КЗЛД · GDPR · Чл. 37-39 · Юни 2026

Външен DPO за български компании: цена, задължения и как да изберете правилния партньор

Верига от 12 аптеки в Централна България получи писмо от КЗЛД - искане за информация дали е назначен DPO и какви са контактните му данни. Управителят беше сигурен, че IT директорът "се занимава с тия неща". Оказа се, че IT директорът никога не е бил официално назначен за DPO, не е публикуван контакт на сайта, и КЗЛД не е уведомен. Проверката продължи 6 месеца. В края на нея компанията плати 45 000 лв. глоба, назначи външен DPO и преработи цялата документация от нулата. Ето какво трябваше да знаят преди това.

Основни изводи

• DPO е задължителен по чл. 37 GDPR за три категории организации: публични органи, компании с мащабно систематично наблюдение на лица, и компании с мащабна обработка на специални категории данни. В България това засяга болници, общини, банки, телекоми, охранителни фирми и онлайн търговци с профилиране
• Управителят, IT директорът и HR мениджърът почти никога не могат законно да бъдат DPO на собствената си компания поради конфликт на интереси по чл. 38(6) GDPR - DPO не може да получава инструкции как да изпълнява задачите си
• Реални цени за външен DPO в България: 400-700 лв./мес. за малка фирма, 900-1 800 лв./мес. за средна фирма, 2 500-5 500 лв./мес. за регулирана или голяма компания. Еднократна такса за setup е отделна и обикновено е между 800 и 4 000 лв.
• Регистрацията на DPO пред КЗЛД е задължителна и безплатна; контактните данни трябва да се публикуват на сайта на организацията. Липсата на регистрация е самостоятелно нарушение, различно от липсата на DPO
• DPO "на хартия" - лице, назначено формално без реална работа - е по-лош вариант от липса на DPO, тъй като компанията поема задълженията, без да получава защитата. КЗЛД проверява реалното изпълнение на функциите по чл. 39
• Санкциите при липса на задължителен DPO или при DPO с конфликт на интереси са по чл. 83(4) GDPR до 10 млн. EUR или 2% от годишния оборот. КЗЛД е наложила глоби от 8 000 до 180 000 лв. по тази категория нарушения само в последните три години

Чл. 37(1) GDPR предвижда задължително назначаване на DPO при три хипотези, изброени изчерпателно. Важно е да разберете, че критериите са алтернативни - достатъчно е да попадате в едно от трите основания, за да е задължението безусловно. ЗЗЛД (Законът за защита на личните данни в редакцията от 2019 г.) не добавя допълнителни основания за задължително назначаване отвъд тези в GDPR, но чл. 23 ЗЗЛД потвърждава задължението за публичните органи.

Основание 1: Публични органи и органи на публичната власт (чл. 37(1)(а)). Тук попадат всички общински администрации, районни администрации, министерства, агенции, болници към системата на Министерство на здравеопазването, ВУЗ-ове, и всеки друг орган по смисъла на Закона за администрацията. За тях DPO е задължителен без оглед на мащаба на обработването или вида данни. В тази категория попадат и значителна част от общинските дружества - ако основната дейност включва изпълнение на публични функции.

Основание 2: Мащабно, редовно и систематично наблюдение на физически лица (чл. 37(1)(б)). Трите прилагателни трябва да са изпълнени едновременно. "Мащабно" означава значителен брой субекти или значителен обем данни. "Редовно" означава непрекъснато или периодично по зададен ритъм. "Систематично" означава по предварително определена схема или методология. В Bulgarian контекст тук попадат: телекомуникационни оператори (Vivacom, A1, Теленор), банки, застрахователни дружества, онлайн магазини с профилиране (поведенчески анализ, персонализирани препоръки), охранителни фирми с видеонаблюдение на обществени места или търговски зони, и кол-центрове, обработващи обаждания и записи в мащаб.

Основание 3: Мащабна обработка на специални категории данни или данни за присъди (чл. 37(1)(в)). Специалните категории по чл. 9 GDPR включват: здравни данни, биометрични данни, генетични данни, расов или етнически произход, религиозни убеждения, политически възгледи, данни за членство в синдикати, сексуален живот или сексуална ориентация. В България тук попадат: частни болници и медицински центрове, лаборатории, верижни аптеки (здравни данни от рецепти), дружества за охрана с биометрична идентификация (пръстови отпечатъци за контрол на достъп), HR компании с обработка на медицински листа за целите на ТРЗ.

