Спам имейли, SMS-и и обаждания — как да спрете нежеланите съобщения по GDPR

Голяма част от потребителите в България ежедневно получават нежелани рекламни имейли, SMS съобщения и телефонни обаждания. Законодателството обаче предоставя конкретни механизми, чрез които получателят може да преустанови подобни съобщения.

В тази статия разглеждаме темата от двете страни на имейла: като получател — как да спрете спама и къде да се оплачете, и като изпращач — кога бизнесът може законно да провежда имейл и SMS кампании в България, законни ли са B2B студените имейли и какво трябва да съдържа всяко съобщение, за да не завърши кампанията с наказателно постановление.

Какво са непоисканите търговски съобщения (спам)?

Под „непоискани търговски съобщения" (спам) се разбират всякакви форми на директна комуникация с търговска цел, изпратени без предварителното съгласие на получателя. За потребителите (физическите лица) в България действа режим opt-in — първо съгласие, после съобщение. За юридическите лица действа по-мек режим opt-out — с публичен регистър за отказ, воден от Комисията за защита на потребителите (КЗП).

Обхванати са всички канали за директен маркетинг:

• Рекламни имейли с оферти за продукти и услуги
• SMS съобщения с промоционално съдържание
• Телефонни обаждания с цел директен маркетинг, включително автоматизирани (роботизирани) повиквания
• Съобщения през интернет приложения (Viber, WhatsApp и др.), доколкото представляват съобщения по електронен път за целите на директния маркетинг

Кои закони уреждат спама в България?

Кратък отговор: Три акта работят едновременно — чл. 6 от Закона за електронната търговия (правила за непоискани съобщения и регистърът на КЗП), чл. 261 от Закона за електронните съобщения (съгласие за повиквания, SMS и имейл + „мек opt-in") и GDPR (основание за обработване на данните и право на възражение). Зад двата български закона стои Директива 2002/58/ЕО (ePrivacy).

• Закон за електронната търговия (ЗЕТ) — чл. 6: непоискани съобщения по електронна поща, регистърът на КЗП за юридически лица (ал. 2–3) и забраната за изпращане до потребители без предварително съгласие (ал. 4)
• Закон за електронните съобщения (ЗЕС) — чл. 261: предварително съгласие за повиквания, съобщения и електронна поща „със или без човешка намеса" (ал. 1), „мек opt-in" (ал. 2), задължение за изпълнение на всеки отказ (ал. 4) и реквизити на съобщението (ал. 5)
• GDPR — чл. 6 (правно основание) и чл. 21 (право на възражение срещу директен маркетинг)
• Директива 2002/58/ЕО (ePrivacy) — чл. 13 „Нежелани съобщения": opt-in за автоматизирани системи, факс и електронна поща (§1) и изключението за съществуващи клиенти (§2), които ЗЕС и ЗЕТ транспонират

Как се съотнасят: правилата на ePrivacy (чрез ЗЕС/ЗЕТ) уреждат самото изпращане — трябва ли съгласие за канала. GDPR остава приложим успоредно за обработването на данните — откъде е взет адресът или номерът, на какво основание се съхранява, как се изпълнява възражението. Едно спам съобщение често нарушава и двата режима едновременно.

Кой канал какво изисква? Таблица на съгласието по канали

Кратък отговор: За потребители всички основни канали — имейл, SMS, обаждания (включително от жив оператор) и автоматизирани повиквания — изискват предварително съгласие по чл. 261, ал. 1 ЗЕС. Единственото системно изключение е „мекият opt-in" към съществуващи клиенти. За фирмени адреси на юридически лица важи регистърът на КЗП.

За потребители: как да спрете спама?

Кратък отговор: Първо използвайте линка за отписване. Ако спамът продължи, изпратете възражение по чл. 21 GDPR — то е безусловно за директен маркетинг и администраторът е длъжен да спре. Ако и това не помогне, подайте жалба: до КЗЛД за личните данни, до КРС за SMS/обаждания, до КЗП за нарушения на чл. 6 ЗЕТ.

