Време за прочитане : 3 мин.

Закон за виртуалните валути, базирани на блокчейн (blockchain) технологията, все още няма, нито в България, нито в ЕС, нито в някоя друга развита държава, въпреки че търговията с криптовалути (Bitcoin, Ethereum и др.) процъфтява вече години наред. Надзорните органи в различните държави издават спорадични указания, препоръки и предупреждения, но това няма нищо общо със създаването на правнорегламентирана рамка, към която криптотърговията да се придържа, за унифицирани законови изисквания да не говорим.

Имайки предвид горното, малките и индивидуалните играчи на криптопазара обикновено не предприемат никакви мерки за съответствие със законодателството и това е донякъде оправдано, защото за това се изискват допълнителни разходи. При малко по-големите и средни играчи на пазара на виртуални валути обаче е препоръчително вземането на превантивни мерки, които могат да им спестят между малко и много главоболия с всевъзможни държавни институции за в бъдеще. Дори криптовалутите да не са изчерпателно и прецизно регламентирани в действащото българско и европейско законодателство, това не означава, че напр. НАП няма да направи данъчна ревизия, в рамките на която да установи с ревизионен акт немалки приходи и оттам и неплатени данъци от страна на задълженото лице. Или пък от финансовото разузнаване към ДАНС няма да почукат на вратата във връзка с непредприети дори само на хартия мерки срещу изпирането на пари. Или пък Комисията за защита личните данни (КЗЛД) за изиска от задълженото лице документация за съответствие и изпълнение на законовите изисквания.

Може би е излишно да бъде въобще споменавано, че първата задължителна стъпка в тази насока е регистрацията на дружество с ограничена отговорност (ООД или ЕООД) или акционерно дружество (АД или ЕАД), защото съгласно Търговския закон (ТЗ) лицата, които извършват търговска дейност по занятие, дори да не са регистрирали абсолютно нищо, се приема, че са еднолични търговци (ЕТ). А при ЕТ първо данъчното облагане е по-неблагоприятно и освен това търговецът отговаря с цялото си лично имущество за задълженията си.

Следващата стъпка е начертаването на бизнес модела, в съответствие с който ще бъде извършвана на практика дейността по търговия с криптовалути. Същият е силно препоръчително да бъде съгласуван с адвокат и счетоводител. Най-малко препоръчителен е вариантът, при който се пробва нещо дали работи и след като се установи, че работи безотказно (само от техническа страна обаче), допълнителни мерки от правно или счетоводно естество не се вземат, поне докато не дойдат на посещение компетентните органи и връчат предписание, акт за установяване на административно нарушение, наказателно постановление или друг акт. Добър компромисен вариант е как нещо работи да бъде изпробвано от индивидуален акаунт, който впоследствие да не бъде използван в дейността по търговия с виртуални валути.

Законът за мерките срещу изпирането на пари (ЗМИП) е първият нормативен акт, който следва да бъде съобразен от търговците на криптовалути при извършваната от тях дейност. Там се съдържа и първият опит за легална дефиниция в българското законодателство на понятието виртуални валути – „цифрово представяне на стойност, която не се емитира или гарантира от централна банка или от публичен орган, не е непременно свързана със законово установена валута и няма правния статут на валута или на пари, но се приема от физически или юридически лица като средство за обмяна и може да се прехвърля, съхранява и търгува по електронен път.“. Съгласно най-новите точки на чл. 5 от ЗМИП задължени и съответно подлежащи на санкции по закона са лицата, които по занятие предоставят услуги за обмяна между виртуални валути и признати валути без златно покритие, както и доставчици на портфейли, които предлагат попечителски услуги (физическо или юридическо лице или друго правно образувание, което предоставя услуги за опазване на частни криптографски ключове от името на своите клиенти за притежаването, съхраняването и прехвърлянето на виртуални валути). В зависимост от обема и сложността на извършваните от криптотърговеца операции следва да бъде изготвена и съответната документация, която следва да е налична при поискване от компетентните органи.

