Обезщетение при нарушение на GDPR — как да получите компенсация

Член 82 от GDPR дава на всяко лице правото да получи обезщетение, когато личните му данни са обработени в нарушение на Регламента. В тази статия разглеждаме ключовите решения на Съда на ЕС, практиката на българските съдилища (включително делата за теча от НАП), новите колективни искове и конкретните стъпки за предявяване на иск.

Кога възниква право на обезщетение по чл. 82 GDPR?

Директен отговор: Правото възниква при три кумулативни условия: нарушение на GDPR, реално претърпяна вреда — материална или нематериална, включително стрес, тревожност и загуба на контрол върху данните — и пряка причинно-следствена връзка между двете. Обезщетението по чл. 82 е изцяло компенсаторно; наказателната функция е на административните глоби по чл. 83.

Член 82, параграф 1 от GDPR предвижда, че всяко лице, претърпяло материални или нематериални вреди в резултат на нарушение на Регламента, има право да получи обезщетение от администратора или обработващия лични данни.

Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. — чл. 82, пар. 1 от GDPR

За да възникне правото на обезщетение, трябва да са налице три кумулативни условия:

• Нарушение на GDPR — действие или бездействие на администратора/обработващия, което противоречи на разпоредбите на Регламента
• Вреда — материална (финансови загуби, разходи, пропуснати ползи) или нематериална (стрес, тревожност, страх от злоупотреба, накърнено достойнство, загуба на контрол върху данните)
• Причинно-следствена връзка — вредата трябва да е пряка последица от нарушението

Какво постанови Съдът на ЕС за обезщетенията по GDPR?

Директен отговор: От 2023 г. насам Съдът на ЕС прие, че за нематериалната вреда няма минимален праг на значимост (C-300/21), че обоснованият страх от бъдеща злоупотреба е вреда (C-340/21, делото за теча от НАП), че и временната загуба на контрол върху данните е вреда (C-200/23) и че степента на вина не влияе на размера (C-655/23).

От 2023 г. насам Съдът на Европейския съюз (СЕС) постанови серия от знакови решения, които оформят рамката за обезщетенията по GDPR в целия ЕС. Ето най-важните:

Каква е практиката на българските съдилища?

Директен отговор: След теча от НАП през 2019 г., засегнал данните на над 5 милиона граждани, българските съдилища присъждат между 225 и 300 евро на ищец за нематериални вреди — предимно стрес и страх от злоупотреба. Множество искове са отхвърлени поради недоказана конкретна вреда: самият факт на теча не е достатъчен.

Делата за теча от НАП (2019 г.)

През юли 2019 г. настъпи най-мащабният теч на лични данни в българската история — данните на над 5 милиона граждани от системите на Националната агенция за приходите (НАП) бяха компрометирани. Това доведе до вълна от съдебни производства:

• Хиляди индивидуални искове бяха предявени пред районните и окръжните съдилища в цялата страна
• Българските съдилища присъждат обезщетения в диапазон от €225 до €300 (440–590 лв.) за нематериални вреди на ищец — предимно за стрес и тревожност от страх от злоупотреба с данните
• Множество искове бяха отхвърлени поради недоказване на конкретна вреда — самият факт на теч не беше достатъчен без доказан реално претърпян стрес или притеснение

КЗЛД и делото пред СЕС

КЗЛД наложи на НАП глоба от 5 100 000 лв. (впоследствие отменена/намалена от ВАС с Реш. 8694/2021) (≈ €2,6 млн.) за нарушение на GDPR. Решението по преюдициалното запитване на българския съд (дело C-340/21) изясни ключови въпроси за обезщетенията и стана водещ прецедент за целия ЕС.

Как се предявява иск за обезщетение по GDPR?

Директен отговор: Искът минава през четири стъпки: идентифицирате нарушената разпоредба и събирате доказателства, документирате вредата, подавате искова молба пред районен или окръжен съд според цената на иска и се позовавате на обърнатата тежест на доказване по чл. 82, пар. 3. Юрисдикцията избирате по чл. 79, пар. 2.

