GDPR глоба или официално предупреждение? Петте стъпки на EDPB за избор между глоба и друга мярка
Не всяко нарушение завършва с глоба. Проектът на Насоки 04/2026 на EDPB, приет на 17 септември 2026 г., описва 5 стъпки, по които надзорният орган решава дали да наложи GDPR глоба или да отправи официално предупреждение. Ако сте открили нарушение или вече имате писмо от КЗЛД, методиката показва какво трябва да докажете, за да бъде нарушението ви оценено като леко.
Съдържание
- Кога GDPR глоба и кога официално предупреждение: краткият отговор
- Колко може да е GDPR глобата
- Какво може да направи КЗЛД вместо глоба
- Петте стъпки на EDPB една по една
- Небрежността: защо незнанието почти никога не е защита
- Кога нарушението е леко: факторите по чл. 83, пар. 2
- Примерите на EDPB: официално предупреждение, никаква мярка или глоба
- Видеонаблюдение: примерът на EDPB с паркинга
- Какво да документирате след нарушение: контролен списък
- Какво следва: консултацията до 13 ноември 2026 г.
Кога GDPR глоба и кога официално предупреждение: краткият отговор
Кратък отговор: според проекта на Насоки 04/2026 на Европейския комитет по защита на данните (ЕКЗД / EDPB) надзорният орган първо проверява дали изобщо може да наложи GDPR глоба — дали нарушението е санкционируемо, дали вие сте адресатът и дали има поне небрежност. След това преценява дали нарушението е леко. Ако е леко, по правило глоба не се налага и органът може да отправи официално предупреждение. Ако не е леко, според проекта има силна презумпция, че ще бъде наложена глоба. И в двете посоки органът може да се отклони от общото правило по стъпка 5, а според Съда на ЕС (дело C-768/21) не е длъжен да налага мярка, когато тя не е необходима — например ако администраторът, веднага щом е узнал за нарушението, сам е взел необходимите мерки то да бъде прекратено и да не се повтори.
Насоките са приети на 17 септември 2026 г. като версия 1.0 за публична консултация. Към октомври 2026 г. те са проект: EDPB предлага методика, която след консултацията може да се промени. Предназначени са за надзорните органи, включително КЗЛД, които ще ги прилагат според собственото си административно и процесуално право.
Колко може да е GDPR глобата
Кратък отговор: горните граници са в чл. 83 GDPR. За нарушенията по пар. 4 глобата или имуществената санкция е до 10 млн. евро, а за предприятие — до 2% от общия годишен световен оборот за предходната финансова година, ако тази сума е по-висока. За нарушенията по пар. 5 и за неизпълнение на разпореждане на органа по пар. 6 границите са 20 млн. евро, съответно 4%. Конкретният размер се определя по отделните Насоки 04/2022 на EDPB за изчисляването на глобите.
Наложените в България санкции разглеждаме в GDPR глоби в България: реални примери. Тук отговаряме на по-ранния въпрос: дали случаят ви изобщо ще завърши с глоба, или с друга мярка, и какво можете да направите по въпроса.
Какво може да направи КЗЛД вместо глоба
Кратък отговор: чл. 58, пар. 2 GDPR дава на надзорния орган десет корективни правомощия — от предупреждение за бъдещо обработване до забрана на обработването. Глобата по буква „и“ е едно от тях и може да се наложи в допълнение към останалите мерки или вместо тях (чл. 83, пар. 2 GDPR). Насоките обясняват коя мярка за каква цел служи и кои се съчетават с глоба.
