Топ GDPR глоби в ЕС: август и септември 2026 — какво научаваме от AP, DPC, Garante и CNIL
Най-голямата GDPR санкция за август и септември 2026 г. е глобата от 824 990 000 евро, която нидерландският надзорен орган AP наложи на Uber за напълно автоматизирано деактивиране на акаунти на шофьори. Следват Google (403 млн. евро от ирландския DPC), IQVIA Solutions Italy (7 млн. евро) и италианският клон на BBVA (5,5 млн. евро).
Съдържание
- Какво показват август и септември накратко?
- Кои са седемте най-значими решения?
- Глоба #1 — Uber (824 990 000 евро)
- Глоба #2 — Google Ireland (403 млн. евро)
- Глоба #3 — IQVIA Solutions Italy (7 млн. евро)
- Глоба #4 — BBVA, клон в Италия (5 508 000 евро)
- Глоба #5 — HSE, Ирландия (645 000 евро)
- Глоба #6 — Hôpital Privé de la Loire (500 000 евро)
- Глоба #7 — EXTIA (300 000 евро)
- Кои решения останаха извън класацията?
- България: има ли санкции на КЗЛД?
- Кои са тенденциите на периода?
- Често задавани въпроси
Какво показват август и септември 2026 г. накратко?
Директен отговор: Седемте решения в класацията надхвърлят общо 1,24 млрд. евро, като почти цялата сума идва от две санкции срещу технологични компании — Uber (824 990 000 евро) и Google (403 млн. евро). Под тях стоят две италиански милионни глоби (IQVIA и BBVA) и три шестцифрени санкции за здравни данни и права на субектите (HSE, Hôpital Privé de la Loire и EXTIA).
Периодът в едно изречение
Два месеца, три урока: алгоритъм не може сам да лиши човек от доход (Uber, чл. 22 GDPR), данни с постоянен код на пациента не са анонимни (IQVIA), а едно неизпълнено възражение срещу маркетинг може да струва 5,5 млн. евро (BBVA).
Изданието продължава разбора за май – август 2026 г., в който предупредихме, че августовските решения вероятно ще попаднат в следващия брой. Методологията е същата: класираме само санкции, оповестени от съответния надзорен орган и потвърдени от поне още един независим източник. Три уточнения. (1) Включваме решения, които са приети или оповестени между 1 август и 30 септември 2026 г. — затова двете френски санкции (приети на 21 юли, оповестени през септември) и италианската срещу IQVIA (приета на 23 септември, оповестена на 2 октомври) са в класацията. (2) Подреждаме по размер на санкцията; при валута, различна от еврото, посочваме равностойност по референтния курс на ЕЦБ към датата на решението. (3) Нито едно решение не е окончателно в смисъл на изчерпан съдебен контрол: Uber и Google вече обявиха, че ще оспорят санкциите, а към 2 октомври 2026 г. не открихме публикуван пълен текст на нито едно от двете решения.
Кои са седемте най-значими GDPR решения за август и септември 2026 г.?
Директен отговор: По размер: Uber — 824 990 000 евро (AP, Нидерландия); Google Ireland — 403 000 000 евро (DPC, Ирландия); IQVIA Solutions Italy — 7 000 000 евро и италианският клон на BBVA — 5 508 000 евро (Garante, Италия); HSE — 645 000 евро (DPC); Hôpital Privé de la Loire — 500 000 евро и EXTIA — 300 000 евро (CNIL, Франция).
