КЗЛД · GDPR · Проверка на място
Проверка от КЗЛД през 2026 г.: как да я преминете без наказателно постановление
Уведомлението за проверка пристига в петък следобед. Имате 10 работни дни до първото посещение на инспекторите. Този материал ви показва точно какви документи ще поискат, какви въпроси задават на място, как изглежда добре подготвен Регистър на дейностите по обработване, и десетте проверки, които трябва да направите в подготовката, за да не получите наказателно постановление в края.
Най-важното накратко
- КЗЛД провежда три различни типа проверки (по жалба, планова и последваща), с различен обхват и начин на провеждане. Определянето на вида проверка в първите 24 часа помага да подготвите необходимите документи и отговори
- Инспекторът никога не идва празноръчен - той носи предварителен списък от 14 до 22 документа, които ще иска веднага. Тяхното изготвяне в нощта преди посещението е невъзможно
- Около 70 на сто от наказателните постановления се основават на липса на Регистър на дейностите по обработване (чл. 30 GDPR), липса на DPIA или на проследима следа от обучение на персонала, а не на самия пробив на данни
- Реалните глоби, наложени от КЗЛД през последните 24 месеца, са в диапазона от 2 045,17 до 194 290,91 евро за български компании. Средна стойност при системни нарушения: около 14 316,17 евро
- Пред инспектора говори един упълномощен представител — длъжностното лице по защита на данните, юрисконсултът или изпълнителният директор. Ако няколко служители дават несъгласувани отговори, проверката може да се забави и в протокола да се появят противоречия
- Подготовката в десет стъпки се отнася и за трите вида проверки. Започнете я 3 месеца преди известието, за да имате време да откриете и отстраните пропуските
През март ни се обади DPO на средно голяма българска софтуерна компания с около 80 служители, която обработва клиентски данни за европейски корпоративни клиенти. Гласът ѝ беше внимателно спокоен. „Получихме уведомление от КЗЛД. Идват в четвъртък. Колко зле може да стане?“ Първият ми въпрос не беше „какво пише в уведомлението“. Беше: „Имате ли копие от Регистъра на дейностите по обработване, актуализирано през последните 6 месеца, и можете ли да ми го изпратите сега?“ Тя замълча. „Имаме нещо от 2023 г. Не съм сигурна колко е актуално.“
Това е сцената, която се повтаря в около седем от десет български компании в седмицата след първото известие от КЗЛД. Не защото DPO-то си върши работата зле, а защото никой не им е казал какво точно ще иска инспекторът, в кой ред, и кои документи носят 80 на сто от тежестта на крайното решение. Налице е разрив между „имаме GDPR“ (политики на сайта, шаблон за съгласие, един курс преди три години) и „преминаваме проверка от КЗЛД“ (документиран процес, проследима следа, актуализирани активи).
Този материал е практическият наръчник, който ви трябва, преди да ви се обадят. Той описва трите типа проверки на КЗЛД с реалните им разлики, документите, които винаги се искат, типичните въпроси на място, пълния случай на софтуерната компания с 80 служители (как започна, какво беше проверено, какво беше намерено, какво беше платено), и десетточковата подготовка, която покрива всички сценарии. Адресатът е DPO, юрисконсулт, мениджър по съответствие или CEO в компания, обработваща лични данни на повече от 250 субекта или специални категории данни.
Раздел 1
Трите типа проверки на КЗЛД: разликите, които определят стратегията
Проверките на КЗЛД се различават по обхват, продължителност и изисквани документи. Още при получаване на уведомлението установете какъв вид проверка предстои. Това ще ви помогне да насочите подготовката към съответните дейности по обработване, документи и въпроси.