| Мярка (чл. 58, пар. 2 GDPR) | Цел според насоките | Съчетава ли се с глоба? |
|---|---|---|
| б. „а“ — предупреждение за планирано обработване | Превантивна: нарушение още няма | Не, докато обработването е само планирано. Ако администраторът въпреки предупреждението започне обработването и наруши GDPR, глоба вече е възможна |
| б. „б“ — официално предупреждение | Възпиращ ефект при вече извършено нарушение | По принцип е алтернатива на глобата; съчетаването не е изключено |
| б. „в“, „г“, „д“, „ж“, „й“ — разпореждания (изпълнение на искания на субекта, привеждане в съответствие, съобщаване на нарушение, коригиране или изтриване, спиране на трансфери) | Възстановяване на законното положение | Да — разпореждането поправя, глобата наказва |
| б. „е“ — временно или окончателно ограничаване, вкл. забрана | Спиране на незаконното обработване | По правило да; не и когато ограничението е за бъдещо обработване без установено нарушение |
| б. „з“ — отнемане на сертификат | Сертификатът вече не отговаря на изискванията | Да, ако е установено нарушение |
| б. „и“ — административно наказание „глоба“ или „имуществена санкция“ | Наказателна и възпираща функция | — |
Важно: предупреждение и официално предупреждение са различни мерки
Предупреждението по буква „а“ се отправя преди нарушението — за обработване, което тепърва се планира. Официалното предупреждение по буква „б“ (в английския текст — reprimand) се отправя след установено нарушение и е основната алтернатива на глобата. „Официално предупреждение“ е терминът и в българския текст на чл. 58 GDPR, и в годишния отчет на КЗЛД.
Как изглежда това в практиката на КЗЛД
Според годишния отчет на КЗЛД за 2025 г. по жалби Комисията е отправила 60 официални предупреждения по буква „б“, издала е 135 разпореждания по буква „г“ и е наложила 46 глоби и имуществени санкции. По уведомления за нарушения на сигурността Комисията е отправила 12 официални предупреждения, издала е 23 разпореждания по буква „г“ и е наложила 14 имуществени санкции. И в двата случая най-честата мярка е разпореждането по буква „г“, а не глобата. Подробен разбор на числата има в анализа ни на годишния отчет на КЗЛД за 2025 г.
Петте стъпки на EDPB една по една
Кратък отговор: стъпки 1–3 са правни предпоставки — без тях глоба изобщо не може да има. Стъпки 4–5 са преценка: дали нарушението е леко и дали глобата би била ефективна, пропорционална и възпираща по смисъла на чл. 83, пар. 1 GDPR. Надзорният орган не е длъжен да минава през стъпки, които не са приложими в конкретния случай.
Може ли нарушението да доведе до глоба?
Нарушението трябва да е изброено в чл. 83, пар. 4–6 GDPR или в националното право. Чл. 10 и чл. 24 не са сред тях, но нарушение на чл. 24 може да бъде нарушение и на принципа на отчетност по чл. 5, пар. 2, който е в чл. 83, пар. 5.
Може ли точно вие да бъдете глобени?
Отговаря адресатът на нарушената разпоредба — администратор, обработващ, орган за наблюдение или сертифициращ орган. Дружеството отговаря и за действията на служители и външни изпълнители, които действат от негово име.
Има ли умисъл или небрежност?
Глоба без вина не може да има. Според проекта обаче прагът за небрежност е толкова нисък, че трудно може да се представи случай, в който не е достигнат — вижте следващия раздел.
Нарушението леко ли е?
Преценка по всички фактори на чл. 83, пар. 2, б. „а“–„к“. Леко нарушение — по правило без глоба. Нарушение, което не е леко — според проекта силна презумпция, че ще бъде наложена глоба.
Ефективна, пропорционална и възпираща ли е глобата?
Проверка за отклонение от общото правило: глоба и при леко нарушение или официално предупреждение вместо глоба, когато тя би била несъразмерна тежест.
Стъпка 2 на практика: отговорността за чужди действия
Според проекта (т. 40–41) юридическото лице носи пряка отговорност. Не е нужно ръководството да е действало или дори да е знаело за нарушението. Не е нужно и нарушението да се свърже с конкретен служител. Връзката се прекъсва само ако човекът е действал изцяло за свои цели или за цели на трето лице.