| # | Администратор | Държава / орган | Размер | Решение / оповестяване | Основни нарушени членове |
|---|---|---|---|---|---|
| 1 | Uber B.V. и Uber Technologies Inc. | Нидерландия / AP | 824 990 000 евро | оповестено 21.08.2026 | чл. 22 GDPR; задълженията за прозрачност |
| 2 | Google Ireland Limited | Ирландия / DPC | 403 000 000 евро | 21.09.2026 | чл. 5, 6, 12 и 13 GDPR |
| 3 | IQVIA Solutions Italy S.r.l. | Италия / Garante | 7 000 000 евро | 23.09.2026 (публ. 02.10.2026) | чл. 5, 9, 13, 25, 28, 32 и 35 GDPR |
| 4 | Banco Bilbao Vizcaya Argentaria, S.A. — клон в Италия | Италия / Garante | 5 508 000 евро | 03.09.2026 (публ. 11.09.2026) | чл. 5, параграф 1, буква „а“, чл. 12, 21 и 24 GDPR |
| 5 | Health Service Executive (HSE) | Ирландия / DPC | 645 000 евро | връчено 25.08.2026 (публ. 02.09.2026) | чл. 5, параграф 1, букви „д“ и „е“, чл. 32, 33 и 34 GDPR |
| 6 | Hôpital Privé de la Loire | Франция / CNIL | 500 000 евро | 21.07.2026 (публ. 03.09.2026) | чл. 32 и 34 GDPR |
| 7 | EXTIA | Франция / CNIL | 300 000 евро | 21.07.2026 (публ. 09.09.2026) | чл. 12 и 17 GDPR |
Методологично уточнение: санкцията срещу Uber е наложена на две дружества от групата (Uber B.V. и Uber Technologies Inc.) в едно производство — отчитаме я като една позиция, както направихме при Elkjøp в предишното издание. При Google DPC е оповестила общата сума на глобите (403 млн. евро), но не и разпределението им по отделните нарушения.
Глоба #1 — Uber (824 990 000 евро): може ли алгоритъм сам да спре доходите на шофьор?
Директен отговор: не може. Нидерландският надзорен орган Autoriteit Persoonsgegevens (AP) прие, че Uber е вземала напълно автоматизирани решения за деактивиране на акаунти на шофьори, без каквато и да е човешка преценка, и с това е нарушила забраната по чл. 22 GDPR.
Същина на нарушението. Според съобщението на AP от 21 август 2026 г. софтуерът на Uber е следял поведението на шофьорите на пътя и оценките им от клиенти; при съмнение за измама или твърде ниски оценки акаунтите са били деактивирани автоматично — временно, а при трайно ниски оценки и окончателно, — и за времето на деактивацията шофьорите губят дохода си от платформата. Това се е случвало между 2018 и 2022 г., а AP установява и че шофьорите не са били достатъчно информирани за автоматизираното вземане на решения. Производството започва, след като 171 френски шофьори се обръщат към правозащитната организация Ligue des droits de l’Homme, която подава жалба до CNIL; AP разглежда случая като водещ надзорен орган, защото европейското седалище на Uber е в Нидерландия, и съгласува решението с останалите европейски органи. Глобата е наложена на Uber B.V. и Uber Technologies Inc.; Uber е прекратила нарушенията, но обяви, че не е съгласна с решението, смята глобата за непропорционална и ще я оспори.
Какво означава за българския бизнес
Всяка система, която автоматично блокира акаунт, спира плащане, отказва договор или прекратява достъпа на куриер, шофьор, търговец в онлайн платформа или клиент, трябва да се провери спрямо чл. 22 GDPR. Когато решението поражда правни последици или по подобен начин засяга човека в значителна степен, то не може да се основава единствено на автоматизирано обработване извън изключенията по чл. 22, параграф 2, а и при тях администраторът трябва да осигури поне правото на човешка намеса, на изразяване на гледна точка и на оспорване на решението (чл. 22, параграф 3). На практика това означава служител с реално правомощие да отмени решението на системата, информация за логиката на решението по чл. 13, параграф 2, буква „е“ и чл. 14, параграф 2, буква „ж“ GDPR и работещ канал за оспорване — преди системата да заработи.
Източници: AP, съобщение от 21 август 2026 г.; CNIL, 24 август 2026 г.; DutchNews, 21 август 2026 г.
Глоба #2 — Google Ireland (403 млн. евро): какво не беше наред с данните за местоположение?
Директен отговор: ирландският надзорен орган DPC прие, че Google е обработвал данни за местоположението на потребителите незаконосъобразно и недобросъвестно, не е бил прозрачен и ги е съхранявал по-дълго от необходимото — в три функции на своите услуги.
