ОРЗД.
Обработвайте личните данни законосъобразно, защитавайте правата и доказвайте прилагането с ясна проследимост.
- Регламент (ЕС) 2016/679 · BDSG
- От Derya Altinay
- Актуално към: 22.10.2026 г.
- Време за четене: 9 мин.
Кратък отговор.
ОРЗД урежда обработването на лични данни в европейското приложно поле. Предприятията се нуждаят от подходящи правни основания, прозрачна информация, процедури за правата на субектите на данни и защитни мерки според риска. Член 5 ОРЗД възлага отчетност на администраторите: те трябва да могат да докажат спазването на принципите. Обработващите лични данни имат собствени задължения и подпомагат администратора.
ОРЗД: защита на данните отвъд ИТ сигурността.
Общият регламент относно защитата на данните е пряко приложимо право на ЕС за защита на физическите лица при обработването на личните им данни. Регламент (ЕС) 2016/679 се прилага от 25 май 2018 г.; GDPR е английското му съкращение. В Германия европейската рамка се допълва особено от Федералния закон за защита на данните и секторни разпоредби.
ОРЗД първо поставя въпроса дали и за какво е допустимо обработването. Сигурна база данни още не отговаря дали събраната информация е необходима или колко дълго може да се съхранява. Членове 5 и 6 ОРЗД свързват принципите и правните основания; член 32 разглежда сигурността на обработването в тази рамка.
Защитата на данните остава постоянна задача, защото целите, потоците от данни и използваните услуги се променят. Съгласно член 24 ОРЗД администраторът трябва да предприема подходящи мерки, да проверява тяхната адекватност и при необходимост да ги актуализира. Еднократно попълнен документ не замества тази непрекъсната оценка.
За кои предприятия се прилага ОРЗД.
Съгласно член 2 ОРЗД се прилага за обхванатото там обработване на лични данни независимо дали предприятието е голямо или малко. Това включва например клиентски данни, документи за кандидатстване или съдържание от поддръжката, свързано с лица. Псевдонимизираните данни също остават лични, когато лице може да бъде идентифицирано чрез допълнителна информация; действително анонимната информация се класифицира различно.
Териториалният обхват произтича от член 3 ОРЗД. Освен обработването в рамките на място на установяване в ЕС могат да са обхванати определени предложения към лица в ЕС или наблюдението на поведението им от предприятия извън ЕС. Само местоположението на сървъра или достъпността на уебсайт не решават въпроса.
Ролята се определя за конкретната дейност: администраторите решават целите и средствата, а обработващите обработват данни по възлагане. Една организация може да има различни роли според дейността. Членове 26 и 28 ОРЗД изискват подходящи договорености съответно при съвместно администриране и обработване по възлагане; само заглавието на договор не изяснява действителната роля.
Изискванията на ОРЗД към предприятията.
Изискванията на ОРЗД свързват правните решения с действителното извършване на обработването. Седем работни области дават ориентация; какви допълнителни специални задължения възникват зависи от ролята, данните, дейността и рисковете за засегнатите хора.
Определяне на принципите и правните основания.
Членове 5 и 6 ОРЗД изискват законосъобразно, обвързано с целта и проследимо обработване. Ограничете данните и съхранението до необходимото и поддържайте информацията точна. Съгласието е едно възможно правно основание; предпоставките му не могат да се пропускат, също както и тези на останалите основания.
Осигуряване на прозрачност и права на субектите на данни.
Членове 12–22 ОРЗД се отнасят до разбираема информация и права като достъп, коригиране или изтриване. Правата имат различни предпоставки и изключения. Отговорностите, търсенето на данни, проверката на самоличността и сигурният отговор трябва да са съгласувани; само декларация за поверителност още не обработва искане.
Организиране на отговорността и доставчиците.
