Жалба до КЗЛД — как да я подадете правилно и какво да очаквате

Жалбата до КЗЛД е официално искане до Комисията за защита на личните данни — надзорния орган в България — за проверка на нарушение при обработката на лични данни. Правото на жалба е гарантирано от чл. 77 от Регламент (ЕС) 2016/679 (GDPR) и чл. 38 от ЗЗЛД. Подаването е безплатно, а по данни от годишния отчет на КЗЛД през 2024 г. комисията е сезирана с 1080 жалби — устойчив ръст спрямо 900 през 2023 г. и 770 през 2022 г. Ръководството по-долу минава през цялата процедура както към август 2026 г.: основания, срокове, съдържание, подаване, произнасяне, обжалване и обезщетение.

Кога имате основание да подадете жалба до КЗЛД?

Кратък отговор: винаги, когато считате, че администратор или обработващ нарушава правилата за обработване на личните ви данни. Чл. 77, пар. 1 от GDPR не изисква да докажете нарушението предварително — достатъчно е обосновано да изложите фактите, а проверката е задача на надзорния орган.

Съгласно чл. 77, пар. 1 от GDPR, всеки субект на данни има право да подаде жалба до надзорен орган, когато счита, че обработването на личните му данни нарушава Регламента. В България този надзорен орган е Комисията за защита на личните данни (КЗЛД).

Най-честите основания за жалба включват:

• Обработване на лични данни без правно основание (нарушение на чл. 6 от GDPR) — например изпращане на нежелани маркетингови съобщения без съгласие
• Отказ да бъдат удовлетворени правата ви като субект на данни (право на достъп, коригиране, изтриване по чл. 15–22 от GDPR)
• Изтечка на лични данни, при която не сте били уведомени съгласно чл. 34 от GDPR
• Неправомерно видеонаблюдение — традиционно сред най-честите поводи за жалби според годишните отчети на КЗЛД
• Предоставяне на личните ви данни на трети лица без ваше знание
• Незаконосъобразно обработване на данни от работодател, държавен орган или частна компания — вж. нашето ръководство за GDPR одит

Жалба или сигнал — каква е разликата?

Кратък отговор: жалба подава засегнатото лице — тя поставя началото на административно производство, което завършва с решение, подлежащо на съдебен контрол. Сигнал може да подаде всеки, който е узнал за нарушение спрямо други лица — по него КЗЛД преценява дали да извърши проверка по собствена инициатива.

Разграничението има практическо значение. Ако нарушението засяга вашите данни, подайте жалба — само тя ви прави страна в производството, с право да бъдете уведомявани и да обжалвате резултата. Ако сте узнали за нарушение спрямо трети лица (например работодател, който следи колегите ви, или сайт, който изтича чужди данни), подходящият инструмент е сигнал — комисията може да се самосезира, но не дължи произнасяне с решение към подателя.

В какъв срок се подава жалбата?

Съгласно чл. 38, ал. 1 от ЗЗЛД, жалбата се подава в срок до 6 месеца от узнаването на нарушението, но не по-късно от 2 години от извършването му. Пропускането на тези срокове е сред най-честите причини КЗЛД да остави жалбата без разглеждане.

Какво трябва да съдържа жалбата?

Кратък отговор: три имена и адрес за кореспонденция на подателя, описание на нарушението — кой е администраторът, в какво се състои деянието, кои данни са засегнати — дата на узнаване, доказателства и подпис. На хартия подписът е саморъчен; по електронен път се изисква квалифициран електронен подпис (КЕП).

За да бъде допусната за разглеждане, жалбата до КЗЛД трябва да съдържа:

• Имената на подателя — три имена, адрес за кореспонденция, постоянен адрес, телефон и електронна поща (при наличие)
• Естеството на жалбата — описание на нарушението — кой е администраторът, в какво се състои деянието и кои данни са засегнати
• Дата на узнаване на нарушението
• Доказателства — например копия на преписка, скрийншотове, документи
• Подпис на подателя (или КЕП при електронно подаване)

Съгласно практиката на Европейския комитет по защита на данните (ЕКЗД), жалбата трябва да бъде „обоснована" — т.е. да описва обстоятелствата по начин, който позволява на надзорния орган да проведе проверка. Не е необходимо сами да доказвате нарушението — достатъчно е да изложите фактите.

Ако жалбата има отстраними нередовности (например липсващ реквизит), комисията дава указания и определя срок за отстраняването им — неизпълнението може да доведе до оставяне на жалбата без разглеждане. Затова е по-евтино да я подадете пълна от първия път.

