GDPR за НПО и фондации — дарители, доброволци и бенефициенти

В нестопанския сектор битува убеждението, че GDPR е „за бизнеса" — а сдруженията и фондациите са някак си извън обхвата му. Това е грешка: регламентът не прави разлика между търговско дружество и организация с идеална цел. Нещо повече — НПО често обработват по-чувствителни данни от средностатистическа фирма: здравни и социални данни на бенефициенти, данни на деца, дарителски истории. Този наръчник минава през четирите групи лица, с които всяко НПО работи — дарители, доброволци, бенефициенти и деца — и отговаря на практичните въпроси: какво основание важи, кога трябва съгласие, какви са правилата за имейл кампаниите и снимките от събития, кога е нужен регистър по чл. 30 и длъжностно лице по защита на данните.

Санкционният таван също не прави разлика: чл. 83, параграф 5 GDPR допуска глоби до 20 млн евро или 4% от годишния оборот — включително за НПО. В българската практика наложените от КЗЛД санкции по чл. 38 ЗЗЛД се движат между ≈256 и ≈51 130 EUR (истор. 500 – 100 000 лв.), както към 2026 г.

Прилага ли се GDPR за малка фондация с двама души?

Да — изцяло. Регламент (ЕС) 2016/679 се прилага спрямо всеки, който обработва лични данни в рамките на дейност, попадаща в обхвата му — определението за „администратор" по чл. 4, точка 7 GDPR не съдържа изискване за стопанска цел, оборот или брой служители. Сдружение или фондация по Закона за юридическите лица с нестопанска цел (ЗЮЛНЦ), което поддържа база с дарители, картотека на доброволци или досиета на бенефициенти, е администратор на лични данни със същите задължения като банка или онлайн магазин.

Размерът на организацията има значение само за отделни облекчения — най-известното е изключението от регистъра на дейностите по обработване за организации с по-малко от 250 служители (чл. 30, параграф 5), което разглеждаме по-долу и което на практика рядко се прилага в чист вид. Всичко останало — правни основания, информиране, права на субектите, сигурност, уведомяване при нарушение — важи в пълен обем от първия ден.

Има и една разпоредба, писана специално за нестопанския сектор, която често се цитира по-широко, отколкото позволява текстът ѝ: чл. 9, параграф 2, буква „г" GDPR допуска обработване на специални категории данни „в хода на законните дейности" на фондация, сдружение или друга структура с нестопанска цел — но само ако структурата има политическа, философска, религиозна или синдикална цел, обработването се отнася единствено до членове, бивши членове или лица с редовни контакти с нея, и данните не се разкриват навън без съгласие. Благотворителна фондация или социално НПО обикновено не попада в тази хипотеза — тя е за партии, синдикати, вероизповедания и сходни структури.

Може ли НПО да пише на дарителите си без съгласие?

Кратък отговор: по пощата — да: легитимният интерес (съображение 47 GDPR) покрива обръщения към съществуващи дарители след документиран балансиращ тест. По имейл и SMS — по правило не без предварително съгласие (чл. 261 ЗЕС); дали „мекият opt-in" покрива дарители е неуреден въпрос, затова консервативният подход е изричното съгласие. Отговорът има два пласта — GDPR и правилата за електронните съобщения.

Пласт 1: GDPR — легитимен интерес е възможен

За самото дарение основанието е ясно: изпълнение на договор (чл. 6, параграф 1, буква „б") за обработката около самото дарение и законово задължение (буква „в") за счетоводните документи. За последващите обръщения към дарители съображение 47 GDPR изрично посочва, че „обработването на лични данни за целите на директния маркетинг може да се разглежда като осъществявано поради законен интерес". Легитимният интерес обаче не е автопилот — иска документиран балансиращ тест, а субектът винаги има безусловно право на възражение по чл. 21, параграфи 2 и 3: възрази ли, обработването за тези цели се прекратява. Повече за основанията — в статията ни за правните основания за обработка на лични данни.

Пласт 2: имейл и SMS — ЗЕС поставя по-високата летва

Когато обръщението пътува по електронна поща или SMS, върху GDPR се наслагват правилата, транспониращи Директивата за правото на неприкосновеност на личния живот и електронни комуникации (ePrivacy): у нас — чл. 261 от Закона за електронните съобщения (ЗЕС). Принципът е opt-in: непоискани съобщения за целите на директния маркетинг изискват предварително съгласие. Изключението по чл. 261, ал. 2 (т.нар. soft opt-in) позволява съобщения без предварително съгласие само когато адресът е получен при предоставяне на собствени продукти или услуги, лицето е било информирано и е имало възможност да откаже — още при събирането и при всяко следващо съобщение. Дали дарителското отношение се вмества в това изключение, не е изрично уредено в българската практика — затова консервативният подход, който препоръчваме на НПО: искайте отметка за съгласие в момента на дарението и слагайте работещ линк за отписване във всеки бюлетин. Подробно — в статията ни за спам, имейли, SMS и GDPR.

