Кога може законно да откажете искане за достъп — оперативно ръководство за HR и юрисконсулти след Brillen Rottler

Когато бивш служител подаде искане за достъп няколко дни преди да заведе иск за дискриминационно уволнение, или когато клиент с история на жалби поиска „всички ваши данни за мен" с очевидна цел да подготви иск за обезщетение — първият рефлекс на администратора е да откаже. След решението на СЕС Brillen Rottler (C-526/24, 19 март 2026 г.) отказът действително е възможен дори при първо искане. Прагът обаче е изключително висок, тежестта на доказване е изцяло върху администратора, а необоснованият отказ води до отговорност по чл. 82 GDPR и до регулаторни санкции от КЗЛД. Настоящото ръководство е предназначено за HR директори, юрисконсулти и длъжностни лица по защита на данните и обхваща: резюме на казуса и решението, двустранния тест на СЕС, стъпкова процедура за оценка, сценарии от трудовия и финансовия сектор, шаблон за писмо за отказ.

Защо темата е критична за HR и юрисконсулти

Искания за достъп по чл. 15 GDPR се превърнаха в тактически инструмент в множество корпоративни контексти:

• Бивши служители подават искания преди да заведат искове за дискриминационно или незаконно уволнение — с цел да съберат вътрешни документи (електронна кореспонденция, оценки на трудовото изпълнение, преписки между ръководители);
• Клиенти на банки и застрахователи искат „всички данни" с очевидна цел да оспорят отказ за кредит, рисково класифициране или увеличение на застрахователна премия;
• Серийни заявители систематично подават искания към множество администратори с цел последващи искове за обезщетение по чл. 82 GDPR;
• Автоматизирани инструменти, основани на изкуствен интелект, вече откриват системно нарушения на GDPR и на режима за съгласие за бисквитки и генерират масови искания за обезщетение.

Решението на СЕС Brillen Rottler от 19 март 2026 г. предоставя на администраторите първото ясно правно средство срещу очевидно недобросъвестни искания — но само при стриктно доказани условия. Настоящото ръководство дава практическа рамка за прилагането му.

Принципното положение — отказ е изключение

Изходна точка за всеки HR директор и юрисконсулт е, че принципното положение по чл. 15 GDPR е пълно съответствие с искането. СЕС в Brillen Rottler изрично подчертава в §35, че отказите трябва да се прилагат:

„...само в изключителни случаи. Концепцията за прекомерни искания трябва да се тълкува ограничително, оценявана въз основа на всички релевантни факти и обстоятелства във всеки отделен случай."
— СЕС, C-526/24 Brillen Rottler, §35

На практика това означава: при съмнение — отговорете по същество. Необоснованият отказ носи двоен риск:

• Иск за обезщетение по чл. 82 GDPR от субекта на данни (по съдебната практика — обикновено в размер от стотици до няколко хиляди евро за нематериални вреди);
• Имуществени санкции от КЗЛД по чл. 83, ал. 5 GDPR — до 20 милиона евро или 4% от годишния световен оборот.

Двустранният тест на СЕС

Резюме на казуса Brillen Rottler (C-526/24)

Делото е преюдициално запитване от германски съд по спор между потребител и Brillen Rottler GmbH — немски онлайн магазин за оптични артикули. Потребителят е получил рекламно съобщение от дружеството, въпреки че никога не е бил негов клиент. Подал е искане за достъп по чл. 15 GDPR, за да установи откъде са получени личните му данни. Дружеството не е отговорило в срок. Потребителят е завел иск за обезщетение по чл. 82 GDPR.

В хода на производството е установено, че същият потребител систематично е подавал десетки сходни искания към множество администратори и впоследствие — искове за обезщетение. Германският съд е отправил преюдициално запитване до СЕС с два основни въпроса: (1) представлява ли само по себе си неотговарянето на искане за достъп нарушение, водещо до автоматично обезщетение по чл. 82, и (2) при какви условия едно първо искане може да се квалифицира като „прекомерно" по смисъла на чл. 12, ал. 5 GDPR — без предходна история на искания към същия администратор.

