Жалба до КЗЛД — как да я подадете правилно и какво да очаквате

Жалбата до КЗЛД е официално искане до Комисията за защита на личните данни — надзорния орган в България — за проверка на нарушение при обработката на лични данни. Правото на жалба е гарантирано от чл. 77 от Регламент (ЕС) 2016/679 (GDPR) и чл. 38 от ЗЗЛД. По годишния отчет на КЗЛД за 2024 г. са разгледани над 1000 жалби, което я прави основният механизъм за защита на правата на гражданите.

В тази статия ще разгледаме кога имате основание за жалба, какво трябва да съдържа тя, как да я подадете, в какви срокове и какво да очаквате като резултат.

Кога имате основание да подадете жалба

Съгласно чл. 77, пар. 1 от GDPR, всеки субект на данни има право да подаде жалба до надзорен орган, когато счита, че обработването на личните му данни нарушава Регламента. В България този надзорен орган е Комисията за защита на личните данни (КЗЛД).

Най-честите основания за жалба включват:

• Обработване на лични данни без правно основание (нарушение на чл. 6 от GDPR) — например изпращане на нежелани маркетингови съобщения без съгласие
• Отказ да бъдат удовлетворени правата ви като субект на данни (право на достъп, коригиране, изтриване по чл. 15–22 от GDPR)
• Изтечка на лични данни, при която не сте били уведомени съгласно чл. 34 от GDPR
• Неправомерно видеонаблюдение — през 2024 г. пред КЗЛД са постъпили около 345 жалби, свързани с видеонаблюдение
• Предоставяне на личните ви данни на трети лица без ваше знание
• Незаконосъобразно обработване на данни от работодател, държавен орган или частна компания — вж. нашето ръководство за GDPR одит

Срокове за подаване на жалба

Съгласно чл. 38, ал. 1 от ЗЗЛД, жалбата се подава в срок до 6 месеца от узнаването на нарушението, но не по-късно от 2 години от извършването му. Пропускането на тези срокове е сред най-честите причини КЗЛД да остави жалбата без разглеждане.

Какво трябва да съдържа жалбата

За да бъде допусната за разглеждане, жалбата до КЗЛД трябва да съдържа:

• Имената на подателя — три имена, адрес за кореспонденция, постоянен адрес, телефон и електронна поща (при наличие)
• Естеството на жалбата — описание на нарушението — кой е администраторът, в какво се състои деянието и кои данни са засегнати
• Дата на узнаване на нарушението
• Доказателства — например копия на преписка, скрийншотове, документи
• Подпис на подателя (или КЕП при електронно подаване)

Съгласно практиката на Европейския комитет по защита на данните (ЕКЗД), жалбата трябва да бъде „обоснована" — т.е. да описва обстоятелствата по начин, който позволява на надзорния орган да проведе проверка. Не е необходимо сами да доказвате нарушението — достатъчно е да изложите фактите.

Начини за подаване на жалба

КЗЛД приема жалби по няколко начина:

1. Лично на хартиен носител — в деловодството на КЗЛД на адрес: гр. София 1592, бул. „Проф. Цветан Лазаров" № 2
2. С писмо по пощата — на същия адрес
3. По електронна поща на kzld@cpdp.bg — задължително с квалифициран електронен подпис (КЕП)
4. Чрез портала egov.bg — също с КЕП

Разглеждането на жалбата е напълно безплатно — КЗЛД не събира такси за разглеждане на жалби.

Какво се случва след подаването

След подаването на жалбата, КЗЛД ви уведомява за напредъка по жалбата в разумен срок (чл. 77, пар. 2 GDPR), а самото производство приключва в срок до 6 месеца от образуването, който може да бъде удължен с още 6 месеца (чл. 38, ал. 7 ЗЗЛД) от подаването (чл. 38, ал. 2 от ЗЗЛД, чл. 77, пар. 2 от GDPR). Процесът обикновено включва:

1. Проверка на допустимостта на жалбата
2. Събиране на доказателства и изслушване на страните
3. Проверка на място (при необходимост)
4. Произнасяне на решение от КЗЛД

Какви мерки може да наложи КЗЛД

Ако комисията установи нарушение, тя разполага с широк кръг от коригиращи правомощия по чл. 58, пар. 2 от GDPR и чл. 80 от ЗЗЛД:

• Предупреждение или официално порицание на администратора
• Нареждане за прекратяване на обработването на данните
• Нареждане за изтриване или коригиране на лични данни
• Налагане на административно наказание — глоба или имуществена санкция

Санкциите по GDPR могат да достигнат до 20 000 000 евро или 4% от годишния оборот на дружеството (чл. 83, пар. 5 от GDPR). В българската практика наложените санкции варират между 10 000 лв. и 53 000 лв.

Когато КЗЛД остави жалбата без уважение

Ако КЗЛД не уважи жалбата ви, имате право да обжалвате решението пред Върховния административен съд (ВАС) като първа инстанция (чл. 38, ал. 6 ЗЗЛД във вр. с чл. 132, ал. 2, т. 2 АПК) в 14-дневен срок по чл. 149, ал. 1 АПК; ако решението е наказателно постановление по ЗАНН — обжалване в 7-дневен срок пред районния съд (чл. 59, ал. 2 ЗАНН) от връчването на решението, по реда на Административнопроцесуалния кодекс (АПК).

Съгласно чл. 78 от GDPR, всеки субект на данни има право на ефективна съдебна защита, когато надзорният орган не разглежда жалбата му или не го информира в рамките на 3 месеца.

Може ли да получите обезщетение

Важно е да се знае, че КЗЛД не присъжда обезщетения на жалбоподателите. Ако сте претърпели материални или нематериални вреди, правото на обезщетение се упражнява пред гражданския съд, съгласно чл. 82 GDPR и чл. 39 ЗЗЛД (във връзка с чл. 45 ЗЗД). Можете да подадете жалба до КЗЛД и иск за обезщетение пред съда едновременно.

Практически съвети преди подаване на жалба

• Първо се обърнете към администратора на данни — подайте искане за упражняване на правата ви по чл. 15–22 от GDPR. Ако не получите отговор в едномесечен срок (чл. 12, пар. 3 GDPR; срокът може да бъде удължен с още два месеца при сложни искания), тогава подайте жалба до КЗЛД
• Събирайте доказателства още от началото — запазвайте всяка преписка, скрийншотове и документи
• Опишете конкретно нарушението — посочете кой е администраторът, какво точно е извършил, какви данни са засегнати
• Обмислете консултация с адвокат, специализиран в защита на личните данни — особено ако случаят е сложен или включва иск за обезщетение

Ако считате, че личните ви данни са били нарушени и имате нужда от професионална помощ при подаването на жалба до КЗЛД, не се колебайте да се свържете с нас за консултация. Ние ще ви помогнем да защитите правата си ефективно.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали. Заедно консултират над 90 компании за пълно GDPR съответствие.