Същина на нарушението. DPC започва проверката по своя инициатива през февруари 2020 г. като водещ надзорен орган за Google, след жалби на европейски потребителски организации, сред които BEUC; проверката обхваща периода от 25 май 2018 г. до 4 февруари 2020 г. и функциите Web & App Activity, Location History и Location Accuracy. Според решението, оповестено на 21 септември 2026 г., обработването в Web & App Activity и Location History е било незаконосъобразно и недобросъвестно, при Location Accuracy Google не е могъл да докаже спазване на принципа на законосъобразност, добросъвестност и прозрачност, задълженията за прозрачност са нарушени и при трите функции, а данните за местоположение в първите две са съхранявани твърде дълго. В резюмето си EDPB посочва като засегнати чл. 5, 6, 12 и 13 GDPR, а DPC ще публикува пълния текст на решението по-късно. Заместник-комисарят Греъм Дойл посочва, че хората може да не са знаели, че местоположението им се използва например за въздействие върху тях чрез реклама или за изводи за интересите им. Освен глобите от общо 403 млн. евро DPC разпорежда Google да приведе обработването в съответствие в срок от шест месеца; Google заяви, че е променил практиките си след 2019 г., а според RTÉ ще обжалва решението по правни въпроси, които според компанията изискват изясняване и извън конкретния случай.
Какво означава за българския бизнес
Мобилните приложения на банки, телекоми, услуги за доставка и за превоз и програми за лоялност, които събират геолокация, трябва ясно да отделят целите — изпълнение на услугата, реклама, профилиране — и да казват на потребителя за коя от тях се използва местоположението му. Определете срок на съхранение и автоматично изтриване на историята на местоположенията. Пазете архив на версиите на информационните съобщения и екраните за настройки: DPC санкционира през 2026 г. практики от 2018 – 2020 г., а принципът на отчетност (чл. 5, параграф 2 GDPR) изисква да докажете какво точно е виждал потребителят тогава.
Източници: DPC, 21 септември 2026 г.; EDPB, 23 септември 2026 г.; RTÉ, 21 септември 2026 г.
Глоба #3 — IQVIA Solutions Italy (7 млн. евро): анонимни ли са псевдонимизираните здравни данни?
Директен отговор: не са. Garante прие, че база данни със здравна информация за около един милион пациенти на 800 общопрактикуващи лекари не е анонимна, защото постоянният код на всеки пациент позволява той да бъде проследяван във времето и — заедно с подробните медицински данни — повторно идентифициран с разумни средства.
Същина на нарушението. Италианското дружество от групата IQVIA е използвало базата за изследвания, включително възлагани от фармацевтични компании; проверката започва след инспекции през април 2025 г. и е обединена с производство по пробив в сигурността, за който органа е уведомило самото дружество. Освен кода на пациента базата съдържа година на раждане, пол, диагнози, симптоми, предписания, изследвания, ваксинации и данни за местоположение, а за над 3 300 пациенти — и идентификационни данни (имена, данъчни идентификационни номера, адреси и данни за контакт), като за повече от 3 000 от тях те са свързани със здравни данни. Garante приема IQVIA за администратор още от събирането на данните при лекарите и установява обработване на здравни данни без подходящо правно основание и без надлежно информиране на пациентите, липса на срокове за съхранение (данните стигат до 2001 г.), липса на оценка на въздействието и неадекватни мерки за сигурност. Таванът на глобата е изчислен върху консолидирания оборот на IQVIA Holdings Inc. като единно предприятие, а решението изрично се позовава и на санкцията на CNIL срещу IQVIA във Франция от 26 май 2026 г., която разгледахме в предишното издание; дружеството има 120 дни да приведе обработването в съответствие.
Какво означава за българския бизнес
Фармацевтични компании, договорни изследователски организации, лаборатории, аптеки и медицински центрове, които споделят „анонимизирани“ масиви, трябва да проверят дали записите не носят устойчив идентификатор — ако носят, това са лични данни по смисъла на съображение 26 GDPR, а здравните данни изискват изключение по чл. 9, параграф 2, информиране, срокове за съхранение и оценка на въздействието. Не разчитайте само на оценка за анонимизация, направена на ниво група: местният администратор трябва сам да провери риска от повторна идентификация. За българските дъщерни дружества на международни групи решението е и напомняне, че таванът на глобата може да се изчисли върху оборота на цялата група (съображение 150 GDPR). Как се прави оценката — в ръководството ни за DPIA.
Източници: Garante, решение № 710 от 23 септември 2026 г.; Garante, съобщение от 2 октомври 2026 г.; LaPresse, 2 октомври 2026 г.
Глоба #4 — BBVA, клон в Италия (5 508 000 евро): как едно неизпълнено „не“ стана милионна глоба?