Следващият акт, който следва да бъде съобразен при търговията с криптовалути е ЗЗЛД и европейският регламент GDPR. Същите не поставят в прав текст изисквания към търгуващите с криптовалути, но същите произтичат от извършваната дейност. Имайки предвид, че дори само имейл адресите без други съпътстващи данни спадат към категорията „лични данни“, то просто няма как ЗЗЛД да бъде заобиколен, дори когато става дума за търговия със съпътстващо високо ниво на анонимизиация като криптотърговията.

И на последно място сред органите, контролиращи търговията с виртуални валути, се нареждат органите на приходната администрация в лицето на НАП. В тази връзка някои биха се изненадали да разберат, че въобще в законодателството съществува една Наредба № Н-9 от 07.08.2020 г. на министъра на финансите, съгласно която съществува публичен регистър към НАП, в който криптотърговците следва да бъдат вписани. Но следва да се има предвид, че не е толкова важно самото формално вписване в този регистър, колкото „изпипването“ на бизнес модела и дейността, така че данъчната администрация да няма за какво да се „хване“ при упражняването на контрол върху криптотърговците. Въпросното вписване в регистъра е важно да се отбележи, че следва да бъде извършено преди започване на дейността.

Време за прочитане : 3 мин.

Нарушение на сигурността на данните по смисъла на GDPR (ОРЗД) и ЗЗЛД може да е налице при онлайн или офлайн пробив в сигурността. За да е налице пробив или изтичане, трябва да сме изправени пред един или няколко от следните резултати:

• Унищожаване – данните не могат вече да бъдат изцяло или частично разчетени, напр. лоши или форматирани сектори на твърд диск или изгорени хартиени документи
• Загуба – данните са налични, но администраторът няма достъп до тях, напр. кражба на компютър или изгубена от служител по път за работа флашка
• Промяна – данните са налични, но неточни, напр. злонамерено променени стойности на резултати от медицински изследвания, счетоводни одити, IBAN номера на банкови сметки и др., осъществени от неоторизирано лице
• Неразрешено разкриване – данните са непокътнати и администраторът има достъп до тях, но са нерегламентирано разпространени, вкл. публично, въпреки че са поверителни, напр. публикуване в онлайн пространството на откраднати от болница здравни досиета на пациенти, номера на кредитни карти, потребителски имена и пароли и т.н.
• Достъп – същото като по предходната точка, с тази разлика, че не са разпространени, напр. хакер или неоторизирано лице са прочели трудовите договори или служебната имейл кореспонденция на служители в дадена фирма, без да ги правят достояние на трети лица

Офлайн пробивът може да бъде констатиран на практика безпогрешно и в повечето случаи включва човешка намеса – напр. кражба на документи, лаптоп, компютърна конфигурация, NAS сървър, твърд диск (HDD/SSD), оптичен диск (CD/DVD), флаш памет (USB storage) и др. аналогови или цифрови носители, но може да е и напр. резултат от природни или други бедствия като пожар или наводнение. Пробивът може да засегне както цифрови носители, върху които са записани данни, като изброените по-горе, така и аналогови, напр. разпечатани на хартия същите тези данни. Крадецът може да открадне както флашка, на която са записани лични данни на служители, така и класьор с принтирани на хартия същите тези данни, а в резултат на пожар или наводнение могат да бъдат безвъзвратно повредени и двата вида (цифров и аналогов) носители, върху които са записани лични данни.

Онлайн пробивите изискват повече технически знания, но са и по-опасни, защото много често остават незабелязани. Ако дадено лице осъществи неоторизиран достъп до данни офлайн, напр. в архива на фирмата, до което помещение няма право на достъп, поведението му може да бъде забелязано от служители във фирмата или от охраната, оперираща CCTV видеонаблюдение. В аналогична ситуация, но в онлайн среда, неоторизираното лице (хакер) може да осъществи достъп до поверителни лични данни в много случаи напълно незабелязано, особено ако фирмената мрежа, хардуер и софтуер не се поддържат професионално, напр. неправилно конфигуриран файъруол (firewall), липса на антивирусна защита, лог файлове (log files), които се изтриват автоматично в много кратки срокове и т.н.

