Общият регламент относно защитата на данните (ОРЗД), (, със съкращение GDPR) е регламент за защита на личните данни на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни. Официално е заведен като Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета на Европейския съюз и е в сила от 25 май 2018 г. Засяга и субекти извън Европейския съюз и Европейската икономическа зона (ЕИП), които обработват данни на европейски граждани. Основна цел на регламента е да гарантира на гражданите контрол върху техните лични данни.

За разлика от предходната Директива 95/46/EО, регламентът – разширява обхвата на личните данни; въвежда задължения за обработващите лични данни; въвежда строги изисквания за валидност на съгласието като основание за обработване на данни; въвежда нови права на субектите на данни, например – преносимост; въвежда строги изисквания за прозрачност и отчетност и други.

Регламентът може да е свързан с административна тежест за администраторите и обработващите лични данни, които може или трябва да извършат (според обекта и изискванията) информационен одит, очертаване на потоците данни, преглед на законови основания и договори и въвеждане на персонални, организационни и технически мерки за защита на личните данни.

Всяка организация, която обработва лични данни на европейски граждани, е задължена да спазва изискванията. Примери за подобни дейности са събиране, обработване, съхраняване, предоставяне на данни на клиенти, партньори, служители и дори кандидати за работа. Определя дали организация (или сектор) трябва да спазва и други – по-високи изисквания за защита на личните данни. Пример за това е наличието на длъжностно лице по защита на данните, специални мерки за сигурност и други мерки и рестрикции.

ОРЗД задължава частни организации (субекти); корпорации, търговци; държавни и административни органи, с изключение на съдебни, правосъдни органи и институции по опазване на обществения ред и национална сигурност.

Определяне на „лични данни“ Регламентът дава легално определение и обхват на „лични данни“.Член 4, /1/ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета, от 27 април 2016. Официален вестник на Европейския съюз, 4.5.2016, L 119/1 Това е всяка информация, отнасяща се до физически лица, които са идентифицирани или чрез която същите могат да бъдат идентифицирани пряко или непряко чрез идентификационен / клиентски номер или чрез един или повече специфични признака.

„Лични данни“ означава и всяка информация, свързана с идентифицирано или идентифицируемо живо физическо лице. Отделни данни, които когато се съберат, заедно могат да доведат до идентифициране на конкретно лице, също представляват лични данни.

Хармонизация на процесите Регламентът въвежда уеднаквяване / хармонизиране на процесите по защита на данните. Изискванията са общи за всички държави-членки. Регламентът предоставя единен набор от правила за физическите лица и предприятията (администратори и обработващи данни). Прекратява се предходното положение, при което държавите-членки на ЕС прилагат по различен начин правилата на отменената с регламента Директива 95/46/EО.

За компаниите (администраторите на лични данни) е от полза хармонизирането на процесите по обработка на лични данни. За международните оператори с данни, се реализират финансови и процедурни икономии, от това, да не създават правила за всяка отделна държава-членка, в която операторът развива дейност. Предполага се намаляване на административната тежест за компаниите, опериращи в повече от една страна-членка на Европейския съюз (ЕС), а също и стимулиране на свободната търговия.

Задължени субекти и териториален обхват

С Регламент (ЕС) 2016/679 се разширява териториалният обхват на европейските правила за защита на личните данни. Те важат и за администратори, които не са установени в ЕС, но обработват лични данни на граждани, които се намират в ЕС – винаги, когато се предоставят стоки или услуги на физически лица или наблюдение на поведение на физически лица (намиращи се в ЕС). Това се извършва независимо дали от субекта на данни се изисква заплащане на стока или услуга и независимо дали обработването се извършва на територията на ЕС.

Свободното движение на лични данни в рамките на ЕС не се ограничава, нито се забранява по причини, свързани със защитата на физическите лица, във връзка с обработването на лични данни.

Регламентът е с териториален обхват и засяга ЕС и ЕИП.

Задължения на администраторите и обработващи лични данни Общият регламент за защита на личните данни въвежда редица задължения за администратори и обработващи лични данни, някои от които са изцяло нови и непознати в действащата към момента на приемането му правна уредба. Такива примери саНасоки на Европейската комисия за защита на личните данни (2018 г.) /достъпен до 2019 г. https://ec.europa.eu/commission/priorities/justice-and-fundamental-rights/data-protection/2018-reform-eu-data-protection-rules_bg:

обработването на данни да е в съответствие с принципите за защита на лични данни, заложени в регламента, като администраторът на данни да е в състояние да докаже това (въвеждане на отчетност);

осигуряване защита на данните при етап проектиране и планиране;

определяне на длъжностно лице по защита на данните, в изрично посочените от регламента случаи;

поддържане на регистър на дейностите по обработване, за които организацията и длъжностното лице отговарят;

