Проверки на кандидати при наемане в България — какво е законно, какво не и как се документира

Когато наемате ръководна позиция, ИТ архитект с достъп до критични системи или счетоводител, който ще управлява фирмени сметки — е естествено да искате да проверите кого допускате в компанията. Но в България има стриктни правила какво можете да проверявате и как. Грешната проверка на кандидата може да доведе до жалба пред КЗЛД, иск за обезщетение и парадоксално — до невъзможност да отхвърлите кандидата при истинска нужда. Това ръководство дава точните граници за HR директори и юрисконсулти, базирани на чл. 25к ЗЗЛД, ЗЗДискр., GDPR и Работна група по член 29, Становище 2/2017.

Защо проверките на кандидати носят правен риск?

Директен отговор: Проверките на кандидати се разрастват заради ръководните позиции с достъп до чувствителни данни, дистанционната работа и автоматизираното пресяване, но всеки от тези инструменти е правен риск в двете посоки: прекомерната проверка води до жалба пред КЗЛД и Комисията за защита от дискриминация, а недостатъчната — до неправилно наемане.

Проверките на кандидати стават все по-важни поради три тенденции:

• Ръководни длъжности в чувствителни позиции — финансови директори, ИТ архитекти, мениджъри с достъп до клиентски данни
• Дистанционна работа — кандидатите често не се срещат физически, което прави документната проверка по-важна
• инструменти с изкуствен интелект за първоначално пресяване — все повече HR екипи използват автоматизирани проверки в социални медии и публични регистри

Но всеки от тези инструменти крие правен риск. Прекомерната проверка води до жалба пред КЗЛД и Комисията за защита от дискриминация (КЗД); недостатъчната проверка води до неправилно наемане и риск за компанията. Балансът е деликатен.

Кои закони уреждат проверките на кандидати?

Директен отговор: Приложими са четири източника едновременно: GDPR (чл. 6, 9 и 10 — основания, специални категории, данни за присъди), чл. 25к ЗЗЛД за срока на съхранение, чл. 12 ЗЗДискр. за забраната да се иска дискриминираща информация и специалните закони (ЗЧОД, ЗКИ, ЗДСл, ЗПУО), които изискват допълнителни проверки за отделни професии.

Проверките на кандидати в България се регулират от четири правни източника, които работят паралелно:

За правни основания за обработване на данни на служители (включително кандидати) виж нашата статия за шестте правни основания по чл. 6 GDPR.

Какви данни НЕ можете да искате от кандидат?

Директен отговор: По чл. 12 от Закона за защита от дискриминация работодателят не може да иска информация за възраст, бременност и семейно положение, религия и политически възгледи, сексуална ориентация, етнически произход и общо здравословно състояние. Повечето от тях са и специални категории по чл. 9 GDPR, което позволява паралелни жалби пред КЗД и КЗЛД.

По чл. 12 от Закона за защита от дискриминация, при наемане работодателят НЕ може да изисква информация, основана на признаци на дискриминация. Това е едно от най-нарушаваните правила в българската практика. Границите на допустимите въпроси при наемане и последиците от отказ на дискриминационно основание са предмет на трудовото и антидискриминационното право — за тях вижте практиката ни по трудово право.

Кога може да се иска свидетелство за съдимост?

Директен отговор: Само когато специален закон го предвижда за конкретната позиция — ЗЧОД за охранителен персонал, ЗКИ за банкови ръководители, ЗДСл за държавни служители, ЗПУО за преподаватели, ЗСОЛЛДМ за медицински специалисти. За всички останали позиции искането нарушава чл. 10 GDPR, а „съгласието" на кандидата не е валидно основание по WP249.

По чл. 10 GDPR данните за присъди и нарушения попадат в особена категория. Изискване на свидетелство за съдимост е законно само когато специален закон го предвижда:

За всички останали позиции — изискване на свидетелство за съдимост е нарушение на GDPR. Дори ако кандидатът е „съгласен" да предостави, основанието е невалидно по причините, описани в WP249 (служителите не могат да дадат свободно съгласие).