Ако считате, че личните ви данни са обработени в нарушение на GDPR и сте претърпели вреда, следвайте тези стъпки:

1. Идентифицирайте нарушението

   Установете коя разпоредба на GDPR е нарушена — незаконна обработка, теч на данни, отказ да бъде уважено право по GDPR, незаконен трансфер в трета държава и др. Съберете доказателства: кореспонденция, уведомления, скрийншотове, публикации в медиите.

2. Документирайте вредата

   Съберете доказателства за претърпяната вреда: медицински документи (за стрес, тревожност), финансови щети, свидетелски показания, записи за опити за злоупотреба (фишинг имейли, подозрителни SMS-и). При нематериални вреди — водете хронология на преживяванията си.

3. Предявете граждански иск

   Подайте искова молба пред районен съд (при цена на иска до ≈12 782 EUR, истор. 25 000 лв.) или окръжен съд (при цена над ≈12 782 EUR, истор. 25 000 лв.), както към 2026 г. Съгласно чл. 79, пар. 2 от GDPR имате право да изберете юрисдикцията — по обичайното местопребиваване на администратора или по вашето обичайно местопребиваване.

4. Обърната тежест на доказване

   Ключово предимство: съгласно чл. 82, пар. 3 от GDPR, тежестта на доказване е обърната. Администраторът или обработващият трябва да докаже, че по никакъв начин не е отговорен за вредата. Вие трябва да докажете само нарушението, вредата и причинно-следствената връзка.

Възможни ли са колективни искове по GDPR в България?

Директен отговор: Да, от 21 януари 2026 г. — с транспонирането на Директива (ЕС) 2020/1828 за представителните искове, чийто обхват изрично включва защитата на личните данни. Режимът е opt-out, исковете се предявяват само от квалифицирани организации и вече допускат парично обезщетение, но съдебна практика по тях още няма.

На 21 януари 2026 г. в България влезе в сила транспонирането на Директива (ЕС) 2020/1828 за представителните искове за защита на колективните интереси на потребителите (обн. ДВ, бр. 10 от 3 февруари 2026 г.).

Ключови характеристики на новия режим:

• GDPR исковете попадат в обхвата — защитата на личните данни е изрично включена в Приложение I на Директивата
• Opt-out система — засегнатите потребители са автоматично включени в колективния иск, освен ако изрично не заявят, че не желаят участие
• Квалифицирани организации — само организации, вписани в националния или европейския списък, могат да предявяват представителни искове
• Искове за обезщетение — за разлика от предишния режим (само преустановителни мерки), новата уредба позволява и искове за парично обезщетение от името на засегнатата група
• Трансгранични искове — квалифицирани организации от една държава членка могат да предявяват искове в друга

Кой отговаря — администраторът или обработващият?

Директен отговор: Администраторът отговаря за всяко нарушение на GDPR, а обработващият — само за задълженията, насочени конкретно към него, или когато е действал извън указанията (чл. 82(2)). Когато и двамата са участвали в обработването, отговорността е солидарна (чл. 82(4)) и пострадалият може да търси пълно обезщетение от по-платежоспособния, с право на регрес по чл. 82(5).

Член 82, параграфи 2–5 от GDPR установяват ясна система за разпределение на отговорността:

Какви са типичните размери на обезщетенията в ЕС?

Директен отговор: Обезщетенията в Европа остават сравнително ниски. Типичните национални дела в Германия дават между 100 и 5 000 евро, в Австрия — между 500 и 2 000 евро, по делата срещу НАП българските съдилища присъждат между 225 и 300 евро, а Общият съд на ЕС присъди 400 евро по делото Bindl за незаконен трансфер.

Обезщетенията по GDPR в Европа остават сравнително ниски в сравнение с други юрисдикции (напр. САЩ). Ето обобщение на типичните суми:

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.