Същото важи за обработващия. Администраторът отговаря за нарушение, извършено от обработващия от негово име, освен ако обработващият е действал за свои цели или извън рамката, определена от администратора. Дори тогава администраторът може да отговаря самостоятелно по чл. 32 GDPR — ако не е имал мерки срещу подобни действия. Според нашата оценка затова инструкциите и одитните права в договора за обработване по чл. 28 могат да повлияят на изхода на производството.
Небрежността: защо незнанието почти никога не е защита
Кратък отговор: според проекта (т. 49) за небрежност е достатъчно да не сте могли да не знаете, че поведението ви е незаконно — не е нужно действително да сте го знаели. Насоките цитират заключението на генералния адвокат Емилиу по дело C-683/21, според което прагът е толкова нисък, че трудно може да се представи случай, в който не е достигнат. Според проекта (т. 50), когато по въпроса има насоки на EDPB, грешката винаги се смята за предотвратима и следователно поне небрежна.
Изискването за вина е потвърдено от Съда на ЕС. С решението по дело C-807/21 Deutsche Wohnen от 5 декември 2023 г. Съдът прие, че глоба по чл. 83 GDPR може да се наложи само ако нарушението е извършено умишлено или по небрежност. Насоките развиват тази линия: правна грешка изключва небрежността само ако е била неизбежна, а това се случва много рядко.
Ето как проектът на насоките оценява пет възражения, на които администраторите разчитат пред надзорния орган.
Изключва ли небрежността незнанието за задължението? Не
Пример 3 от насоките: дружество с един собственик игнорира искания за достъп, защото не знае за чл. 15 GDPR. Решаващо е, че е имал възможност да научи за задължението. Това е небрежност.
Оневинява ли правно становище, че обработването е законно? Само по себе си — не
Примери 4а–4в: нито външно, нито вътрешно правно становище оневинява, ако е било известно противното мнение на надзорния орган или на преобладаващата литература. Ако становището не е документирано, то изобщо няма оневиняващ ефект.
Смекчава ли това, че досега не сте били наказвани? Не
Предишните нарушения по чл. 83, пар. 2, б. „д“ са утежняващо обстоятелство. Според проекта (т. 88) липсата им сама по себе си не е смекчаващо, защото спазването на GDPR е нормата.
Зачита ли се уведомяването на КЗЛД в 72 часа? Не, когато е задължително
Според проекта (т. 95–96), когато уведомлението е задължително — както по чл. 33 GDPR при нарушение на сигурността, — то е неутрално: нито смекчава, нито утежнява. Смекчаващо може да е само съобщаване на нарушение по собствена инициатива, преди органът да е научил за него.
Смекчава ли отговарянето на въпросите при проверката? Не, то е задължение
Според проекта (т. 90–91) обичайното сътрудничество е задължение по чл. 31 GDPR и само по себе си не смекчава. Тежест има само сътрудничество над изискуемото от закона, което реално е ограничило последиците за субектите на данни.
Тежест имат аргументите за последиците и за бързината
Според проекта прагът за небрежност е нисък (т. 49–50), затова смятаме, че е по-полезно да се аргументира, че нарушението е леко: ограничено по обхват и продължителност, без чувствителни данни, с бързи и ефективни мерки, взети, преди да научите за проверката. Това е стъпка 4.
Кога нарушението е леко: факторите по чл. 83, пар. 2
Кратък отговор: нарушението може да се приеме за леко, когато не създава значителен риск за правата на субектите на данни и не засяга същността на нарушеното задължение. Преценката е по единадесетте фактора на чл. 83, пар. 2, б. „а“–„к“ GDPR. Колкото по-тежко, по-дълго, по-съзнателно и по-доходно е нарушението, толкова по-вероятна е глобата.
Понятието „леко нарушение“ идва от съображение 148 GDPR. Според него при леко нарушение или когато глобата би била несъразмерна тежест за физическо лице, вместо глоба може да се отправи официално предупреждение — мярката по чл. 58, пар. 2, б. „б“ (в английския текст и на двете места — reprimand). Насоките допускат официално предупреждение вместо глоба и когато глобата би била несъразмерна тежест за юридическо лице (т. 26).