Публикуване на дарителски списъци

„Стена на дарителите" на сайта или в годишния отчет е разкриване на лични данни, което иска самостоятелно основание. Най-чистото решение е изрично съгласие, взето при дарението, с ясен избор: с пълно име, с инициали или анонимно. Публикуване по подразбиране „защото винаги така сме правили" е трудно защитимо — особено когато размерът на дарението стои до името. За корпоративни дарители (данни на юридическо лице без посочени физически лица) GDPR по принцип не се прилага, но имената на контактни лица и представители остават лични данни.

Доброволците не са служители — какво основание важи?

Доброволецът няма трудов договор, но отношението му с организацията далеч не е неформално от гледна точка на данните: НПО обикновено държи контакти, наличност, умения, а понякога — свидетелство за съдимост (при работа с деца) или здравна информация (при мисии на терен).

Работещата комбинация от основания изглежда така:

• Договор или преддоговорни отношения (чл. 6, параграф 1, буква „б") — когато има подписан договор/споразумение за доброволчество, обработването, необходимо за изпълнението му (контакти, графици, отчитане на часове), се основава на него.
• Легитимен интерес (буква „е") — за организационната координация, вътрешната комуникация и историята на участията, с балансиращ тест.
• Законово задължение (буква „в") — където специален закон изисква документи, например при допускане до работа с уязвими групи.
• Специалните категории (здравен статус, ограничения) минават през чл. 9, параграф 2 — най-често изрично съгласие, събирано отделно и само когато наистина е необходимо.

Едно предупреждение от практиката на надзорните органи по трудови отношения, което важи по аналогия: колкото по-зависимо е лицето от организацията (стипендии, акредитации, препоръки), толкова по-крехко основание е съгласието — то трябва да може да бъде отказано без последици. Ако отказът би значел „не участваш", основанието ви реално не е съгласие и е по-честно да се стъпи на договор или легитимен интерес с ясно информиране.

Бенефициенти — уязвими лица, деца и чл. 9

Тук е най-високият риск в целия сектор. Бенефициентите на социални, здравни и хуманитарни програми са по дефиниция в уязвимо положение, а данните, без които програмата не може — диагнози, социален статус, семейна история, документи за нужда — са в голямата си част специални категории данни по чл. 9, параграф 1 GDPR, чието обработване е по принцип забранено, освен ако не е налице изключение по чл. 9, параграф 2.

За НПО най-често приложимите изключения са: изрично съгласие (буква „а") — стандартният път при доброволно участие в програма; и, според дейността, основанията, свързани със здравни и социални грижи или със значим обществен интерес, които обаче изискват конкретна правна уредба или професионален контекст и следва да се преценяват с юрист за всяка програма поотделно. Практическите правила, които намаляват риска независимо от основанието:

• Минимизация — събирайте само това, без което услугата не може; „може да потрябва" не е цел.
• Ограничен достъп — досиетата на бенефициенти да са достъпни само за екипа по програмата, не за всички доброволци.
• Кратки и дефинирани срокове — срок на съхранение, обвързан с програмата и отчетността към финансиращи организации, не „завинаги".
• Отчитане пред донори без лични данни — агрегирани числа или псевдонимизирани списъци; предаването на поименни данни на бенефициенти към финансиращ партньор е отделно обработване, което иска собствено основание и договорна рамка.

При деца стандартът е още по-висок: когато основанието е съгласие, по чл. 25в от Закона за защита на личните данни съгласието за дете под 14 години дава родителят или настойникът. Съображение 38 GDPR подчертава, че децата заслужават специална защита, тъй като не съзнават в еднаква степен рисковете — при всеки балансиращ тест везната тежи към детето.

Какви са правилата за снимки от събития?

Снимка, на която лице е разпознаваемо, е лични данни — независимо дали е портрет на говорител или кадър от публика. Възможните основания са две и изборът зависи от характера на кадъра:

Общи кадри от събитието — легитимен интерес с информиране

За широки планове на зала, панел или улична акция легитимният интерес (отразяване и отчетност на дейността) обикновено е защитим — при три условия: участниците са информирани предварително (текст в поканата/регистрацията и видима табела на входа, изпълняващи чл. 13 GDPR), заснемането е пропорционално на целта, и има прост механизъм за възражение — човек да може да поиска да не бъде сниман или конкретен кадър да бъде свален, при което искането се изпълнява (чл. 21 GDPR).