Ако сигурността на личните данни е била нарушена, чл. 33 от GDPR изисква надзорният орган, в случая Комисията за защита на личните данни (КЗЛД), да бъде уведомен в 3-дневен срок (72 часа) от администратора на лични данни. Ако обработващ лични данни установи пробив, следва да уведоми администратора, който от своя страна пък да уведоми КЗЛД. Ако бъде установено, че е налице висок риск, следва да бъдат уведомени и съответните субекти на лични данни. Пробивът задължително трябва да бъде отбелязан в регистъра на нарушенията на сигурността на личните данни, които администраторът е длъжен да води. Задължително следва да бъде уведомено длъжностното лице по защита на данните (ДЛЗД или DPO), ако такова е било назначено. Ако не е било назначено, препоръчителна е незабавна консултация със и съдействие от специалист в материята на защитата на личните данни, защото неговият опит, преценка и съвети могат да спестят много хиляди левове санкции (максимално до 10 млн. евро или 2% от годишния оборот съгласно GDPR), които могат да бъдат наложени от надзорния орган дори само за неуведомяване или некоректно уведомяване.

Ето и част от въпросите, от отговора на които зависи дали е налице нарушение на сигурността на личните данни и ако е, каква е неговата тежест и респ. вероятна имуществена санкция в ущърб на администратора на лични данни:

• Съставлява ли дадено злонамерено или неоторизирано действие нарушение на сигурността на личните данни. Защото е възможно да е успешно осъществена хакерска атака, но същата да не съставлява нарушение по смисъла на GDPR, напр. един от най-популярните типове хакерски атаки (DDoS) може само временно да доведе до загуба на достъп до данни.
• Съществува ли вероятност нарушението на сигурността на личните данни да породи риск за правата и свободите на физическите лица. Ако бъде направена правилна, професионална и юридически издържана преценка, че няма риск за субектите на данни, тогава органът може да не бъде уведомяван.
• Представлява ли нарушението на сигурността на данните висок риск за засегнатите лица – субекти на данни. Ако представлява, същите следва да бъдат уведомени, в допълнение към уведомлението до КЗЛД.
• Каква информация да бъде първоначално предоставена на надзорния орган. Защото законът допуска поетапно предоставяне на информация на органа, което може да е от неимоверно голяма полза за администратора, ако знае как да се възползва.
• Описание на нарушението и евентуалните негови последици. Ако нарушението е повече от категорично доказано и не подлежи на никакво съмнение, как точно ще бъде описано то е може би най-важният за администратора на лични данни въпрос, който има пряка връзка с неговата имуществена отговорност и потенциалните санкции, които може да му бъдат наложени. Едно би било положението, ако вирус или друг малуер (malware), напр. троянски кон (trojan), ренсъмуер (ransomware) и др., единствено форматира хард диска на заразен компютър, но съвсем друго, ако се разпрати до всички имейл контакти на заразен компютър и оттам инфектира и нанесе допълнителни поражения. От значение също така са и много други въпроси, вкл. дали напр. е налице бекап (backup) сървър и дали същият е локален или облачен (cloud), дали даден вирус е полиморфен, дали данните са били симетрично или асиметрично криптирани, дали за даден ренсъмуер има наличен декриптор (decryptor) и т.н.
• Описание на предприетите от администратора мерки. Това е въпрос, който е почти изцяло в компетентността на IT специалистите или IT отдела на администратора на лични данни, но не бива да се неглижира и правилното описание на предприетите мерки. Защото същите може да са на практика най-ефективните, но ако не са добре законово обосновани, това може да доведе до значително по-неприятни за администратора последици.

Време за прочитане : 2 мин.