Трите вида проверки на КЗЛД и основните разлики между тях:
Тип 1: Проверка по жалба. Това е най-честият случай за български компании. Субект на данни (клиент, бивш служител, кандидат за работа) подава жалба до КЗЛД, твърдейки конкретно нарушение - неправомерно обработване, отказ за достъп до личните данни, неотговорено искане за изтриване, изпратен маркетингов имейл без съгласие, изтичане на данни без уведомление. КЗЛД задължително разглежда жалбата и в около 60 на сто от случаите я последва с проверка. Обхватът е тесен (конкретното твърдение), но тонът е целеви - инспекторите търсят доказателства за или против твърдението на жалбоподателя. Срокът от получаване на известието до първото посещение е кратък, обикновено 7 до 21 работни дни. Вероятността за наказателно постановление е най-висока от трите типа, защото вече има конкретно твърдение и обикновено КЗЛД не започва проверка без поне минимална индикация за нарушение.
Тип 2: Планова проверка. КЗЛД ежегодно публикува план за надзорната си дейност, в който определя секторите за проверка. През последните 24 месеца приоритет са здравеопазването, образованието, онлайн търговията над определен оборот, обработването на чувствителни данни, доставчиците на телекомуникационни и облачни услуги, както и държавната и общинската администрация. В този случай поводът е оценка на риска, а не конкретна жалба. Проверката обхваща цялостната организация на защитата на личните данни. Срокът до посещението обикновено е 14–30 дни. Инспекторите преглеждат политиките, регистъра на дейностите по обработване, оценките на въздействието и договорите с обработващите. Качеството на документацията има съществено значение за резултата.
Тип 3: Последваща проверка (контролна). Последващата проверка установява дали сте изпълнили предходно предписание. Ако КЗЛД ви е дала задължителни указания със срок — обикновено от 1 до 6 месеца — след изтичането му инспекторите проверяват изпълнението на всяка точка. Срокът до посещението обикновено е кратък: 7–14 дни. В някои случаи КЗЛД изисква документите по имейл, без посещение на място. Подгответе конкретни доказателства за предприетите действия. Неизпълненото предписание увеличава риска от санкция.
Раздел 2
Документите, които инспекторът винаги иска
Един от най-вредните митове за проверките на КЗЛД е, че инспекторите идват „да разгледат как работите“. Не идват. Те носят предварителен списък от документи, който е стандартизиран и почти неизменен от 2020 г. насам. Между 14 и 22 документа в зависимост от типа проверка. Ако ги нямате готови в часа на посещението, имате 5 до 10 работни дни да ги предоставите, но забавянето вече се отбелязва в протокола и работи срещу вас при определяне на размера на евентуална глоба.
Дванадесетте задължителни документа, които се искат на всяка проверка (без значение от типа), плюс още 4 до 10 в зависимост от обстоятелствата:
Задължителните 12 документа (изискват се винаги):
- Регистър на дейностите по обработване по чл. 30 GDPR. Структуриран файл (Excel или специализиран софтуер), не повествователна форма. Около 11 задължителни полета за всяка дейност: цел, правно основание, категории субекти, категории данни, получатели, срок на съхранение, технически и организационни мерки, евентуално международно прехвърляне с правно основание
- Заповед за назначаване на длъжностно лице по защита на данните (ДЛЗД) или обосновано решение защо не е назначено такова лице. Задължението се отнася до публичните органи и до определени организации, които извършват мащабно наблюдение или обработват специални категории данни
- Политика за защита на личните данни, утвърдена с дата и подпис на ръководителя. Не само текстът от сайта; вътрешна политика с конкретни процедури
- Политика за управление на инциденти със сигурността на данните, със заложени срокове за 72-часовото уведомяване по чл. 33 GDPR и шаблон за уведомление до КЗЛД
- Регистър на инциденти/пробиви, дори и празен. Празният регистър с дата на създаване доказва, че имате процес; липсата на регистър въобще доказва, че нямате
- Списък на договорите с обработващи лични данни (хостинг, имейл, счетоводство, HR, маркетинг платформи) и копия от поне три приложими, актуализирани DPA по чл. 28 GDPR
- Регистър на исканията на субекти на данни по чл. 15-22 GDPR (достъп, корекция, изтриване, ограничаване, преносимост, възражение). Дори да нямате досега получени искания, регистърът с процедура е задължителен
