GDPR за адвокати и адвокатски кантори — адвокатската тайна среща защитата на данните

Адвокатската професия живее в парадокс: пазим тайната на клиента по силата на закон, който е по-стар от GDPR и по-строг от него — и едновременно с това сме администратори на лични данни с пълния набор задължения по Регламент (ЕС) 2016/679. Двата режима не се изключват, а се наслагват. Този текст — от колеги за колеги — подрежда къде адвокатската тайна е щит, който GDPR изрично признава, и къде тя не е оправдание за липсваща документация: регистър на дейностите по обработване, договори с доставчици, срокове за съхранение, сигурност на кореспонденцията. Всички цитирани членове са сверени с действащите редакции, както към август 2026 г.

Администратор ли е адвокатът за клиентските данни?

Да — и това е отправната точка, от която следва всичко останало. Въпросът има значение, защото ролята определя обема на задълженията: администраторът носи пълната отговорност по чл. 5, параграф 2 GDPR (отчетност), докато обработващият действа по указания на друг.

Европейският комитет по защита на данните (ЕКЗД/EDPB) разглежда точно този случай в Насоки 07/2020 относно понятията „администратор“ и „обработващ“: кантората, която представлява дружество по спор, действа със значителна степен на независимост — сама преценява каква информация да събере, как да я използва и каква процесуална стратегия да следва, без клиентът да ѝ дава указания за обработването на данните. Затова обработването е свързано с професионалната функция на адвоката и той е самостоятелен администратор. Същата линия поддържа и Съветът на адвокатурите и правните общества в Европа (CCBE) още в препоръките си по прилагането на GDPR, адресирани към адвокатурите в ЕС.

Практическото следствие: кантората не подписва договор за обработка на данни (ДЗО) в качеството на обработващ с клиентите си. Когато корпоративен клиент ви изпрати своя стандартен ДЗО „за подпис от доставчика“, коректният отговор е, че за процесуално представителство и правни съвети адвокатът е самостоятелен администратор — може да се подпише споразумение за поверителност, но не и ДЗО по чл. 28 GDPR, който би поставил адвоката под „документирани нареждания“ на клиента и би влязъл в противоречие с независимостта на професията. Обратната роля — адвокатът като обработващ — е мислима по изключение при чисто технически услуги без самостоятелна правна преценка, но в класическата адвокатска работа се среща рядко.

Какво точно защитава адвокатската тайна — чл. 45 и чл. 33 ЗАдв

Две разпоредби на Закона за адвокатурата (ЗАдв) носят тежестта на темата и е добре да се цитират точно:

• Чл. 45 ЗАдв — адвокатът е длъжен да пази тайната на своя клиент без ограничение във времето (ал. 1) и няма право като свидетел да разкрива обстоятелства, поверени му в качеството на адвокат (ал. 2). Това е задължението за поверителност — то не отпада с края на делото, нито с прекратяването на договора.
• Чл. 33 ЗАдв — адвокатските книжа, досиета, електронни документи, компютърна техника и други носители на информация са неприкосновени и не подлежат на преглеждане, копиране, проверка и изземване (ал. 1); кореспонденцията между адвокат и клиент, независимо от начина на осъществяване, не подлежи на преглеждане, копиране, проверка и изземване и не може да бъде използвана като доказателство (ал. 2); разговорите между адвокат и клиент не могат да се подслушват и записват (ал. 3). Това е институционалният щит на досието.

Важно за съотношението с GDPR: тайната по чл. 45 ЗАдв е точно онова „законово задължение за поверителност“, което самият Регламент признава като основание за дерогации — най-видимо в чл. 14, параграф 5, буква „г“ и чл. 90 GDPR. Съдът на ЕС добави и конституционно измерение: в решението по дело C‑694/20, Orde van Vlaamse Balies (8 декември 2022 г.) той изведе адвокатската тайна от чл. 7 от Хартата на основните права — защитата обхваща не само защитата по дела, а и правната консултация, при това както съдържанието ѝ, така и самия факт, че е потърсена. Двата режима, следователно, не са в колизия по презумпция: GDPR има вградени клапи за професионалната тайна. Конфликтите възникват на конкретни места — и най-честото е правото на достъп.