Видеоконференцията по граждански дела беше въведена като възможност в ГПК в края на 2020г. Най-вече превдив това, че съдът не може да спре работа дори в условията на глобалната пандемия от COVID-19, въпреки че в самото начало – в периода март – май 2020г. дори това се случи. Съдилищата спряха работа, а насрочените съдебни заседания се отлагаха напред във времето. Дори е момента съдилищата значително са забавили своята дейност – в по-дълъг период от време не се нарочват заседания, решенията по делата често се бавят повече от посочения в закона едномесечен срок (имайте предвид, че все пак този срок е само инструктивен). Преди няколко седмици съдилищата имаха идея до края на годината да излязат в съдебна ваканция, което обаче не беше посрещнато с възторг нито от граждани, нито от адвокати.

В тази връзка, още в началото на пандемията съдилищата и други институции започнаха да вършат част от работата си дистанционно – чрез видеоконференция. От скоро това вече е законово регламентирано в процесуалните ни кодекси – АПК, ГПК и НПК.

В ГПК видеоконференцията е определена като „комуникационна връзка чрез техническо средство за едновременно предаване и приемане на образ и звук между участниците в процеса, намиращи се на различни места, позволяващи записване и съхраняване на информация на електронен носител“. В една такава връзка могат да вземат участие страните по едно гражданско дело, вещите лица, свидетелите, преводачите и тълковниците. В това число, разбира се трябва да включим и защитниците на страните в процеса – техните адвокати. Всяко едно от изброените лица може да поиска да участва в съдебно заседание чрез видеоконференция. Тя се осъществява в сградата на районния съд по местоживеене на съответния участник. Това означава, че ако Вие живеете в София, а делото се разглежда от съд в Пловдив, няма да е нужно да отидете на място в Пловдив, но ще трябва да се явите пред районния съд в София, където да бъдете идентифицирани от служителите и след това да участвате в съдебното заседание чрез видеоразговор. Това е необходимо с оглед на удостоверяване, че реално лицето, което трябва да вземе участие в заседанието на съда, е това, с което се провежда видео разговора.

Както при всяко съдебно заседание, и в този случай ще бъде изготвен протокол от заседанието, в който ще бъде посочено и името на служителя, който ви е идентифицирал преди започване на видеоконференцията. Възможно е да се направи и звукозапис на самото заседание и по него след това да се изготви протокола. Самият запис от видео разговора, също се прилага към материалите по делото.

Видеоконференцията обаче не е позволена във всички случаи. Кодексът казва, че е допустима, когато страните, свидетелите и вещите лица „не са в състояние да се явят непосредствено пред съда по делото и се намират извън съдебния район“. Интересното е, че не е предвидена изричната възможност да се извършва видеоконференция в ситуацията на извънредна епидемична обстановка, с цел да не се събират много и различни хора на едно и също място.

Дали видеоконферентната връзка ще се наложи в гражданския процес и ще бъде ли реално приложима и в кои случаи, ще разберем с течение на времето. Дотогава единствената опция да не се явявате лично по гражданско дело, по което интересите Ви желаете да бъдат представлявани, е да ангажирате доверен адвокат.

Време за прочитане : 4 мин.

Длъжностно лице по защита на личните данни (ДЛЗД) стана особено популярна, а в някои случаи и задължителна фигура след влизането в сила през 2018 на новия Регламент за защита на личните данни (GDPR), който изведе на хоризонта една нова фигура, която е натоварена с немалко задачи във връзка със спазване разпоредбите на европейското законодателство. Регламентът има пряко приложение в държавите-членки и не е задължително допълнително уреждане на неговата материя и на национално ниво. Въпреки това обаче,  след повече от година от влизането в сила на Регламента, бяха променени Законът за защита на личните данни, както и други национални актове, които почти дословно имплементираха разпоредбите на европейския акт.