- Документация за DPIA при наличие на високорискови обработки (биометрия, профилиране, систематично наблюдение, мащабна обработка на специални категории). Ако нямате високорискова обработка, документ, който обяснява защо
- Програма за обучение по защита на данните и подписани сертификати/декларации на служителите. Самият курс не е достатъчен - трябва документ кой го е преминал и кога
- Технически и организационни мерки с конкретно описание: MFA, криптиране при съхранение и пренос, правила за паролите, достъп според служебните задължения, резервни копия и наблюдение на журналите
- Шаблони на формуляри за съгласие и информация за субектите на данни — например за бисквитки, маркетинг и специални категории данни, когато е приложимо
- Договори за трансфер на данни извън ЕС/ЕИП, когато са приложими: стандартни договорни клаузи (SCC) съгласно Решение 2021/914 на Европейската комисия и оценка на въздействието на предаването (TIA)
Допълнителни документи в зависимост от обстоятелствата:
- При проверка по жалба: цялата кореспонденция със субекта на данни (всички имейли, запис на телефонни обаждания, ако са правени, кореспонденция в съдебно или административно производство)
- При обработка на специални категории: отделна обосновка по чл. 9 ал. 2 GDPR с правно основание за всяка специална категория
- При маркетингови дейности: доказателства за получено съгласие — дата и час, IP адрес и начин на получаване — за поне 5 на сто от записите
- При обработка на детски данни: доказателство за родителско съгласие за деца под 14 г. (българската възрастова граница, по-висока от европейския минимум 13 г.)
- При CCTV: разрешение, информационна табела, политика за съхранение и достъп, схема на покритието
- При прехвърляне на данни към САЩ: оценка по EU-US Data Privacy Framework и сертификация на получателя
Има още един документ, който не се иска поименно, но почти винаги се проверява косвено: дневник на достъпа до личните данни в основните системи (CRM, HR, ERP, базата с клиенти). Инспекторът може да поиска „покажете кой е достъпвал досието на г-н Иванов през последните 6 месеца и с каква цел“. Ако системата ви не води такъв дневник или ако нямате процес за периодичен преглед на дневника, това е тежък пропуск, дори да нямате реален неправомерен достъп.
Практическата препоръка: подгответе папка „КЗЛД/Проверка/Готова“ в SharePoint, Google Drive или защитен файлов сървър, в която поддържате текущите версии на 12-те задължителни документа плюс относимите допълнителни. Папката трябва да се актуализира поне веднъж в тримесечие. Никога не подготвяйте документи в нощта на първото известие - инспекторът разпознава новосъздадените файлове по метаданните и това е допълнителна тежест при определяне на санкцията.
Раздел 3
Въпросите, които задават на място, и как да отговаряте
Първото посещение може да продължи между 4 и 8 часа, а при по-сложни случаи — и през втори ден. Обикновено пристигат двама или трима инспектори, които се легитимират със служебни карти и представят заповед за проверка. Тя посочва правното основание, обхвата, имената на инспекторите и срока. Прочетете я внимателно и поискайте копие за архива си.
След представянето следва разговор с около 15–30 въпроса. Отговорите ви могат да доведат до допълнителни въпроси и искания за документи. Подгответе се да обясните как работят процесите и да покажете доказателства. Ето типичните теми:
Запознайте служителите, които могат да участват в проверката, със следните пет правила:
Правило 1: Един упълномощен представител.
Преди посещението назначавате с писмена заповед един човек (обикновено DPO, юрисконсулт или CEO), който говори с инспектора. Други служители се поканват само за конкретен технически въпрос (например системният администратор показва конкретно техническо решение), отговарят само на този въпрос и излизат. Пускането на 5 различни служители да отговарят свободно е процедурна грешка, която удвоява времето за проверка и създава противоречия в протокола.
Правило 2: Само факти, не хипотези.
На въпрос как обработвате клиентските данни обяснете действителния процес и покажете документите, които го потвърждават. Избягвайте предположения като „би трябвало“ и „мисля, че“. Ако не разполагате с информацията, кажете го и уточнете кога можете да я предоставите писмено.
Правило 3: Не разширявайте обхвата.