До размера на глобата се стига едва след решението тя да бъде наложена: по правило — при нарушение, което не е леко, а по изключение (стъпка 5) — и при леко.
| Фактор (чл. 83, пар. 2 GDPR) | Говори в полза на глоба | Може да помогне |
|---|---|---|
| а) естество, тежест, продължителност | Много засегнати лица, системен характер, дълъг период, наблюдение или профилиране; неравнопоставеност — служители, ученици, пациенти, деца | Единичен случай, кратък период, ограничена вреда |
| б) умисъл или небрежност | Умисъл; висока степен на небрежност | Ниска степен на небрежност |
| в) мерки за смекчаване на вредите | Мерки, взети едва след като сте научили за проверката, тежат по-малко | Бързи и ефективни мерки, взети по собствена инициатива, преди да научите за проверката |
| г) степен на отговорност (чл. 25 и 32) | Данни, достъпни без подходящи мерки | Само по изключение — ако сте направили повече, отколкото изисква законът |
| д) предишни нарушения | Скорошни, особено със същия предмет или по същия начин (напр. пренебрегнати съвети на длъжностното лице по защита на данните) | Липсата им не помага |
| е) сътрудничество | — | Само сътрудничество извън задължението по чл. 31 |
| ж) категории данни | Данни по чл. 9 и 10; данни за местоположение, лична кореспонденция, национални идентификационни номера (у нас — ЕГН), финансови данни | Липса на чувствителни данни; хеширани данни, както в пример 7 |
| з) как органът е научил | — | Доброволно съобщаване преди органа (задължителното по чл. 33 е неутрално) |
| и) спазване на предишни мерки | Неизпълнено предишно разпореждане | Само мерки над разпоредените |
| й) кодекс на поведение / сертифициране | Нарушение, пряко свързано с неспазване на кодекса | Придържане към одобрен кодекс и действия на органа за наблюдение |
| к) други обстоятелства | Печалба или избегнати разходи от нарушението — силен признак, че не е леко | Изключителни обстоятелства, напр. извънредна ситуация |
Ако обработвате ЕГН, вижте и статията ни за ЕГН и GDPR — по проекта на насоките националните идентификационни номера са сред данните, които правят нарушението по-тежко.
Примерите на EDPB: официално предупреждение, никаква мярка или глоба
Кратък отговор: насоките съдържат примери с три изхода — официално предупреждение при леко нарушение, никаква корективна мярка, когато администраторът сам е прекратил нарушението, и глоба, когато лекото нарушение се повтаря. Примерите са измислени казуси и EDPB изрично посочва, че не са прецеденти. Те обаче показват кои факти тежат.
Леко нарушение — официално предупреждение (раздел 5.2.13)
- Искане за достъп в папката за спам (пример 6). Малко или средно предприятие не отговаря на искане за достъп. Обяснението е, че писмото вероятно е попаднало в спама; данни за лицето не се откриват. Предприятието се извинява писмено, насочва лицето към правилния администратор и реагира веднага след сигнала на органа.
- Пиксел за проследяване (пример 7). Функция в инструмента на социалната мрежа заобикаля настройките на предприятието и за две години хешираните имейли и телефони на около 50 000 потребители се предават на доставчика. Органът отчита, че данните са хеширани, не са чувствителни и не са разкрити публично.
- Спортен клуб с фен страница (пример 9). Непълна информация по чл. 12 и 13 GDPR поради погрешна правна оценка, а не умишлено. Политиката е бързо поправена.
Леко нарушение — без корективна мярка (раздел 5.3.2)
Този изход стъпва на решението на Съда на ЕС по дело C-768/21 Land Hessen от 26 септември 2024 г. Фактите: служител на спестовна банка няколко пъти преглежда без основание данните на клиент. Банката уведомява органа, наказва дисциплинарно служителя и взема писмена декларация, че данните не са копирани. Надзорният орган на провинция Хесен решава да не налага мярка, а клиентът оспорва това пред съда.