Портретни кадри, промо материали и деца — съгласие

Когато лицето е фокус на кадъра, когато снимката отива в рекламни материали или когато на кадъра има разпознаваемо дете — стъпете на изрично съгласие. За деца под 14 години то се дава от родител (чл. 25в ЗЗЛД). Работещ модел за детски събития: отделна отметка в регистрационната форма, цветни ленти или стикери за децата без съгласие, и редакторско правило „без фокус върху конкретно дете" за общите кадри. И помнете: съгласието се оттегля така лесно, както се дава — процесът по сваляне на публикувана снимка трябва да е реален, не декоративен.

Таблица: групи лица, данни, основания

Таблицата обобщава четирите групи лица, с които работи всяко НПО, и приложимото правно основание за всяка — както към 2026 г.

Регистърът по чл. 30 — важи ли изключението „под 250 души"?

Чл. 30, параграф 5 GDPR освобождава от регистъра на дейностите по обработване организациите с по-малко от 250 служители — и почти всяко българско НПО е под този праг. Но изключението пада, ако е налице което и да е от три условия: има вероятност обработването да породи риск за правата и свободите на субектите; обработването не е спорадично; или включва специални категории данни по чл. 9, параграф 1 (или данни за присъди по чл. 10).

Точно тук изключението се изпразва от съдържание за действащ нестопански сектор: поддържането на база дарители и картотека на доброволци е редовна, а не спорадична дейност, а програмите с бенефициенти почти винаги докосват чл. 9. Затова работното ни правило е просто: водете регистъра. За организация с 4–5 процеса (дарители, доброволци, бенефициенти, бюлетин, събития) той е няколко страници, а е първият документ, който КЗЛД иска при проверка, и най-евтиното доказателство за отчетност по чл. 5, параграф 2 GDPR.

Кога НПО трябва да назначи ДЛЗД?

Задължението за длъжностно лице по защита на данните (ДЛЗД) възниква в хипотезите на чл. 37, параграф 1 GDPR. За нестопанския сектор релевантна е преди всичко буква „в": основните дейности да се състоят в мащабно обработване на специални категории данни по чл. 9. Преценката има два елемента:

• „Основна дейност" — за НПО, чиято мисия е социална или здравна подкрепа, работата с данни на бенефициенти не е спомагателна, а сърцевина на дейността. Този елемент често е изпълнен.
• „Мащабно" — тук малките организации обикновено излизат от хипотезата: ограничен брой бенефициенти в една община трудно се квалифицира като мащабно обработване. Организация, която системно обслужва хиляди уязвими лица на национално ниво, обаче може да достигне прага. Регламентът не дава числова граница — преценката се прави по обем, териториален обхват и продължителност и се документира писмено, за да можете да я защитите при проверка.

Две допълнения: първо, ако НПО извършва дейност, изискваща редовно и систематично мащабно наблюдение (буква „б") — рядко в сектора, но възможно при големи дигитални платформи — задължението също възниква. Второ, чл. 37, параграф 4 позволява доброволно определяне на ДЛЗД; направите ли го обаче, за лицето важат същите изисквания за независимост, ресурси и липса на конфликт на интереси, както при задължителното назначаване — „почетен ДЛЗД на хартия" е по-опасен от липсата на такъв.

7-те стъпки за GDPR-съвместимо НПО

• 1. Картирайте групите и данните. Дарители, доброволци, бенефициенти, деца, абонати на бюлетина — за всяка група: какви данни, откъде идват, къде се съхраняват, кой има достъп.
• 2. Определете основание за всяка цел. Едно обработване — едно документирано основание по чл. 6 (и чл. 9 при специални категории); за легитимния интерес — записан балансиращ тест.
• 3. Създайте регистър по чл. 30. Не разчитайте на изключението за под 250 души — редовната работа с дарители и бенефициенти го изключва на практика.
• 4. Подредете уведомленията по чл. 13/14. Политика за поверителност на сайта + кратки уведомления във формулярите за дарение, доброволчество и записване в програма.
• 5. Сложете ред в имейл кампаниите. Съгласие при събиране на адреса, отписване във всяко съобщение, отделни списъци за оперативни и фондонабиращи съобщения.
• 6. Приемете правила за събития и снимки. Информация в поканата и на място, отделно съгласие за деца и портретни кадри, механизъм за сваляне при възражение.
• 7. Затворете периметъра. Договори по чл. 28 с обработващите (CRM, имейл платформа, счетоводител), дефинирани срокове на съхранение, ограничен достъп до досиета и писмена преценка „трябва ли ни ДЛЗД".

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 организации — компании, фондации и сдружения — по GDPR съответствие, подготовка за проверки на КЗЛД и защита в административни производства. Публикуват практични разбори на правоприлагането по GDPR в България и ЕС.