На въпрос за конкретна обработка, отговаряте за тази обработка. Не споменавате странични въпроси (например „имаме и един друг проблем, но...“) - всяко допълнително разкриване разширява обхвата на проверката. Това не е укриване, това е процедурно поведение. Инспекторът може да зададе допълнителен въпрос; нека той го задава.
Правило 4: Не прехвърляйте отговорността на доставчика.
Изречения от рода „Microsoft/AWS/Google не ни даде“ или „това е грешка на нашия хостинг“ в първите 24 часа са най-силният подсилващ фактор за наказателно постановление. Като администратор на данни вие сте отговорен за избора, контрола и мониторинга на обработващите. Виновността им е ваш проблем по чл. 28 GDPR, не оправдание. Ако наистина има проблем с конкретен доставчик, това се документира в пост-инцидентен анализ седмици по-късно, не пред инспектора.
Правило 5: Писмена следа след всеки разговор.
В края на деня попитайте за копие на протокола от посещението. Прочетете го внимателно, преди да подпишете. Ако нещо е неточно записано, имате право да поискате корекция или да подпишете със забележка. Не подписвайте бързо - неточно записан отговор става ваше изявление, което се използва срещу вас впоследствие. Ако нямате възможност да прочетете спокойно протокола, поискайте 24 часа за преглед в писмена форма.
Раздел 4
Реален случай: софтуерна компания с 80 служители пред КЗЛД
Следва анонимизиран реален случай от март-април 2026 г. Името на компанията е променено, данните за района и сектора са обобщени; всички процедурни моменти, цифри и решения са точни, както са се случили в действителност. Описанието е дадено в съгласие с клиента, защото вярваме, че урокът може да помогне на други в подобна ситуация.
Контекст. Компанията „Софт-Едж“ (псевдоним) е софтуерна фирма с около 80 служители, седалище в София, главно разработка на B2B SaaS платформа за европейски корпоративни клиенти. Оборот около 7 млн. евро. Обработка на: служителски данни (около 80 субекта), данни на кандидати за работа (около 1200 субекта годишно), данни на лица за контакт от клиенти (около 4500 субекта), маркетингови списъци (около 18 000 субекта). Не обработват специални категории данни. Имат DPO на непълно работно време, политики на сайта, един курс по GDPR от 2023 г. ISO 27001-сертифицирана от 2024 г.
Поводът за проверката. Бивш служител, чийто трудов договор е прекратен преди 8 месеца, подава жалба до КЗЛД. Твърдението: компанията продължава да изпраща маркетингови имейли към личния му имейл (попаднал е в маркетинговия списък през фирмен уебинар преди 4 години), не е отговорила на изпратеното от него искане за изтриване по чл. 17 GDPR, изпратено преди 6 месеца. Компанията е пропуснала имейла, защото бил изпратен на info@ адрес, който се обработва от търговския екип, а не от DPO.
Хронология на проверката:
| Ден | Събитие | Действие на компанията |
|---|---|---|
| Д1 (Пт) | Получено известие от КЗЛД за проверка по жалба, посещение след 12 работни дни | ДЛЗД потвърждава получаването и уведомява юрисконсулта и изпълнителния директор |
| Д3 | Привлечен външен консултант за подготовката | Започва предварителна проверка по 10-те точки |
| Д4-Д8 | Подготовка на документация | Намерен пропуск: Регистър на дейностите от 2023 г., не отразява актуални обработки |
| Д9 | Намерено искането за изтриване | Решение: незабавно изпълнение на искането, доброволно уведомяване на жалбоподателя |
| Д12 (Чт) | Посещение на 2 инспектори, 9:30-15:00 | ДЛЗД отговаря на въпросите; системният администратор показва техническите мерки при поискване |
| Д12 (16:00) | Подписан протокол с 3 забележки | Поискани корекции на 2 неточно записани отговора |
| Д12+14 | Подаване на писмени допълнения | Изпратени 2 допълнителни DPA с обработващи, обновен Регистър |
| Д12+45 | Получено наказателно постановление | Глоба 4 345,98 евро за неотговорено искане по чл. 17 в срок, предписание за актуализация на Регистъра в 60-дневен срок |
Какво установи проверката. В първоначалния протокол инспекторите посочиха пет нарушения. След допълнителните документи и обяснения три от констатациите отпаднаха. Останаха две:
- Нарушение по чл. 17 ал. 1 GDPR (право на изтриване): искането на жалбоподателя не е било обработено в едномесечния срок. Това е безспорно нарушение. Глоба 4 345,98 евро
- Нарушение по чл. 30 ал. 1 GDPR (Регистър на дейностите): Регистърът не отразява 2 дейности: нов CRM модул от 2025 г. и интеграция с маркетингова платформа. Не е наложена глоба, но е дадено предписание за актуализация в 60-дневен срок.