Какво да приложите към жалбата — чеклист

Кратък отговор: всичко, което документира нарушението и хронологията — кореспонденцията с администратора, екранни снимки с видима дата, договори и доказателство за момента на узнаване. Комисията събира доказателства и служебно, но пълната преписка прави проверката по-бърза и жалбата по-трудна за отхвърляне.

• Копие от искането ви до администратора по чл. 15–21 от GDPR и полученият отговор — или доказателство, че отговор липсва (вж. съвет 1 по-долу)
• Екранни снимки с видими дата и адрес (URL) на страницата — при онлайн нарушения
• Пълната кореспонденция: имейли, SMS съобщения, писма — с дати, податели и получатели
• Договори, фактури или общи условия, показващи отношението ви с администратора
• Документ, който фиксира датата на узнаване — например имейлът или уведомлението, от което сте научили за нарушението
• Пълномощно, ако жалбата се подава чрез представител
• Опис на всички приложения — номерирани, в реда на цитирането им в жалбата

Как се подава жалбата до КЗЛД?

Кратък отговор: по четири канала — лично в деловодството на КЗЛД, по пощата, по електронна поща с КЕП или чрез портала за електронни услуги. Внимание: сканирана жалба, изпратена по имейл без квалифициран електронен подпис, не се разглежда. Разглеждането е безплатно.

Според официалната страница на КЗЛД за подаване на жалби и сигнали, комисията приема жалби по няколко начина:

1. Лично на хартиен носител — в деловодството на КЗЛД на адрес: гр. София 1592, бул. „Проф. Цветан Лазаров" № 2
2. С писмо по пощата — на същия адрес
3. По електронна поща на kzld@cpdp.bg — задължително като електронен документ, подписан с квалифициран електронен подпис (КЕП), а не сканирано копие
4. Чрез портала egov.bg — също с КЕП

Разглеждането на жалбата е напълно безплатно — КЗЛД не събира такси за разглеждане на жалби.

Практически съвети преди подаване на жалба

Кратък отговор: преди да подадете жалбата, отправете искане до самия администратор, съберете и датирайте доказателствата, сметнете сроковете си и опишете хронологията фактически. Тези четири стъпки едновременно увеличават шанса проблемът да се реши бързо и правят жалбата ви значително по-силна, ако до нея все пак се стигне.

1. Първо се обърнете към администратора — това е по-бързият път

Подайте искане за упражняване на правата ви по чл. 15–21 от GDPR (достъп, коригиране, изтриване, ограничаване, възражение) директно до администратора. Той е длъжен да отговори в едномесечен срок — чл. 12, пар. 3 от GDPR, с възможност за удължаване с още два месеца при сложни искания. Ползата е двойна: много нарушения се отстраняват на този етап без никакво производство, а ако администраторът мълчи или откаже, самият отказ се превръща в готово доказателство, което прави жалбата ви пред КЗЛД съществено по-силна.

2. Документирайте доказателствата от първия ден

Правете екранни снимки с видими дата и адрес на страницата, съхранявайте оригиналните имейли (не само препратени копия) и пазете цялата кореспонденция. Съдържание в интернет се редактира и изтрива — доказателството, което не сте фиксирали навреме, по-късно често вече не съществува. Ако нарушението е продължаващо (например обява с ваши данни, която стои публикувана), документирайте го на няколко различни дати.

3. Сметнете сроковете си още сега

Фиксирайте писмено датата, на която сте узнали за нарушението — от нея тече 6-месечният срок по чл. 38, ал. 1 от ЗЗЛД. Проверете и 2-годишния таван от извършването: при стари нарушения той може да изтече по-рано от 6-те месеца. Изчакването на отговор от администратора (съвет 1) не спира тези срокове, затова ги съобразете едновременно — при съмнение подайте жалбата по-рано.

4. Опишете хронологията фактически, не емоционално

Подредете изложението по дати: кога какво се е случило, кой е администраторът (с ЕИК, ако е дружество), кои ваши данни са засегнати, какво сте предприели. Оставете правната квалификация на комисията — тя не е обвързана от посочените от вас членове. Фактически точното, неутрално изложение се проверява по-бързо от емоционалното.

5. Обмислете предварително пътя: КЗЛД или съд

Ако основната ви цел е обезщетение, преценете последователността на действията си, преди да подадете каквото и да е — чл. 39, ал. 4 от ЗЗЛД не допуска съдът да бъде сезиран при висящо производство пред комисията за същото нарушение (повече в секцията за обезщетение). При по-сложен казус консултацията с адвокат, специализиран в защита на личните данни, на този ранен етап струва най-малко и спестява най-много.

Ако считате, че личните ви данни са били нарушени и имате нужда от професионална помощ при подаването на жалба до КЗЛД, не се колебайте да се свържете с нас за консултация. Ще ви помогнем да прецените пътя и да защитите правата си.