Директен отговор: клиент на италианския клон на Banco Bilbao Vizcaya Argentaria изключва рекламните известия в мобилното приложение и два пъти потвърждава възражението си пред центъра за обслужване, но продължава да получава рекламни съобщения. Garante санкционира банката по жалба на един-единствен клиент.
Същина на нарушението. Отказът на клиента е регистриран във вътрешните системи на банката, но не е синхронизиран със звеното за управление на отношенията с клиенти (CRM), което изпраща търговските съобщения, и от октомври 2025 г. до май 2026 г. той получава поне десет непоискани известия. На 10 декември 2025 г. центърът за обслужване му отговаря, че рекламните изскачащи прозорци в приложението не могат да бъдат премахнати и че може просто да ги игнорира — нещо, което техническата корекция на самата банка по-късно опровергава. Банката твърди, че клиентът е трябвало да пише на специалния имейл за права или на длъжностното лице по защита на данните, но Garante отхвърля довода: клиентът е използвал точно канала, който банката сама предлага, а субектът на данни не е длъжен да ползва конкретен канал. Garante оценява тежестта на нарушението като ниска, но отчита, че администраторът е с оборот над 500 млн. евро и че с предходно решение от 10 юли 2025 г. вече е установил негово нарушение при отговор на искане за достъп; освен глобата банката трябва да въведе мерки за улесняване на правата и да докладва в срок от 30 дни.
Какво означава за българския бизнес
Когато субектът на данни възрази срещу обработване за целите на директния маркетинг, обработването за тези цели се прекратява (чл. 21, параграф 3 GDPR) — без преценка на интереси и без значение по кой от официалните канали е заявено възражението. Банки, телекоми и търговци с мобилни приложения трябва да тестват редовно „от край до край“ дали отказът в приложението стига до CRM и до платформата за кампании, и да обучат служителите на първа линия да разпознават възражението и да го ескалират. Предишно установено нарушение е утежняващо обстоятелство при определяне на следващата глоба (чл. 83, параграф 2, буква „д“ GDPR). Повече за маркетинговите съобщения — в статията ни за спам имейли, SMS-и и обаждания.
Източници: Garante, решение № 613 от 3 септември 2026 г.; Garante, бюлетин от 11 септември 2026 г.; Byte.it, 11 септември 2026 г.
Глоба #5 — HSE, Ирландия (645 000 евро): защо хартиеният архив също е обработване на лични данни?
Директен отговор: защото GDPR се прилага и за неавтоматизираното обработване на данни, които са част от регистър (чл. 2, параграф 1). Ирландската здравна служба HSE е санкционирана за хартиени медицински досиета, съхранявани в неподходящи и необезопасени сгради по-дълго от необходимото.
Същина на нарушението. Проверката започва на 24 май 2024 г. след два пробива, за които HSE уведомява DPC през октомври и ноември 2023 г.: външни лица влизат в изоставените психиатрични болници St Loman’s (Мълингар) и St Conal’s (Летъркени), където се пазят хартиени досиета, и качват видеа в социалните мрежи. При 12 проверки на място в цялата страна DPC открива документи, унищожени от мухъл, замърсени с животински изпражнения или покрити с отломки, както и архиви в изоставени бани и в контейнер в навес за торф. Глобата е разпределена така: 300 000 евро за сигурността (чл. 5, параграф 1, буква „е“ и чл. 32, параграф 1), 300 000 евро за ограничението на съхранението (чл. 5, параграф 1, буква „д“), 30 000 евро за закъснялото уведомяване на DPC (чл. 33, параграф 1) и 15 000 евро за неуведомяването на засегнатите лица (чл. 34, параграф 1). Освен порицание DPC разпорежда пълен одит на складовете, система за проследяване на всяко досие и незабавно сигурно унищожаване на документите, които вече не са необходими; утежняващо обстоятелство са сходни предишни нарушения.
Какво означава за българския бизнес
Болници, общини, счетоводни кантори и отдели „Човешки ресурси“, които държат хартиени архиви в мазета, складове или при външен архивен доставчик, трябва да знаят къде точно е всяко досие, колко дълго трябва да се пази и кой го унищожава и с какъв протокол. Съхраняването по-дълго от необходимото е самостоятелно нарушение (чл. 5, параграф 1, буква „д“) — в случая на HSE то струва колкото и нарушението на сигурността. И пробивът в хартиен архив подлежи на уведомяване на надзорния орган до 72 часа по чл. 33, освен ако няма вероятност да породи риск. Вижте таблицата ни със срокове за съхранение по сектори.