Кои мерки бяха оценени положително. Компанията беше сертифицирана по ISO 27001 и разполагаше с доказателства за въведените технически мерки: многофакторно удостоверяване за всички служители, достъп според служебните задължения, процедура за резервни копия с тримесечни тестове и журнали за последните 12 месеца. Договорите с основните обработващи — Google Workspace, AWS и доставчика на CRM системата — включваха актуални споразумения по член 28 от GDPR. Регистърът на инцидентите беше създаден през 2024 г. и имаше необходимите полета, въпреки че в него още нямаше записи.
Какво направихме различно от стандартния подход. Идентифицирахме типа проверка като „по жалба“ в първия час. Това означаваше, че фокусът трябва да бъде върху конкретното твърдение (искането за изтриване по чл. 17), не върху цялата GDPR програма. Когато открихме изпуснатото искане на Д9, взехме решение за доброволно действие (изпълнение и уведомяване) преди да дойде инспекторът. Това превърна потенциалното голямо наказание в по-ниска глоба, защото показваше добра воля и сътрудничество с регулатора.
Поука. Без подготовката от Д3 до Д11 оценката ни за възможната глоба беше между 12 782,30 и 30 677,51 евро. Регистрите бяха неподредени, договорите с обработващите — непълни, а нарушението по член 17 можеше да бъде възприето като системен проблем. Целенасочената подготовка в рамките на 11 работни дни намали оценения финансов риск над три пъти.
Раздел 5
Подготовка в десет стъпки
Подготовката се отнася и за трите вида проверки. Част от действията могат да се изпълнят още преди уведомлението, а останалите — след получаването му. Преглеждайте списъка веднъж на тримесечие и отбелязвайте изпълнените задачи и оставащите пропуски. След 2–3 прегледа поддръжката обикновено се превръща в рутина, която отнема 1–3 работни дни.
Детайлни обяснения за всяка от десетте точки:
Точка 1: Регистър на дейностите по обработване (СЕГА)
Структуриран файл (Excel шаблон от КЗЛД или специализиран софтуер като OneTrust, Securiti, или прост BAU процес в Confluence/SharePoint). 11 задължителни полета за всяка обработка. Това е документът с най-голяма тежест - около 70 на сто от наказателните постановления имат за основание липсата или неактуалността на този регистър.
Точка 2: ДЛЗД — заповед и длъжностна характеристика (СЕГА)
За компании, които задължително трябва да назначат ДЛЗД (специални категории, систематично наблюдение, публични органи): писмена заповед на ръководителя с име, длъжност, отговорности, контактни данни, място в организационната структура. Уведомяване на КЗЛД с регистрационна форма. За компании, които не са задължени, но имат ДЛЗД на доброволно начало: същите документи плюс мотивирано решение защо го имате. За компании без ДЛЗД: мотивирано решение защо не сте го назначили (анализ на критериите по чл. 37 GDPR).
Точка 3: Политики и процедури (СЕГА)
Минимум 6 политики: основна политика за защита на данните, политика за управление на инциденти, политика за исканията на субекти, политика за съхранение и заличаване (retention), политика за обработващи (vendor management) и политика за DPIA. Всичките подписани, датирани, версионирани в SharePoint или подобна система за документи. Срок за преглед - веднъж годишно с протокол.
