Видеонаблюдение и GDPR в България — кога камерите са законни и какви са правата ви

Видеонаблюдението е обработка на лични данни по смисъла на GDPR, когато чрез записите може да бъде идентифицирано конкретно физическо лице. Всеки, който поставя камери — търговец, работодател или етажна собственост — е администратор на лични данни и трябва да има правно основание по чл. 6 от Регламент (ЕС) 2016/679. Видеонаблюдението е №1 по брой жалби пред КЗЛД — 425 жалби за 2025 г. (при 345 за 2024 г. и 178 за 2023 г.), плюс 265 сигнала и 361 проверки на място с този предмет по годишния отчет на Комисията.

Кога видеозаписът представлява обработка на лични данни?

Директен отговор: Видеозаписът е обработка на лични данни винаги, когато заснето лице може да бъде идентифицирано — по лице, фигура, поведение, регистрационен номер на автомобил. Този, който решава защо и как се извършва наблюдението, е администратор по GDPR с всички произтичащи задължения: правно основание, информиране, ограничен срок на съхранение и сигурност на записите.

Видеозаписът съдържа лични данни по смисъла на GDPR винаги, когато чрез него може да бъде идентифицирано конкретно лице. Това означава, че всеки, който поставя камери — независимо дали става дума за търговец, работодател или етажна собственост — е администратор на лични данни и носи всички задължения по GDPR. Единственото тясно изключение е т.нар. „домашна употреба" по чл. 2, § 2, б. „в" GDPR — обработване от физическо лице в хода на чисто лични или домашни занимания. Камера, която заснема само собствения ви двор или жилище, попада в изключението; камера, която системно обхваща улицата, съседен имот или общите части на сградата — не.

Кога видеонаблюдението е законно?

Директен отговор: Видеонаблюдението е законно само при наличие на правно основание по чл. 6 GDPR — най-често легитимен интерес, например охрана на имущество при реална, документирана заплаха. Администраторът трябва да докаже необходимост, липса на по-щадяща алтернатива и че правата на заснетите лица не надделяват. Съгласието по правило не върши работа.

Най-честото основание е легитимен интерес (чл. 6, § 1, б. „е" GDPR), но по Насоки 3/2019 на ЕКЗД (EDPB Guidelines 3/2019) администраторът трябва да докаже, че:

• Има реална и конкретна заплаха — например предишни кражби или инциденти, които могат да се документират, а не абстрактен страх
• Видеонаблюдението е необходимо за постигане на целта
• Няма по-малко инвазивна алтернатива (например аларма, осветление, заключване или ограждане)
• Правата на заснетите лица не надделяват над интереса на администратора — преценка за всеки конкретен случай

Какво трябва да пише на информационната табела?

Директен отговор: Табелата трябва да посочва кой е администраторът, целта на наблюдението, правата на заснетите лица и контакт за допълнителна информация (включително DPO, ако има). Тя трябва да е видима преди влизане в наблюдаваната зона. Пълната информация по чл. 13 GDPR се предоставя на „втори слой" — на рецепция, каса или онлайн.

GDPR изисква ясна и предварителна информация за видеонаблюдението. Насоки 3/2019 на ЕКЗД въвеждат т.нар. многослоен подход: най-важното — на самата табела („първи слой"), пълният текст — на достъпно място. Табелата трябва да съдържа най-малко:

• Кой е администраторът (име и данни за контакт)
• Целта на видеонаблюдението
• Как да получите допълнителна информация и да упражните правата си
• Данни за контакт на длъжностното лице по защита на данните (DPO), ако има назначено

Колко дълго могат да се съхраняват записите?

Директен отговор: При видеонаблюдение, извършвано по Закона за частната охранителна дейност, срокът е точно 2 месеца (чл. 56, ал. 4 ЗЧОД) — нито по-кратък, нито по-дълъг. Извън този режим важи принципът за ограничаване на съхранението: EDPB препоръчва изтриване в рамките на дни, а срок над 72 часа изисква изрична обосновка.

В становище с рег. № ПНМД-01-4/14.01.2021 г. (прието на 11.02.2021 г.) КЗЛД прие, че разпоредбата на чл. 56, ал. 4 от Закона за частната охранителна дейност е императивна: записите от видеонаблюдение по ЗЧОД се съхраняват два месеца след изготвянето им, като определянето и на по-кратък (напр. „до два месеца"), и на по-дълъг срок противоречи на закона. Комисията подчертава, че тълкуванията в становището засягат всички администратори, обработващи лични данни чрез видеонаблюдение в този режим. По-дълго съхранение е допустимо само при изрично самостоятелно основание — например когато записът е необходим за конкретно разследване или съдебно производство.