Длъжностното лицe по защита на данните (ДЛЗД), известно на английски език като Data Protection Officer (DPO), е ново както за българското, така и за по-голяма част от европейското общество и бизнес. Въпреки множеството спекулации, че именно това лице ще утежни бизнеса, това не е точно така. Основно поради факта, че не всяка фирма или организация трябва задължително да назначи свое ДЛЗД. Има три случая, в които обаче това е неизбежно и задължително. Те са:

1. Публичен административен орган – такива са например общините, НАП, НОИ, КАТ и др. като в това число влизат всички държавни и общински публични сектори.
2. При мащабно наблюдение на различни физически лица като основна дейност – под „мащабно“ се взема предвид: броя на засегнатите лица; обем на обработваните данни; продължителността на обработването. Според компетентния в случая орган – Работната група по чл. 29, типични примери за мащабно наблюдение са:
   1. Дейността на една болница при обработване на данните за здравословното състояние на пациентите
   1. Обработване на лични данни, включително местоположение, от доставчици на интернет или телефонни услуги
   1. Не е мащабно обработването на лични данни от отделен лекар или адвокат
3. Обработване на „чувствителни“ данни (данни за расова или етническа принадлежност, политически възгледи и убеждения, здравословно състояние, сексуална ориентация и други).

Освен в тези изрично упоменати в Регламента случаи, всяка фирма (малка или голяма), предприятие или организация, дори и да няма задължение да назначи длъжностно лице по защита на данните (ДЛЗД), може да го направи и това в никакъв случай не би било грешно. Напротив, това е една от стъпките, с помощта на които организацията ясно може да докаже спазването на GDPR. Към назначаването на такова лице има още няколко съществени елемента.

Според новото европейско законодателство в областта на защитата на личните данни няма точни и конкретни изисквания, на които следва задължително да отговаря длъжностното лице по защита на личните данни. То се назначава с оглед на неговите професионални качества, като според становище на Комисията за защита на личните данни ДЛЗД е необходимо да притежава задълбочени експертни познания в областта на законодателството и практиката за защитата на личните данни, напр. адвокат, специализиращ именно в тази област. Срещу символична месечна сума един опитен адвокат – експерт в областта на защитата на личните данни би могъл да консултира професионално и по този начин да предотврати налагането на санкции на дадено предприятие за неспазване на действащото законодателство и GDPR. Освен това може да следи за всякакви промени в националното и европейското законодателство и да препоръча или съдейства с актуализацията на документацията за съответствие с GDPR. И не на последно място – да комуникира със субектите на лични данни (напр. отправили искане или жалба до търговеца) или с Комисията за защита на личните данни. Обикновено тази услуга не изисква ежедневни ангажименти и поради това, изненадващо или не, наемането на адвокат, който за изпълнява функцията на ДЛЗД, е значително по-евтино от наемането на отделен служител на трудов договор в предприятието.

Тъй като с навлизането на този Регламент, бизнесът не на шега се стресна от факта, че трябва да вложи доста финансови средства по съобразяването си с него, трябва да кажем също, че не е необходимо длъжностното лице, което ще обслужва дадена организация за защита на личните данни, да е новоназначено външно лице. Това може да бъде и вътрешно лице – част от персонала на предприятието, което да бъде назначено с изрична заповед на длъжност, която не е изрично предвидена в Регламента, но обикновено бива наименувана „Отговорник по защита на личните данни“. При по-големите компании, най-вече тези, които не оперират само в едно населено място или държава, е важно да се спомене, че група предприятия могат да назначат и само едно ДЛЗД за всички предприятия. Но условието е, че трябва да има осигурен достъп до него от всяко предприятие. Разбира се, тук „достъп“ не бива да се приема в буквалния смисъл на физически достъп до лицето. Достатъчно е по всяко време и от всяко място субектът на данните да има връзка с ДЛЗД. Преди това длъжностното лице задължително трябва да е официално представено като такова на всички работници или служители в организацията или предприятието.