Какво се случва след подаването?

Кратък отговор: комисията проверява допустимостта, събира доказателства, изслушва страните и се произнася с решение. За напредъка или резултата ви уведомява в срок до 3 месеца (чл. 77, пар. 2 от GDPR), а производството приключва по правило до 6 месеца от образуването, с възможност за удължаване с още 6 месеца.

Процесът обикновено включва:

1. Проверка на допустимостта на жалбата (срокове, реквизити, компетентност)
2. Събиране на доказателства и изслушване на страните — администраторът получава копие и дава становище
3. Проверка на място (при необходимост)
4. Произнасяне на решение от КЗЛД

Сроковете за произнасяне и уведомяване са потвърдени и в правния коментар на Lex.bg: производството приключва в срок до 6 месеца от образуването, който може да бъде удължен с още 6 месеца, а за напредъка комисията информира жалбоподателя в 3-месечен срок.

Таблица: всички срокове по процедурата

Обобщение на сроковете, потвърдени в закона и актуалната практика — както към август 2026 г.:

Какви мерки може да наложи КЗЛД?

Кратък отговор: при установено нарушение комисията може да отправи предупреждение или порицание, да разпореди прекратяване на обработването, изтриване или коригиране на данни, както и да наложи глоба или имуществена санкция — до 20 000 000 евро или 4% от годишния световен оборот, което от двете е по-високо (чл. 83, пар. 5 GDPR).

Пълният кръг коригиращи правомощия е по чл. 58, пар. 2 от GDPR и чл. 80 от ЗЗЛД:

• Предупреждение или официално порицание на администратора
• Нареждане за прекратяване на обработването на данните
• Нареждане за изтриване или коригиране на лични данни
• Налагане на административно наказание — глоба или имуществена санкция

В публикуваната българска практика наложените санкции по жалби на граждани най-често варират между 10 000 лв. (≈5 112 EUR) и 53 000 лв. (≈27 099 EUR) — исторически суми в лева отпреди въвеждането на еврото — реални примери разглеждаме в статията за GDPR глобите в България.

Какво да направите, ако КЗЛД остави жалбата без уважение?

Кратък отговор: решението на КЗЛД по жалба подлежи на обжалване по реда на АПК в 14-дневен срок от съобщаването му. В актуалните си решения комисията посочва като компетентна първа инстанция Административен съд – София-град, като жалбата се подава чрез самата КЗЛД; решението на съда подлежи на касационно обжалване пред Върховния административен съд.

Отделен режим важи, когато санкцията е наложена с наказателно постановление по реда на ЗАНН: то се обжалва пред районния съд по местоизвършване на нарушението в 14-дневен срок от връчването (чл. 59 ЗАНН — срокът беше удължен от 7 на 14 дни с изменението от края на 2021 г., ДВ, бр. 109 от 2021 г.).

Съгласно чл. 78 от GDPR, всеки субект на данни има право на ефективна съдебна защита и когато надзорният орган не разглежда жалбата му или не го информира в рамките на 3 месеца за напредъка или резултата.

Може ли да получите обезщетение?

Кратък отговор: не и от КЗЛД — комисията не присъжда обезщетения на жалбоподателите. Материални и нематериални вреди от нарушение на GDPR се търсят с иск пред гражданския съд на основание чл. 82 от GDPR във връзка с чл. 39 от ЗЗЛД. Изборът и последователността на двата пътя обаче имат значение.

Важната уговорка: чл. 39, ал. 4 от ЗЗЛД предвижда, че съдът не може да бъде сезиран при висящо производство пред комисията за същото нарушение. Двата пътя за защита не вървят механично успоредно — ако планирате и жалба, и иск, последователността е стратегическо решение, което е добре да вземете преди първата стъпка, а не след нея. Как се изчислява и доказва обезщетението разглеждаме подробно в статията за обезщетение при нарушение на GDPR.

Колко жалби получава КЗЛД?

Кратък отговор: тенденцията е устойчив ръст — 770 жалби през 2022 г., 900 през 2023 г. и 1080 през 2024 г. по данни от годишния отчет на комисията. Растящият поток прави прецизната, пълна и добре документирана жалба още по-важна, за да мине бързо през проверката за допустимост.

Числата са от годишния отчет на КЗЛД за 2024 г. — жалбите са подадени от физически лица, включително чуждестранни граждани, с твърдения за нарушения при обработване на лични данни и упражняване на права. Комисията публикува отчетите си на cpdp.bg; преди да се позовете на статистика, проверявайте последното издание.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали. Заедно консултират над 90 компании за пълно GDPR съответствие.