{"id":"3ac7fb7a-7cd8-48a7-b2d1-297b3c26f730","slug":"obsht-reglament-za-zashtita-na-dannite","title":"Общ регламент относно защитата на данните (GDPR)","category":"Технологии · Поверителност и наблюдение","tags":["GDPR","лични данни","поверителност","Европейски съюз","Европейски комитет по защита на данните","изкуствен интелект"],"lead":"Общият регламент относно защитата на данните (Регламент (ЕС) 2016/679, на английски GDPR) е регламент на Европейския съюз за неприкосновеността на информацията в ЕС и Европейското икономическо пространство[^wp-def]. Приет е на 14 април 2016 г. и се прилага от 25 май 2018 г.[^wp-dates], като е задължителен в своята цялост и пряко приложим във всички държави членки[^gdpr-apply]. Защитата на данните е основно право в ЕС, закрепено в чл. 8 от Хартата на основните права[^ec-right].","sections":[{"id":"obhvat","title":"Обхват","paragraphs":["Регламентът се прилага за обработването на лични данни в контекста на дейностите на администратор или обработващ, установен в Съюза, независимо дали самото обработване става в Съюза[^gdpr-art3-1].","Той се прилага и за администратори извън Съюза, когато обработват данни на лица в Съюза във връзка с предлагането на стоки или услуги — независимо дали срещу заплащане — или с наблюдението на поведението им в Съюза[^gdpr-art3-2]. Така регламентът засяга и компании без присъствие в Европа, които обслужват европейски потребители.","Наред с GDPR законодателството на ЕС за защита на данните включва Директивата относно правоприлагането и отделен регламент за институциите и органите на ЕС[^ec-legislation]."]},{"id":"printsipi","title":"Принципи","paragraphs":["Член 5 изисква личните данни да се обработват законосъобразно, добросъвестно и прозрачно; да се събират за конкретни, изрични и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тях; да са подходящи, относими и ограничени до необходимото[^gdpr-art5-abc].","Данните трябва също да се съхраняват във вид, позволяващ идентифициране, не по-дълго от необходимото[^gdpr-art5-e], и да се обработват по начин, който гарантира подходяща сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба или унищожаване[^gdpr-art5-f]. Администраторът носи отговорност и трябва да може да докаже спазването на тези принципи[^gdpr-accountability].","Обработването е законосъобразно само ако е налице поне едно основание — например съгласие на субекта на данните за една или повече конкретни цели или необходимост за изпълнение на договор[^gdpr-art6]."]},{"id":"prava-na-grazhdanite","title":"Права на гражданите","paragraphs":["Субектът на данните има право да поиска от администратора изтриване на данните без ненужно забавяне, например когато те вече не са необходими за целите, за които са събрани, или когато той оттегли съгласието си[^gdpr-art17]. Това право е известно и като „право да бъдеш забравен“: администратор, който е направил данните публични, трябва да уведоми останалите администратори, за да изтрият връзките към тях и копията им[^gdpr-forgotten].","Правото на преносимост позволява на лицето да получи данните, които е предоставило, в структуриран, широко използван и машинночетим формат и да ги прехвърли на друг администратор[^gdpr-art20].","Член 22 дава право човек да не бъде обект на решение, основано единствено на автоматизирано обработване, включително профилиране, което поражда правни последици за него или по подобен начин го засяга в значителна степен; когато има изключение, администраторът трябва да осигури поне правото на човешка намеса[^gdpr-art22]. Тази разпоредба е важна за използването на изкуствен интелект при решения за хора."]},{"id":"zadalzheniya-i-nadzor","title":"Задължения и надзор","paragraphs":["Публичните органи и предприятията, чиято основна дейност е редовно или систематично обработване на лични данни, трябва да назначат длъжностно лице по защита на данните; нарушенията на сигурността трябва да се съобщават на националния надзорен орган в срок до 72 часа, ако засягат неблагоприятно поверителността на потребителите[^wp-dpo].","Всяка държава членка има независим надзорен орган, а за компания с дейност в няколко държави водещ е органът по мястото на основното ѝ установяване — механизмът „обслужване на едно гише“. Европейският комитет по защита на данните координира надзорните органи и замества Работната група по член 29[^wp-onestop]. В България надзорен орган е Комисията за защита на личните данни[^cpdp]."]