 85, ал. 6, който вече определя административните наказания по ал. 1 до 5 съобразно критериите по чл. 83, § 2 от GDPR.

Закон за защита на лицата, подаващи сигнали (2023 г., продължаващо действие): КЗЛД стана компетентният контролен орган по българския Закон за защита на лицата, подаващи сигнали (влязъл в сила на 4 май 2023 г.). Организации с 50 или повече служители трябва да установят вътрешни канали за подаване на сигнали съгласно закона. КЗЛД упражнява надзор върху задълженията за поверителност и защита на данните, свързани със сигналите, които представляват отделна дейност по обработване, изискваща собствен анализ за съответствие с GDPR.

Транспониране на NIS2 (февруари 2026 г.): Измененията на българския Закон за киберсигурност, транспониращи NIS2, влязоха в сила на 17 февруари 2026 г. Законът разшири списъка на обхванатите сектори, въведе нови срокове за уведомяване при инциденти и включи приблизително 10 000 до 12 000 субекта в задължителното съответствие с изискванията за киберсигурност. Субектите в съществени сектори като енергетика, транспорт, банково дело, здравеопазване, цифрова инфраструктура и водоснабдяване вече имат задължителни изисквания за сигурност, които се пресичат с изискванията за сигурност по GDPR.

Пълно присъединяване към Шенген (януари 2025 г.): България стана пълноправен член на Шенген на 1 януари 2025 г., когато беше премахнат контролът по сухопътните граници. България беше свързана с ШИС още преди тази дата, така че промяната засегна обема и характера на трансграничните потоци от данни на правоприлагащите органи, подлежащи на разпоредбите на ЗЗЛД за транспониране на Директивата за правоприлагане, а не самото наличие на достъп до ШИС.

Прилагане на Регламента на ЕС за изкуствения интелект (от февруари 2025 г. насам): Забранените практики с изкуствен интелект, включително използването на дистанционна биометрична идентификация в реално време на публични места за целите на правоприлагането (с тесни изключения), са незаконни в България от 2 февруари 2025 г. Българските правоприлагащи и публични органи, използващи системи с изкуствен интелект, трябва да преценят дали техните системи попадат в забранените категории. Определянето на КЗЛД за орган по защита на основните права съгласно Регламента за изкуствения интелект (Решение № 398 на Министерския съвет от 18 юни 2025 г.) ѝ дава официално правомощие да преценява въздействието на внедряванията на изкуствен интелект върху основните права.

Тенденция в прилагането (2024-2025 г.): КЗЛД работи по 637 сигнала и искания, постъпили през 2024 г., и наложи санкции на обща стойност 74 700 лв. (около 38 194 евро) за тази година. През 2024 г. на уебсайта на КЗЛД не бяха публикувани индивидуални решения, а развитията в прилагането бяха съобщавани чрез двумесечния бюлетин. Докладът за 2025 г. обръща картината: санкциите достигат общо 226 000 лв. (около 115 553 евро), от които 39 000 лв. с наказателни постановления, 2000 лв. със споразумения и 185 000 лв. с решения, а жалбите от физически лица надхвърлят 1700. Нито една от двете години не се доближава до постановленията от 2019 г., но от 2024 г. насам тенденцията е възходяща, а не низходяща.

Ръководство за съответствие за предприятия

Организациите, извършващи дейност в България или обработващи данни на български жители, следва да обърнат внимание на следните области:

1. Картографиране на правните основания. Документирайте правното основание за всяка дейност по обработване. Когато обработването се основава на съгласие, се уверете, че събирането на съгласие отговаря на стандартите по чл. 7 от GDPR. За услуги, насочени към деца, въведете механизми за проверка на възрастта или родителско съгласие, съобразени с прага от 14 години.

2. Назначаване на ДЛЗД. Преценете дали основната дейност на организацията ви отговаря на критериите по чл. 37. Ако се изисква ДЛЗД, регистрирайте назначаването в КЗЛД чрез одобрения формуляр. Ако ДЛЗД се намира извън България, изискването за регистрация продължава да важи.

3. Киберсигурност и поуката от НАП. Наказателните постановления срещу НАП и Банка ДСК показват, че КЗЛД разглежда пропуските в сигурността по чл. 32 като съществени нарушения, заслужаващи значителни санкции. Постановлението срещу НАП впоследствие беше отменено на основание изтекла давност, а не по същество, така че за планирането значение има констатацията за сигурността, а не самата санкция. Извършвайте редовни оценки на сигурността. Уверете се, че техническите мерки (криптиране, контрол на достъпа, тестове за проникване, управление на актуализациите) са реално приложени и документирани. Не разчитайте единствено на документация с политики.