Източници: DPC, 2 септември 2026 г.; The Irish Times, 2 септември 2026 г.
Глоба #6 — Hôpital Privé de la Loire (500 000 евро): какво липсваше преди кибератаката?
Директен отговор: многофакторно удостоверяване за външните потребители, ограничаване на достъпа до пациентите на конкретния лекуващ екип и наблюдение в реално време. Без тях нападател достига до данните на 524 867 пациенти и на 202 246 лица, посочени от пациентите като доверени.
Същина на нарушението. През лятото на 2025 г. нападател влиза в електронното пациентско досие на частната болница, което съдържа данните на всички лекувани там лица, включително здравни данни. Удостоверяването за външните потребители, сред които и практикуващи извън болницата лекари, е без VPN и без многофакторно удостоверяване, а правата за достъп не следват принципа на лекуващия екип — затова с данните на един-единствен акаунт нападателят вижда всички пациенти. Липсата на механизъм за откриване на подозрителна активност му позволява да изследва системата няколко дни и да изнесе голям обем данни незабелязано. Болницата уведомява засегнатите пациенти, но не и 202 246-те доверени лица, чиито данни също са откраднати — нарушение на чл. 34; CNIL изисква мерките за сигурност да бъдат довършени в срок от три до петнадесет месеца според вида им.
Какво означава за българския бизнес
Частните болници, медицинските центрове и лабораториите, чиято болнична информационна система е достъпна отвън — за външни лекари, филиали или партньорски лаборатории, — трябва да изискват многофакторно удостоверяване за всеки отдалечен достъп и да ограничат правата до пациентите, които потребителят реално обслужва. Нужни са журналиране и автоматичен сигнал при необичаен брой справки. При пробив проверете всички категории засегнати лица — не само пациентите, а и техните контактни и доверени лица — и уведомете всички, за които рискът е висок. Секторните изисквания — в ръководството ни GDPR за лекари и медицински заведения.
Източници: CNIL, 3 септември 2026 г.; Légifrance, решение SAN-2026-009; AFP чрез Techniques de l’Ingénieur, 3 септември 2026 г.
Глоба #7 — EXTIA (300 000 евро): трябва ли да отговорите, ако данните вече са изтрити автоматично?
Директен отговор: да. CNIL санкционира консултантската компания в областта на информационните технологии и инженеринга EXTIA, защото не е обработила част от исканията за изтриване на кандидати и бивши служители и не е уведомила 166 заявители какво се е случило с исканията им — включително когато данните им вече са били изтрити автоматично.
Същина на нарушението. Делото започва с жалби на бивши служители и кандидати от 2024 г.; проверката през април 2025 г. е част и от координираното действие на Европейския комитет по защита на данните за правото на изтриване. От 265 искания за изтриване, получени през 2024 г. — предимно от кандидати, — над три четвърти не са обработени или не са обработени задоволително: 12 изобщо не са разгледани, 166 души не са уведомени за резултата, а 27 са уведомени след едномесечния срок, понякога с месеци закъснение. Дружеството се защитава, че голяма част от данните на кандидатите са изтрити автоматично, но CNIL приема, че това не го освобождава от задължението да уведоми заявителя за предприетите действия. При определяне на глобата е отчетено и че EXTIA вече два пъти е била напомняна за задълженията си; в хода на производството дружеството изтрива данните и уведомява заявителите.
Какво означава за българския бизнес
Работодатели, агенции за подбор и компании с непрекъснат подбор трябва да водят регистър на всички искания по чл. 15 – 22 GDPR, включително от кандидати, и да отговарят в срока от един месец по чл. 12, параграф 3. Автоматичното изтриване в системата за подбор не замества отговора: кандидатът трябва да получи потвърждение, че данните му са изтрити. Подгответе шаблони на отговорите и отговорник, който следи сроковете. Повече — в статиите ни за GDPR при подбор на персонал и правото на изтриване.
Източници: CNIL, 9 септември 2026 г.; Légifrance, решение SAN-2026-010; Le Monde du Droit, 10 септември 2026 г.
Кои други решения от периода останаха извън класацията?