},{"id":"sanktsii-i-izvestni-resheniya","title":"Санкции и известни решения","paragraphs":["За нарушения на основните принципи, на правата на субектите и на правилата за прехвърляне на данни извън ЕС глобата може да достигне 20 000 000 евро или до 4% от общия годишен световен оборот за предходната финансова година, като се прилага по-високата сума[^gdpr-art83].","На 16 юли 2020 г. Съдът на ЕС обявява за невалидно решението на Комисията за адекватността на защитата по „Щита за личните данни“ между ЕС и САЩ (делото Schrems II), но потвърждава валидността на стандартните договорни клаузи[^cjeu].","На 22 май 2023 г. ирландската Комисия за защита на данните приключва разследването си срещу Meta Ireland за прехвърлянето на данни към САЩ[^dpc-date] и налага глоба от 1,2 милиарда евро, както и разпореждане за спиране на бъдещите прехвърляния[^dpc-fine] (вж. [[irlandia-dpc-globa-meta-transfer-danni-2023|„Глобата от 1,2 милиарда евро на Ирландия срещу Meta“]])."]},{"id":"gdpr-i-izkustveniyat-intelekt","title":"GDPR и изкуственият интелект","paragraphs":["На 30 март 2023 г. италианският орган за защита на данните временно ограничава обработването на данни на италиански потребители от OpenAI[^garante-order]. Той посочва липсата на информация за потребителите и на правно основание за масовото събиране на лични данни за обучение на алгоритмите, както и че информацията, давана от ChatGPT, не винаги отговаря на действителността и така води до обработване на неточни лични данни[^garante-reasons].","На 18 декември 2024 г. Европейският комитет по защита на данните приема становище за използването на лични данни при разработването и внедряването на модели на ИИ. То разглежда кога моделите могат да се смятат за анонимни, дали законният интерес може да е правно основание и какво следва, ако моделът е разработен с незаконосъобразно обработени данни[^edpb-ai]."]},{"id":"vliyanie-izvan-evropa","title":"Влияние извън Европа","paragraphs":["Като пример за т.нар. „Брюкселски ефект“ регламентът става модел за закони в много държави, включително Бразилия, Япония, Сингапур, Южна Африка, Южна Корея, Шри Ланка и Тайланд. След излизането си от ЕС Обединеното кралство приема идентичен „UK GDPR“[^wp-brussels]."]}],"sources":[{"key":"gdpr","title":"Regulation (EU) 2016/679 (General Data Protection Regulation)","url":"https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng","note":"","publisher":"EUR-Lex","published_at":"2016-05-04","language":"en","retrieved_at":"2026-10-24"},{"key":"wp","title":"General Data Protection Regulation","url":"https://en.wikipedia.org/wiki/General_Data_Protection_Regulation","note":"","publisher":"Wikipedia","language":"en","retrieved_at":"2026-10-24"},{"key":"ec","title":"Data protection in the EU","url":"https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_en","note":"","publisher":"European Commission","language":"en","retrieved_at":"2026-10-24"},{"key":"cjeu","title":"Press release No 91/20: Judgment in Case C-311/18 Data Protection Commissioner v Facebook Ireland and Maximillian Schrems","url":"https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf","note":"","publisher":"Court of Justice of the European Union","published_at":"2020-07-16","language":"en","retrieved_at":"2026-10-24"},{"key":"dpc","title":"Data Protection Commission announces conclusion of inquiry into Meta Ireland","url":"https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland","note":"","publisher":"Data Protection Commission (Ireland)","published_at":"2023-05-22","language":"en","retrieved_at":"2026-10-24","archive_url":"https://web.archive.org/web/20261010075941/https://dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland"},{"key":"garante","title":"Intelligenza artificiale: il Garante blocca ChatGPT","url":"https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870847","note":"","publisher":"Garante per la protezione dei dati personali","published_at":"2023-03-31","language":"it","retrieved_at":"2026-10-24"},{"key":"edpb","title":"EDPB opinion on AI models: GDPR principles support responsible AI","url":"https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_en","note":"","publisher":"European Data Protection Board","published_at":"2024-12-18","language":"en","retrieved_at":"2026-10-24"},{"key":"cpdp","title":"Комисия за защита на личните данни","url":"https://www.cpdp.bg/","note":"","publisher":"Комисия за защита на личните данни","language":"bg","retrieved_at":"2026-10-24"}],"citations":[{"id":"wp-def","source_key":"wp","locator":"","excerpt":"The