Жалба до КЗЛД — как да я подадете правилно и какво да очаквате

Жалбата до КЗЛД е официално искане до Комисията за защита на личните данни — надзорния орган в България — за проверка на нарушение при обработката на лични данни. Правото на жалба е гарантирано от чл. 77 от Регламент (ЕС) 2016/679 (GDPR) и чл. 38 от ЗЗЛД. Само през 2024 г. КЗЛД е разгледала над 1080 жалби, което я прави основният механизъм за защита на правата на гражданите.

В тази статия ще разгледаме кога имате основание за жалба, какво трябва да съдържа тя, как да я подадете, в какви срокове и какво да очаквате като резултат.

Кога имате основание да подадете жалба

Съгласно чл. 77, пар. 1 от GDPR, всеки субект на данни има право да подаде жалба до надзорен орган, когато счита, че обработването на личните му данни нарушава Регламента. В България този надзорен орган е Комисията за защита на личните данни (КЗЛД).

Най-честите основания за жалба включват:

• Обработване на лични данни без правно основание (нарушение на чл. 6 от GDPR) — например изпращане на нежелани маркетингови съобщения без съгласие
• Отказ да бъдат удовлетворени правата ви като субект на данни (право на достъп, коригиране, изтриване по чл. 15–22 от GDPR)
• Изтечка на лични данни, при която не сте били уведомени съгласно чл. 34 от GDPR
• Неправомерно видеонаблюдение — през 2024 г. от 345 жалби по този въпрос пред КЗЛД
• Предоставяне на личните ви данни на трети лица без ваше знание
• Незаконосъобразно обработване на данни от работодател, държавен орган или частна компания — вж. нашето ръководство за GDPR одит

Срокове за подаване на жалба

Съгласно чл. 38, ал. 1 от ЗЗЛД, жалбата се подава в срок до 6 месеца от узнаването на нарушението, но не по-късно от 2 години от извършването му. Това е важно да се знае, тъй като пропускането на тези срокове е сред най-честите причини жалбите да бъдат оставяни без разглеждане.

Какво трябва да съдържа жалбата

За да бъде допусната за разглеждане, жалбата до КЗЛД трябва да съдържа:

• Имената на подателя — три имена, адрес за кореспонденция, постоянен адрес, телефон и електронна поща (при наличие)
• Естеството на жалбата — конкретно описание на нарушението: кой е администраторът на данни, какво точно е извършил, какви данни са засегнати
• Дата на узнаване на нарушението
• Доказателства — например копия на преписка, скрийншотове, документи
• Подпис на подателя (или КЕП при електронно подаване)

Съгласно практиката на Европейския комитет по защита на данните (ЕКЗД), жалбата трябва да бъде „обоснована" — т.е. да описва обстоятелствата по начин, който позволява на надзорния орган да проведе проверка. Не е необходимо да доказвате нарушението — достатъчно е да представите обстоятелствата.

Начини за подаване на жалба

КЗЛД приема жалби по няколко начина:

1. Лично на хартиен носител — в деловодството на КЗЛД на адрес: гр. София 1592, бул. „Проф. Цветан Лазаров" № 2
2. С писмо по пощата — на същия адрес
3. По електронна поща на kzld@cpdp.bg — задължително с квалифициран електронен подпис (КЕП)
4. Чрез портала egov.bg — също с КЕП

Разглеждането на жалбата е напълно безплатно — КЗЛД не събира такси за разглеждане на жалби.

Какво се случва след подаването

След подаването на жалбата, КЗЛД е длъжна да ви информира за напредъка или резултата в 3-месечен срок от подаването (чл. 38, ал. 2 от ЗЗЛД, чл. 77, пар. 2 от GDPR). Процесът обикновено включва:

1. Проверка на допустимостта на жалбата
2. Събиране на доказателства и изслушване на страните
3. Проверка на място (при необходимост)
4. Произнасяне на решение от КЗЛД

Какви мерки може да наложи КЗЛД

Ако комисията установи нарушение, тя разполага с широк кръг от коригиращи правомощия по чл. 58, пар. 2 от GDPR и чл. 80 от ЗЗЛД:

• Предупреждение или официално порицание на администратора
• Нареждане за прекратяване на обработването на данните
• Нареждане за изтриване или коригиране на лични данни
• Налагане на административно наказание — глоба или имуществена санкция

Санкциите по GDPR могат да достигнат до 20 000 000 евро или 4% от годишния оборот на дружеството (чл. 83, пар. 5 от GDPR). В българската практика КЗЛД е налагала санкции от 10 000 лв. до 53 000 лв. за нарушения на правилата за обработване на лични данни.

Когато КЗЛД остави жалбата без уважение

Ако КЗЛД не уважи жалбата ви, имате право да обжалвате решението пред Административен съд — гр. София (АССГ) в 14-дневен срок от връчването на решението, по реда на Административнопроцесуалния кодекс (АПК).

Съгласно чл. 78 от GDPR, всеки субект на данни има право на ефективна съдебна защита, когато надзорният орган не разглежда жалбата му или не го информира в рамките на 3 месеца.

Може ли да получите обезщетение

Важно е да се знае, че КЗЛД не присъжда обезщетения на жалбоподателите. Ако сте претърпели материални или нематериални вреди, правото на обезщетение се упражнява пред гражданския съд, съгласно чл. 82 от GDPR и чл. 79 от ЗЗЛД. Това означава, че можете паралелно да подадете жалба до КЗЛД и иск за обезщетение пред съда.

Практически съвети преди подаване на жалба

• Първо се обърнете към администратора на данни — подайте искане за упражняване на правата ви по чл. 15–22 от GDPR. Ако не получите отговор в едномесечен срок (чл. 12, пар. 3 от GDPR), тогава подайте жалба до КЗЛД
• Събирайте доказателства още от началото — запазвайте всяка преписка, скрийншотове и документи
• Опишете конкретно нарушението — посочете кой е администраторът, какво точно е извършил, какви данни са засегнати
• Обмислете консултация с адвокат, специализиран в защита на личните данни — особено ако случаят е сложен или включва иск за обезщетение

Ако считате, че личните ви данни са били нарушени и имате нужда от професионална помощ при подаването на жалба до КЗЛД, не се колебайте да се свържете с нас за консултация. Ние ще ви помогнем да защитите правата си ефективно.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.