За камери извън обхвата на ЗЧОД (например поставени от самия собственик, а не от лицензирана охранителна фирма) специален законов срок липсва — самата КЗЛД отчита тази регулаторна празнота в годишния си отчет за 2025 г. Тогава важи общият принцип за ограничаване на съхранението по чл. 5, § 1, б. „д" GDPR, а Насоки 3/2019 на ЕКЗД дават практически ориентир: обикновено 1–2 дни, като всяко съхранение над 72 часа изисква толкова по-солидна обосновка, колкото по-дълъг е срокът.

Какви са изискванията по вид обект? (сравнителна таблица)

Директен отговор: Правилата се различават по вид обект: на работното място наблюдението е допустимо само за охрана, не за контрол на работата; във входа е нужно решение на общото събрание; в търговски обект — табела преди влизане и никакво лицево разпознаване; в автомобила — внимание при публикуване на записи.

Законно ли е видеонаблюдението на работното място?

Директен отговор: Допустимо е само при строги условия — по правило за охрана на имущество и сигурност на хората, не за следене на работния процес. Записи, направени за охранителна цел, не могат да се използват за оценка на представянето или за дисциплинарни цели, а в съблекални, санитарни помещения и стаи за почивка камерите са абсолютно забранени.

Позицията на КЗЛД и на ЕКЗД е последователна:

• Постоянно или всеобхватно наблюдение на работния процес е обикновено незаконосъобразно — то не издържа теста за пропорционалност
• Записите не могат да се използват за оценка на представянето на служителите или за определяне на допълнителни трудови възнаграждения
• Принципът за ограничение на целите (чл. 5, § 1, б. „б" GDPR) означава, че система, изградена за охрана на имущество, не може „между другото" да служи и за контрол как служителите работят
• Служителите трябва да са предварително информирани — чрез вътрешна политика и табели, преди камерите да заработят

Видеонаблюдението е само една от формите на контрол на работното място. За пълната картина — GPS проследяване, мониторинг на имейл и системи за отчитане на работното време — вижте анализите ни за проследяването на служители и за мониторинга на служители от гледна точка на HR директора. А ако обмисляте запис и на звук (напр. в кол-център), правилата са още по-строги — разгледали сме ги в статията за записване на разговори по GDPR и ePrivacy.

Какво изисква законът за камери във входа и етажната собственост?

Директен отговор: Видеонаблюдение на общите части — вход, стълбище, асансьор, паркинг — изисква решение на общото събрание на етажната собственост по реда на ЗУЕС и табела на входа. Камерите трябва да покриват само общите части, не и вратите на конкретни апартаменти. Камера на отделен собственик без решение на общото събрание е незаконосъобразна.

Камерите в жилищни сгради са класическият генератор на спорове: по годишния отчет на КЗЛД за 2025 г. най-много запитвания до Комисията традиционно се отнасят именно до видеонаблюдението в етажна собственост, а по-голямата част от жалбите в сектора са провокирани от дългогодишни битови конфликти между съседи. Основните правила:

• Решение на общото събрание — поставянето на обща система за видеонаблюдение е решение за общите части и се взема по реда на ЗУЕС (мнозинство повече от 50 на сто от представените идеални части)
• Обхват само върху общите части — вход, фоайе, стълбище; не и върху входните врати на конкретни апартаменти, нито върху съседни имоти
• Табела на входа — преди лицето да попадне в обхвата на камерите
• Камера на отделен собственик, насочена към общи части без решение на общото събрание, е незаконосъобразна

Практиката на КЗЛД илюстрира и двете посоки. В решение по жалба рег. № ППН-01-389/2021 г. Комисията разглежда камера, монтирана от съсед над входната му врата, чийто обхват засяга чужди апартаменти, без решение на общото събрание — и упражнява корективните си правомощия с разпореждане, като изрично отбелязва, че при първо нарушение на битово ниво глобата би била прекомерна, но неизпълнението на разпореждането е скрепено със санкция. Обратно, по жалба рег. № ППН-01-462/2021 г. Комисията приема, че камери, покриващи единствено собствения вход на администратора за документирана охранителна цел, са пропорционални, и обявява жалбата за неоснователна. Изводът: решаващи са обхватът на камерата и наличието на решение на общото събрание.

Какви са правилата за магазини и търговски обекти?

Директен отговор: Магазинът може да ползва видеонаблюдение за охрана на имуществото при документирана заплаха — с табела преди входа, ограничен обхват и кратък срок на съхранение. Недопустимо е лицевото разпознаване на клиенти: през 2025 г. КЗЛД прие становище, че то не може да се обоснове по чл. 9 GDPR.

За класическите охранителни камери в търговски обект важат общите правила — легитимен интерес, табела, срок. Важна новост в практиката: по повод запитване на охранително дружество през 2025 г. КЗЛД се обедини около становището, че система за видеонаблюдение с лицево разпознаване на клиенти (например за „черен списък" на заподозрени в кражби) обработва биометрични данни по чл. 9 GDPR, за което не е налице нито едно от условията за допустимост — включително не е „причина от важен обществен интерес". Комисията се позовава и на практиката на други европейски надзорни органи, включително имуществена санкция от 2,5 млн. евро, наложена от испанския орган на верига супермаркети за лицево разпознаване, и отбелязва, че при системи с изкуствен интелект приложение намира и Регламент (ЕС) 2024/1689 (Актът за изкуствения интелект).