General Data Protection Regulation (Regulation (EU) 2016/679),[1] abbreviated GDPR, is a European Union regulation on information privacy in the European Union (EU) and the European Economic Area (EEA).","note":""},{"id":"wp-dates","source_key":"wp","locator":"","excerpt":"Date made 14 April 2016 Implementation date 25 May 2018","note":""},{"id":"gdpr-apply","source_key":"gdpr","locator":"чл. 99","excerpt":"It shall apply from 25 May 2018. This Regulation shall be binding in its entirety and directly applicable in all Member States.","note":""},{"id":"ec-right","source_key":"ec","locator":"","excerpt":"Data protection is a fundamental right in the EU. This right is enshrined in Article 8 of the EU Charter of Fundamental Rights.","note":""},{"id":"gdpr-art3-1","source_key":"gdpr","locator":"чл. 3, пар. 1","excerpt":"This Regulation applies to the processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union, regardless of whether the processing takes place in the Union or not.","note":""},{"id":"gdpr-art3-2","source_key":"gdpr","locator":"чл. 3, пар. 2","excerpt":"This Regulation applies to the processing of personal data of data subjects who are in the Union by a controller or processor not established in the Union, where the processing activities are related to: (a) the offering of goods or services, irrespective of whether a payment of the data subject is required, to such data subjects in the Union; or (b) the monitoring of their behaviour as far as their behaviour takes place within the Union.","note":""},{"id":"ec-legislation","source_key":"ec","locator":"","excerpt":"EU data protection legislation is comprised of the General Data Protection Regulation (GDPR), the Law Enforcement Directive (LED), and the Data Protection Regulation for EU institutions, bodies, offices and agencies (EUDPR).","note":""},{"id":"gdpr-art5-abc","source_key":"gdpr","locator":"чл. 5, пар. 1","excerpt":"Personal data shall be: (a) processed lawfully, fairly and in a transparent manner in relation to the data subject (‘lawfulness, fairness and transparency’); (b) collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes; ... (c) adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data minimisation’)","note":""},{"id":"gdpr-art5-e","source_key":"gdpr","locator":"чл. 5, пар. 1, б. „д“","excerpt":"(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed","note":""},{"id":"gdpr-art5-f","source_key":"gdpr","locator":"чл. 5, пар. 1, б. „е“","excerpt":"(f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (‘integrity and confidentiality’).","note":""},{"id":"gdpr-accountability","source_key":"gdpr","locator":"чл. 5, пар. 2","excerpt":"The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1 (‘accountability’).","note":""},{"id":"gdpr-art6","source_key":"gdpr","locator":"чл. 6, пар. 1","excerpt":"Processing shall be lawful only if and to the extent that at least one of the following applies: (a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes; (b) processing is necessary for the performance of a contract to which the data subject is party","note":""},{"id":"gdpr-art17","source_key":"gdpr","locator":"чл. 17, пар. 1","excerpt":"The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies: (a) the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed; (b) the data subject withdraws consent","note":""},{"id":"gdpr-forgotten","source_key":"gdpr","locator":"съображение 66","excerpt":"the right to be forgotten in the online environment, the right to erasure should also be extended in such a way that a controller who has made the personal data public should be obliged to inform the controllers which are processing such personal data to erase any links to, or copies or replications of those personal data.","note":""},{"id":"gdpr-art20","source_key":"gdpr","locator":"чл. 20, пар. 1","excerpt":"The data subject shall have the right to receive the personal data concerning him or her, which he or she has provided to a controller, in a structured, commonly used and machine-readable format and have the right to transmit those data to another controller without hindrance","note":""},{"id":"gdpr-art22","source_key":"gdpr","locator":"чл. 22","excerpt":"The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her. ... the data controller shall implement suitable measures to safeguard the data subject's rights and freedoms and legitimate interests, at least the right to obtain human intervention","note":""},{"id":"wp-dpo","source_key":"wp","locator":"","excerpt":"Public authorities, and businesses whose core activities consist of regular or systematic processing of personal data, are required to employ a data protection officer (DPO), who is responsible for managing compliance with the GDPR. Data controllers must report data breaches to national supervisory authorities within 72 hours if they have an adverse effect on","note":""},{"id":"wp-onestop","source_key":"wp","locator":"","excerpt":"The lead authority thus acts as a \"one-stop shop\" to supervise all the processing activities of that business throughout the EU.