Brillen Rottler (C-526/24) — нов тест на СЕС за обезщетенията по чл. 82 GDPR и каузалната защита на бизнеса

На 19 март 2026 г. Съдът на Европейския съюз (Четвърти състав, докладчик R. Frendo) постанови решението си по дело C-526/24 (Brillen Rottler) — едно от най-важните решения по GDPR за последните пет години. То отговаря на въпроса кога нарушение на регламента ражда право на обезщетение — и (за първи път) кога не. За българските длъжностни лица по защита на данните, юрисконсулти и бизнес лидери, които ежедневно се справят с нарастващия обем искания за достъп, решението въвежда две силни защитни линии: отказ на недобросъвестно искане по чл. 12(5) и прекъсване на причинно-следствената връзка по чл. 82. Ето пълният анализ.

Контекст: защо Brillen Rottler е важно за европейския бизнес

Правото на достъп по чл. 15 GDPR се превърна в най-съдено правило в европейското право за защита на данните. Първоначалната му цел — да даде на физическите лица възможност да разберат и проверят как се обработват личните им данни — е добре установена. На практика обаче то беше превърнато в оръжие: използва се не за получаване на информация, а за фабрикуване на нарушения и извличане на обезщетение.

В Германия, Австрия и Нидерландия за последните три години се развиха стандартизирани кампании, при които физически лица (често обединени в правно-технологични платформи) подават хиляди искане за достъп срещу банки, застрахователи, телекоми и онлайн платформи — с очаквана средна „печалба" от EUR 500–1,500 за иск. Решението Brillen Rottler е първият цялостен опит на СЕС да рекалибрира границите на тази практика.

Фактите: схемата „абонирай се → искане за достъп → искане за EUR 1,000"

Случаят е до болка прост — и точно затова е поучителен. През март 2023 г. австриец се абонира за бюлетин (бюлетин) на Brillen Rottler, малка немска семейна оптика. Само 13 дни по-късно подава искане за достъп по чл. 15 GDPR. Оптиката отказва, квалифицирайки искането като прекомерно по чл. 12(5) GDPR. Австриецът завежда дело — едновременно за искането за достъп и за обезщетение от минимум EUR 1,000 по чл. 82 GDPR.

Защитата на оптиката се позова на множество онлайн доклади и адвокатски блогове, показващи, че същият модел се повтаря масово от това лице срещу различни администратори. Както СЕС обобщи, искането е било подадено

„с единствената цел получаване на обезщетение за твърдяно нарушение, което той умишлено провокира, на правата си по GDPR."
— СЕС, дело C-526/24, цитиране на устата на ответника

Районен съд Арнсберг (Германия) спира производството и поставя осем преюдициални въпроса до СЕС. Отговорите променят доктрината.

Извод 1 — чл. 82 обхваща нарушения и без обработване

Първо, СЕС се занимава с текста на чл. 82, параграф 1 GDPR, който дава право на обезщетение „на всяко лице, което е претърпяло вреда в резултат на нарушение на този регламент". Съдът отбелязва, че разпоредбата не съдържа никаква препратка към „обработване" — и че ограничаването на обезщетението до вреди, произтичащи от обработване, би подкопало ефективността ѝ.

Нещо повече — нарушенията на правата от Глава III на GDPR (достъп, поправяне, изтриване, преносимост) могат да възникнат не от самото обработване, а от отказ да се предприеме действие по искане на субекта. Изключването на тези случаи от обхвата на чл. 82(1) би лишило разпоредбата от практически ефект.

Но СЕС не остави този извод без баланс — добави стриктно изискване за доказване:

„Когато субектът на данни се позовава на нарушение на чл. 15 GDPR, за да поиска обезщетение, той трябва все пак да докаже, че е претърпял вреда, конкретно свързана с това нарушение."
— СЕС, C-526/24, параграф 55 (по официалното прес-съобщение)

Извод 2 — нематериална вреда без минимален праг, но без презумпция

Вторият извод е по-фин и е критичен за стратегията на защита. СЕС се позовава на съображение 85 GDPR, който в нелимитативен списък включва „загуба на контрол" над личните данни като форма на вреда. Според Съда:

• Загуба на контрол и несигурност относно това дали данните са били обработени могат по принцип да представляват нематериална вреда
• Но „загуба на контрол" е потенциална причина за вреда, не самата вреда
• Субектът трябва да отиде по-далеч и да докаже, че тази загуба на контрол е довела до фактически негативни последици
• Простото твърдение за страх или тревожност не е достатъчно — трябва да се докаже, че тези чувства са довели до конкретни, доказани последици

Двойният баланс на СЕС е педантичен:

Това балансирано решение продължава линията на СЕС от предишни дела: НАП C-340/21 (страх от бъдеща злоупотреба = вреда), MediaMarktSaturn C-687/21 (абстрактен страх без обоснован риск ≠ вреда), Quirin Privatbank C-655/23 (степен на вина ирелевантна за размер).