Съдът приема, че органът не е длъжен да упражни корективно правомощие при всяко нарушение, и в частност да наложи глоба. Може да се въздържи, когато мярката не е подходяща, необходима и пропорционална — например ако администраторът сам е прекратил нарушението и е предотвратил повторението му. Пример 11 в насоките следва почти същите факти, а към него има още два: пример 12 (малко или средно предприятие поправя информацията си за обработване при томбола, преди органът да започне проверка) и пример 13 (служител изпраща по грешка копие от шофьорска книжка; администраторът уведомява органа и лицето без забавяне, възстановява разходите за нов документ и възлага независим преглед на мерките си).
Повторението превръща лекото нарушение в глоба
Пример 10: малка телекомуникационна компания отговаря на искане с един месец закъснение и получава официално предупреждение. Органът открива още идентични случаи и започва производство за глоба — натрупването показва проблем в системата, а не изключение. Същата логика има пример 5: агенция за подбор на персонал продължава да изпраща имейли след искания за изтриване, получава официално предупреждение, а след нови жалби — глоба.
Риск: официалното предупреждение не е опрощаване
С официалното предупреждение нарушението е установено. При следващ сходен случай то се отчита като предишно нарушение по чл. 83, пар. 2, б. „д“, а предишно нарушение със същия предмет — особено същото нарушение — тежи повече от нарушение по друга тема (т. 84). Неизпълнено разпореждане е утежняващо обстоятелство или — алтернативно — самостоятелно нарушение по чл. 83, пар. 5, б. „д“ и пар. 6, но едно и също поведение не може да бъде наказано два пъти (т. 100). След официално предупреждение приемете, че следващият сходен случай вероятно няма да бъде оценен като лек.
Обратният случай също съществува. В пример 14 нарушението с публикувани здравни данни не е леко, но органът избира официално предупреждение, защото ограничението в закона е сравнително ново, практика по него няма, а информацията на сайта на самия орган е могла да бъде разбрана погрешно. Изключенията са възможни, но тесни.
Видеонаблюдение: примерът на EDPB с паркинга
Кратък отговор: насоките съдържат един пример за видеонаблюдение (пример 8) и в него органът отправя официално предупреждение. Според нашата оценка, по логиката на факторите по чл. 83, пар. 2, глоба е по-вероятна, когато камерите обхващат служители или публични места, записите се пазят дълго и нарушението продължава. Официално предупреждение е по-вероятно при единичен пропуск, поправен бързо и с мерки, които намаляват риска и за бъдещето.
Фактите в пример 8: дружество, собственост на общината, управлява паркинг с камери. Лице иска запис на конкретен автомобил за граждански иск след произшествие. Дружеството отказва, като се позовава на правата на трети лица — на записите се виждат чужди регистрационни номера. Междувременно искът на лицето се погасява по давност.
Органът установява нарушение на чл. 15 GDPR, но го приема за леко и отправя официално предупреждение. Като смекчаващи отчита ограничените обхват и продължителност, ниската степен на небрежност и незабавната реакция след сигнала му: дружеството се свързва с лицето, стеснява търсения период и въвежда софтуер за замъгляване на номерата, който ще ползва и при бъдещи искания.
Условен пример (нашата оценка, не казус на КЗЛД)
Магазин монтира камера, която освен входа обхваща и тротоара, и пази записите неопределено време. Тук изходът зависи от факторите по чл. 83, пар. 2: колко лица са засегнати, колко дълго, дали камерата следи и служители. Ако магазинът сам пренасочи камерата, въведе срок за изтриване и документира това преди проверката, аргументът за леко нарушение е много по-силен, отколкото ако го направи след разпореждане.
В отделното ни ръководство за видеонаблюдение и GDPR разглеждаме изискванията към самото видеонаблюдение — правно основание, информационни табели, срокове за съхранение — както и санкциите за незаконно видеонаблюдение.
Какво да документирате след нарушение: контролен списък
Кратък отговор: насоките изрично предвиждат, че органът отчита документите, които представите при упражняване на правото си да бъдете изслушани — кога са взети мерките, как са приложени, какви са контактите с обработващия, с длъжностното лице по защита на данните и със засегнатите лица. Позицията за леко нарушение се изгражда с документи от първия ден, не с обяснения накрая.