4. Боравене с ЕГН. Минимизирайте събирането и съхранението на ЕГН номера. Изключвайте ЕГН от публикувани документи, API отговори и експорт на данни, когато не са строго необходими за целта на обработването. Преценете дали използването на ЕГН от вас попада в специфичните изисквания за оправомощаване по ЗЗЛД.

5. Готовност за реагиране при пробив. Тествайте плановете за реагиране при инциденти. Уверете се, че можете да установите, овладеете и оцените пробив достатъчно бързо, за да изпълните изискването за 72-часово уведомяване на КЗЛД и (от февруари 2026 г.) 24-часовото ранно предупреждение до вашия секторен екип за реагиране при инциденти с компютърната сигурност (СЕРИКС) за субекти, обхванати от NIS2. Поддържайте документиран вътрешен регистър на пробивите дори за такива с нисък риск, които не изискват регулаторно уведомяване.

6. Видеонаблюдение. Прегледайте внедряванията на видеонаблюдение за правно основание, информационни табели и пропорционалност. Вълната от проверки на КЗЛД през 2022 г. беше насочена в голяма степен към наблюдението. Новите внедрявания следва да включват предварителна оценка на въздействието върху личния живот.

7. Директен маркетинг. Уверете се, че маркетингът по електронна поща към български потребители има предварително съгласие по чл. 261, ал. 1 от Закона за електронните съобщения или че попада в изключението по чл. 261, ал. 2 за предлагане на собствени сходни продукти на съществуващ клиент, чиито данни за контакт сте получили при продажба. Осигурете безплатна и лесна възможност за възражение при продажбата и във всяко съобщение, поддържайте записи за оттегляне на съгласие и спазвайте отказите без забавяне.

8. Системи с изкуствен интелект. Извършете предварителна класификация на риска по Регламента за изкуствения интелект за всяка система с изкуствен интелект, използвана в България. Забранените практики (включително определени системи за биометрична идентификация и социално оценяване) са незаконни от 2 февруари 2025 г. Високорисковите системи изискват оценки на въздействието по GDPR и, от 2 декември 2027 г. за системите по приложение III и от 2 август 2028 г. за изкуствения интелект, вграден в регулирани продукти, пълния режим за високорискови системи по Регламента за изкуствения интелект. Следете указанията на КЗЛД, доколкото ролята ѝ на орган по защита на основните права по Регламента се развива.

9. Съответствие с NIS2. Ако вашата организация е съществен или важен субект съгласно българския Закон за киберсигурност (изменен през февруари 2026 г.), регистрирайте се при съответния компетентен орган, приложете необходимите мерки за сигурност и установете процедури за докладване на инциденти.

10. Трансграничен трансфер. При трансфер на данни извън ЕИП документирайте механизма за трансфер. За стандартни договорни клаузи или задължителни фирмени правила извършвайте оценка на въздействието на трансфера. Следете регистъра на решенията за адекватност на Европейската комисия за актуализации.

Отказ от отговорност: Тази статия предоставя обща информация относно българското законодателство за защита на данните и не представлява правен съвет. Законодателството за защита на данните подлежи на чести промени. Консултирайте се с квалифициран юрист, лицензиран да практикува в България, за насоки относно вашата конкретна ситуация. Цитираните в тази статия нормативни актове отразяват действащата им редакция към 10 септември 2026 г.

Frequently Asked Questions

Кой е основният закон за защита на данните в България?

Основното национално законодателство за защита на данните в България е Законът за защита на личните данни (ЗЗЛД), обнародван в ДВ, бр. 17 от 26 февруари 2019 г. и последно изменен в ДВ, бр. 70 от 20 август 2024 г. ЗЗЛД допълва пряко приложимия GDPR на ЕС, като урежда области, в които правото на ЕС позволява национална преценка, включително структурата и правомощията на КЗЛД, възрастта за цифрово съгласие (14 години), разпоредбите относно видеонаблюдението, изключенията за журналистическо изразяване и транспонирането на Директивата за правоприлагане.

Какво представлява КЗЛД и какви правомощия има тя?