Практически: ако вашата компания обработва рецептурни лекарства (специални здравни данни) за 800 клиенти месечно, тя обработва специални категории данни, но "мащабно" е под въпрос. ЕКЗД дава ориентири в Guidelines 07/2020 on the concepts of controller and processor: мащабът включва брой субекти, обем данни, географски обхват и продължителност на обработването. Отделна аптека с 300 клиенти най-вероятно не достига прага. Верига от 12 аптеки с 40 000 пациентски профила - достига. При всяко съмнение препоръчваме писмена правна оценка с документиране на извода.

Чл. 39(1) GDPR описва изчерпателно задачите на DPO. Разбирането им е важно не само за самия DPO, но и за ръководството на компанията, за да може да оцени дали нает DPO действително изпълнява функцията. DPO "на хартия", който само подписва документи, нарушава не само духа, но и буквата на регламента.

Задача 1 - Информиране и консултиране

DPO информира администратора, обработващия и служителите за задълженията им по GDPR, ЗЗЛД и приложимите секторни норми. В практически план това означава: отговаряне на въпроси на служители и мениджмънт, участие в срещи при нови проекти, преглед на нови процеси и договори. Консултирането е превантивно - DPO трябва да е включен в ранния етап на планиране, не само след като проблемът е вече факт.

Задача 2 - Наблюдение на съответствието

DPO наблюдава спазването на GDPR, ЗЗЛД и политиките на администратора, включително разпределяне на отговорности, повишаване на осведомеността, и вътрешни одити. Тук влизат: преглед на регистъра на дейностите по обработване (чл. 30), проверка на актуалността на политиките за поверителност, одит на договорите с обработващи (DPA). Наблюдението трябва да е документирано с конкретни констатации и препоръки, не просто с декларация "всичко е наред".

Задача 3 - Обучения

DPO осигурява или организира обучения за служителите, работещи с лични данни. Добрата практика включва: въводно обучение при наемане на нов служител, ежегодно обновление за всички, и специализирани модули за звена с висок риск (HR, финанси, IT). Обученията трябва да са документирани с присъстващи, дата, и резюме на темите.

Задача 4 - Консултиране по DPIA

При дейности с висок риск за правата на физическите лица администраторът е длъжен да извърши оценка на въздействието (DPIA по чл. 35). DPO консултира при извършването на DPIA и наблюдава изпълнението. В България ДPIA е задължителна например при въвеждане на биометрична идентификация, при мащабна система за видеонаблюдение с аналитика, и при системи за профилиране с автоматизирани решения.

Задачи 5 до 8 - Контакт с КЗЛД и субектите на данни

DPO сътрудничи с надзорния орган (КЗЛД) - чл. 39(1)(д). Действа като точка за контакт за КЗЛД при проверки, запитвания и предварителни консултации. Освен това DPO е точка за контакт за субектите на данни: отговаря на запитвания относно обработването, координира изпълнението на правата (достъп, поправка, заличаване, ограничаване, преносимост, възражение). Задача 8 е изрично упомената в Guidelines на ЕКЗД: мониторинг на инциденти и координация при уведомления по чл. 33 и 34 GDPR.

Чл. 37(6) GDPR позволява DPO да бъде служител на организацията или да изпълнява задачата въз основа на договор за услуги. Чл. 38(6) обаче въвежда ключовото ограничение: DPO може да изпълнява и други задачи, но само ако те "не водят до конфликт на интереси". В практиката на КЗЛД и ЕКЗД конфликтът на интереси се преценява по конкретния случай, но Guidelines 07/2016 на бивша WP29 дават ясна насока: всяка ролята, в която лицето определя целите и средствата на обработване, е несъвместима с ролята на DPO.

Кой НЕ може да е DPO

В Bulgarian контекст, въз основа на Guidelines WP29/07-2016 и практика на КЗЛД: управителят и изпълнителният директор (определят целите и средствата), IT директорът или CISO (могат да вземат решения за сигурността, което е предмет на надзора от DPO), главен счетоводител (определя какви финансови данни се съхраняват), HR директор (определя как се обработват данните на служителите). В малки компании допускането на "hat-stacking" е по-голямо, но при компании с над 50 служители КЗЛД го оспорва редовно.

Частичен DPO (shared DPO)

Чл. 37(3) GDPR позволява група дружества да назначат общ DPO, и чл. 37(4) разрешава DPO за групи публични органи. Частичният DPO може да обслужва няколко дружества от една група едновременно. Привъншен DPO е нормалната практика - един consultant-DPO работи за 8-15 клиента едновременно. Ключовото условие е DPO да е "достъпен лесно" (чл. 38(3)) - изисква се реална наличност, не само имейл адрес на сайта.