Решението на СЕС от 19 март 2026 г.

Съдът постанови три ключови извода:

• По чл. 82 GDPR — неотговарянето на искане за достъп само по себе си представлява нарушение, но не води автоматично до обезщетение. Субектът на данни трябва да докаже три кумулативни условия (§60): нарушение, действителна вреда и причинно-следствена връзка между тях. Вредата не се презумира (§62).
• По чл. 12, ал. 5 GDPR — дори първо искане може да бъде квалифицирано като „прекомерно", когато администраторът докаже наличие на злоупотреба с право. Не се изисква предходна кореспонденция със същия субект.
• Тежест на доказване — изцяло върху администратора. Поведението на самия субект може да прекъсне причинно-следствената връзка и да послужи като защита срещу иска за обезщетение (§65, §66).

Решението има практическо значение в две посоки. От една страна, ограничава автоматичното обезщетяване при процедурни нарушения. От друга — за първи път изрично признава възможност за отказ дори на първо искане, при стриктно доказани предпоставки.

Самият тест от §36

СЕС в §36 на Brillen Rottler установи двустранен тест, който трябва да премине всеки отказ. И двете части са кумулативни — задължително е наличието и на двете, не само на едната.

Релевантни обстоятелства (§42)

СЕС изрично изброява кои обстоятелства администраторът може да привлече като доказателства:

• Доброволност на предоставянето — дали данните са били предоставени без правно задължение (например доброволен абонамент за бюлетин, а не задължителна регистрация при сключване на договор);
• Първоначална цел — какво е било заявено или обозначено при предоставянето на данните и съответства ли последващото искане на тази цел;
• Времева линия — колко време е изминало между предоставянето на данните и искането за достъп;
• Цялостно поведение на субекта на данни — други негови действия, връзка с настоящи или предстоящи спорове, систематичен модел на поведение.

Публично достъпни доказателства (§43)

Информация от публични източници — например данни за предходни сходни случаи със същия субект — е допустима, но не е достатъчна сама по себе си. Изискват се конкретни и специфични за случая доказателства. Самостоятелна публикация в правен блог или в медия, която характеризира някого като „сериен заявител", не може да обоснове отказ.

Стъпкова процедура за оценка — кога да откажете и кога не

Когато искането постъпи, администраторът преминава през следните шест последователни стъпки, преди да вземе решение:

Сценарии — трудов спор и финансов сектор

Сценарий 1: Бивш служител преди иск за уволнение

Типичен сценарий: служител е освободен от длъжност на 1 март. На 15 март подава искане по чл. 15 GDPR за „всички електронни съобщения и документи, свързани с моя случай". На 1 април подава иск за незаконно или дискриминационно уволнение пред Софийски районен съд.

Сценарий 2: Клиент на банка след отказан кредит

Клиент кандидатства за ипотечен кредит. Банката издава отказ на 10 април. На 12 април клиентът създава нов електронен адрес, абонира се за бюлетина на банката и на 15 април подава искане „на основание чл. 15 GDPR — за всички мои лични данни, обработвани от банката, включително вътрешните оценки на кредитен риск и придружаващите ги документи".

За пълен анализ на проверките на кандидати в трудовия контекст вижте нашата статия Проверки на кандидати при наемане в България.