Членове 24–30 ОРЗД уреждат организационни задължения, защита на данните на етапа на проектирането, роли и регистри. Обработването по възлагане по член 28 изисква освен подходяща договорна основа и достатъчни гаранции от доставчика. Действително използваните подизпълнители и потоци от данни трябва да участват в оценката, а не само общите договорни условия.
Превръщане на член 32 ОРЗД в ефективни технически и организационни мерки.
Техническите и организационните мерки трябва да създадат ниво на сигурност, съответстващо на риска. Член 32 ОРЗД отчита контекста на обработване, съвременното техническо равнище, разходите и вероятността и тежестта на възможните последици за хората. Според риска това включва защита на достъпа, криптиране, възстановимост и редовна проверка на ефективността; фиксиран универсален списък не е достатъчен.
Проверка на специалните рискове и консултирането.
Оценка на въздействието върху защитата на данните по член 35 ОРЗД е необходима преди обработването, когато то вероятно ще породи висок риск за правата и свободите. Проверете и предпоставките за длъжностно лице по защита на данните по член 37 и допълнително § 38 BDSG. Консултативната функция не замества отговорността за обработването.
Оценка на нарушенията на сигурността на личните данни и уведомяване.
Член 33 ОРЗД по принцип изисква уведомяване на компетентния надзорен орган, освен ако нарушението вероятно няма да породи риск за правата и свободите. Член 34 отделно урежда съобщаването на засегнатите лица при вероятно висок риск. Обработващите уведомяват администратора без ненужно забавяне; документирането на инцидента остава самостоятелно задължение.
Отделно обезпечаване на предаването към трети държави.
Глава V ОРЗД поставя допълнителни изисквания за предаване към трети държави. Проверете действителните получатели, достъпи и приложимия механизъм за предаване. Допустимото предаване не замества нито правното основание за обработването, нито останалите задължения за защита на данните; дори хостинг в ЕС не отговаря на всеки въпрос за външните достъпи.
Прилагането на ОРЗД като непрекъснат процес.
Определете обработванията и ролите.
Като практическо начало опишете целите, субектите на данни, данните, системите и получателите за конкретна дейност и изяснете кой отговаря за всяко решение.
Проверете допустимостта и информирането.
Оценете правните основания, необходимостта и съхранението и съпоставете действителното обработване с информацията за субектите на данни.
Оценете рисковете и специалните задължения.
Проверете рисковете за хората и предпоставките за оценка на въздействието, длъжностно лице по защита на данните, обработване по възлагане и предаване към трети държави преди въвеждане или съществена промяна на обработването.
Приложете и проверете мерките.
Свържете правните и организационните решения с подходящи технически мерки и проверете дали например правилата за достъп, изтриването и възстановяването работят в разглежданата услуга.
Подгответе на практика правата и инцидентите.
Изпитайте как исканията и нарушенията на сигурността на личните данни се откриват, ескалират, оценяват и обработват в срок, включително предаването между предприятия и доставчици.
Актуализирайте документацията с промените.
Актуализирайте решенията и доказателствата при променени цели, получатели или рискове и определете кой проследява отворените мерки и задейства следващия преглед.
Доказателства по ОРЗД и доброволно сертифициране.
Отчетността по член 5, параграф 2 ОРЗД означава възможност да се обясни и докаже спазването на принципите. Подходящи документи могат да включват регистри на дейностите по обработване, обосновани правни основания, договори, информация за защита на данните, оценки на въздействието и проверки на защитните мерки. Решаващо е дали отразяват реалното обработване и показват какво решение на каква основа е взето.
Надзорните органи за защита на данните имат правомощия за разследване и корективни мерки по член 58 ОРЗД. Затова документацията трябва да е лесна за намиране, разбираема и актуална. Регламентът не създава общо задължение за сертификат, с който предприятие да приключи окончателно цялата си работа по защита на данните; отговорността остава при администратора и съответните задължени участници.