Трите Ви основни права по GDPR

• Право на възражение (чл. 21 GDPR) — при възражение срещу директен маркетинг администраторът е длъжен да преустанови обработването за тази цел, без да може да се позовава на друго основание (чл. 21, §3).
• Право на оттегляне на съгласието (чл. 7, §3 GDPR) — оттеглянето трябва да е толкова лесно, колкото и даването. Ако записването е станало с един клик, отписването не може да изисква по-сложна процедура.
• Право на изтриване (чл. 17 GDPR) — можете да поискате пълно изтриване от базата на изпращача, когато данните вече не са необходими или сте възразили.

Стъпка 1: Опитайте се да се отпишете

Използвайте поставения в съобщението линк за отписване и запазете екранна снимка като доказателство, че сте упражнили правото си.

Стъпка 2: Изпратете искане за преустановяване

Изпратете официално писмо или имейл до подателя, в което поискайте преустановяване на обработването (чл. 21 GDPR), изтриване на данните (чл. 17 GDPR) и информация за източника, от който са получени (чл. 15 GDPR). Срокът за отговор е 1 месец (чл. 12, §3 GDPR).

Стъпка 3: Жалба до КЗЛД

Ако няма отговор или спамът продължава — жалба до КЗЛД на бул. „Проф. Цветан Лазаров" № 2, София, или на kzld@cpdp.bg. Приложете копия на съобщенията, дати и доказателства.

Стъпка 4: Жалба до другия компетентен орган според нарушението

Разпределението на компетентността е следното: КЗП — за нарушения на чл. 6 ЗЕТ (непоискани съобщения, включително до адреси в регистъра); КЗЛД — за нарушения, свързани с личните данни (чл. 6 и чл. 21 GDPR); КРС (Комисията за регулиране на съобщенията) — за SMS и телефонен маркетинг в нарушение на чл. 261 ЗЕС. Жалбите не се изключват взаимно — при едно и също съобщение може да са нарушени и трите режима.

За бизнеса: кога имейл и SMS кампаниите са законни?

Кратък отговор: Кампания до потребители е законна в два случая — при предварително, доказуемо съгласие (opt-in) или при „мек opt-in" към собствени клиенти за сходни продукти. При B2B кампании до фирмени адреси режимът е opt-out с проверка в регистъра на КЗП. Във всички случаи съобщението трябва да идентифицира изпращача и да съдържа валиден адрес за отказ.

Основният режим: предварително съгласие (opt-in)

Чл. 261, ал. 1 ЗЕС позволява повиквания, съобщения и електронна поща за директен маркетинг само при предварително получено съгласие на потребителя, което може да бъде оттеглено по всяко време. За имейл до потребители същото следва и от чл. 6, ал. 4 ЗЕТ. Съгласието трябва да отговаря на стандарта на GDPR (чл. 4, т. 11 и чл. 7): свободно, конкретно, информирано и недвусмислено, дадено чрез активно действие — не чрез предварително маркирани полета, не „скрито" в общите условия. Тежестта да докажете съгласието е върху вас (чл. 7, §1 GDPR) — пазете запис кога, как и за какво е дадено (double opt-in е добра практика именно затова).

Изключението: „мек" opt-in (soft opt-in) към съществуващи клиенти

Чл. 261, ал. 2 ЗЕС (съответстващ на чл. 13, §2 от Директива 2002/58/ЕО) позволява маркетинг без предварително съгласие само при всички следни условия:

• данните за контакт са получени при търговска сделка за продукти или услуги;
• съобщенията рекламират собствени сходни продукти или услуги на същото лице — не чужди оферти, не съвсем различни продукти;
• клиентът е имал възможност безвъзмездно и по лесен начин да откаже още при сделката и получава такава възможност при всяко следващо съобщение.

Задължителните реквизити на всяко съобщение (чл. 261, ал. 5 ЗЕС)

Дори при валидно съгласие или „мек opt-in" изпращането е забранено, ако съобщението: не идентифицира ясно изпращача; не включва валиден адрес, на който получателят може да изпрати заявка за отказ; или не отговаря на изискванията на чл. 5, ал. 3, т. 1–4 ЗЕТ (разпознаваемост като търговско съобщение, ясни условия на промоциите).

