Данни и поверителност: България (2026)
В България се прилага Общият регламент за защита на данните (GDPR) на ЕС като основна обвързваща рамка, допълнена от националния Закон за защита на личните данни (ЗЗЛД), който предвижда допустими национални дискреционни правомощия по отношение на данните, свързани с трудовите правоотношения, съгласието на деца за ползване на цифрови услуги, личните идентификационни номера и данните на починали лица. Комисията за защита на личните данни (КЗЛД) е независимият надзорен орган, докато Инспекторатът към Върховния съдебен съвет притежава съвместна компетентност по отношение на обработката на данни от съдебните органи. Транспонирането на NIS2 чрез изменения в Закона за киберсигурността влезе в сила през февруари 2026 г., като интегрира процедурите за докладване на инциденти с уведомяването за нарушения на Общия регламент за защита на данните (GDPR).
Основна рамка
Общият регламент за защита на данните на ЕС (Регламент (ЕС) 2016/679), който се прилага пряко, допълнен от българския Закон за защита на личните данни (ЗЗЛД, Държавен вестник № 17/26.02.2019 г., в сила от 2 март 2019 г.); под надзора на Комисията за защита на личните данни (КЗЛД)
Основни моменти
Основна правна основа
GDPR се прилага пряко като право на ЕС. Националният Закон за защита на личните данни (Държавен вестник № 17/26.02.2019 г.) го допълва, без да повтаря разпоредбите на Общия регламент за защита на данните (GDPR), като упражнява националните правомощия, разрешени съгласно членове 6, параграф 2, 9, параграф 4 и 88, и заменя предишния Закон за защита на личните данни от 2002 г.
Надзорен орган
Комисията за защита на личните данни (КЗЛД) – независим орган, състоящ се от председател и четирима членове – е водещият надзорен орган по отношение на спазването както на Общия регламент за защита на данните (GDPR), така и на Закона за защита на личните данни (ЗЗЛД). Инспекторатът към Върховния съдебен съвет притежава паралелна компетентност изключително по отношение на обработката на данни от съдилища, прокуратури и органи за наказателно разследване, действащи в качеството си на съдебни органи.
Особености на националния закон за защита на личните данни (PDPA)
Законът за защита на личните данни (PDPA) урежда областите, в които Общият регламент за защита на данните (GDPR) предоставя право на преценка на държавите-членки: обработката на данни, свързани с трудовите правоотношения; възрастовата граница от 14 години за даване на съгласие от деца за ползване на услугите на информационното общество; използването на лични идентификационни номера; изключенията, свързани със свободата на изразяване и журналистиката; както и обработката на данни, принадлежащи на починали лица.
Регистър на изпълнителните мерки
Най-голямата санкция по GDPR в България беше глоба в размер на 5,1 милиона лева (~2,61 милиона евро), наложена на Националната агенция по приходите вследствие на незаконен достъп и онлайн разпространение на лични данни на над 6 милиона лица. Рутинните санкции на Комисията за защита на личните данни (КЗЛД) като цяло са били скромни (1 000–10 000 лева), отчасти поради ограничени ресурси и проблеми с управлението в рамките на комисията.
Интегриране на мерките за защита на лицата, подаващи сигнали
От май 2023 г. КПДП е определена и като компетентен контролен орган съгласно българския Закон за защита на лицата, подаващи сигнали за нередности, като по този начин регулаторните ѝ правомощия се разширяват извън сферата на надзора върху личните данни.
NIS2 и хармонизирано докладване на инциденти
Измененията в българския Закон за киберсигурността, транспониращи Директивата NIS2, влязоха в сила на 17 февруари 2026 г. след значително закъснение (Европейската комисия издаде мотивирано становище за нетранспониране през май 2025 г.). Рамката установява единен център за уведомяване, който хармонизира задълженията за докладване на нарушения съгласно NIS2, GDPR, DORA и eIDAS.
Тази страница е превод, изготвен за удобство; английската версия е официалната и не представлява правна консултация.