Може ли да се искат здравни данни от кандидат?

Директен отговор: По правило не — здравните данни са специална категория по чл. 9, ал. 1 GDPR и обработването им е забранено извън основанията по ал. 2. В трудовия контекст работи чл. 9, ал. 2, б. „б" GDPR във връзка със задължителните медицински прегледи по чл. 287 от Кодекса на труда. Общо „медицинско удостоверение" за всички позиции е недопустимо.

Здравните данни са специална категория по чл. 9, ал. 1 GDPR — обработването им е забранено, освен при специфични основания по ал. 2. В българския трудов контекст релевантни са: чл. 287 от Кодекса на труда (задължителни предварителни и периодични медицински прегледи), чл. 27 от Закона за здравето и Наредба № 3 от 1987 г. за задължителните предварителни и периодични медицински прегледи на работниците. Обработването в тези рамки се основава на чл. 9, ал. 2, б. „б“ GDPR (задължения по трудовото право).

Допустимо обработване на здравни данни на кандидати:

• Задължителни медицински прегледи по закон — пилоти, шофьори на тежки превозни средства, медицински персонал, пожарникари
• Експертиза за работоспособност при специфични физически изисквания на позицията
• Доброволно предоставяне от кандидата (например за обоснование на специфични нужди — увреждане, изискващо адаптация)

Категорично НЕдопустимо: искане на „медицинско удостоверение" за всички позиции; питане за хронични заболявания; запитване за психично здраве; претендиране на достъп до медицинско досие.

Законна ли е проверката в социалните медии?

Директен отговор: Публичността на профила сама по себе си не дава основание за обработване — по Становище 2/2017 (WP249) е нужна валидна правна основа, обикновено легитимен интерес с документиран тест за пропорционалност. Допустима е само професионално релевантната информация в LinkedIn; личните профили и данните за личния живот остават извън преценката, а кандидатът се уведомява предварително.

Проверките в LinkedIn, Facebook и Google са широко разпространена практика, но крият правни рискове. Според Становище 2/2017 на Работната група по чл. 29 относно обработването на данни на работното място (WP249), 8 юни 2017 г.:

„Самият факт, че профилът на едно лице в социалните медии е публично достъпен, не предоставя на работодателя свободно правно основание да обработва тези данни за свои собствени цели. Необходима е валидна правна основа — обикновено легитимен интерес — за която се прави документиран тест за пропорционалност."
— Работна група по член 29, WP249, юни 2017 г.

Препоръчителна процедура

• LinkedIn — релевантна професионална информация е допустима (опит, образование, публикации)
• Facebook / Instagram — лични профили — НЕ е препоръчително да се проверяват за оценка на кандидата
• Документирайте кои профили проверявате и защо — вътрешна процедура, не индивидуална преценка
• Не записвайте лична информация — политически възгледи, религия, сексуална ориентация, лични отношения — даже ако са публични
• Информирайте кандидата — в политиката за поверителност на наемането трябва да има изрично уведомление за проверка в социалните медии

Как се събират препоръки от бивши работодатели?

Директен отговор: Само по контакти, които кандидатът сам е посочил — обаждане до непосочен работодател е недопустимо. Въпросите се ограничават до работните задължения и резултатите, не до личността, а от разговора се съхранява кратко резюме в досието по подбора. За обективни данни за минала заетост служи ЕЕТЗ, поддържан от НАП от 01.06.2025 г.

Препоръките са едно от най-полезните средства за проверка — но трябва да се правят коректно.

Какво да изисквате от външен доставчик на проверки?

Директен отговор: Доставчикът става ваш обработващ по чл. 28 GDPR, а отговорността за неговите нарушения остава ваша. Изисквайте писмен договор за обработване, документирани източници на данните, съгласие за всяка отделна проверка, процедура за оспорване на неточни данни, гаранции за сигурност, срок на съхранение не по-дълъг от вашия и право на одит.

