Digital Omnibus — какво се променя в GDPR за бизнеса от 2026

На 19 ноември 2025 г. Европейската комисия публикува Digital Omnibus — законодателен пакет, който за първи път предлага съществени изменения на GDPR от приемането му през 2016 г. Целта: намаляване на административната тежест за бизнеса с прогнозирани 6 милиарда евро спестявания годишно, без да се компрометира защитата на личните данни. В тази статия разглеждаме ключовите промени, позицията на ЕКЗД и какво трябва да направи вашият бизнес още сега.

Какво е Digital Omnibus и защо е важен за бизнеса?

Директен отговор: Digital Omnibus е пакет на Европейската комисия от 19 ноември 2025 г., който за първи път предлага законодателни изменения директно в текста на GDPR след началото на прилагането му на 25 май 2018 г. Целта е по-малка административна тежест за МСП — прогнозирани €6 млрд. годишни спестявания в седем ключови области на промяна.

Digital Omnibus е част от по-широкия Digital Package на Европейската комисия, публикуван на 19 ноември 2025 г. За разлика от предишни насоки и тълкувания, този пакет предлага законодателни изменения директно в текста на GDPR — първите от този вид от началото на прилагането на регламента на 25 май 2018 г.

Основната мотивация: близо 8 години практическо прилагане на GDPR показаха, че някои изисквания създават непропорционална административна тежест, особено за малки и средни предприятия (МСП), без да допринасят съществено за защитата на личните данни.

Комисията подчертава, че целта не е отслабване на защитата, а рационализиране на процесите. Въпреки това, някои от предложенията предизвикаха остри реакции от страна на Европейския комитет по защита на данните (ЕКЗД) и Европейския надзорен орган по защита на данните (ЕНОЗД).

Как се променя уведомяването — от 72 на 96 часа?

Директен отговор: Предложението дава на администраторите 96 часа вместо 72 за уведомяване на надзорния орган и ограничава задължението само до нарушения с висок риск вместо досегашния „вероятен риск“. Добавят се единна входна точка към водещия надзорен орган (чл. 33а) и стандартизиран формуляр на ЕКЗД. Вътрешното документиране по чл. 33, пар. 5 остава непроменено.

Една от най-коментираните промени засяга процедурата при нарушение на сигурността на личните данни. Digital Omnibus предлага четири ключови изменения:

Кой се освобождава от ROPA при прага от 750 служители?

Директен отговор: Регистърът по чл. 30 от GDPR би останал задължителен само за предприятия с 750 или повече служители, оборот над €150 млн. или активи над €129 млн. Изключенията се запазват при рискова, системна обработка или специални категории данни. По оценка около 98% от българските фирми биха отпаднали от задължението.

Регистърът на дейностите по обработване (ROPA) по чл. 30 от GDPR е един от най-времеемките елементи за съответствие. Digital Omnibus предлага драстично разширяване на изключението:

Какво означава това за българския бизнес

Въздействието върху българските МСП е значително. Повечето фирми в страната имат далеч под 750 служители и оборот под €150 млн.

Какво се променя при исканията на субектите (DSAR)?

Директен отговор: Правата на субектите остават непроменени по принцип — уточнява се само кога едно искане е „явно неоснователно или прекомерно“ по чл. 12, пар. 5. Въвеждат се конкретни критерии, отказ при повтарящи се идентични искания с цел натиск и разумна такса при непропорционални искания. Тежестта на доказване остава при администратора.

Правата на субектите на данни (Data Subject Access Requests — DSAR) остават непроменени по принцип, но Digital Omnibus внася важни уточнения за случаите, когато исканията са „явно неоснователни или прекомерни“ (чл. 12, пар. 5):

• По-ясна дефиниция на „явно неоснователна или прекомерна“ — въвеждат се конкретни критерии, вместо да се разчита само на тълкуване от съдебната практика
• Злоупотреба с права — изрично се посочва, че повтарящи се идентични искания с цел причиняване на неудобство или натиск могат да бъдат отказани
• Несъразмерни искания — администраторът може да откаже или да начисли разумна такса при искания, изискващи непропорционални ресурси спрямо обема и сложността на данните
• Тежестта на доказване остава при администратора — той трябва да докаже, че искането е неоснователно или прекомерно, а не субектът да доказва обратното

Тези промени са особено релевантни за компании, които получават голям обем DSAR — финтех платформи, телекомуникационни оператори и онлайн търговци.

Позволява ли чл. 88в AI обучение на легитимен интерес?

Директен отговор: Предложеният нов чл. 88в би позволил разработката и обучението на AI/ML модели на основание легитимен интерес по чл. 6, пар. 1, б. „е“, без изрично съгласие, но при гаранции: безусловно право на възражение, задължителна DPIA по чл. 35 и запазена забрана по чл. 22 за изцяло автоматизирани решения с правни последици.

