Лични данни в малка неправителствена организация: GDPR на практика

Редакция „Отворени покани“ · публикувано 4 ноември 2026 г.

Сдружението или фондацията е администратор на личните данни на дарителите, доброволците и хората, на които помага, точно както фирмата. За всяка група ви трябва правно основание по чл. 6 от Регламент (ЕС) 2016/679, кратък регистър на дейностите и ясен ред за исканията, на които отговаряте до 1 месец.

Кое основание за коя група

Член 6, пар. 1 от GDPR изброява шест основания: съгласие; изпълнение на договор; законово задължение; жизненоважни интереси; задача от обществен интерес; легитимен интерес на администратора. Изберете основанието преди да съберете данните и го запишете – после не се сменя удобно.

Здравни и други чувствителни данни

Член 9 от GDPR забранява обработването на данни за здравословното състояние, етнически произход, религиозни убеждения и други специални категории, освен при изрично изброени изключения. Организациите, които помагат на болни деца, хора с увреждания или зависимости, почти винаги обработват такива данни.

Изключението за нестопански организации (чл. 9, пар. 2, буква г) е тясно: то важи за организации с политическа, философска, религиозна или синдикална цел и само за членове, бивши членове и лица в редовен контакт с тях. За повечето социални организации най-сигурното основание е изричното съгласие (буква а) за конкретна цел. Събирайте само данните, без които услугата не може, и ограничете достъпа до тях.

Регистър на дейностите по обработване

Член 30 изисква регистър, който съдържа: името и координатите на администратора; целите; категориите субекти и данни; получателите; предаването към трети държави; сроковете за изтриване, когато е възможно; общо описание на мерките за сигурност. Регистърът се води писмено, може и електронно.

Организациите с по-малко от 250 служители са освободени (чл. 30, пар. 5), но не когато обработването не е спорадично, има вероятност да породи риск или включва специални категории данни. Една организация, която поддържа база с дарители или води досиета на потребители, обработва редовно, затова практичният отговор е: водете регистъра. За малка организация това е таблица с по един ред за всяка дейност – дарения, бюлетин, доброволци, услуги, членове.

Какво казвате на хората

Когато събирате данни, информирайте хората кой сте, за какво ползвате данните и на какво основание, на кого ги предавате, колко дълго ги пазите и какви права имат, включително правото на жалба до надзорния орган (чл. 13). Най-лесно е това да е кратък текст на формата за дарение и във формуляра за доброволци, с връзка към пълната политика.

Искания на субектите на данни

Всеки може да поиска достъп до данните си (чл. 15), коригиране (чл. 16), изтриване (чл. 17), ограничаване (чл. 18), преносимост (чл. 20) или да възрази срещу обработването (чл. 21), включително срещу директен маркетинг.

• Срок: без ненужно забавяне и най-късно 1 месец от получаването. При сложност или много искания срокът може да се удължи с още 2 месеца, като уведомите лицето за удължаването и причините в първия месец (чл. 12, пар. 3).
• Отказ: ако няма да изпълните искането, кажете го до 1 месец, с причините и с възможността за жалба до надзорния орган и до съда (чл. 12, пар. 4).
• Безплатно: отговорът не се таксува. Само при явно неоснователни или прекомерни, например повтарящи се искания, може да се наложи разумна такса или отказ, а тежестта на доказване е ваша (чл. 12, пар. 5).
• Изтриване и законови срокове: данни, които пазите заради счетоводството или годишния доклад, не трябва да изтриете, докато тече задължението. Обяснете това в отговора.

Шаблони, с които човек отправя искане и по които организацията вижда какво трябва да съдържа отговорът: искане за достъп по чл. 15 (DOCX) и искане за упражняване на права по чл. 16–21 (DOCX), с бележки за организацията, която отговаря.

Нарушение на сигурността

Изгубен лаптоп с таблица на дарителите, изпратен по грешка имейл с открити адреси, пробив в сайта – това са нарушения на сигурността. Администраторът уведомява надзорния орган без ненужно забавяне и, когато е осъществимо, до 72 часа след като е разбрал, освен ако няма вероятност нарушението да породи риск за правата на хората (чл. 33, пар. 1). Запишете всеки случай, дори когато не уведомявате.

Комисия за защита на личните данни

Надзорният орган в България е Комисията за защита на личните данни (КЗЛД) – постоянно действащ независим орган (Закон за защита на личните данни, чл. 6, ал. 1). Адрес: София 1592, бул. „Проф. Цветан Лазаров“ № 2. На сайта на КЗЛД има форма за жалба или сигнал.

Още едно правило за регистъра на ЮЛНЦ: документите се подават с заличени лични данни, които законът не изисква (Наредба № 1, чл. 33п, ал. 2). Годишните срокове за документите са в годишните задължения на НПО.