Пазарът навъншен DPO в България е все още нематуриран. Цените варират значително в зависимост от опита на доставчика, сектора на клиента и обхвата на задачите. По-долу са реалистичните пазарни диапазони, основани на информация от последните 18 месеца, с конкретни примери за включени услуги. Всички суми са без ДДС.

Малка компания (10-50 служители, нерегулиран сектор)

Типичен профил: онлайн магазин или дигитална агенция с мащабно профилиране (задължителен DPO), малка охранителна фирма, медицинска практика с 3 лекари. Месечен абонамент: 400-700 лв./мес. (200-360 EUR). Включва: регистрация на DPO пред КЗЛД, публикуване на контакт, отговор на до 3 запитвания от субекти на данни на месец, ежегоден одит (1 ден), обучение на екипа (1 сесия годишно), поддръжка по имейл до 2 часа на месец. Еднократна такса за setup: 800-1 600 лв.

Средна компания (50-250 служители)

Типичен профил: верига от магазини с лоялни карти, производствена компания с 120 служители (биометрична система за достъп), частна болница или медицински център, кол-център с 80 оператора. Месечен абонамент: 900-1 800 лв./мес. (460-920 EUR). Включва: всичко от малкия пакет, плюс тримесечен одит, участие в 4 срещи на месец (включително по нови проекти), обработка на до 10 запитвания от субекти, поддръжка до 6 часа на месец, консултиране при инциденти (стандартно работно време), и DPIA за до 1 нов проект годишно. Eднократна такса за setup: 1 600-3 000 лв.

Регулирана или голяма компания (>250 служители или финансов/здравен сектор)

Типичен профил: банка или кредитна институция, застраховател, телеком оператор, голяма болница, общинска администрация с мащабни системи. Месечен абонамент: 2 500-5 500 лв./мес. (1 280-2 820 EUR). Включва: всичко от средния пакет, плюс пълно покритие на запитванията от субекти, седмични работни сесии с екипа, 24/7 реакция при инциденти (или покритие извън работно време с допълнителен ретайнер), участие в заседания на управителните органи, координация с КЗЛД и регулаторни органи, неограничен брой DPIA, правна поддръжка от партниращ адвокат включена. Eднократна такса за setup: 3 000-6 000 лв.

Важно: цената навъншен DPO трябва да се оцени не само спрямо абсолютната сума, но и спрямо алтернативата. Назначаване на вътрешен DPO в средна компания (трудов договор, обучение, сертификация) струва 60 000-90 000 лв. годишно при реалистична заплата за квалифициран специалист в България. Сравнено свъншен DPO при 1 200 лв./мес. (14 400 лв./год.) разликата е значима.

Чл. 37(7) GDPR изисква администраторите и обработващите да публикуват данните за контакт на DPO и да ги уведомят на надзорния орган. В България надзорният орган е КЗЛД, и регистрацията се извършва чрез портала на КЗЛД (cpdp.bg). Процедурата е безплатна и не изисква одобрение - КЗЛД регистрира DPO-то и издава потвърждение. Регистрацията е задължение на администратора, а не само на DPO-то.

Какво се регистрира

Пред КЗЛД се подават: три имена на DPO, имейл адрес за контакт, телефон (опционален), и данни за организацията (ЕИК, наименование, адрес). Привъншен DPO се посочва и наименованието на дружеството-доставчик, ако DPO е юридическо лице или действа чрез дружество. Имейл адресът, публикуван пред КЗЛД, и имейл адресът, публикуван на сайта на организацията, трябва да съвпадат.

Публикуване на сайта

Данните за контакт на DPO трябва да са лесно достъпни за субектите на данни. Добрата практика включва: страница "Политика за поверителност" с раздел "DPO / Длъжностно лице по защита на данните" съдържащ имена и имейл, линк в footer-а на сайта към тази страница, и при електронна търговия - видимо поставен линк на страниците за регистрация и поръчка. Не е задължително да се публикуват физическите данни на конкретното физическо лице, ако DPO е чрез дружество - достатъчен е функционален имейл адрес (напр. dpo@firma.bg).

