Годишният отчет на КЗЛД за 2025 г. — какво показват числата и какво значат за бизнеса

Над 1700 жалби — почти двойно повече, отколкото през 2024 г., и повече от двойно над нивото от 2022 г. Това е числото, с което годишният отчет на Комисията за защита на личните данни (КЗЛД) за 2025 г., публикуван през 2026 г. на cpdp.bg, ще остане в паметта на всеки администратор в България. Зад него стоят още: 1101 сигнала и искания, 687 назначени проверки на място, 112 уведомления за пробиви в сигурността с около 2,5 милиона засегнати български граждани и санкции по три отделни производствени линии. Разбираме числата ред по ред — и какво конкретно значат за бизнеса през 2026 г.

Най-важното от отчета в едно каре

Отчетът се изготвя на основание чл. 7, ал. 6 от Закона за защита на личните данни и покрива цялата дейност на Комисията — от жалбите и сигналите, през контролната дейност и уведомленията за пробиви, до ролята ѝ на Централен орган за външно подаване на сигнали по ЗЗЛПСПОИН. Публикуван е на страницата на КЗЛД с годишните отчети, като финалната редакция на документа носи дата 12.03.2026 г. Всички суми в отчета са в левове, тъй като се отнасят за 2025 г. — преди приемането на еврото; в тази статия ги посочваме първо в евро по фиксирания курс 1,95583 лв./евро, с историческата левова стойност в скоби.

Колко жалби получи КЗЛД през 2025 г.?

Кратък отговор: през 2025 г. КЗЛД е сезирана с над 1700 жалби от физически лица — почти двойно повече от 1080 през 2024 г. и повече от двойно спрямо 770 през 2022 г. От разгледаните жалби 254 са уважени като основателни, 155 са отхвърлени като неоснователни, а 142 са върнати като нередовни.

Ръстът е най-стръмният от влизането в сила на GDPR насам: 770 жалби през 2022 г., 900 през 2023 г., 1080 през 2024 г. — и над 1700 през 2025 г. Комисията отбелязва и качествена промяна: жалбите стават фактически и правно по-сложни, с повече от един жалбоподател или ответник, с администратори, установени извън България, и с необходимост от повече от едно открито заседание, експертизи и проверки на място. Ако възнамерявате сами да сезирате Комисията — или сте от другата страна и получавате искане за становище — прочетете нашето практическо ръководство как се подава жалба до КЗЛД.

Интересен детайл за бизнеса: Комисията изрично отчита като отрицателна тенденция както пасивността на жалбоподателите (не сочат доказателства и не оспорват твърдения), така и липсата на сътрудничество от страна на администраторите — изричен или мълчалив отказ да се предоставят изискани документи, включително при проверки на място. Второто не е безобидно: степента на сътрудничество с надзорния орган е изричен критерий при определяне на размера на санкцията по чл. 83, § 2 от GDPR.

За какво най-често се жалват българите?

Кратък отговор: видеонаблюдението е категоричният лидер с 425 жалби — повече от следващите три сектора, взети заедно. Следват банки и кредитни институции (131), жалби срещу физически лица (106), държавни органи (105), телекомуникации (56) и медии (48). Тенденцията видеонаблюдението да е тема №1 се запазва за поредна година.

Числата за видеонаблюдението заслужават контекст. Комисията отбелязва, че по-голямата част от тези жалби са провокирани от дългогодишни битови междуличностни конфликти — камери между съседи, между съсобственици, в етажна собственост. Отчетът изрично посочва и системния проблем: извън Закона за частната охранителна дейност липсва нормативна уредба на видеонаблюдението, изграждано от физически и юридически лица за защита на имоти — празнота, която генерира жалби, конфликти и разход на ресурс години наред. Че видеонаблюдението е „причина №1" за жалбите, се отбелязва в медиите поне от 2022 г. насам (БНР, март 2022 г.) — новото е мащабът. Ако дружеството ви поддържа камери, вижте детайлния ни разбор Видеонаблюдение и GDPR.

При разгледаните жалби най-често констатираните нарушения са по чл. 6, § 1 от GDPR (обработване без правно основание) и по принципите на чл. 5, § 1 — законосъобразност, свеждане на данните до минимум, цялостност и поверителност, точност. Чести са и нарушенията, свързани с непроизнасяне по заявления за упражняване на права в срок — проблем, който се решава с елементарна вътрешна процедура и се наказва неприятно лесно.

Колко сигнала и проверки имаше през 2025 г.?