Все повече български компании използват външни доставчики за проверки на кандидати (особено за международен опит на кандидата). Изборът на доставчик е критично решение — той става ваш обработващ по чл. 28 GDPR, а вие носите отговорност за неговите нарушения.

• Писмен договор за обработване (DPA) по чл. 28 GDPR
• Документация за източниците на данни — откъде се извлича всяка информация
• Съгласие на кандидата за всяка отделна проверка (не „пакет")
• Ясно разграничение какво се проверява за всяка позиция (минимизация)
• Процедура за оспорване от кандидата на неточни данни
• Гаранции за сигурност (ISO/IEC 27001:2022, SOC 2 или еквивалент)
• Срок за съхранение от доставчика — не по-дълъг от вашия (6 месеца по чл. 25к ЗЗЛД)
• Локализация на данните — къде се съхраняват, в ЕС или извън
• GDPR съответствие на самия доставчик — назначено ДЛЗД (когато е приложимо по чл. 37 GDPR), извършена оценка на въздействието по чл. 35, поддържан регистър на дейностите по чл. 30, процедура за уведомяване при нарушение по чл. 33
• Право на одит от ваша страна (записано в DPA)

Колко време се съхраняват данните на кандидатите?

Директен отговор: По чл. 25к, ал. 1 ЗЗЛД срокът не може да е по-дълъг от 6 месеца, като тече от приключване на процедурата по подбор, а не от подаване на кандидатурата. Удължаване е допустимо само с изрично писмено съгласие, което кандидатът може да оттегли. След изтичане на срока документите се изтриват или унищожават документирано.

„Работодателят или органът по назначаването, в качеството си на администратор на лични данни, определя срок за съхранение на лични данни на участници в процедури по набиране и подбор на персонала, който не може да е по-дълъг от 6 месеца, освен ако кандидатът е дал своето съгласие за съхранение за по-дълъг срок."
— Чл. 25к, ал. 1 от ЗЗЛД

Ключови точки от практиката на КЗЛД по прилагането на чл. 25к ЗЗЛД:

• Срокът тече от приключване на процедурата — не от подаване на кандидатурата
• Удължаване — само с изрично писмено съгласие — за бъдещи свободни позиции
• Кандидатът има право да оттегли съгласието си по всяко време
• След изтичане — задължително изтриване или унищожаване (документирано)
• Изключение: специален закон, който предвижда по-дълъг срок (например за държавни служители)

Чеклист за HR директора

Преди обявяването на нова позиция и старта на процедурата по подбор:

• Формулярът за кандидатстване не съдържа дискриминиращи въпроси (възраст, бременност, религия, ...)
• Изготвена е политика за поверителност на наемането, връчвана на всеки кандидат
• Свидетелство за съдимост — изисква се само ако специален закон го предвижда
• Здравни данни — само за специфични позиции с правно основание
• Социалните медии — проверяват се само за релевантна професионална информация, документирано
• Препоръки — само от посочени от кандидата източници, със съгласие
• Външен доставчик за проверки на кандидати — има подписан DPA по чл. 28 GDPR
• Процедура за информиране на отхвърлени кандидати за изтриване на данните
• Срок за съхранение — макс. 6 месеца, документиран и автоматично прилаган
• Шаблон за съгласие за по-дълго съхранение (за подходящи кандидати)
• Регистър на дейностите по обработване (RoPA) включва процеса по подбор
• Обучение на специалистите по подбор по правилата на GDPR и ЗЗДискр. — отговорник: длъжностно лице по защита на данните; периодичност: при наемане и веднъж годишно; артефакт: списък с подписи и тест с минимум 80% успеваемост

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират HR директори и юрисконсулти на над 90 компании в България — банки, телекоми, технологични фирми и държавни органи — за процеси по подбор на персонал в съответствие с GDPR, ЗЗЛД, ЗЗДискр. и Кодекса на труда.