Uber Amsterdam Court — искането за достъп като инструмент за оспорване

На 4 април 2023 г. Amsterdam Court of Appeal (дело 200.295.747/01) реши в полза на Uber шофьорите по два паралелни въпроса:

• Чл. 15 GDPR — шофьорите имат право на достъп до личните си данни и обяснение на алгоритмичните решения, които ги засягат
• Чл. 22 GDPR — деактивирането на акаунтите се основаваше единствено на автоматизирано обработване, което нарушава GDPR

Съдът отхвърли защитите на Uber:

• Възражение „човешка намеса в процеса" (т. нар. „human in the loop") — фактическата проверка от служители на Uber е била само формален акт и не е достатъчна, за да изключи решението от приложното поле на чл. 22 GDPR;
• Възражение „търговска тайна" — не може да се ползва за прикриване на информация, която е необходима за обяснение на алгоритмичните решения, засягащи субекта на данни.

През октомври 2023 г. съдът установи неизпълнение от страна на Uber и наложи на дружеството периодична имуществена санкция за неизпълнение (dwangsom) в размер на 4 000 евро за всеки ден на неизпълнение, ограничена с общ максимум от 584 000 евро. Санкцията няма характер на обезщетение за вреди в полза на шофьорите, а представлява процесуална мярка за принуждаване на администратора да изпълни задълженията си по чл. 15 и чл. 22 GDPR.

Шаблон за писмо за отказ

Когато всички шест стъпки на стъпковата процедура за оценка обосновават отказ, писмото до субекта на данни следва да включва най-малко следните елементи:

Писмото се подписва от длъжностното лице по защита на данните или от юрисконсулта на администратора. Изпраща се в рамките на едномесечния срок по чл. 12, ал. 3 GDPR, считано от датата на потвърждаване на самоличността на субекта.

Връзка с Digital Omnibus

Решението Brillen Rottler е постановено в момент, в който Европейската комисия предлага изменение на самия чл. 12, ал. 5 GDPR. Предложението Digital Omnibus от 19 ноември 2025 г. (съображение 35 и чл. 3, ал. 4) предвижда:

• Изрична възможност за отказ при „злоупотреба с правата за цели, различни от защитата на данните";
• Квалифициране като „прекомерни" и на „прекомерно широките и недиференцирани искания";
• Облекчаване на тежестта на доказване за администраторите.

За пълен анализ на Digital Omnibus, виж нашата статия Digital Omnibus — предстоящите промени в GDPR 2026.

Чеклист за процедура по искания за достъп

Актуализирайте вътрешната процедура на администратора за обработване на искания за достъп със следните елементи:

• Документирана политика за обработване на искания за достъп, одобрена от управителния орган;
• Стандартизиран входящ формуляр за приемане на искането;
• Незабавна регистрация на дата, час и канал на получаване във вътрешен журнал;
• Процедура за потвърждаване на самоличността по чл. 12, ал. 6 GDPR;
• Процедура за проверка на представителна власт при подаване от трето лице (с оглед BGH VI ZR 430/24);
• Стъпкова процедура за оценка на потенциална злоупотреба с право (шест стъпки по настоящото ръководство);
• Контролен списък с обстоятелствата, релевантни за двустранния тест по §36 и §42 на Brillen Rottler;
• Шаблон за вътрешноюридическо становище преди вземане на решение за отказ;
• Шаблон за мотивирано писмо за отказ, съдържащ всичките шест задължителни елемента;
• Шаблон за пълен отговор по чл. 15 GDPR с надлежна редакция на данните на трети лица;
• Журнал на всички получени искания и предприети действия (като доказателство за каузална защита по чл. 82 GDPR);
• Автоматично напомняне за изтичане на едномесечния срок по чл. 12, ал. 3 GDPR;
• Процедура за удължаване с до два месеца при особена сложност — с задължително уведомяване на субекта в първоначалния срок;
• Задължителен преглед от длъжностното лице по защита на данните за всеки случай на отказ;
• Годишен отчет към управителния орган — брой искания, относителен дял на отказите, образувани съдебни и административни производства.

Адв. Йордан Чолаков & Адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират in-house юрисконсулти и HR директори на над 90 български компании — банки, застрахователи, телекоми, технологични фирми — за обработване на искания за достъп от субекти на данни и защита при искове по чл. 82 GDPR.