Кратък отговор: през 2025 г. Комисията е работила по 1101 сигнала и искания (при 680 за 2024 г. и 572 за 2023 г.), от които 1012 са приключени. Назначени са общо 687 проверки на място, като 361 от тях — повече от половината — са с предмет видеонаблюдение. Изцяло приключили с констативен акт и решение са 290 проверки.

Разбивката на сигналите по тематика очертава втора карта на риска, различна от тази на жалбите: интернет услуги и онлайн търговия — 293 сигнала, видеонаблюдение — 265, директен маркетинг — 117, производство, търговия и услуги — 70, държавна администрация — 66, банково дело и кредитна дейност — 57. Прави впечатление и изричното споменаване на сектор хазарт (23 сигнала) като „проблемна зона" — по вида и обема на обработваните данни и по съхранението им на сървъри в различни държави.

При проверките числата изискват внимателно четене: 443 проверки на място са назначени през 2025 г. по повод жалби, искания и сигнали (с 68 повече от 2024 г.), от които 5 — по уведомления за пробиви с висок риск; други 244 са пренесени от 2024 г. — общо 687 назначени проверки при непроменен числен състав на контролните звена. Комисията сама отчита, че натоварването расте по-бързо от капацитета ѝ — което на практика значи, че проверките се насочват там, където сигналите се концентрират. Ако проверка все пак дойде при вас, първите часове са решаващи — какво да правите (и какво да не правите) сме описали в КЗЛД проверка — първите часове.

Колко и какви глоби наложи КЗЛД?

Кратък отговор: отчетът не публикува една обща сума, а отделни стойности по производствени линии: 46 санкции/глоби по жалби (от ≈256 евро до ≈51 130 евро; 500 – 100 000 лв.), 14 санкции по пробиви за общо ≈304 730 евро (596 000 лв.) и обща стойност ≈115 550 евро (226 000 лв.) по линията сигнали, проверки и наказателни постановления.

Методологична бележка: отчетът сам сумира последните три реда в „обща стойност на наложените санкции — 226 000 лв." (≈115 550 евро) за административнонаказателната линия, но не дава консолидиран сбор, включващ 46-те санкции по жалби и 14-те по пробиви. Само публикуваните общи стойности по линиите „сигнали/проверки/НП" и „пробиви" надхвърлят ≈420 000 евро (822 000 лв.) — реалният годишен сбор е по-висок с непубликуваната сума по жалбите. Доброволно платени през 2025 г. са санкции за ≈5830 евро (11 400 лв.), а на НАП за принудително събиране са изпратени ≈80 545 евро (157 533,01 лв.).

По-показателно от сумите е съотношението между корективни мерки и глоби. По жалбите Комисията е издала 64 предупреждения (4 по чл. 58, § 2, буква „а" и 60 официални по буква „б") и цели 135 разпореждания по буква „г" — срещу 46 санкции. По сигналите и проверките: 102 корективни мерки (80 разпореждания, 6 официални предупреждения, 16 предупреждения) — срещу 9 решения със санкции. Иначе казано, КЗЛД продължава да работи преди всичко с разпореждания и предупреждения, а глобата остава изключението — но именно затова първото официално предупреждение трябва да се третира като последно: следващата стъпка е санкция, а предишните нарушения са утежняващо обстоятелство по чл. 83, § 2. Най-честите основания са чл. 32, § 1, букви „б" и „г" (технически и организационни мерки) и чл. 6, § 1 (липса на основание) — същите членове, които доминират и в европейската практика. Как изглеждат реалните български случаи в детайл — в GDPR глоби в България — примери от практиката.

За мащаб: докато най-високата единична санкция в България за 2025 г. е ≈51 130 евро (100 000 лв.), само петте водещи европейски глоби за април 2026 г. надхвърлиха 13,3 млн евро. Българският надзор не е „евтин" обаче в оперативен смисъл — той е близо, идва на място и работи по масови, лесно доказуеми състави.

Пробивите в сигурността: 2,5 милиона засегнати

Кратък отговор: през 2025 г. администраторите са подали 112 уведомления за нарушения на сигурността по чл. 33 от GDPR — 17 с ниско, 63 със средно и 8 с високо ниво на риск. Засегнатите в различна степен български граждани са около 2 500 000. Наложени са 14 имуществени санкции за общо ≈304 730 евро (596 000 лв.).