Може би най-дискусионната промяна: Digital Omnibus предлага нов чл. 88в, който създава изрично правно основание за обработка на лични данни при разработка и използване на модели за изкуствен интелект и машинно обучение.

Какво предвижда новият чл. 88в

1. Легитимен интерес за AI/ML обработка

   Разработката и обучението на AI/ML модели може да се основава на легитимен интерес (чл. 6, пар. 1, б. „е“) при спазване на конкретни гаранции, без необходимост от изрично съгласие на субектите.

   чл. 88в(1) — предложение на ЕК

2. Безусловно право на възражение

   Субектите на данни запазват безусловно право на възражение срещу обработката за AI/ML цели, без да е необходимо да доказват „основания, свързани с конкретното им положение“ (за разлика от стандартния чл. 21).

   чл. 88в(3) — предложение на ЕК

3. Задължителна DPIA

   Преди започване на обработка за AI/ML цели, администраторът е длъжен да извърши оценка на въздействието (DPIA) по чл. 35, включваща анализ на рисковете за правата на субектите.

   чл. 88в(2) — предложение на ЕК

4. Ограничения при автоматизирано вземане на решения

   Чл. 88в не отменя забраната по чл. 22 за решения, основани единствено на автоматизирано обработване, включително профилиране, с правни последици. За такива решения е необходимо допълнително правно основание.

   чл. 22 GDPR — запазва се

Кои бисквитки ще работят без съгласие (чл. 88а)?

Директен отговор: Новият чл. 88а би освободил от съгласие първичната уеб аналитика от собствения домейн, ако данните не се споделят с трети страни, както и A/B тестването без профилиране, технологиите срещу измами и ботове и проверката за софтуерни актуализации. За маркетинговите и рекламните бисквитки на трети страни изричното съгласие остава в пълна сила.

Digital Omnibus предлага нов чл. 88а, който разширява изключенията от изискването за съгласие при използване на бисквитки и подобни технологии за проследяване:

• Аналитични бисквитки — Първична уеб аналитика (напр. измерване на посещения, процент на отпадане (bounce rate)) без съгласие, ако данните се обработват само от администратора (от собствения домейн (first-party)) и не се споделят с трети страни
• A/B тестване — Бисквитки за тестване на варианти на съдържание, при условие че не се създават профили на потребителите
• Борба с измами — Технологии за разпознаване на автоматизирани програми (ботове) и предотвратяване на измами — без съгласие
• Софтуерни актуализации — Проверка за нужда от актуализация — без съгласие

Това означава, че инструменти като Google Analytics 4 (ако се конфигурират само за от собствения домейн (first-party) аналитика без споделяне с Google за рекламни цели) или Matomo/Plausible биха могли да работят без cookie consent банер за аналитичната си функция.

Как може да се промени дефиницията за лични данни?

Директен отговор: Предложението изменя чл. 4, пар. 1 от GDPR, за да изключи определени псевдонимизирани набори от данни от обхвата на регламента при конкретни условия. ЕКЗД и ЕНОЗД категорично се противопоставят в Съвместно становище 02/2025 заради правната несигурност и противоречието с практиката на Съда на ЕС. Към август 2026 г. съдбата на промяната остава открита.

Може би най-контроверсното предложение в Digital Omnibus: промяна на определението за „лични данни“ по чл. 4, пар. 1 от GDPR. Предложението цели да изключи определени псевдонимизирани набори от данни от обхвата на регламента при конкретни условия.

За бизнеса: не планирайте промени, основани на тази потенциална промяна в дефиницията, докато преговорите не приключат — тя остава несигурно предложение.

Какво казва Съвместно становище 02/2025 на ЕКЗД и ЕНОЗД?

Директен отговор: Становището от декември 2025 г. подкрепя опростяването при уведомяване за нарушения (96 часа и единна входна точка), стандартизирания формуляр, разширеното ROPA изключение при ясни критерии и по-ясните правила за DSAR. Същевременно то се противопоставя категорично на промяната в дефиницията за лични данни и изразява загриженост за обхвата на чл. 88в.

През декември 2025 г. ЕКЗД и ЕНОЗД публикуваха Съвместно становище 02/2025 на ЕКЗД и ЕНОЗД относно предложението за Digital Omnibus. Становището е балансирано, но недвусмислено:

• Подкрепа за опростяването на процедурата по уведомяване при нарушение на сигурността на личните данни (96 часа + единна входна точка)
• Подкрепа за стандартизирания формуляр за уведомяване при нарушения
• Подкрепа за разширяване на ROPA изключението при ясни критерии
• Подкрепа за по-ясните правила за DSAR (искания на субекта на данни)та

Но също така:

• Категорично противопоставяне срещу промяна на дефиницията за лични данни
• Загриженост относно обхвата на легитимния интерес за AI/ML (чл. 88в)
• Призив за допълнителни гаранции при cookie consent изключенията
• Настояване за запазване на ролята на ЕКЗД при тълкуване на новите разпоредби

Кога реалистично може да бъдат приети промените?