Точка 4: DPA с обработващите (СЕГА)
Списък на всички обработващи (хостинг, имейл, CRM, ERP, HR, маркетинг, счетоводство, инструменти за сигурност, услуги с изкуствен интелект). За всеки от тях - актуален DPA по чл. 28 GDPR. За доставчици от САЩ - SCC версия 2021/914 плюс TIA или EU-US Data Privacy Framework сертификация. Категоризация по риск - критичен, висок, среден. Контрол веднъж годишно за актуалност и при промяна на доставчика.
Точка 5: Регистър на исканията по чл. 15-22 (СЕГА)
Структуриран регистър с поне 8 полета: дата на получаване, идентификация на субекта, тип искане, канал на получаване, дата на отговор, действие, отговорник, край на 1-месечния срок. Празен регистър с дата на създаване от поне 6 месеца назад е приемлив. Регистър, в който има едно или две неотговорени искания, е по-добър от регистър без записи - доказва, че имате процес.
Точка 6: Програма за обучение (СЕГА)
Първоначално обучение при назначаване (запис в личното досие), ежегодно опресняване (запис в HR системата), специализирано обучение за роли с висок риск (HR, продажби, поддръжка на клиенти, разработчици, които работят с лични данни). Резултатът, който инспекторите търсят - не сертификат, а способност на конкретен служител да отговори на въпрос „какво правите при искане за достъп от субект на данни“. Един реален случай (тест на терен) има повече тежест от 10 сертификата.
Точка 7: Анализ на твърдението в жалбата (Д1-Д3 след известие)
Само при проверка по жалба. Известието от КЗЛД обикновено посочва номера на жалбата и обобщено естеството. Поискайте копие от жалбата или текста (имате право на достъп до материалите по производството). Изградете таймлайн на отношенията със субекта - кога е станал клиент/служител, какво е обработено, кога е поискал нещо, как сте отговорили. Намерете всички имейли, договори, кореспонденция. Не унищожавайте нищо - това е допълнителен състав от престъпление.
Точка 8: Упълномощен представител (Д1–Д3 след уведомлението)
Определете с писмена заповед кой ще представлява компанията пред инспекторите — например длъжностното лице по защита на данните, юрисконсултът или изпълнителният директор. Уведомете служителите за датата на проверката и посочете към кого да насочват въпросите. Така отговорите ще бъдат съгласувани и подкрепени с необходимите документи.
Точка 9: Технически демонстрации (Д4-Д8 след известие)
Подгответе системния администратор и разработчиците да покажат как работят MFA, ролите за достъп, прегледът на журналите и възстановяването от резервни копия. Предвидете 5–10 минути за всяка демонстрация. Ако е трудно да покажете дадена мярка, изяснете причината преди посещението.
Точка 10: Доброволни действия (Д5-Д10 след известие, когато приложимо)
Ако при подготовката си откриете нарушение, което е предмет на жалбата или потенциално отговаря на твърдение: вземете решение за доброволно действие ПРЕДИ инспектора. Изпълнете висящото искане, актуализирайте грешния документ, уведомете жалбоподателя, уведомете КЗЛД с обяснителен имейл. Това не премахва нарушението, но в около 70 на сто от случаите намалява глобата с 30 до 60 на сто. КЗЛД ценят съдействие и доказан стремеж за корекция. Никога не доказвайте това с устно изявление пред инспектора - винаги с писмена следа отпреди посещението.
Раздел 6
Размери на глобите и реалната тежест за български компании
Теоретичният максимум по чл. 83 GDPR е 20 милиона евро или 4 на сто от глобалния годишен оборот за тежките нарушения и 10 милиона евро или 2 на сто за административните. На практика, КЗЛД през последните 24 месеца е наложила глоби в диапазона от 2 045,17 евро до 194 290,91 евро за български компании, със средна стойност около 14 316,17 евро при системни нарушения и около 3 323,40 евро при еднократни процедурни пропуски. Тези стойности са много по-предсказуеми от теоретичните максимуми и трябва да са референтната точка във вашата вътрешна оценка на риска.