Директен отговор: Под прага на класацията остават шведската глоба срещу доставчика на системи за управление на персонала Miljödata (1 800 000 SEK ≈ 160 050 евро), норвежката санкция срещу Lab Pharma (205 000 NOK ≈ 18 745 евро) за заплахи към служители на надзорния орган и корективното решение срещу фитнес веригата SATS за снимките на членовете.
Miljödata (IMY, Швеция, 22 септември 2026 г.). Шведският надзорен орган санкционира с 1 800 000 SEK (≈ 160 050 евро по референтния курс на ЕЦБ от 22 септември 2026 г.: 1 евро = 11,2463 SEK) доставчика на системи за отчитане на болнични, рехабилитация и инциденти, включително училищни. При кибератака през август 2025 г. данните изтичат и са публикувани в т. нар. тъмна мрежа (Darknet); според дружеството засегнатите са 2,2 милиона души. IMY приема, че Miljödata действа предимно като обработващ лични данни за своите клиенти — мнозинството шведски общини, няколко региона, държавни органи и множество частни компании, — и подчертава, че задължението по чл. 32 GDPR важи и за обработващите. Установени са недостатъчни проверки при инсталиране на нов софтуер и липса на автоматично наблюдение в реално време; проверки срещу две общини и един регион продължават. Урокът за българските доставчици на облачни услуги е пряк: обработващият отговаря сам за сигурността, а администраторът трябва да използва само обработващи, които предоставят достатъчни гаранции (чл. 28, параграф 1) — вижте GDPR при облачни услуги.
SATS (Datatilsynet, Норвегия, 14 август 2026 г.). Норвежкият орган, като водещ за случая с участието на органите в Швеция, Финландия и Дания, разпореди на фитнес веригата да коригира информацията за снимките на членовете, които служителите използват за проверка на самоличността при влизане. SATS е посочвала като основание изпълнението на договора, но органът приема, че правилното основание е легитимният интерес (чл. 6, параграф 1, буква „е“), а оттам членовете имат право на възражение по чл. 21. SATS получава порицание за нарушения на чл. 13, параграфи 1 и 2 и чл. 21, параграф 1 GDPR и срок до 11 септември 2026 г. да изпълни разпорежданията, включително да отговори на всички неразгледани възражения. Изводът е пряко относим към фитнес клубове, коуъркинг пространства и всички, които използват снимка в членската карта.
Lab Pharma (Datatilsynet, Норвегия, решение от 12 август 2026 г.). Производител на хранителни добавки е санкциониран с 205 000 NOK (≈ 18 745 евро по курса на ЕЦБ от 12 август 2026 г.: 1 евро = 10,936 NOK) за нарушение на задължението за сътрудничество по чл. 31 GDPR: в отговор на разпореждане да представи информация дружеството заплашва служители на органа с жалба до полицията и съдебен иск, за да прекрати проверката. Санкцията е малка, но посланието не е: агресивната позиция към надзорния орган сама по себе си е основание за глоба.
Кого изключихме и защо
На 22 септември 2026 г. EDPB публикува резюме на испанско решение срещу Securitas Direct (100 000 евро за платен телефонен номер за упражняване на права), но самото решение е от 2023 г. и остава извън периода. В първите дни на октомври хърватският надзорен орган оповести санкция срещу организатор на хазартни игри за биометрична идентификация на играчите; датата на решението не е посочена и към момента на публикуване не открихме второ независимо потвърждение, затова ще го разгледаме в следващото издание. Придържаме се към правилото на поредицата: по-добре по-къса класация, отколкото непотвърдени числа.
Наваксване: две юлски решения, които не влязоха в предишното издание
Предишното издание обхвана юли, но не включи две италиански решения, които по размер щяха да бъдат в класацията му. TIM — 9 516 000 евро (решение № 556 на Garante от 23 юли 2026 г., оповестено на 31 юли): незаконно получени съгласия при телемаркетинг чрез неоторизирани кол центрове, недостатъчен контрол върху търговската мрежа и пречки пред упражняването на правата. Hera Comm — 5 800 000 евро (решение № 483 от 3 юли 2026 г., оповестено на 21 юли): автоматизирана оценка на надеждността на кандидат-клиентите, по която се решава дали да се сключи договор за доставка на енергия, без ясна информация за критериите; в свързаните решения са санкционирани и EstEnergy (1 400 000 евро), Cerved Group (400 000 евро) и Experian Italia (120 000 евро). Отбелязваме ги тук за пълнота на поредицата.