И GDPR отгоре: основание за самите данни

Съгласието по ЗЕС урежда канала; отделно ви трябва основание по чл. 6 GDPR за обработването на имейла или номера. Съображение 47 от GDPR допуска директният маркетинг да се основава на легитимен интерес, но само след балансиране с правата на лицето и с ясна информация за източника на данните (чл. 13–14 GDPR). Възражението по чл. 21 винаги печели — след него по-нататъшен маркетинг към това лице няма правно основание.

Законни ли са B2B студените имейли в България?

Кратък отговор: По-скоро да, при спазени условия. Забраната за изпращане без съгласие в чл. 6, ал. 4 ЗЕТ се отнася до потребители — физически лица. Имейл до общ фирмен адрес на юридическо лице (office@, info@) е допустим, освен ако адресът е вписан в публичния регистър на КЗП. Личните служебни адреси обаче са лични данни и попадат под GDPR.

Практическите правила за B2B кампания:

• Проверете регистъра на КЗП преди изпращане. По чл. 6, ал. 2 ЗЕТ КЗП води публичен електронен регистър на електронните адреси на юридическите лица, които не желаят да получават непоискани търговски съобщения; изпращането до вписан адрес е изрично забранено (чл. 6, ал. 3 ЗЕТ).
• Обозначете съобщението. Непоискано търговско съобщение без предварително съгласие трябва да е ясно и недвусмислено разпознаваемо като такова още при постъпването му (чл. 6, ал. 1 ЗЕТ), с всички реквизити по чл. 5, ал. 3 ЗЕТ.
• Внимавайте с персоналните адреси. Адрес от вида име@фирма.bg идентифицира конкретно физическо лице и представлява лични данни — за него важи GDPR: нужно е основание (обикновено легитимен интерес с документиран баланс), информация за източника и незабавно изпълнение на възражение по чл. 21. КЗЛД разглежда именно границата между фирмени и персонални адреси в становището си по чл. 6 ЗЕТ (рег. № П-7552/2014).
• Не ползвайте купени бази. Списъци с адреси „от пазара" рядко издържат теста за основание и информираност по чл. 14 GDPR — а тежестта на доказване е върху изпращача.

Консервативният подход за B2B: първи имейл — кратък, ясно обозначен, до фирмен адрес извън регистъра на КЗП, с работещ отказ; при възражение или отказ — незабавно спиране и вътрешен списък за изключване (suppression list), за да не се повтори изпращането.

Какви са санкциите за спам?

Кратък отговор: Три санкционни режима се наслагват: по ЗЕТ (КЗП) — до ≈1 023 EUR за юридическо лице при първо нарушение; по ЗЕС (КРС) — до ≈5 113 EUR при неизпълнен отказ; по GDPR (КЗЛД) — теоретичен таван до 20 млн. евро или 4% от годишния оборот. Числата „както към 2026 г."

• По ЗЕТ (чл. 24): глоба ≈128 – ≈767 EUR (истор. 250 – 1 500 лв.) за физически лица; имуществена санкция ≈256 – ≈1 023 EUR (истор. 500 – 2 000 лв.) за юридически лица и еднолични търговци; при повторно нарушение — до ≈2 045 EUR (истор. 4 000 лв.), както към 2026 г.
• По ЗЕС: за неизпълнение на отказ от получаване (чл. 340 във връзка с чл. 261, ал. 4) — ≈2 556 – ≈5 113 EUR (истор. 5 000 – 10 000 лв.); за други нарушения на чл. 261 (например липсващ адрес за отказ) КРС прилага общата санкция по чл. 335 във връзка с чл. 336 — ≈256 – ≈2 556 EUR (истор. 500 – 5 000 лв.). Практиката е реална — вижте потвърденото наказателно постановление по-горе.
• По GDPR: до 20 000 000 EUR или 4% от глобалния годишен оборот (чл. 83, §5) — тавани, резервирани за тежки или системни нарушения; типичните санкции за директен маркетинг са значително по-ниски.

Практически съвети за превенция

• Никога не давайте съгласие за маркетинг „по подразбиране"
• Четете условията за обработка при регистрация
• Използвайте различни имейли за различни цели
• Заявете възражение по чл. 21 GDPR директно пред администратора
• Запазвайте доказателства за всяко нежелано съобщение
• Ако сте юридическо лице — впишете фирмените си адреси в регистъра на КЗП, за да блокирате законно непоисканите съобщения

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.