Директен отговор: Пакетът се раздели. AI частта вече е приета като Регламент (ЕС) 2026/1744 от 8 юли 2026 г., в сила от 27 юли 2026 г. GDPR частта заседна в Съвета: позицията на Европейския парламент се очаква през февруари 2027 г., а реалистично най-ранно приемане е 2027 г., с прилагане 2027–2028 г. или по-късно.

Digital Omnibus следва обикновената законодателна процедура (codecision), но развитието се отклони съществено от първоначалните прогнози за бързо приемане. Пакетът на практика се раздели: AI частта беше приета отделно, а GDPR частта („Data Omnibus“) заседна в Съвета. Ето реалната хронология, както към август 2026 г.:

• 19 ноември 2025 г. — Европейската комисия публикува предложението
• декември 2025 г. — ЕКЗД/ЕНОЗД публикуват Съвместно становище 02/2025 на ЕКЗД и ЕНОЗД
• 7 май 2026 г. — Провизорно споразумение между Парламента и Съвета по AI частта на пакета
• юни 2026 г. — Съвместен ITRE–LIBE Draft Report в Европейския парламент по GDPR частта (съдокладчици Aura Salla, ITRE, и Marina Kaljurand, LIBE); внесени са над 1000 изменения (срок 15 юли 2026 г.)
• края на юни 2026 г. — Кипърското председателство изтегля компромисния си текст по GDPR частта от COREPER II — не се събира квалифицирано мнозинство (по репортажи възразяват Дания, Германия, Италия, Полша и Швеция — „недостатъчна амбиция“)
• 1 юли 2026 г. — Ирландия поема председателството на Съвета и разпраща нов въпросник (бисквитки, псевдонимизация, AI обработка) — Съветът започва работата на практика наново, без обявен график
• 8 юли 2026 г. — AI частта е приета отделно като Регламент (ЕС) 2026/1744 (в сила от 27 юли 2026 г.), който отлага сроковете за високорисковите системи по AI Act (Annex III → 2 декември 2027 г.)
• февруари 2027 г. (очаквано) — Позиция на Европейския парламент по GDPR частта
• 2027 г. или по-късно — Реалистично най-ранно приемане на GDPR промените
• 2027–2028 г. и след това — Влизане в сила и прилагане (вероятно с преходен период)

Какви 7 стъпки трябва да предприеме бизнесът сега?

Директен отговор: Без да чакате приемането: направете GDPR одит на текущото състояние; преразгледайте процедурата за уведомяване при пробив; продължете да поддържате ROPA дори при освобождаване; одитирайте cookie consent механизма; направете DPIA за AI/ML проектите; обучете DPO, правния и IT екипа; и потърсете експертна помощ навреме.

Не чакайте окончателното приемане. Ето конкретните стъпки, които можете да предприемете днес:

1. Направете GDPR одит на текущото състояние

   Преди да се подготвяте за промените, уверете се, че сте в съответствие с действащите правила. Одитът ще идентифицира пропуски, които трябва да бъдат адресирани независимо от Digital Omnibus. Вижте нашата услуга за GDPR одит.

2. Преразгледайте процедурата за уведомяване при пробив в данните

   Актуализирайте вътрешния план за реакция при инциденти (план за реакция при инциденти (Incident Response Plan)). Независимо дали предложената промяна от 72 на 96 часа ще бъде приета, инвестирайте в качеството на уведомлението, а не просто в скоростта. Подгответе се за стандартизирания формуляр.

3. Продължавайте да поддържате ROPA

   Дори ако фирмата ви ще бъде формално освободена при прага от 750 служители, ROPA е вашата застрахователна полица при проверка от КЗЛД. Оптимизирайте го, вместо да го елиминирате.

4. Одитирайте cookie consent механизма

   Подгответе се за разделянето на бисквитките на категории. Идентифицирайте кои бисквитки биха попаднали в новите изключения (от собствения домейн (first-party) аналитика, A/B тест) и кои остават с изискване за съгласие.

5. Оценете AI/ML проектите си

   Ако използвате или планирате AI/ML решения, направете DPIA сега. Документирайте правното основание, гаранциите за субектите и механизма за право на възражение. Не чакайте чл. 88в — подгответе се предварително.

6. Обучете екипа си

   Информирайте DPO (или отговорното лице за GDPR), правния екип и IT отдела за предстоящите промени. Информираността (awareness) е ключов елемент на подготовката. Провеждайте вътрешни брифинги поне на тримесечие.

7. Потърсете експертна помощ навреме

   Промените засягат множество области едновременно: процедури, технология, документация, обучения. Комплексната подготовка изисква мултидисциплинарен подход — право, IT, организация. Не оставяйте всичко за последния момент.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали (whistleblowing). Заедно консултират над 90 компании за пълно GDPR съответствие.