Извод 3 — каузалната защита (повратен момент за бизнеса)

Третият извод е стратегически най-значимият за защитниците. СЕС постанови, че причинно-следствената връзка между твърдяното нарушение и твърдяната вреда може да бъде прекъсната от поведението на самия субект — стига това поведение да се окаже „определящата причина" за вредата.

Такова поведение може да включва умишлено решение на субекта — например решение да представи лични данни на администратор с единствената цел да създаде изкуствено условията за иск за обезщетение. Когато това е така, не се дължи обезщетение.

Цитат, който трябва да се запомни:

Параграф 67 на решението: нематериалната вреда обхваща и загуба на контрол „при условие, че се докаже... че субектът на данни действително е претърпял такава вреда" — и че неговото поведение не е причинило вредата.
— СЕС, C-526/24, параграф 67

Тестът за намерение за злоупотреба — какво документира администраторът

За първи път СЕС определя конкретен списък от индикатори, които администраторът може да използва, за да докаже намерение за злоупотреба — както за отказ по чл. 12(5), така и за прекъсване на каузалността по чл. 82.

Тук обаче СЕС добавя важен баланс: публично достъпна информация за серийни модели на поведение сама по себе си не може да обоснове отказ. Нужно е допълнително, специфично за случая доказателство. Тежестта е изцяло върху администратора, и стандартът остава висок: отказите трябва да бъдат „изключение" и зависят от контекста.

Прилагане в България — НАП, Quirin Privatbank и Brillen Rottler

Brillen Rottler не идва в правен вакуум. Българската съдебна и регулаторна практика по чл. 82 GDPR е сравнително плътна и сега се обогатява с нов референтен инструмент. Ето как трите ключови решения работят заедно:

За пълен анализ на първите четири решения и тяхното прилагане в България, прочетете нашата статия Обезщетение при нарушение на GDPR — права на субектите и практика на СЕС.

Свързано: BGH ограничи прехвърлянето на правото на достъп

Само 23 дни преди Brillen Rottler, германският Bundesgerichtshof (24.02.2026, VI ZR 430/24) ограничи възможността цесионери да упражняват искане за достъп в свое име въз основа на изкупуване на парични вземания. Двете решения работят синхронно: BGH казва „правото не се прехвърля автоматично", СЕС добавя „дори когато се упражнява лично, то може да бъде отказано при намерение за злоупотреба". Прочетете нашия пълен анализ на BGH 2026.

Чеклист за длъжностното лице по защита на данните— документиране и защита

След Brillen Rottler, всеки длъжностното лице по защита на даннитев България трябва да актуализира процедурата си за обработване на искане за достъп. Ето практическият чеклист:

• При получаване на искане за достъп — отбележете точна дата и час на искането
• Запишете как и кога субектът е предоставил данните си първоначално (договор, регистрация, абонамент)
• Изчислете интервала между предоставянето и искане за достъп — кратки интервали (под 30 дни без обективна причина) са индикатор
• Проверете дали данните са доброволно предоставени или като част от изпълнение на договор
• Проверете публично достъпна информация за систематичен модел на subject (напр. същата схема срещу други администратори)
• Документирайте обема и обхвата на искането (искане за всичко безразборно vs специфично искане)
• Документирайте дали искането предхожда искане за обезщетение или съдебно дело
• Ако решите да откажете — направете го в рамките на 1 месец, с подробна писмена обосновка по чл. 12(5)
• Дори ако решите да отговорите — пазете досието с indicators за бъдеща каузална защита по чл. 82
• При иск за обезщетение — повдигнете две защитни линии: (а) прекомерно по чл. 12(5), (б) прекъсната каузалност по чл. 82

Реалистична преценка — кога да откажете

Връзка с Digital Omnibus 2026

Brillen Rottler идва в повратен момент от законодателния процес. Digital Omnibus 2026 на Европейската комисия предлага изменение на чл. 12(5) GDPR с изричен текст, който позволява отказ на искания, „които злоупотребяват с правата по този регламент за цели, различни от защитата на данните".

Тестът на СЕС в Brillen Rottler — фокусиран върху намерение за злоупотребаion — сега е de facto юридическият бенчмарк, спрямо който всяка законодателна формулировка ще бъде измервана.

Засега, Brillen Rottler е съществуващото право на ЕС — пряко приложимо в България, чрез прякото действие на регламентите и преюдициалния характер на решенията на СЕС.

Адв. Йордан Чолаков & Адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и защита на бизнеса при искове за обезщетение по чл. 82 GDPR. Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Заедно консултират над 90 компании, включително банки, застрахователи и онлайн платформи, за обработване на искане за достъп и защита при инструментални искове.