ЕГН и GDPR — кога може да се изисква ЕГН и кога е незаконно

Единният граждански номер е най-чувствителният масов идентификатор в България — един-единствен номер, който отключва данъчни, осигурителни, здравни и кредитни записи за цял живот. Затова законът го поставя под специален режим: чл. 87 GDPR позволява на държавите членки да въведат собствени условия, а България го е направила с чл. 25ж от Закона за защита на личните данни (ЗЗЛД). На практика обаче ЕГН продължава да се иска от търговци, куриери, хотели и сайтове — често без правно основание. Тази статия показва с проверени членове кога искането е законно, кога можете да откажете и какво да направите при незаконно изискване или теч.

Кога е законно да ми искат ЕГН?

Кратък отговор: законно е, когато закон изрично задължава администратора да събере ЕГН — трудови, данъчни, осигурителни и счетоводни задължения, наложен платеж при куриер, идентификация в банка — или когато друго основание по чл. 6 GDPR прави обработването действително необходимо. Без такова основание искането нарушава принципа за свеждане на данните до минимум.

Отправната точка е европейска. GDPR не забранява националните идентификационни номера, но ги поставя под особен режим:

„Държавите членки могат да определят и специалните условия за обработване на национален идентификационен номер или на всякакъв друг идентификатор с общо приложение. В този случай националният идентификационен номер и всеки друг идентификатор с общо приложение се използват само при подходящи гаранции за правата и свободите на субекта на данните в съответствие с настоящия регламент." — чл. 87 от Регламент (ЕС) 2016/679

България е използвала тази възможност с измененията на ЗЗЛД от 2019 г. (ДВ, бр. 17 от 2019 г.), които добавиха специалните разпоредби на чл. 25г и чл. 25ж — разгледани подробно по-долу. Извън тях важат общите правила: всяко обработване на ЕГН се нуждае от правно основание по чл. 6 GDPR и трябва да отговаря на принципа за свеждане на данните до минимум (чл. 5, параграф 1, буква „в" GDPR) — събират се само данни, които са необходими за конкретната цел.

В практиката най-честото валидно основание е законовото задължение (чл. 6, параграф 1, буква „в" GDPR). Примери, при които администраторът наистина е длъжен да събере ЕГН:

• Работодателят — при сключване на трудов договор изпраща уведомление до НАП по чл. 62, ал. 5 от Кодекса на труда, чието съдържание (включително идентификационните данни на работника) е определено с Наредба № 5 от 2002 г.;
• Пощенските оператори и куриерите — при пратки с наложен платеж, изходящи международни пратки и изплащане на парични преводи (чл. 20, ал. 1, т. 11 от Закона за пощенските услуги);
• Търговецът, който ви издава фактура — по ваше искане, като реквизитът е задължителен по чл. 114, ал. 1, т. 8 ЗДДС;
• Банките и финансовите институции — по правило при пълна идентификация на клиента съгласно специалното законодателство, включително мерките срещу изпирането на пари;
• Държавните и общинските органи — когато конкретен закон урежда съответната административна услуга или регистър.

Може ли магазин, куриер или хотел да изисква ЕГН?

Кратък отговор: магазинът — по правило не, освен ако не поискате фактура. Куриерът — да, но само при наложен платеж, паричен превод или международна пратка. Хотелът вписва госта в регистъра на настанените туристи, но не може да копира личната карта. Основанието винаги трябва да е конкретен закон, а не вътрешно правило на търговеца.

Куриерите — важната разлика между пратка и пари

След измененията на Закона за пощенските услуги (чл. 20, ал. 1, т. 11, ДВ, бр. 53 от 2019 г.) операторите са длъжни да изискват, обработват и съхраняват три имена и ЕГН (или личен номер на чужденец) в три хипотези: подател на пратка с наложен платеж, подател на изходяща международна пратка и получател на суми по наложен платеж и пощенски парични преводи. Данните се пазят в сроковете по чл. 38, ал. 1, т. 3 ДОПК, защото служат на данъчния контрол. Извън тези хипотези — обикновена доставка, при която само получавате кутия — законово изискване за ЕГН няма: име, адрес и телефон са достатъчни, а искане на повече противоречи на принципа за свеждане на данните до минимум. Колко дълго администраторът изобщо може да пази подобни данни разглеждаме в статията за сроковете за съхранение по сектори.

Хотелите — регистър да, копие не

Лицата, извършващи хотелиерство, са длъжни да водят регистър на настанените туристи (чл. 116 от Закона за туризма) с данни по образец, утвърден от министъра на туризма, и да подават информация към Единната система за туристическа информация. Това е законово задължение и гостът не може да откаже вписването. Копирането на личната карта обаче е друго действие: по чл. 25г ЗЗЛД администраторът може да копира документ за самоличност само ако това е предвидено със закон — а за хотелите такова предвиждане няма. Рецепционистът може да погледне документа и да препише необходимите данни, но не и да го сканира „за всеки случай".

Магазините, томболите и лоялните програми

За продажба в брой или с карта търговецът няма никакво основание да иска ЕГН. Същото важи за томболи, промоции и лоялни програми — целта „да ви идентифицираме като печеливш" се постига с име и контакт. Изключенията са тесни и винаги стъпват на закон: например издаване на фактура по ваше искане (следващият раздел) или специфични регулирани дейности.

Трябва ли да дам ЕГН за фактура като физическо лице?

Кратък отговор: само ако искате фактура. Продажбата към физическо лице може да мине с касова бележка без никакво ЕГН — фактура към данъчно незадължено физическо лице поначало не е задължителна. Поискате ли обаче фактура на свое име, ЕГН е задължителен реквизит по чл. 114, ал. 1, т. 8 ЗДДС във връзка с чл. 84, ал. 2 ДОПК.