[12][13] A European Data Protection Board (EDPB) co-ordinates the SAs. EDPB thus replaces the Article 29 Data Protection Working Party.","note":""},{"id":"cpdp","source_key":"cpdp","locator":"","excerpt":"Република България Комисия за защита на личните данни","note":""},{"id":"gdpr-art83","source_key":"gdpr","locator":"чл. 83, пар. 5","excerpt":"up to 20 000 000 EUR, or in the case of an undertaking, up to 4 % of the total worldwide annual turnover of the preceding financial year, whichever is higher: (a) the basic principles for processing, including conditions for consent, pursuant to Articles 5, 6, 7 and 9; (b) the data subjects' rights pursuant to Articles 12 to 22; (c) the transfers of personal data to a recipient in a third country","note":""},{"id":"cjeu","source_key":"cjeu","locator":"","excerpt":"Luxembourg, 16 July 2020 Judgment in Case C-311/18 Data Protection Commissioner v Facebook Ireland and Maximillian Schrems The Court of Justice invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield However, it considers that Commission Decision 2010/87 on standard contractual clauses for the transfer of personal data to processors established in third countries is valid.","note":""},{"id":"dpc-date","source_key":"dpc","locator":"","excerpt":"22nd May 2023 The Data Protection Commission (“the DPC”) has today announced the conclusion of its inquiry into Meta Platforms Ireland Limited (“Meta Ireland”), examining the basis upon which Meta Ireland transfers pe","note":""},{"id":"dpc-fine","source_key":"dpc","locator":"","excerpt":"an order, made pursuant to Article 58(2)(j) GDPR, requiring Meta Ireland to suspend any future transfer of personal data to the US within the period of five months from the date of notification of the DPC’s decision to Meta Ireland; an administrative fine in the amount of €1.2 billion","note":""},{"id":"garante-order","source_key":"garante","locator":"съобщение, свързано с provvedimento n. 112 del 30 marzo 2023","excerpt":"Il Garante per la protezione dei dati personali ha disposto, con effetto immediato, la limitazione provvisoria del trattamento dei dati degli utenti italiani nei confronti di OpenAI","note":""},{"id":"garante-reasons","source_key":"garante","locator":"","excerpt":"il Garante privacy rileva la mancanza di una informativa agli utenti e a tutti gli interessati i cui dati vengono raccolti da OpenAI, ma soprattutto l'assenza di una base giuridica che giustifichi la raccolta e la conservazione massiccia di dati personali, allo scopo di “addestrare” gli algoritmi sottesi al funzionamento della piattaforma. Come peraltro testimoniato dalle verifiche effettuate, le informazioni fornite da ChatGPT non sempre corrispondono al dato reale, determinando quindi un trattamento di dati personali inesatto.","note":""},{"id":"edpb-ai","source_key":"edpb","locator":"","excerpt":"18 December 2024 Brussels, 18 December - The European Data Protection Board (EDPB) has adopted an opinion* on the use of personal data for the development and deployment of AI models. This opinion looks at 1) when and how AI models can be considered anonymous, 2) whether and how legitimate interest can be used as a legal basis for developing or using AI models, and 3) what happens if an AI model is developed using personal data that was processed unlawfully.","note":""},{"id":"wp-brussels","source_key":"wp","locator":"","excerpt":"As an example of the Brussels effect, the regulation became a model for many other laws around the world, including in Brazil,[3] Japan, Singapore, South Africa, South Korea, Sri Lanka, and Thailand.[4] After leaving the European Union, the United Kingdom enacted its \"UK GDPR\", identical to the GDPR.","note":""}],"status":"published","featured":false,"revision":1,"created_at":"2026-10-24T10:23:49.251Z","updated_at":"2026-10-24T10:23:49.251Z"}