Във връзка с горното, една от основните задачи на администраторите и на обработващите лични данни е да публикуват и да направят достъпни данните за контакт с ДЛЗД. Тази информация следва да се доведе до знанието и на надзорния орган в лицето на Комисията по защита на личните данни (за България). Това е така поради факта, че една от основните функции на това лице и именно да си сътрудничи постоянно с този водещ орган. Именно в тази връзка от Комисията за защита на личните данни направиха специално уведомление за назначаване на ДЛЗД. Това уведомление се изготвя от администратора на лични данни и се изпраща до Комисията. За това няма определен срок, нито санкция, ако не бъде сторено.

Изготвянето на оценка на въздействието върху защитата на данните е една от областите, в които ДЛЗД може да е от изключителна полза. Формално погледнато самата оценка на въздействието върху защитата на данните се прави от администратора на лични данни, но ДЛЗД може да подпомага неговата дейност, като даде своето становище, мнение, насоки и други. Администраторът и обработващите лични данни са длъжни да осигурят на длъжностното лице необходимите ресурси за изпълнение на неговите задачи, а също и неговата пълна независимост (от администратора и обработващия) – никой не може да влияе на неговите решения и политики за защита на данните. Не може да се допуска по какъвто и да е начин да се влияе върху неговата преценка, когато тя е свързана със защита на личните данни.

Сред основните задачи, които следва да изпълнява ДЛЗД са:

1. Да отговаря на всички въпроси, отправени към него, от страна на субектите на данните – какви лични данни се обработват, как се съхраняват и всяка друга информация, свързана с тези данни
2. Съветва администратора или обработващия личните данни по принципни положения, свързани с приложението на Регламента, както и по конкретни казуси, възникнали в практиката на предприятието
3. Да съблюдава извършването на оценка на въздействието върху защитата на данните и да дава съвети и оказва помощ по нея
4. Да подпомага по всякакъв възможен начин администратора или обработващия личните данни във връзка със защитата на техните права и бизнес интерес
5. Да сътрудничи и да се консултира с надзорния орган (КЗЛД) като представител на администратора или обработващия лични данни

Наред с тези задачи, длъжностното лице може да изпълнява и други задачи, възложени му от администратора или обработващия личните данни, стига тези други задачи да не водят до конфликт на интереси с функцията му по спазване Регламент 2016/679 ЕС. В този аспект като пример за конфликт на интереси, може да се посочи, че длъжностно лице по защита на данните не може да бъде ръководите, управител на самата организация, главен или изпълнителен директор и други подобни длъжности.

Време за прочитане : 2 мин.

Съгласно последните изменения на важната и много коментирана в последно време Наредба № Н-18 относно новите правила за отчитане на фискалните устройства от търговците, вече и тези, които търгуват посредством онлайн магазини, ще имат нови задължения. Ето в какво се състоят те накратко:

На първо място, всички онлайн търговци, които вече осъществяват дейността си чрез продажби през електронен магазин, трябваше да декларират този факт в НАП. Срокът за това беше 29 юни 2019г. Това задължение не е отпаднало и тази информация се подава независимо дали електронният магазин е собственост на търговеца или той го ползва под наем. Също така, ако един търговец има повече от един подобен магазин, той следва да регистрира всеки един от тях поотделно.

Горните задължения се отнасят и до търговци, които смятат за напред да извършват своята дейност чрез електронен магазин. Разбира се, за тях няма фиксирана дата за регистрация. Тя трябва да бъде извършена преди започване на онлайн продажбите.

Както за настоящите, така и за бъдещите онлайн търговци важи един и същ срок относно обявяването на промени в обстоятелствата около дейността им, вкл. нейното прекратяван и той е 7-дневен.

Агенцията вече поддържа актуален публичен списък с всички регистрирани електронни магазини. Разбира се, за неизпълнение на новите задължения законодателят е предвидил и санкции. Интересното обаче е, че те не са парични или имуществени. Като за начало, при констатиране на несъответствие, НАП уведомява по електронен път търговеца, като му дава срок от 7 дни, в който същите да бъдат отстранени. Ако този срок не бъде спазен, електронният магазин ще бъде заличен от списъка на НАП и по този начин той няма да може да извършва легално дейността си.