Ако проверка на КЗЛД вече тече, първо вижте какво да направите в първите часове на проверката. Ако става дума за изтичане на данни, сроковете за уведомяване са в статията ни за теча на лични данни и 72-часовия срок. Контролният списък по-долу е за доказателствата, които ще ви трябват по стъпка 4.
- Хронология на инцидента. Отговорник: длъжностното лице по защита на данните или юрисконсултът. Кога: от момента на узнаване, допълва се ежедневно. Документ: журнал с дата и час на узнаване, на всяко решение и на всяка мярка. Пазете го в досието по инцидента поне до приключване на производството и на евентуалното обжалване. При нарушение на сигурността документирането е и задължение по чл. 33, пар. 5 GDPR.
- Обхват и категории данни. Отговорник: ИТ отговорникът заедно с длъжностното лице. Кога: в първите дни. Документ: писмена оценка — брой засегнати лица, период, дали има данни по чл. 9 или 10, ЕГН, финансови данни или данни за местоположение, дали данните са криптирани, хеширани или псевдонимизирани.
- Мерки и тяхната дата. Отговорник: управителят. Кога: веднага. Документ: заповеди и протоколи за спиране на нарушението, промени в настройките, нови процедури. Датата е от значение — мерките, взети, преди да научите за проверката, тежат повече от по-късните (т. 74).
- Контакт със засегнатите лица. Отговорник: длъжностното лице. Документ: копия от писмата, извиненията, възстановените разходи — както в примери 6 и 13.
- Правни становища. Отговорник: юрисконсултът. Документ: самото становище, въпросът, на който отговаря, фактите, които са му дадени, и как разглежда противните позиции на КЗЛД и EDPB. Становище без документи не помага (пример 4в).
- Повече от изискуемото. Доказателство: документи за мерки над законовите изисквания — независим преглед на техническите и организационните мерки, допълнително обучение, сътрудничество, което реално е ограничило последиците. Мерките над изискуемото от закона могат да се отчетат като смекчаващи само по изключение: по б. „г“ — ако сте направили повече, отколкото изисква законът (т. 77), а по б. „е“ — ако сътрудничеството с органа надхвърля задължението по чл. 31 и реално е ограничило последиците за субектите на данни (т. 91); бързите мерки за ограничаване на вредите се отчитат отделно по б. „в“.
- Проверка за повторение. Отговорник: длъжностното лице. Кога: преди да отговорите на органа. Документ: справка дали има сходни случаи. Ако има, по-добре е да ги откриете и поправите вие, отколкото органът (пример 10).
Добра практика: подгответе становището си по петте стъпки
Препоръчваме писменото становище до КЗЛД да следва структурата на насоките: дали нарушението е санкционируемо, кой е адресатът, каква е степента на вина и — най-важното — защо факторите по чл. 83, пар. 2 сочат леко нарушение. Така органът получава аргументите във вида, в който ще ги оценява. Подготовката не предопределя изхода, но липсата ѝ отслабва позицията ви.
Какво следва: консултацията до 13 ноември 2026 г.
Кратък отговор: обратна връзка по проекта се приема от 21 септември до 13 ноември 2026 г., 23:59 ч. централноевропейско време, през страницата на консултацията на EDPB. Към октомври 2026 г. текстът е версия 1.0 и след консултацията EDPB може да го промени. Според проекта новите насоки заменят указанията на Работна група „Член 29“ (WP253) и допълват Насоките 04/2022 за изчисляването на глобите.
Пълният текст е в PDF документа на EDPB (на английски). Разпоредбите, които той тълкува — чл. 58 и чл. 83 и съображение 148 — са в официалния текст на GDPR в EUR-Lex.