Механиката е следната. По чл. 113, ал. 3, т. 1 ЗДДС фактура може да не се издава за доставки, по които получателят е данъчно незадължено физическо лице — затова в масовия случай получавате само касова бележка, която не съдържа лични данни. Ако пожелаете фактура (например за гаранция, отчет пред работодател или лични записи), документът трябва да съдържа „идентификационен номер" на получателя (чл. 114, ал. 1, т. 8 ЗДДС), а за физически лица, които не са вписани в търговския регистър или регистър БУЛСТАТ, идентификацията се извършва именно чрез ЕГН или личен номер на чужденец (чл. 84, ал. 2 ДОПК).

КЗЛД нееднократно е потвърждавала в решения по жалби (например Решение № 51 от 17.09.2008 г., Решение № 597 от 28.10.2011 г. и Решение № 31 от 23.07.2012 г.), че вписването на ЕГН във фактура, издадена на физическо лице, е законосъобразно обработване — то изпълнява законово задължение на търговеца, а не негова прищявка. Обратната страна на монетата: щом фактурата е счетоводен документ, тя влиза в дълги законови срокове за съхранение — преди да поискате фактура за дреболия, преценете дали ви е нужна.

ЕГН в интернет — какво забранява ЗЗЛД?

Кратък отговор: чл. 25ж ЗЗЛД забранява свободния публичен достъп до информация, съдържаща ЕГН, освен ако закон предвижда друго, и задължава доставчиците на електронни услуги да гарантират, че ЕГН не е единственото средство за идентификация при отдалечен достъп. Публикуването на списъци с ЕГН в сайтове и входът в профил само с ЕГН са незаконни.

Разпоредбата, приета през 2019 г., е кратка и категорична:

„(1) Свободен публичен достъп до информация, съдържаща единен граждански номер или личен номер на чужденец, не се допуска, освен ако закон предвижда друго.
(2) Администраторите, предоставящи услуги по електронен път, предприемат подходящи технически и организационни мерки, които не позволяват единният граждански номер или личният номер на чужденец да е единственото средство за идентификация на потребителя при предоставяне на отдалечен достъп до съответната услуга." — чл. 25ж, ал. 1 и 2 ЗЗЛД

Какво означава това на практика, както към 2026 г.:

• Никакви публични списъци с ЕГН — класирания, графици, протоколи, резултати от конкурси и томболи в сайтове, социални мрежи или на хартия на входа не могат да съдържат ЕГН, освен когато конкретен закон изрично предвижда обратното;
• ЕГН не може да е „паролата" на услугата — портал, който ви идентифицира само по ЕГН (без парола, код или друго средство), нарушава чл. 25ж, ал. 2; номерът е известен на твърде много хора, за да бъде тайна;
• За административните електронни услуги идентификацията се извършва по ред, предвиден със закон (чл. 25ж, ал. 3 във връзка със Закона за електронното управление);
• Копията на документи също са под режим — чл. 25г ЗЗЛД допуска копиране на документ за самоличност, свидетелство за управление или документ за пребиваване само когато закон го предвижда, което пресича практиката „качете снимка на личната си карта", освен в изрично уредените случаи.

За администраторите това не е пожелание. Нарушението на националните правила, приети на основание глава IX от GDPR (където попада чл. 87), се санкционира по чл. 83, параграф 5 GDPR — по-високият праг на административните наказания. Отделно КЗЛД може да наложи корективни мерки: забрана на обработването, разпореждане за изтриване, ограничаване на достъпа.

Какво да направя при незаконно изискване или теч на ЕГН?

Кратък отговор: първо поискайте писмено правното основание. Ако няма — откажете и предложете алтернатива. При нарушение подайте жалба до КЗЛД в срок 6 месеца от узнаването, но не по-късно от две години от извършването (чл. 38, ал. 1 ЗЗЛД), а за претърпени вреди можете да претендирате обезщетение по чл. 82 GDPR.

При незаконно изискване

• Попитайте на кой закон се позовава администраторът — конкретен акт, член и алинея;
• Предложете алтернатива: име и адрес, номер на клиент, ЕИК на фирмата ви, друг документ;
• Ако услугата ви бъде отказана заради отказа да дадете ЕГН без основание, документирайте случая (кой, кога, какво е поискано);
• Подайте жалба до КЗЛД — безплатна е, а срокът по чл. 38, ал. 1 ЗЗЛД е 6 месеца от узнаването, но не по-късно от две години от нарушението;
• Алтернативно потърсете защита по съдебен ред срещу действията на администратора (чл. 39 ЗЗЛД).

При теч на ЕГН

Ако администратор, у когото е вашето ЕГН, претърпи пробив, той е длъжен да уведоми КЗЛД в 72 часа (чл. 33 GDPR), а при вероятен висок риск за вас — и лично вас без ненужно забавяне (чл. 34 GDPR). Пълните стъпки от гледна точка на засегнатия и на администратора сме описали в статията „Теч на лични данни — първите 72 часа". Като засегнато лице: сменете паролите на профилите, свързани с изтеклите данни, следете сметките и кредитната си история и бъдете особено подозрителни към обаждания и съобщения, които „доказват" легитимност, като цитират ЕГН-то ви — след теч именно то става инструмент за социално инженерство. ЕГН не може да се смени по общия ред, затова щетата е дълготрайна — още една причина да не го раздавате без основание.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 български компании — банки, застрахователи, телекоми и технологични фирми — по подготовка за КЗЛД проверки, защита срещу административни производства и изграждане на GDPR съответствие. Публикуват месечен разбор на правоприлагането по GDPR в ЕС.