Сертифицирането по член 42 ОРЗД е доброволно и се отнася до операции по обработване според одобрени критерии. Съгласно параграф 4 то не намалява законовата отговорност; параграф 7 ограничава срока до най-много три години с възможност за подновяване. Сертификат за информационна сигурност не е автоматично такова сертифициране по правото за защита на данните.
Решението за уведомяване за нарушение на сигурността на личните данни трябва да се доказва отделно. Член 33 предвижда уведомяване без ненужно забавяне и по възможност до 72 часа след узнаването, освен ако се прилага изключението за риска. Документацията по параграф 5 обхваща и нарушения, за които не е уведомено; съобщаването по член 34 следва собствен праг на риска и уредените там изключения.
Прочетете още в блога.
- ОРЗД и сигурностСвържете обработванията, правната оценка и защитните мерки в оперативната работа.
- Проверка на обработването по възлаганеСъпоставете договорните ангажименти с действителните потоци от данни на доставчика.
- Уведомяване за нарушение на сигурността на личните данниПодгответе по-подробно оценката на инцидента, решението за уведомяване и документацията.
- Обработване на искания за достъпОрганизирайте проучването, проверката и сигурното предоставяне на отговор за достъп.
ОРЗД и други рамки.
ISO 27001 подпомага организацията на информационната сигурност, но не замества проверката на правните основания и правата на субектите на данни. NIS2 има собствени адресати и задължения за уведомяване; инцидент може да изисква отделни оценки по двете правни рамки. EU AI Act допълва изискванията към определени системи с ИИ, без да замества проверката за защита на данните при обработване на лични данни.
В Secani.
Secani предлага профил за защита на данните за роли, контекст на обработването и предаване, както и редакционен каталог за проверка по ОРЗД. Профилът документира данни за предприятието и подпомага структурирания преглед на текущото състояние. Експертната оценка на действителното обработване и законосъобразността му остава самостоятелна задача; профилът не е одобрение от орган и не е автоматична правна проверка.
Следваща стъпка.
Започнете с ясно определено обработване, например обработката на заявки за поддръжка. Опишете целта, данните, субектите на данни, участващите услуги и получателите и проверете подходящото правно основание заедно с отговорните специалисти. След това документирайте какви защитни мерки и процедури за права и инциденти действително са необходими.
Източници.
- Регламент (ЕС) 2016/679: Общ регламент относно защитата на данните
- BfDI: ОРЗД — BDSG, Info 1, актуално към март 2026 г.
- Европейска комисия: приложно поле и роли по ОРЗД
- Европейска комисия: принципи на обработването
- Европейска комисия: задължения на предприятията
- Европейски комитет по защита на данните: сигурност на личните данни
- Европейски комитет по защита на данните: нарушения на сигурността на личните данни
- Европейски комитет по защита на данните: права на субектите на данни
- § 38 BDSG: длъжностни лица по защита на данните в непублични структури
Често задавани въпроси.
Не. Член 6 ОРЗД предвижда различни правни основания със собствени предпоставки. Кое е приложимо зависи от конкретната цел и фактите; допълнителни изисквания, например за специални категории данни, трябва да се проверяват отделно.
Не. Уведомяването на надзорния орган по член 33 ОРЗД може да отпадне, когато нарушението вероятно няма да породи риск за правата и свободите. Въпреки това нарушението трябва да се документира; съобщаването на субектите на данни по член 34 се оценява отделно.
Не. СУИС може да подпомогне сигурността на обработването, но не отговаря автоматично на въпросите за правното основание, прозрачността или правата на субектите на данни. Нейният обхват и действителното обработване трябва да се проверяват отделно.
Да, когато обработването им попада в материалното и териториалното приложно поле. Само размерът на предприятието не създава общо изключение; отделни задължения зависят от допълнителни предпоставки.
Организирайте защитата на данните с ясна проследимост.
Запознайте се с профила за защита на данните и редакционния каталог за ОРЗД в Secani.
Тази страница дава общ преглед и не замества правна проверка на конкретния случай. Определящи са действащите правни разпоредби и конкретното обработване.