Методиката обаче няма нужда да чака окончателния вариант. Факторите по чл. 83, пар. 2 GDPR се прилагат и сега, независимо от окончателния текст на насоките. Изводът за всеки администратор е, че GDPR глоба не е автоматично следствие от нарушението, а официално предупреждение не означава опрощаване: решават тежестта, вината и онова, което сте направили, преди органът да ви потърси.
Опишете ситуацията си
Ще я обсъдим с вас и ще предложим подходящо решение. Първоначалната консултация е безплатна.
Често задавани въпроси
Задължителни ли са Насоките 04/2026 за КЗЛД?
Текстът е проект, приет на 17 септември 2026 г. за публична консултация. EDPB издава насоки по чл. 70, пар. 1, б. „д“ и „к“ GDPR, за да насърчи съгласуваното прилагане на регламента, и те са предназначени за надзорните органи, включително КЗЛД. Органите ще прилагат общия подход според своето административно и процесуално право, а позоваването на насоките не замества мотивите в конкретното решение.
Каква е разликата между предупреждение и официално предупреждение?
Предупреждението по чл. 58, пар. 2, б. „а“ GDPR се отправя преди нарушението — за планирано обработване, което вероятно ще наруши регламента. Докато обработването е само планирано, глоба не може да се наложи; ако администраторът въпреки това започне обработването и наруши GDPR, глоба вече е възможна. Официалното предупреждение по б. „б“ е за вече извършено нарушение и по правило е алтернатива на глобата.
Кога нарушението се смята за леко?
Според проекта на насоките нарушението може да е леко, когато не създава значителен риск за правата на субектите на данни и не засяга същността на нарушеното задължение. Преценката е по всички фактори на чл. 83, пар. 2 GDPR: обхват, продължителност, вина, категории данни, предприети мерки, предишни нарушения и други. Леко нарушение по правило не води до глоба.
Може ли правно становище да ни предпази от глоба?
Само по себе си не. Според примерите в проекта на насоките нито външно, нито вътрешно становище изключва небрежността, ако противната позиция на надзорния орган или на преобладаващата литература е била известна. Ако не можете да представите становището и фактите, на които стъпва, то няма оневиняващ ефект. Полезно е най-вече като доказателство за документирана преценка.
Смекчаващо обстоятелство ли е уведомяването на КЗЛД в 72 часа?
Не. Когато уведомяването е задължително, както при нарушение на сигурността по чл. 33 GDPR, проектът на насоките го приема за неутрално. Смекчаващо може да бъде доброволното съобщаване на нарушение, за което няма такова задължение, преди органът да е научил за него. Неуведомяването, когато то е задължително, обаче е отделно нарушение.
Може ли КЗЛД да не наложи никаква мярка при установено нарушение?
Да. Съдът на ЕС прие по дело C-768/21 Land Hessen от 26 септември 2024 г., че надзорният орган не е длъжен да упражни корективно правомощие при всяко нарушение. Той може да се въздържи, когато мярката не е подходяща, необходима и пропорционална, например ако администраторът веднага е прекратил нарушението и е предотвратил повторението му.
Колко е глобата, ако нарушението не е леко?
Размерът се определя отделно, по Насоките 04/2022 за изчисляването на глобите. Горните граници са в чл. 83 GDPR: за нарушенията по пар. 4 — до 10 млн. евро, а за предприятие до 2% от общия годишен световен оборот, ако тази сума е по-висока; за нарушенията по пар. 5 и 6 — до 20 млн. евро, съответно до 4%.
Имате нарушение или висяща проверка от КЗЛД?
Ще оценим казуса ви по петте стъпки на EDPB, ще подредим наличните документи и ще подготвим становище до КЗЛД — преди органът да реши каква мярка да наложи.
- Оценка на факторите по чл. 83, пар. 2 GDPR за вашия случай
- Хронология и досие на мерките, подредени за изслушването
- Становище до КЗЛД, структурирано по методиката на EDPB
Получавайте нови статии директно в пощата си
Практически анализи по GDPR и киберсигурност. Без спам.
Можете да се отпишете по всяко време. Политика за поверителност
Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали. Заедно консултират над 90 компании за пълно GDPR съответствие.