Актуализация при смяна на DPO

При смяна на DPO регистрацията в КЗЛД трябва да се актуализира без необосновано забавяне. На практика препоръчваме да се актуализира в рамките на 5 работни дни от промяната. Разминаването между DPO в регистъра на КЗЛД и реалното лице, управляващо функцията, е самостоятелно нарушение и се открива при всяка проверка. Привъншен DPO предимство е, че смяната на конкретния консултант не изисква нова регистрация, ако дружеството-доставчик остава същото и имейл адресът не се променя.

Изборът навъншен DPO е по-близо до наемане на ключов служител, отколкото до покупка на стандартна услуга. DPO ще знае чувствителна вътрешна информация за вашата компания, ще участва в критични решения при инциденти, и ще представлява организацията ви пред КЗЛД. Изборът заслужава задълбочена оценка.

Минимални изисквания към квалификацията

Чл. 37(5) GDPR изисква DPO да е назначен въз основа на "професионални качества и специализирани познания в областта на правото и практиките за защита на данните". Признати сертификации включват: CIPP/E (IAPP), CIPM (IAPP), GDPR Practitioner (BCS), или еквивалентни академични програми. В България КЗЛД не е въвела задължителен изпит завъншен DPO, но практиката показва, че при проверки КЗЛД проверява квалификацията и документирания опит.

Какво да съдържа договорът

Договорът завъншен DPO трябва да включва: ясно описание на задачите по чл. 39 и кои от тях са включени в цената, SLA за реакция при инциденти (препоръчваме максимум 4 часа в работно време, 8 часа извън), брой часове на месец включени в абонамента и цена за допълнителни, конфиденциалност и обработка на лични данни (DPA по чл. 28), период на предизвестие при прекратяване (препоръчваме минимум 3 месеца за плавен transition), задължение за поддържане на актуалност с промени в регулацията, и клауза за независимост на DPO съгласно чл. 38(3) GDPR.

Нарушенията, свързани с DPO, попадат в чл. 83(4) GDPR: максимална глоба до 10 000 000 EUR или, ако е предприятие, до 2% от общия световен годишен оборот от предходната финансова година, в зависимост кое е по-голямо. В практиката на КЗЛД от последните три години глобите по тази разпоредба в България варират от 8 000 до 180 000 лв. Санкционираните нарушения включват четири основни категории:

Категория 1: Липса на задължителен DPO. Компанията попада в хипотезата на чл. 37(1), но не е назначила DPO. Примери от практиката: болница без DPO, охранително дружество с видеонаблюдение без DPO, онлайн магазин с мащабно профилиране без DPO. При тези случаи КЗЛД обикновено дава срок за отстраняване, но при повторно нарушение или при съпътстващи нарушения глобата е неизбежна.

Категория 2: DPO с конфликт на интереси. Компанията е назначила DPO, но лицето е в позиция с конфликт на интереси (например управителят е едновременно DPO). КЗЛД оспорва такива назначения при проверка и изисква разделяне на функциите. Независимо от наличието на конфликт, документацията, подписана от такъв DPO, може да бъде оспорена.

Категория 3: Непубликуване и нерегистриране. DPO е назначен, но контактните му данни не са публикувани или не са съобщени на КЗЛД. Самостоятелно нарушение по чл. 37(7). Отстранява се лесно, но при проверка по жалба е допълнителна санкция върху основното нарушение.

Категория 4: DPO "на хартия" без реална дейност. Най-трудно доказуемо, но и най-опасно, тъй като компанията декларира съответствие, без реално да го постига. При проверка КЗЛД иска: одитни доклади, доказателства за обучения, кореспонденция, становища по DPIA. Ако тези документи липсват, КЗЛД установява, че DPO-то е формално и налага санкция.

Добриятвъншен DPO работи по структуриран годишен календар, а не само при запитвания. По-долу е примерен ритъм, базиран на реална практика с български клиенти. Той осигурява, че всички задачи по чл. 39 са покрити системно, а не само реактивно.

Ритъмът по-горе е реалистичен за средна компания с външен DPO в пакет от 900-1 400 лв./мес. За малката компания месечните задачи са по-редки и могат да се изпълнят с по-малко часове. За регулирана компания тримесечните одити стават месечни и годишният plan включва допълнителни DPIA и взаимодействие с регулатора.

Следваща стъпка

Нужен ли ви е DPO и какъв е правилният модел за вашата компания?

Правим безплатна 30-минутна оценка: дали сте задължени по чл. 37(1) GDPR, дали текущото ви назначение е в конфликт на интереси, и какъв пакетвъншен DPO отговаря на мащаба на вашата обработка. Без ангажимент за покупка - само конкретни отговори.