България: има ли санкции на КЗЛД за август и септември 2026 г.?
Директен отговор: Към 2 октомври 2026 г. КЗЛД не е оповестила на сайта си cpdp.bg решения за налагане на санкции от август или септември 2026 г. Единственото съобщение, свързано с правоприлагането, е от 21 септември 2026 г.: Комисията проверява сигнал за разгласени лични данни при публичното оповестяване на посмъртна експертиза по случая „Петрохан“.
Какво проверихме: раздела с новини на КЗЛД (между 22 юли и 17 септември 2026 г. в него няма публикации), раздела „Решения на КЗЛД по жалби, сигнали и други искания“ (структуриран е по години и последната показана година е 2024 г.) и съобщенията до страни по производства, които са процесуални уведомления до конкретни лица. Липсата на публикувани решения не означава, че няма приключили производства — означава, че текущата практика на Комисията не е видима публично, което прави европейската практика основен ориентир за българските администратори.
По случая „Петрохан“ КЗЛД посочва, че ще приключи проверката, без да конституира като страна засегнатото дете, за да не го поставя допълнително във фокуса на общественото внимание. Комисията припомня, че данни на починали лица могат да се обработват само при правно основание и с мерки срещу неблагоприятно засягане на правата на други лица (чл. 25е, ал. 1 ЗЗЛД), а при обработване за журналистически цели — макар чл. 6, 9, 10, 30, 34 и глава пета от GDPR да не се прилагат (чл. 25з, ал. 3, т. 1 ЗЗЛД) — принципите по чл. 5 GDPR, включително свеждането на данните до минимум, остават задължителни и санкциите важат и за администратори, действащи като журналисти. По информация на „24 часа“ и „Булевард България“ от 25 септември 2026 г. оповестяването проверява и Инспекторатът към Висшия съдебен съвет.
След края на периода, в началото на октомври, КЗЛД съобщи, че е приела две наредби — за акредитация на органи за наблюдение на кодекси за поведение и за акредитация на сертифициращи органи, критериите за сертифициране, печатите и маркировките, като предстои обнародването им в „Държавен вестник“. Това отваря пътя към национални механизми за сертифициране по чл. 42 GDPR; за европейската алтернатива вижте статията ни за сертификата Europrivacy. Как изглежда досегашната практика на Комисията — в разбора ни на реалните GDPR глоби в България.
Кои са тенденциите на периода?
Директен отговор: Четири теми: автоматизираните решения без реална човешка намеса вече струват стотици милиони; правата на субектите — възражение, изтриване, уведомяване при пробив — присъстват в повечето решения от периода; псевдонимизираните данни се третират като лични; сигурността се проверява по цялата верига, включително при обработващите и в хартиения архив.
Алгоритъмът не е алиби
Uber е санкционирана за решения без човешка преценка, а испанският AEPD оповести на 23 септември 2026 г. предупреждение към компания, която планира да оценява кандидати за работа с изкуствен интелект: човекът, който взема окончателното решение, трябва да може критично да прецени оценката на системата, а не просто да я приеме.
Правата на субектите струват пари
BBVA плаща 5,5 млн. евро заради едно неизпълнено възражение, EXTIA — 300 000 евро заради неотговорени искания за изтриване, SATS получава порицание за неясна информация за правото на възражение. Неизпълненото право се доказва лесно — понякога с една-единствена жалба и кореспонденцията към нея.
Псевдонимът не е анонимност
При IQVIA в Италия Garante приема, че постоянен код плюс подробни данни означава лични данни, и изрично се позовава на майското решение на CNIL срещу IQVIA във Франция. А таванът на глобата за дъщерното дружество се изчислява върху оборота на цялата група.
Сигурността — по цялата верига
Miljödata е санкционирана като обработващ, HSE — за хартиени досиета в изоставени сгради, Hôpital Privé de la Loire — за липса на многофакторно удостоверяване и наблюдение. Надзорът проверява и доставчиците, и архивите, и отдалечения достъп.
