# Общ регламент относно защитата на данните (GDPR)

Общият регламент относно защитата на данните (Регламент (ЕС) 2016/679, на английски GDPR) е регламент на Европейския съюз за неприкосновеността на информацията в ЕС и Европейското икономическо пространство. Приет е на 14 април 2016 г. и се прилага от 25 май 2018 г., като е задължителен в своята цялост и пряко приложим във всички държави членки. Защитата на данните е основно право в ЕС, закрепено в чл. 8 от Хартата на основните права.

## Обхват

Регламентът се прилага за обработването на лични данни в контекста на дейностите на администратор или обработващ, установен в Съюза, независимо дали самото обработване става в Съюза[5].

Той се прилага и за администратори извън Съюза, когато обработват данни на лица в Съюза във връзка с предлагането на стоки или услуги — независимо дали срещу заплащане — или с наблюдението на поведението им в Съюза[6]. Така регламентът засяга и компании без присъствие в Европа, които обслужват европейски потребители.

Наред с GDPR законодателството на ЕС за защита на данните включва Директивата относно правоприлагането и отделен регламент за институциите и органите на ЕС[7].

## Принципи

Член 5 изисква личните данни да се обработват законосъобразно, добросъвестно и прозрачно; да се събират за конкретни, изрични и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тях; да са подходящи, относими и ограничени до необходимото[8].

Данните трябва също да се съхраняват във вид, позволяващ идентифициране, не по-дълго от необходимото[9], и да се обработват по начин, който гарантира подходяща сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба или унищожаване[10]. Администраторът носи отговорност и трябва да може да докаже спазването на тези принципи[11].

Обработването е законосъобразно само ако е налице поне едно основание — например съгласие на субекта на данните за една или повече конкретни цели или необходимост за изпълнение на договор[12].

## Права на гражданите

Субектът на данните има право да поиска от администратора изтриване на данните без ненужно забавяне, например когато те вече не са необходими за целите, за които са събрани, или когато той оттегли съгласието си[13]. Това право е известно и като „право да бъдеш забравен“: администратор, който е направил данните публични, трябва да уведоми останалите администратори, за да изтрият връзките към тях и копията им[14].

Правото на преносимост позволява на лицето да получи данните, които е предоставило, в структуриран, широко използван и машинночетим формат и да ги прехвърли на друг администратор[15].

Член 22 дава право човек да не бъде обект на решение, основано единствено на автоматизирано обработване, включително профилиране, което поражда правни последици за него или по подобен начин го засяга в значителна степен; когато има изключение, администраторът трябва да осигури поне правото на човешка намеса[16]. Тази разпоредба е важна за използването на изкуствен интелект при решения за хора.

## Задължения и надзор

Публичните органи и предприятията, чиято основна дейност е редовно или систематично обработване на лични данни, трябва да назначат длъжностно лице по защита на данните; нарушенията на сигурността трябва да се съобщават на националния надзорен орган в срок до 72 часа, ако засягат неблагоприятно поверителността на потребителите[17].

Всяка държава членка има независим надзорен орган, а за компания с дейност в няколко държави водещ е органът по мястото на основното ѝ установяване — механизмът „обслужване на едно гише“. Европейският комитет по защита на данните координира надзорните органи и замества Работната група по член 29[18]. В България надзорен орган е Комисията за защита на личните данни[19].

## Санкции и известни решения

За нарушения на основните принципи, на правата на субектите и на правилата за прехвърляне на данни извън ЕС глобата може да достигне 20 000 000 евро или до 4% от общия годишен световен оборот за предходната финансова година, като се прилага по-високата сума[20].

На 16 юли 2020 г. Съдът на ЕС обявява за невалидно решението на Комисията за адекватността на защитата по „Щита за личните данни“ между ЕС и САЩ (делото Schrems II), но потвърждава валидността на стандартните договорни клаузи[21].

На 22 май 2023 г. ирландската Комисия за защита на данните приключва разследването си срещу Meta Ireland за прехвърлянето на данни към САЩ[22] и налага глоба от 1,2 милиарда евро, както и разпореждане за спиране на бъдещите прехвърляния[23] (вж. „Глобата от 1,2 милиарда евро на Ирландия срещу Meta“).