Седем анонимизирани реални случая от практиката на КЗЛД и нашата работа с български компании през последните 24 месеца:
| Случай | Основание | Глоба |
|---|---|---|
| Малък онлайн магазин, 20 души | Изпратени маркетингови имейли без съгласие, 3500 субекта | 5 010,66 евро |
| Софтуерна компания, 80 души (нашият случай) | Неотговорено искане за изтриване в срок | 4 345,98 евро |
| Здравна клиника, 35 души | Неправомерно публикуван списък с пациенти на информационно табло | 21 474,26 евро |
| Транспортна компания, 150 души | Прехвърляне на данни към доставчик без DPA, без TIA | 14 316,17 евро |
| Хотелска верига, 220 служители | Пробив на данни на 18 000 гости, забавено уведомление с 5 дни | 48 572,73 евро |
| Финансова институция, 400 души | Системно нарушение по чл. 32 (липса на технически мерки) | 93 055,12 евро |
| Държавно дружество, над 1000 души | Многобройни нарушения, неизпълнено предписание, рецидив | 194 290,91 евро |
Освен паричната глоба, КЗЛД може да наложи и допълнителни мерки: предписание за коригиращи действия с конкретен срок (обикновено 1 до 6 месеца), временно или окончателно ограничение на конкретна обработка, публикуване на решението на сайта на КЗЛД. Това може да засегне репутацията на компанията, особено когато работи с корпоративни клиенти, които проверяват доставчиците си преди сключване на договор.
Когато оценявате собствения риск, не работете с теоретичните максимуми. Работете с реалните диапазони:
- Един процедурен пропуск (липсващ DPA, забавено искане): 2 045,17 до 6 135,50 евро
- Системно нарушение в Регистъра на дейностите: 11 248,42 до 29 654,93 евро
- Пробив на данни без уведомление в 72ч.: 31 700,10 до 76 693,78 евро
- Системно нарушение по чл. 32 (липса на технически и организационни мерки): 61 355,03 до 194 290,91 евро
- Рецидив (неизпълнено предписание): 1,5 до 3 пъти увеличение спрямо първоначалната глоба
За компания с 50 до 150 души това означава, че бюджет от 2 045,17 до 4 601,63 евро за тримесечен ритъм на предварителна подготовка е финансово рационален при който и да е реалистичен сценарий на проверка. Инвестицията в подготовка винаги е по-малка от средната глоба, плюс ви предпазва от репутационни вреди.
Раздел 7
Стратегия за дългосрочна готовност
Едно нещо разграничава компаниите, които преминават проверки на КЗЛД с минимална глоба или с препоръка, от тези, които получават голяма глоба и публикувано решение: ритъмът на подготовка. Компаниите, които работят на „пожарникарски“ принцип (всичко се прави в нощта на известието), почти винаги получават по-висока глоба. Компаниите, които работят на тримесечен ритъм, преминават проверките като рутина.
Реалистична стратегия за дългосрочна готовност за компания с 50 до 250 души:
Q4 е най-важният цикъл. Проведете еднодневно практическо учение по сценарий „Утре идва проверка от КЗЛД“. Външен консултант поема ролята на инспектор, а екипът показва документите и процесите си. Докладът с установените пропуски става основа за работата през следващите 3 тримесечия. Цена за външен консултант за 1–2 дни: 2 045,17–4 090,34 евро.
Алтернативата на тримесечния ритъм за компании, които нямат вътрешен капацитет, е външен GDPR одит веднъж годишно с фокус върху готовност за проверка, на цена 4 090,34 до 9 203,25 евро за компания с 50 до 150 души. Резултатът е писмен доклад с конкретни препоръки, които вие после изпълнявате с вътрешни ресурси. Това е по-малко строг режим от тримесечния ритъм, но е значително по-добре от никаква подготовка.
Често задавани въпроси
Имаме ISO 27001 сертификация. Достатъчно ли е за КЗЛД?