Числото 2,5 милиона — при население под 6,5 милиона — е може би най-стряскащото в целия отчет, макар да включва засегнати „в различна степен". Причините са красноречиви: 87% от инцидентите са външни злонамерени атаки (кражби и криптиране на бази данни, докладвани и на правоохранителните органи), 9% са неволни технически грешки на служители, а 4% — злоупотреба със служебно положение. КЗЛД отбелязва, че 14% от пробивите засягат публични институции, а останалите са в частния сектор; сред подалите уведомления има и администратори с основно установяване извън ЕИП — САЩ (7 случая), Обединеното кралство, Япония, Сингапур, Бахрейн и ОАЕ.

По уведомленията Комисията е изготвила 61 констативни акта и 36 решения с корективни мерки: 12 официални предупреждения, 23 разпореждания по буква „г", 2 разпореждания за уведомяване на субектите по чл. 34 — и 14-те санкции. Изводът за всеки администратор: уведомлението по чл. 33 не е формалност, а начало на производство, в което качеството на реакцията ви през първите 72 часа определя изхода. Пълната процедура сме описали в Теч на лични данни — какво се прави в първите 72 часа.

Таблица: 2023 → 2024 → 2025 по ключови показатели

* Изчислено от отчета: назначените през 2025 г. 443 проверки са „с 68 повече от 2024 г.". Клетките „н.д." отразяват показатели, за които отчетът за 2025 г. не съдържа съпоставима стойност за съответната година — не сме ги допълвали от други източници.

Отделен ред заслужава ролята на КЗЛД като Централен орган за външно подаване на сигнали по ЗЗЛПСПОИН: 115 сигнала през 2025 г., разпределени почти поравно между публични организации (57) и частни субекти (58). Комисията вече е извършвала и проверки на място за липса на изграден вътрешен канал — все още без санкции в разгледаните случаи, но с указания и срокове. Регистрирани са и 414 уведомления за определяне на длъжностно лице по защита на данните (ДЛЗД), от които 99 — доброволни.

Какво да очаква бизнесът през 2026 г.?

Кратък отговор: отчетът обявява преход към секторни проверки на базата на предварителен анализ, засилен контрол върху вътрешните канали по ЗЗЛПСПОИН, фокус върху личните данни на децата онлайн и адаптиране към новата европейска регулаторна вълна. За администраторите това означава: проверките ще идват по-целенасочено — там, където статистиката на жалбите вече сочи.

Другите обявени приоритети — планът за действие по стратегията „Хоризонт 2025 – 2030", приносът към членството на България в ОИСР и моделът за защита на сигнализиращите лица — са по-институционални, но не бива да се подценяват: те показват накъде Комисията насочва капацитета, който доскоро поглъщаха битовите видеоспорове.

Кои практики привличат проверки — изводи за бизнеса

Двете най-рискови зони по данните от отчета са видеонаблюдението (425 жалби, 361 проверки) и непоисканият директен маркетинг (117 сигнала). Ако съберем статистиката на жалбите, сигналите и корективните мерки, картата на риска за български администратор „както към 2026 г." изглежда така:

• Камери, гледащи навън. Видеонаблюдение на публични площи (улици, тротоари, съседни имоти) е най-масовият повод за проверка — 361 от 687 проверки. КЗЛД издава разпореждания за преустановяване на заснемането и за писмени правила за достъп до записите.
• Предоставяне на данни на колекторски фирми и ЦКР. Секторът „банки и кредитни институции" расте трета поредна година (88 → 109 → 131 жалби); нов акцент са оплакванията за подаване към Централния кредитен регистър без знание на лицето.
• Директен маркетинг без годно основание. 117 сигнала — устойчива тема, при която нарушението се доказва с един-единствен имейл или SMS.
• Мълчание по заявления за права (чл. 15 – 21). Непроизнасянето в срок е сред най-често констатираните нарушения — и най-евтиното за отстраняване: вътрешна процедура и календар.
• Слаби технически и организационни мерки (чл. 32). Най-честото основание за корективни мерки след сигнали и проверки; при 87% външни атаки сред пробивите защитата и журналирането на достъпа не са „ИТ тема", а правна.
• Липсващ или неработещ канал по ЗЗЛПСПОИН. От 2026 г. — изрично обявен обект на проверки.
• Отказ от съдействие при проверка. Отчетът го посочва като растяща тенденция; освен че не спира производството, той се отчита при размера на санкцията.

Адв. Йордан Чолаков и адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират над 90 български компании — банки, застрахователи, телекоми и технологични фирми — по подготовка за КЗЛД проверки, защита в административни производства и изграждане на GDPR и whistleblowing съответствие. Публикуват месечен разбор на правоприлагането по GDPR в България и ЕС.