уведомяване на надзорния орган и субекта на данни, в случай на нарушаване на сигурността на личните данни, както и документиране на всяко нарушение на сигурността на личните данни, в т. ч. фактите, свързани с нарушението, последиците от него, предприетите действия за справяне с нарушението;

извършване на оценка на въздействието върху защитата на данните; провеждане на предварителна консултация с надзорния орган преди обработването, когато оценката на въздействието покаже, че обработването ще породи висок риск (в случай, че администраторът на данни не предприеме мерки за ограничаване на риска);

прилагане на подходящи технически и организационни мерки за осигуряване на сигурност на данните. В регламента са посочени и конкретни технически и организационни мерки за сигурност – псевдонимизация„Псевдонимизация“ означава обработването на лични данни по такъв начин, че личните данни не могат повече да бъдат свързвани с конкретен субект на данни.; криптиране; гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване; своевременно възстановяване на наличността и достъпа до личните данни, в случай на физически или технически инцидент; редовно изпитване, преценяване и оценка на ефективността на техническите и организационните мерки; сътрудничество с надзорния орган за защита на личните данни при изпълнение на задълженията, произтичащи от регламента.

Основания за обработване на данните ОРЗД регламентира следните основания за обработка на лични данни:

Съгласие – изрично (писмено / електронно) съгласие; Изпълнение на договор – сключване или изпълнение на договор (с клауза за обработване на лични данни / доброволно предоставени, при подписване на договора, желателна, но незадължителна); Законово изискване – законово задължение за администратора – т.е. действия, произтичащи от закон, най-често при публичните органи (например: нотариуси и ЧСИ) – (без съгласие); Обществен интерес – изпълнение на задача от обществен интерес или упражняването на официални правомощия, предоставени на администратора; Жизненоважни интереси на субекта на данни или трети лица – защита на жизненоважни интереси на субекта на данните или на друго физическо лице; Легитимен интерес на администратора или трети лица – легитимни интереси на администратора или на трета страна, когато същите имат преимущество над интересите или основните права и свободи на субекта на данните (неприложимо за публични органи).

Принципи Регламентът определя обработването на данни да е в съответствие със следните принципи за защита на данните (Глава II, Член 5 – „Принципи“, стр. 35 – 36)Глава II, Член 5 – „Принципи“, Принципи, свързани с обработването на лични данни, Официален вестник на Европейския съюз, бр. L 119/1, 2016 г., стр. 35 – 36:

Законосъобразност, добросъвестност и прозрачност Минимум данни Ограничение на целите Ограничение на съхранението Цялостност и поверителност Точност на данните Отчетност

Права на гражданите Регламентът въвежда и кодифицира различни права на субектите на лични данни, а именно:

Право на достъп до информацията Право на корекция Право на заличаване (правото „да бъдеш забравен“) Право на ограничаване на обработването Право на възражение Право на преносимост на данните Право на жалба пред надзорния орган

Легални определения и дефиниции

Регламент (ЕС) 2016/679 съдържа легални определения и дефиниции на работните си понятия в Член 4 – „Определения“ – от 1) до 26) – стр. 33 до стр. 35 на Официален вестник на Европейския съюз, бр. L 119/1, 2016 г.Официален вестник на Европейския съюз, бр. L 119/1, година 59, от 4 май 2016 г., стр. 33 – 35; Член 4 – „Определения“ – от 1) до 26) (следват някои от дефинициите)

„Администратор на лични данни“ Администраторът на лични данни e физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни, в това число и неговите служители, ангажирани с дейността.

„Лице по защита на (личните) данни“ Длъжностното лице по защита на данните е лице, ангажирано по опазване на личните данни, което може да е и посредник при спор между физическо лице (клиент) и администратора, или администратора и контролния орган – наречено от Европейската комисия точка за контакт. Лицето не може и не трябва да оперира с лични данни при назначилия го администратор. Правоотношението може да е трудово или на граждански договор, като лицето може да изпълнява и други функции в администрацията на администратора.

Длъжностно лице по защита на данните се назначава задължително при наличие на определени обстоятелства, например: обработване на данни на над 10 000 лица; обработване на чувствителни данни, биометрични данни, данни на деца; когато администраторът е публични органи.

„Обработващ лични данни“ Обработващият лични данни e физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора (например: счетоводител, IT и др).

„Получател“ Получател на данни е физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Същевременно публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на ЕС или правото на държава-членка, не се считат за „получатели“.

„Физическо лице“ Физическо лице е субект / притежател на личните данни, с местоположение в Европейския съюз, което може да бъде индивидуализирано / идентифицирано, пряко или непряко, чрез идентификатор – име, дата на раждане, идентификационен номер, данни за местонахождение и адрес, онлайн идентификатори, в това число IP или MAК адрес, електронна поща или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност.

„Чувствителни лични данни“ Специални (чувствителни) лични данни са данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, генетични данни, биометрични данни, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация, са лични данни, поставени под специална защита и изискващи допълнителни мерки.

„Специфични признаци“