Законен ли е видеорегистраторът (dashcam) в автомобила?

Директен отговор: Използването на видеорегистратор за чисто лични цели не е забранено, но записът систематично обхваща публично пространство — лица и регистрационни номера, които са лични данни. Затова изключението за „лични/домашни дейности" се прилага трудно, а публикуването на записи в социални мрежи изисква самостоятелно правно основание. При служебни автомобили администратор е работодателят.

Насоки 3/2019 на ЕКЗД разглеждат изрично видеозаписа от превозни средства: когато камерата записва систематично публичното пространство пред автомобила, обработването излиза извън чисто личната сфера. КЗЛД също приема, че записите с видеорегистратор представляват обработване на лични данни — регистрационните номера на автомобилите са лични данни — и че извън изключението за лични и домашни занимания водачът е администратор. Практически правила: съхранявайте записа само при инцидент, не публикувайте кадри с разпознаваеми лица и номера в социалните мрежи без основание, а при служебни автомобили — информирайте водачите и уредете наблюдението във вътрешна политика.

Кога е нужна оценка на въздействието (DPIA)?

Директен отговор: DPIA е задължителна при систематично мащабно наблюдение на публично достъпна зона (чл. 35, § 3, б. „в" GDPR) — например голям паркинг, мол или транспортен възел, както и при нови технологии като лицево разпознаване или анализ на поведение. За малка система с 2–3 камери в частен обект DPIA обикновено не е задължителна, но преценката трябва да е документирана.

Оценката на въздействието върху защитата на данните включва описание на обработването, преценка на необходимостта и пропорционалността, анализ на рисковете и мерките за тяхното ограничаване. При камери с функции, основани на изкуствен интелект (разпознаване на лица, поведенчески анализ), DPIA е практически неизбежна, а резултатът може да е, че обработването изобщо не може да се извърши законосъобразно — както показва становището на КЗЛД за лицевото разпознаване в магазини.

Какви са правата ви като заснето лице?

Директен отговор: Имате право да знаете, че сте заснети, да поискате копие от записа с вас, да искате изтриване след изтичане на срока, да подадете безплатна жалба до КЗЛД и да търсите обезщетение за вреди. Срокът за отговор на искане за достъп е един месец.

• Право на информация — да знаете, че сте заснети, от кого и с каква цел (чл. 12–13 GDPR)
• Право на достъп — да поискате копие от записа, в който фигурирате (чл. 15 GDPR); администраторът дължи отговор в едномесечен срок
• Право на изтриване — при определени условия, например изтекъл срок на съхранение (чл. 17 GDPR)
• Право на жалба до КЗЛД — при всяко нарушение, безплатно; как става това на практика — в ръководството ни за жалбата до КЗЛД
• Право на обезщетение — при претърпени вреди от незаконно видеонаблюдение (чл. 82 GDPR)

Какви санкции налага КЗЛД при нарушения?

Директен отговор: Таванът по чл. 83, § 5 GDPR е до 20 млн. евро или 4% от световния оборот. Реално наложените от КЗЛД през 2025 г. глоби варират от около 256 EUR до около 51 130 EUR (500 лв. – 100 000 лв.), като при първи битови нарушения Комисията често предпочита задължителни разпореждания. Неизпълнението им обаче е самостоятелно нарушение.

КЗЛД може да наложи глоби до 20 млн. евро или 4% от годишния световен оборот — по-високата от двете суми (чл. 83, параграф 5 GDPR). При по-леки нарушения се издават задължителни предписания. На практика КЗЛД активно санкционира нарушенията — видеонаблюдението е водещата тема в производствата ѝ: по годишния отчет на Комисията за 2025 г. в сектора са постъпили 425 жалби (най-много от всички сектори) и са извършени 361 проверки на място с предмет видеонаблюдение. Наложените през 2025 г. глоби и имуществени санкции в производството по чл. 38 ЗЗЛД варират от около 256 EUR до около 51 130 EUR (500 лв. – 100 000 лв., както към 2026 г. — сумите в отчета за 2025 г. са в левове, преди въвеждането на еврото на 01.01.2026 г.). Как изглеждат реалните наказателни производства в България — в подбраните ни примери за GDPR глоби в България.

Кога да потърсите адвокат?

Ако смятате, че сте обект на незаконно видеонаблюдение — на работното място, във входа на блока, от съсед или в търговски обект — свържете се с нас за консултация. Ще оценим ситуацията и ще ви помогнем да защитите правата си пред КЗЛД или пред съда. Полезно е предварително да съберете доказателства: снимки на камерата и обхвата ѝ, липсата на табела, кореспонденция с администратора. Ако пък сте администратор и очаквате проверка, вижте какво да направите в първите часове на проверка от КЗЛД.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.