Може ли насрещната страна да поиска достъп по чл. 15 до досието?

Кратък отговор: да поиска — може; но правото на достъп не е абсолютно. Чл. 15, параграф 4 GDPR и тайната по чл. 45 ЗАдв по правило препятстват предоставянето на копие от досието, а кантората дължи мотивиран отговор в срока по чл. 12, параграф 3 GDPR — един месец.

Сценарият е познат на всяка процесуална практика: насрещната страна по спор (или неин служител, бивш съдружник, контрагент) подава до кантората искане по чл. 15 GDPR — „предоставете ми всички лични данни, които обработвате за мен“. В досието им има много: кореспонденция, анализи, доказателства, бележки от срещи с клиента. Дължи ли кантората копие?

Тезата „тайната затваря досието“ — преобладаващата

Три опорни точки от самия Регламент:

• Чл. 15, параграф 4 GDPR — правото на копие „не влияе неблагоприятно върху правата и свободите на други лица“. Правото на клиента на защита и поверителна правна помощ е точно такова право; разкриването на досието би го обезсмислило.
• Чл. 14, параграф 5, буква „г“ GDPR — задължението за информиране на субект, чиито данни не са събрани от него (точно случаят с насрещната страна), не се прилага, когато „личните данни трябва да останат поверителни при спазване на задължение за опазване на професионална тайна, което се урежда от правото на Съюза или право на държава членка, включително законово задължение за поверителност“. Чл. 45 ЗАдв е христоматиен пример.
• Чл. 23, параграф 1 GDPR — държавите членки могат да ограничават правата по чл. 12–22, наред с другото, за „защитата на съдебната независимост и съдебните производства“ (буква „е“) и за „защитата на субекта на данните или на правата и свободите на други лица“ (буква „и“).

Насрещната теза — правата не изчезват изцяло

Коректността изисква да се каже и обратното: чл. 15 не предвижда генерално „адвокатско изключение“, а дерогациите се тълкуват стеснително. Защитимо е разбирането, че субектът има право поне на потвърждение дали се обработват негови данни и на общата информация по чл. 15, параграф 1 (цели, категории, срокове), доколкото самото потвърждение не разкрива защитено от тайната обстоятелство — а след C‑694/20 дори фактът на консултацията може да е защитен. Практическият извод: отказът трябва да е мотивиран, частичен където е възможно и документиран, с изрично посочване на правото на жалба до КЗЛД по чл. 77 GDPR. Бланкетното мълчание е най-слабата позиция — вижте и разбора ни за мотивирания отказ на искане за достъп.

И огледалният случай, за да няма недоразумение: собственият клиент може да иска достъп до данните си — тайната съществува в негова полза и не може да му бъде противопоставена. Границата минава при данните на трети лица в досието му (чл. 15, параграф 4 отново, но в другата посока).

Какво може и какво не може КЗЛД при проверка в кантора?

КЗЛД има спрямо кантората всички правомощия по чл. 58 GDPR, каквито има спрямо всеки администратор: да изисква информация, да извършва проверки, да получава достъп до помещения и средства за обработване, да издава разпореждания и да налага санкции по чл. 83 GDPR. Кантората не е екстериториална зона — жалба на недоволен насрещен субект, изтекъл имейл или незащитен уебсайт могат да доведат проверяващи и в адвокатски офис.

Пределът обаче е чл. 33 ЗАдв: книжата, досиетата и електронните документи са неприкосновени и „не подлежат на преглеждане, копиране, проверка и изземване“ — формулировка, която по буквалния си текст обхваща и административни проверки, не само наказателни производства. Разумното разчертаване на терена, което поддържаме и в ръководството ни за първите часове на КЗЛД проверка, е:

• Достъпно за проверка: регистърът на дейностите по обработване по чл. 30 GDPR, политиките и процедурите, договорите с доставчици по чл. 28, документацията за сигурност, данните за персонала, видеонаблюдението в офиса, уебсайтът и бисквитките, регистърът на нарушенията по чл. 33, параграф 5 — цялата организационна обвивка на съответствието.
• Извън обхвата: съдържанието на клиентските досиета, кореспонденцията адвокат–клиент и информацията, поверена под тайна по чл. 45 ЗАдв. Отказът се заявява изрично, учтиво и писмено, с позоваване на чл. 33 ЗАдв, и се отразява в констативния протокол.