## GDPR и изкуственият интелект

На 30 март 2023 г. италианският орган за защита на данните временно ограничава обработването на данни на италиански потребители от OpenAI[24]. Той посочва липсата на информация за потребителите и на правно основание за масовото събиране на лични данни за обучение на алгоритмите, както и че информацията, давана от ChatGPT, не винаги отговаря на действителността и така води до обработване на неточни лични данни[25].

На 18 декември 2024 г. Европейският комитет по защита на данните приема становище за използването на лични данни при разработването и внедряването на модели на ИИ. То разглежда кога моделите могат да се смятат за анонимни, дали законният интерес може да е правно основание и какво следва, ако моделът е разработен с незаконосъобразно обработени данни[26].

## Влияние извън Европа

Като пример за т.нар. „Брюкселски ефект“ регламентът става модел за закони в много държави, включително Бразилия, Япония, Сингапур, Южна Африка, Южна Корея, Шри Ланка и Тайланд. След излизането си от ЕС Обединеното кралство приема идентичен „UK GDPR“[27].

## Вижте също

- [Глобата от 1,2 милиарда евро на Ирландия срещу Meta за трансфер на данни (2023)](https://wikib.online/article/irlandia-dpc-globa-meta-transfer-danni-2023)
- [Индия: Законът за защита на цифровите лични данни (2023)](https://wikib.online/article/indiya-zakon-zashtita-lichni-danni-dpdp)
- [Рекордната GDPR глоба срещу Amazon в Люксембург (2021)](https://wikib.online/article/amazon-globa-gdpr-lyuksemburg-2021)
- [Worldcoin: биометричната „орб“ на Сам Алтман за цифрова идентичност](https://wikib.online/article/worldcoin-tsifrova-identichnost)
- [Clearview AI и скандалът с лицевото разпознаване](https://wikib.online/article/clearview-ai-litsevo-razpoznavane)
- [Законът на ЕС за изкуствен интелект](https://wikib.online/article/es-zakon-za-izkustven-intelekt)
- [Центровете за данни и енергията за изкуствения интелект](https://wikib.online/article/tsentrove-za-danni-i-energiyata-za-izkustveniya-intelekt)
- [Алекс Карп](https://wikib.online/article/%D0%B0%D0%BB%D0%B5%D0%BA%D1%81-%D0%BA%D0%B0%D1%80%D0%BF)
- [Meta Platforms](https://wikib.online/article/meta-platforms)
- [„Технологичната република“ (книга на Александър Карп и Николас Замиска)](https://wikib.online/article/tehnologichnata-republika-karp-zamiska)

## Доказателства към твърденията

1. General Data Protection Regulation — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

2. General Data Protection Regulation — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

3. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 99 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

4. Data protection in the EU — https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_en

5. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 3, пар. 1 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

6. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 3, пар. 2 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

7. Data protection in the EU — https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_en

8. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 5, пар. 1 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

9. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 5, пар. 1, б. „д“ — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

10. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 5, пар. 1, б. „е“ — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

11. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 5, пар. 2 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

12. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 6, пар. 1 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

13. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 17, пар. 1 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

14. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: съображение 66 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

15. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 20, пар. 1 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

16. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 22 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

17. General Data Protection Regulation — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

18. General Data Protection Regulation — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

19. Комисия за защита на личните данни — https://www.cpdp.bg/

20. Regulation (EU) 2016/679 (General Data Protection Regulation) — Място: чл. 83, пар. 5 — https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng

21. Press release No 91/20: Judgment in Case C-311/18 Data Protection Commissioner v Facebook Ireland and Maximillian Schrems — https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf

22. Data Protection Commission announces conclusion of inquiry into Meta Ireland — https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland

23. Data Protection Commission announces conclusion of inquiry into Meta Ireland — https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland

24. Intelligenza artificiale: il Garante blocca ChatGPT — Място: съобщение, свързано с provvedimento n. 112 del 30 marzo 2023 — https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870847

25. Intelligenza artificiale: il Garante blocca ChatGPT — https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870847

26. EDPB opinion on AI models: GDPR principles support responsible AI — https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_en

27. General Data Protection Regulation — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation

## Метаданни

- Каноничен URL: https://wikib.online/article/obsht-reglament-za-zashtita-na-dannite
- Лиценз: CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/)
- Ревизия: 1
- Статус: published
- Език: bg
- JSON: https://wikib.online/api/public/articles/obsht-reglament-za-zashtita-na-dannite