Комисията за защита на личните данни (КЗЛД) е независимият надзорен орган на България по защита на данните съгласно чл. 51 от GDPR. Тя се състои от председател и четирима членове, избирани от парламента за петгодишен мандат. КЗЛД може да разследва жалби, да извършва проверки на място, да издава предупреждения и разпореждания за привеждане в съответствие, да налага забрани за обработване и да налага административни глоби до 20 млн. евро или 4% от глобалния годишен оборот. Субектът на данни трябва да сезира комисията в срок от шест месеца от узнаване на нарушението и не по-късно от две години от извършването му (чл. 38, ал. 1 от ЗЗЛД). Председателят на КЗЛД участва в Европейския комитет по защита на данните като представител на България.

Какъв беше пробивът в данните на НАП и каква беше глобата?

През 2019 г. Националната агенция за приходите (НАП) на България претърпя кибератака, при която хакер получи отдалечен неправомерен достъп до сървърите на НАП и извлече лични данни от около 6 074 140 записа. Откраднатите данни включваха имена, ЕГН, адреси, доходи и данни за данъци и осигуровки. КЗЛД установи, че НАП не е приложила адекватни технически и организационни мерки за сигурност съгласно чл. 32 от GDPR, и председателят ѝ издаде Наказателно постановление № 004 от 28 август 2019 г. за 5 100 000 лв. (около 2 607 591 евро). Това постановление вече не е в сила. Административен съд София-град го отмени на 26 февруари 2024 г. и прекрати производството, тъй като абсолютната погасителна давност от четири години и шест месеца беше изтекла, с решение, което е окончателно и не подлежи на обжалване, така че НАП така и не плати санкцията.

Какво представлява ЕГН и как е защитен съгласно българското законодателство?

ЕГН (Единен граждански номер) е уникалният десетцифрен номер на България, присвояван на гражданите при раждане, който кодира датата на раждане и пола на притежателя. Той се използва широко в държавната администрация, здравеопазването, банковото дело и системите на частния сектор. Съгласно ЗЗЛД и чл. 87 от GDPR (който позволява национални правила относно идентификационните номера), обработването на ЕГН изисква специфична правна обосновка. КЗЛД е издала указания, ограничаващи ненужното разкриване на ЕГН в официални санкции и други публични документи. Пробивът в НАП онагледи сериозните рискове от измами с идентичността при разкриване на ЕГН.

Каква е възрастта за цифрово съгласие в България?

България определи възрастта за цифрово съгласие за услуги на информационното общество на 14 години, по-ниска от стандартните 16 години по GDPR, но в рамките на допустимия диапазон по чл. 8, § 1 от GDPR (който позволява на държавите членки да намалят прага до минимум 13 години). Децата под 14 години се нуждаят от съгласие на родител или настойник за обработване на основание съгласие. Указанията на КЗЛД от март 2022 г. изискват отделно съгласие за всяка дейност по обработване, активни интерфейси за съгласие и стриктно минимизиране на данните за услуги, насочени към деца.

Нуждае ли се предприятие, извършващо дейност в България, от длъжностно лице по защита на данните?

ДЛЗД е задължително, когато: (1) организацията е публичен орган или структура (с изключение на съдилища, действащи в съдебното си качество); (2) основната дейност изисква редовно и систематично мащабно наблюдение на субектите на данни; или (3) основната дейност включва мащабно обработване на специални категории данни или данни за съдимост. България не налага допълнителни изисквания за ДЛЗД извън чл. 37 от GDPR. Ако се изисква ДЛЗД, назначаването му трябва да бъде регистрирано в КЗЛД чрез одобрения формуляр за регистрация, дори ако ДЛЗД се намира извън България.

Как Регламентът на ЕС за изкуствения интелект засяга предприятията в България?

Регламентът на ЕС за изкуствения интелект (Регламент (ЕС) 2024/1689) се прилага пряко в България. Забранените практики с изкуствен интелект, включително определени случаи на дистанционна биометрична идентификация в реално време на публични места и системи, които експлоатират уязвимости или извършват социално оценяване, са незаконни от 2 февруари 2025 г. Основните задължения за високорискови системи с изкуствен интелект се прилагат от 2 декември 2027 г. за системите по приложение III и от 2 август 2028 г. за изкуствения интелект, вграден в регулирани продукти, след изместването им с цифровия омнибус от юли 2026 г. КЗЛД е определена за един от седемте компетентни органа за защита на основните права по Регламента. Предприятията следва да класифицират системите си с изкуствен интелект по риск, да извършват оценки на въздействието за високорисковите системи и да следят развиващите се указания на КЗЛД.