Не. ISO 27001 покрива може би 60 до 70 на сто от техническите и организационни мерки по чл. 32 GDPR, но не покрива конкретните GDPR изисквания - Регистър на дейностите по чл. 30, права на субектите по чл. 15-22, DPA по чл. 28, DPIA по чл. 35. ISO 27001 е важен фундамент, но не е заместител на GDPR програмата. При проверка инспекторът ще приеме ISO 27001 като косвено доказателство за технически мерки, но ще иска отделно всичките GDPR-специфични документи.
Какво се случва, ако нямаме ДЛЗД, а трябва?
Първото нещо, което инспекторът ще иска - заповедта за назначаване на ДЛЗД. Ако сте задължени да имате (специални категории, систематично наблюдение в голям мащаб, публичен орган) и нямате, това е безспорно нарушение по чл. 37 GDPR с глоба обикновено в диапазона 4 090,34 до 14 316,17 евро. Решението - назначете ДЛЗД ВЕДНАГА в първите 3 дни след известието (може на непълно работно време или с външен договор) и подайте регистрационна форма на КЗЛД. Това няма да премахне нарушението, но ще намали тежестта чрез доказан стремеж за корекция.
Можем ли да обжалваме решението на КЗЛД?
Да. Наказателните постановления на КЗЛД могат да се обжалват пред Административен съд - София град в 14-дневен срок от получаването. Около 40 на сто от обжалваните решения се отменят или изменят, обикновено заради процедурни нарушения при проверката или некоректно определена тежест. Обжалването спира изпълнението на санкцията до влизане в сила. Изисква се специализиран адвокат с опит в GDPR-производство. Цена: 1 533,88 до 4 601,63 евро за двуинстанционно производство. Решение за обжалване вземете в първите 7 дни след получаване на постановлението, защото имате нужда от време за подготовка.
Колко често КЗЛД проверява една компания?
Зависи от профила. Болници, банки, телекоми, големи онлайн търговци - на 12 до 36 месечен цикъл (планови проверки). Средно голяма B2B компания без специални категории - на 4 до 7 годишен цикъл, ако не получите жалба. Жалбите могат да дойдат по всяко време и са непредсказуеми. Една влязла в сила глоба обикновено води до последваща (контролна) проверка в 6 до 18 месечен срок, плюс намалена толерантност при бъдещи проверки. След влязла в сила глоба, следващото нарушение почти винаги се санкционира с увеличение от 1,5 до 3 пъти.
Какво правим, ако сме малка фирма с под 20 души?
GDPR се прилага независимо от размера. Има облекчени изисквания за компании под 250 души (по-малък обхват на Регистъра по чл. 30 ал. 5 - само за обработки с висок риск или редовни обработки), но самите права на субектите, технически мерки, и реакция при инцидент остават еднакви. КЗЛД проверява и малки фирми, особено при жалба. Очаквайте пропорционални глоби (обикновено 1 022,58 до 4 090,34 евро за процедурни пропуски), но не очаквайте имунитет. Минималната подготовка за малка фирма - Регистър на дейностите (упростен), 1 политика, 1 курс по GDPR в годината, DPA с основните доставчици. Бюджет за първоначално изграждане: 3 067,75 до 7 158,09 евро
Може ли да поискаме отлагане на проверката?
Можете да поискате, но КЗЛД почти никога не отлага. Обоснованите причини, които биха могли да се приемат: тежко заболяване или отсъствие на ключов служител (ДЛЗД, изпълнителен директор), обявено форсмажорно обстоятелство, доказана техническа невъзможност (пожар, наводнение). Прост опит за допълнително време за подготовка не е валидна причина и опитът да го мотивирате така отслабва позицията ви. По-добре е да приемете датата и да приоритизирате подготовката. В практиката нашата препоръка е: ако имате 7 работни дни до посещение, не молете за отлагане; работете интензивно. Ако имате 21 работни дни или повече - имате достатъчно време за пълна подготовка.
Одит за готовност за проверка по GDPR
Проверете готовността си преди да получите уведомление от КЗЛД. Преглеждаме десетте области от списъка, установяваме пропуските в регистъра на дейностите, договорите с обработващи и техническите мерки. Получавате план за отстраняването им в 30-дневен срок. Услугата е за компании с 30–250 служители.
Заявете GDPR одит