25 регулатора в Европа ще проверяват как обясняваме какво правим с личните данни

Европейският комитет по защита на данните (ЕКЗД/EDPB) официално стартира координирана проверка на прозрачността в целия ЕС. През 2026 г. органите за защита на личните данни в 25 европейски държави ще проверяват дали организациите изпълняват задълженията си по членове 12, 13 и 14 от GDPR -- тоест дали хората наистина разбират какво се случва с техните лични данни. Инициативата беше обявена на 19 март 2026 г. и е петата поредна координирана акция на ЕКЗД от създаването на рамката за координирано прилагане (CEF) през 2020 г.

Какво ще проверяват? Националните регулатори ще изпращат въпросници или ще провеждат проверки на място, за да оценят как фирмите и публичните организации информират хората за обработката на личните им данни. Под лупа ще попаднат политиките за поверителност (privacy notices), записите за дадено съгласие, посочените правни основания за обработката и цялостният начин, по който информацията се представя -- дали е разбираема, пълна и достъпна. Регулаторите ще проверяват не само уебсайтове, но и как се информират служители, клиенти, доставчици и кандидати за работа. Ако бъдат открити пропуски, могат да последват допълнителни разследвания и санкции.

Кого засяга? Всяка организация, която обработва лични данни -- от малки онлайн магазини до големи корпорации и публични институции. Предишни координирани акции на ЕКЗД показват, че въпросниците се изпращат на стотици администратори в различни сектори. През 2025 г., когато акцентът беше върху правото на изтриване, 764 организации в Европа получиха въпросници. Подобен мащаб се очаква и тази година. Резултатите ще бъдат обобщени в доклад на ЕКЗД, който ще послужи за основа на бъдещи насоки и евентуални санкции на европейско и национално ниво.

Какви са типичните слабости? От опита на предишни проверки се очертават няколко често срещани проблема: политики за поверителност, написани на неразбираем юридически език; липсващи или непълни данни за целите на обработката, получателите на данни и сроковете за съхранение; неактуализирани известия след промяна на процесите; липса на информация при непряко събиране на данни (например от партньори или публични източници, по чл. 14 от GDPR); и слаба вътрешна документация -- много организации забравят, че трябва да информират и собствените си служители, не само клиентите.

Какво да направите сега? Прегледайте политиката си за поверителност и я сравнете с реалните потоци на данни -- цели, правни основания, получатели, инструменти и срокове за съхранение. Проверете дали имате процедура за информиране при непряко събиране на данни (чл. 14 от GDPR). Уверете се, че езикът е разбираем за обикновен потребител, а не само за юрист. И не забравяйте вътрешните известия за защита на данните -- за служители, кандидати за работа и подизпълнители. Ако имате нужда от съдействие с привеждането на документацията ви в съответствие с GDPR, можете да се обърнете към специалистите по защита на личните данни от Advokatami.bg. Организациите, които се подготвят сега, ще реагират значително по-бързо при евентуална проверка и ще намалят риска от санкции.