Две процедурни промени ще направят санкциите по-предвидими и по-видими. На пленарното си заседание през септември 2026 г. EDPB прие Насоки 04/2026 за това кога надзорният орган налага глоба вместо или наред с други корективни мерки: методика в пет стъпки, при която за маловажно нарушение по правило не се налага глоба и може да се наложи порицание, а за всяко друго има силна презумпция, че глоба се налага. Насоките са на обществена консултация до 13 ноември 2026 г. Отделно, от 1 септември 2026 г. нидерландският AP е задължен по закон да публикува наложените санкции. За българските администратори изводът е практичен: пространството за „само предупреждение“ се стеснява, а репутационната цена на санкцията расте.
Опишете ситуацията си
Ще я обсъдим с вас и ще предложим подходящо решение. Първоначалната консултация е безплатна.
Често задавани въпроси
Коя е най-голямата GDPR глоба за август и септември 2026 г.?
Най-голямата е глобата от 824 990 000 евро, която нидерландският надзорен орган AP наложи на Uber B.V. и Uber Technologies Inc. и оповести на 21 август 2026 г. AP установи, че между 2018 и 2022 г. Uber е деактивирала автоматично, без човешка преценка, акаунти на шофьори при съмнение за измама или ниски оценки от клиенти, с което е нарушила забраната за напълно автоматизирани решения по чл. 22 GDPR, и не е информирала достатъчно шофьорите. Uber обяви, че ще оспори решението. Втората по размер санкция за периода е 403 млн. евро срещу Google Ireland, наложена от ирландския DPC на 21 септември 2026 г.
За какво Google получи глоба от 403 млн. евро?
Ирландският надзорен орган DPC прие на 21 септември 2026 г., че в периода от 25 май 2018 г. до 4 февруари 2020 г. Google е обработвал данни за местоположението чрез функциите Web & App Activity и Location History незаконосъобразно и недобросъвестно, не е могъл да докаже спазване на принципите при Location Accuracy, не е изпълнил задълженията за прозрачност и при трите функции и е съхранявал данните за местоположение по-дълго от необходимото. Освен глобите от общо 403 млн. евро DPC разпореди Google да приведе обработването в съответствие в срок от шест месеца. Според ирландската обществена медия RTÉ Google ще обжалва решението.
Защо италианският клон на BBVA беше глобен с 5,5 млн. евро заради един клиент?
С решение № 613 от 3 септември 2026 г. Garante наложи 5 508 000 евро на италианския клон на Banco Bilbao Vizcaya Argentaria, защото клиент, който изключил рекламните известия в приложението и възразил два пъти пред центъра за обслужване, продължил да получава рекламни съобщения от октомври 2025 г. до май 2026 г. Отказът му не бил синхронизиран със системата, която изпраща търговските съобщения, а служител го посъветвал да игнорира известията. Garante установи нарушения на чл. 5, параграф 1, буква „а“, чл. 12, 21 и 24 GDPR и отчете като утежняващо обстоятелство предишно решение срещу банката от 10 юли 2025 г.
Анонимни ли са псевдонимизираните здравни данни според решението срещу IQVIA?
Не. С решение № 710 от 23 септември 2026 г. Garante прие, че базата данни на IQVIA Solutions Italy със здравна информация за около един милион пациенти на 800 общопрактикуващи лекари не е анонимна, защото постоянният код на всеки пациент позволява той да бъде проследяван във времето и заедно с подробните медицински данни да бъде повторно идентифициран с разумни средства. Затова за базата се прилага GDPR, включително изискванията за изключение по чл. 9, информиране на пациентите, срокове за съхранение и оценка на въздействието. Глобата е 7 000 000 евро.
Има ли санкции на КЗЛД в България за август и септември 2026 г.?
Към 2 октомври 2026 г. КЗЛД не е оповестила на сайта си cpdp.bg решения за налагане на санкции от август или септември 2026 г. Единственото съобщение, свързано с правоприлагането, е от 21 септември 2026 г.: Комисията проверява сигнал за разгласени лични данни при публичното оповестяване на посмъртна експертиза по случая „Петрохан“ и посочи, че ще приключи производството, без да конституира засегнатото дете като страна. Липсата на публикувани санкции не означава, че няма приключили производства: разделът с решения на сайта е структуриран по години и последната показана година е 2024 г.
Получавайте месечния разбор на GDPR глобите в Европа
Всеки месец преглед на най-важните решения на Garante, AEPD, CNIL, ICO и КЗЛД — с поуки за български администратори. Без нежелана поща.
Можете да се отпишете по всяко време. Политика за поверителност
Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали. Заедно консултират над 90 компании за пълно GDPR съответствие.