Общият регламент за защита на данните (GDPR) се прилага и за малкия бизнес, когато обработва лични данни в неговия обхват. Санкцията зависи от нарушеното задължение и от конкретните обстоятелства. Посочените в регламента милиони евро са максимални граници, а не автоматични глоби за всеки пропуск.
Освен парична санкция КЗЛД може да отправи предупреждение или официално порицание, да разпореди привеждане в съответствие, изтриване на данни или ограничаване, включително забрана, на обработването. Засегнатите лица могат отделно да търсят обезщетение при условията на чл. 82 GDPR.
Член 83, параграф 4 предвижда максимум 10 000 000 евро или, за предприятие, 2% от общия му годишен световен оборот за предходната финансова година — прилага се по-високата граница. Тук попадат например нарушения на задълженията за отношенията с обработващи лични данни, сигурността, регистрите на дейностите, оценката на въздействието и длъжностното лице по защита на данните, когато тези задължения са приложими.
Член 83, параграфи 5–6 предвижда максимум 20 000 000 евро или, за предприятие, 4% от общия му годишен световен оборот за предходната финансова година — по-високата граница. В тази група са нарушенията на основните принципи, правните основания и условията за съгласие, правата на физическите лица, правилата за международно предаване на данни и определени разпореждания на надзорния орган.
Изборът на приложимия таван следва правната квалификация на нарушението. Не е достатъчно то да бъде наречено „леко“ или „тежко“. При свързани дружества понятието „предприятие“ за оборота може да обхваща икономическата единица, а не само едно юридическо лице.
Законът за защита на личните данни (ЗЗЛД) съдържа и национални санкционни разпоредби, включително препращания към чл. 83 GDPR. Член 86 урежда други нарушения по националния закон. Няма обща отделна „ниска тарифа“ за всички нарушения на малкия бизнес, нито общо задължение всеки администратор да се регистрира в КЗЛД.
КЗЛД трябва да прецени необходимостта от санкция и нейния размер така, че тя да е ефективна, съразмерна и възпираща. Член 83, параграф 2 изисква да се отчетат естеството, тежестта и продължителността на нарушението, броят на засегнатите лица, вредите, умисълът или небрежността, предприетите мерки, предишните нарушения, съдействието и категориите данни.
Според решението на Съда на ЕС по дело C-807/21 административна глоба или имуществена санкция по чл. 83 предполага нарушение, извършено умишлено или по небрежност. Не е необходимо предварително да бъде установен конкретен служител като извършител, за да бъде санкционирано юридическото лице при приложимите условия.
Доброволното отстраняване на проблема и съдействието могат да имат значение, но не заличават автоматично нарушението. Наличието на политика за поверителност също не е достатъчно, ако действителната работа с данните не съответства на нея.
Кибератаката срещу НАП през 2019 г. засегна данни на милиони лица. Наложеното тогава наказателно постановление беше окончателно отменено от Административен съд София-град на 26 февруари 2024 г. поради изтекла абсолютна давност, а административнонаказателното производство беше прекратено. Следователно този случай не е пример за окончателно потвърдена и дължима санкция.
По отделния спор за обезщетение Съдът на ЕС постанови решение C-340/21. Самият факт на неразрешен достъп не доказва автоматично, че мерките за сигурност са неподходящи, но администраторът трябва да може да докаже тяхната адекватност. Действието на външни нападатели не го освобождава автоматично от отговорност, а основателният страх от бъдеща злоупотреба с данните може да представлява неимуществена вреда.
За задълженията при управление на сайт виж и Каква отговорност нося като администратор на уеб сайт?
Регистърът на дейностите по чл. 30 не отпада автоматично за фирми с под 250 служители. Изключението е ограничено и не се прилага, когато обработването не е случайно, може да създаде риск за правата и свободите или включва посочените в разпоредбата специални категории данни или данни за присъди и нарушения.
Длъжностно лице по защита на данните се определя при условията на чл. 37 — например когато основните дейности включват мащабно редовно и систематично наблюдение или мащабно обработване на специални категории данни. Не всяка малка фирма е длъжна да назначи такова лице. Оценка на въздействието е необходима при обработване, което е вероятно да породи висок риск, при условията на чл. 35.
Ограничавам инцидента, съхранявам доказателствата, установявам засегнатите данни и оценявам риска. Когато нарушението е вероятно да породи риск за правата и свободите, уведомявам компетентния надзорен орган без ненужно забавяне и, когато е осъществимо, до 72 часа от узнаването. При закъснение посочвам причините; информацията може да се допълва поетапно при условията на чл. 33.
Ако няма вероятност за такъв риск, уведомяване на надзорния орган не се изисква, но нарушението и преценката се документират. При вероятен висок риск уведомявам и засегнатите лица без ненужно забавяне, освен ако е налице изключение по чл. 34. Обработващият уведомява администратора без ненужно забавяне, вместо да чака да изтекат 72 часа.
КЗЛД може да действа по жалба или по своя инициатива, да изисква информация и да проверява обработването. Предоставям относимите документи и обяснения в определения срок и запазвам доказателства как реално се изпълняват процедурите. Не всяка проверка завършва с глоба; мерките се определят според установеното.
Решенията по жалби и принудителните мерки се обжалват по приложимия ред на АПК, като ЗЗЛД предвижда 14-дневни срокове от получаването в съответните случаи. За наказателните постановления се прилага редът на ЗАНН. При получаване на акт проверявам конкретния ред и срок, защото възражение до самата комисия не замества съдебната жалба.
Поддържам точна картина на данните и достъпа до тях, ограничавам събирането и сроковете за съхранение, проверявам основанията, ролите на доставчиците и международните трансфери. Осигурявам ясна информация за лицата, работещ процес за искания и инциденти, обучение на екипа и подходящи мерки за сигурност. Преглеждам правилата при промяна на дейността или използваните системи.
За въвеждане на GDPR в бизнеса и общи условия и политики за поверителност мога да потърся помощ за конкретната си дейност. Документите трябва да вървят заедно с реално изпълнение, а не да остават само формалност.
Автор и дата на последна актуализация на текста спрямо законодателството:
Станимир
Ненов
3.10.2026