Какво е значението на делото Екимджиев и други срещу България за защитата на данните?

Делото Екимджиев и други срещу България (жалба № 70078/12, ЕСПЧ, 11 януари 2022 г.) установи, че българското законодателство за тайно наблюдение нарушава чл. 8 от ЕКПЧ, тъй като не осигурява ефективни гаранции срещу произвол и злоупотреба. Съдът установи нарушения и в правилата относно съхранението на трафични данни от далекосъобщения и достъпа на правоприлагащите органи до тях. Решението изисква всяко обработване на лични данни от българските разузнавателни или правоприлагащи органи, което остава извън разпоредбите на ЗЗЛД за транспониране на Директивата за правоприлагане, самостоятелно да отговаря на стандарта за качество на закона по ЕКПЧ.

Какви са правилата на България относно трансграничния трансфер на данни?

България не налага ограничения относно трансграничния трансфер на данни извън рамката на GDPR по чл. 44 до чл. 49. Трансферите извън ЕИП изискват решение за адекватност, подходящи гаранции (стандартни договорни клаузи, задължителни фирмени правила, одобрен кодекс/сертификация) или приложима дерогация по чл. 49. След решението по делото Schrems II, администраторите и обработващите лица, разчитащи на стандартни договорни клаузи или задължителни фирмени правила, трябва да извършват оценки на въздействието на трансфера относно законодателството и практиките на приемащата държава. България завърши присъединяването си към Шенген през януари 2025 г., макар че беше свързана с Шенгенската информационна система още преди тази дата; обработването чрез ШИС се урежда от специализирани регламенти на ЕС.

Кои сектори са обект на най-строг контрол от страна на КЗЛД в България?

Докладът за дейността на КЗЛД за 2025 г. подрежда секторите, събрали най-много жалби от физически лица: видеонаблюдение (425 жалби), банки и кредитни институции (131), физически лица (106), държавни органи (105), далекосъобщения (56) и медии (48). Жалбите надхвърлят 1700 през 2025 г. спрямо 1080 през 2024 г., а общият размер на санкциите нараства от 74 700 лв. (около 38 194 евро) през 2024 г. на 226 000 лв. (около 115 553 евро) през 2025 г. Организациите в секторите с висок брой жалби следва да извършват проактивни прегледи на съответствието, вместо да чакат жалба, която да предизвика проверка от КЗЛД.

Какви са наказателните санкции за нарушения на защитата на данните в България?

Освен административните глоби по GDPR и ЗЗЛД, българският Наказателен кодекс предвижда наказателна отговорност за определени нарушения при защитата на данните. Неправомерният достъп до информационна система се наказва по чл. 319а, ал. 1 с лишаване от свобода до шест години и глоба до 3000 лв. (около 1534 евро) в немаловажни случаи. Разпространяването на компютърни програми, пароли или кодове за достъп с цел извършване на такова престъпление се наказва с лишаване от свобода до шест години по чл. 319д, ал. 1. Когато с деянието са разкрити лични данни, класифицирана информация или друга защитена от закона тайна, чл. 319д, ал. 2 предвижда лишаване от свобода от четири до седем години, тоест минимумът е четири години. Тези наказателноправни санкции съществуват успоредно, а не вместо административните производства пред КЗЛД.

Как пълното присъединяване на България към Шенген засегна защитата на данните?

България стана пълноправен член на Шенгенското пространство на 1 януари 2025 г., когато контролът по сухопътните граници беше премахнат съгласно решение на Съвета от 12 декември 2024 г. България беше свързана с Шенгенската информационна система (ШИС) още преди тази дата, чрез Националната Шенгенска информационна система, поддържана от Министерството на вътрешните работи. Цялото обработване на лични данни чрез ШИС трябва да съответства на Регламент (ЕС) 2018/1861 (ШИС за граничен контрол), Регламент (ЕС) 2018/1862 (ШИС за полицейско сътрудничество) и Директивата за правоприлагане, както е транспонирана от ЗЗЛД. Присъединяването към Шенген не променя стандартните правила на GDPR относно търговския трансграничен трансфер на данни.