Дължим и уговорката: доколкото ни е известно, към август 2026 г. няма публикувано изрично становище на КЗЛД, което да чертае тази граница за адвокатски кантори, нито установена съдебна практика по сблъсъка чл. 58 GDPR — чл. 33 ЗАдв. Позицията по-горе е обосновано тълкуване, не гарантиран резултат — още една причина организационната документация да е безупречна, така че проверката изобщо да не стига до ръба на досието.

Кои документи са задължителни за една кантора?

Адвокатската тайна пази съдържанието на досието — тя не пише вместо вас регистъра по чл. 30, не сключва договори с облачния доставчик и не определя срокове за съхранение. Ето минималния комплект, подреден като задължение → основание → практическа стъпка:

Ако тепърва подреждате комплекта, започнете с одит на текущото състояние — методиката, която прилагаме за търговски дружества в GDPR одита за бизнеса, работи и за кантори, с добавения пласт на ЗАдв.

Пресечната точка със ЗМИП — идентификация на клиенти

Адвокатите, които по занятие предоставят правни консултации при определени категории сделки (недвижими имоти, управление на средства и сметки, учредяване и управление на дружества и др.), са задължени лица по чл. 4, т. 15 от Закона за мерките срещу изпирането на пари (ЗМИП). Висшият адвокатски съвет поддържа единни вътрешни правила за прилагането на закона от адвокатите. От гледна точка на GDPR това означава още едно обработване със собствено правно основание — законово задължение по чл. 6, параграф 1, буква „в“ GDPR: копия на документи за самоличност, данни за действителни собственици, произход на средства. Самите сделки, които пораждат това задължение — учредяване и преобразуване на дружества, прехвърляне на дялове, вписвания в Търговския регистър — са корпоративна материя, отделна от GDPR анализа; вижте корпоративната ни практика.

Три практически бележки. Първо, ЗМИП данните са отделен ред в ROPA със собствена цел и срок — те не са „част от досието“, а паралелно законово задължение. Второ, минимизация: събирайте изискуемото по закона, не цялото финансово битие на клиента. Трето, напрежението между режима срещу изпирането на пари и адвокатската тайна е реално и живо на европейско ниво — Съдът на ЕС в C‑694/20 обяви за невалидно задължение адвокат да уведомява други посредници, именно защото нарушава поверителността на отношението адвокат–клиент по чл. 7 от Хартата. Когато конкретно ЗМИП задължение изглежда в конфликт с чл. 45 ЗАдв, въпросът заслужава внимателен анализ, а не механично изпълнение.

Чеклист за кантори

• Имаме актуален регистър по чл. 30 GDPR, който описва и клиентските, и вътрешните обработвания
• Политиката за поверителност на сайта покрива клиенти, запитвания и кандидати за работа
• Документирали сме защо не информираме насрещни страни (чл. 14, параграф 5, буква „г“ GDPR + чл. 45 ЗАдв)
• Имаме ДЗО с всеки доставчик, който обработва данни по наше възлагане (софтуер, хостинг, ИТ, ТРЗ, преводачи)
• Сроковете за съхранение са определени по категории, включително 5-те години по чл. 47 ЗАдв, и се прилагат реално
• Лаптопите и телефоните са криптирани; имейлът е с двуфакторно удостоверяване; няма споделени акаунти
• Имаме процедура и отговорник за искания по чл. 15–22 с шаблон за мотивиран частичен отказ
• Водим регистър на инцидентите и знаем кога тече 72-часовият срок по чл. 33 GDPR
• ЗМИП идентификацията е отделен ред в регистъра със собствено основание и срок
• Направили сме и сме съхранили писмена преценка „трябва ли ни ДЛЗД“

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова са адвокати в адвокатско дружество със собствена GDPR практика — консултират над 90 български компании по подготовка за КЗЛД проверки, защита срещу административни производства и изграждане на пълна GDPR документация. Публикуват месечен разбор на правоприлагането по GDPR в ЕС.