Задължените лица регистрират онлайн магазините си чрез електронен подпис. Те пак имат задължение за отчитане на продажбите чрез фискален или системен бон, който обаче не е задължително да се отпечатва на хартия, достатъчно е да е в електронна форма и да бъде изпратен по електронен път на клиента (по имейл или друг начин). Търговецът обаче е длъжен да пази данни за неговото изпращане, което да послужи като доказателство в случай на евентуално данъчна проверка. Освен това търговецът трябва да предостави възможност за копиране на данните и експорт, както и да пази цялата база данни, вкл. архив на информацията, свързана с дейността на електронния магазин.

В началото на 2020г. бяха обнародвани още промени в Наредба Н-18 и още изисквания за търговците. Много голяма част от тях се обявиха против тях с идеята, че нововъведенията ще утежнят изключително много бизнеса им, както и че сроковете, които бяха визирани в началото, са крайно недостатъчни. Така правителството реши, че ще отложи с няколко месеца влизането в сила на промените. Сега, до 31 юли 2020г. онлайн търговците трябва да приведат дейността си в съответствие с изискванията на Наредбата.

Ето и какви са те накратко:

• Електронните магазини могат да се освободят от задължението си за наличие на касов апарат. Как? Когато се извършват неприсъствени плащания с дебитна или кредитна карта чрез виртуален ПОС терминал. В тези случаи софтуерът за управление на продажбите (СУПТО) трябва да генерира специален код, който да е уникален за всяка отделна поръчка на стока или услуга. Посоченият софтуер не може да бъде използван управление на продажби по друг начин, т.е. извън обхвата на конкретния електронен магазин.
• Въпреки че търговецът няма задължение за издаване на фискален бон, той все пак трябва да издаде документ, който да регистрира конкретната продажба. Съдържанието на този документ е посочено в чл. 52о, ал. 1 от Наредба Н-18. При плащанията чрез виртуален ПОС терминал клиентът трябва да получи този документ по електронен път – например на електронната си поща.
• Деклариране в НАП – освен посоченото по-горе в статията задължение за деклариране на самия онлайн магазин, от началото на тази година, търговците трябва да посочат пред приходната агенция и информация за методите на плащане, които използва, договор с доставчик на платежни услуги за ползването на виртуалния ПОС терминал, вкл. неговият номер, платежните сметки, по които получава плащанията, QR код.
• Онлайн търговците имат задължение да изпращат по електронен път към НАП одиторски файл, който да съдържа информация за направените през съответния месец продажби. Тази информация задължително се изпраща до 15-то число на месеца, следващ този, за който се отнасят продажбите (например файлът с продажбите за месец март се изпраща до 15 април).  

Време за прочитане : 3 мин.

Правото „да бъде забравен“ даден човек е един сравнително нов термин свързан с личните данни и в частност интернет активността на физическите лица. Приложението му е вече ефективно въведено от големите корпорации в IT бранша, а и допълнително разширено с влизането в сила през 2018 на новия общоевропейски Регламент (ЕС) 2016/679 за защита на личните данни. Право „да бъде забравено“ има всяко физическо лице (това право е неприложимо за търговски дружества и юридически лица), чиито лични данни най-общо казано някога са попаднали в интернет пространството или у офлайн администратори на лични данни (напр. банки, кредитни институции, колекторски фирми и т.н.). По същество, това е право на физическото лице да поиска негови лични данни да бъдат изтрити (т.е. администраторът на лични данни, който ги е получил на законно или незаконно основание, да спре използването и предоставянето им на трети лица).

По закон това право може най-често да бъде упражнено в 2 хипотези:

1. Когато физическото лице е дало съгласие на администратор на лични данни (напр. при регистрация в онлайн директория, имейл услуга и т.н.) да обработва неговите лични данни или
2. Когато това право произтича от договор (напр. банка или фирма за бързи кредити е отпуснала заем на лицето, онлайн магазин, от който лицето е закупило стока и т.н.)

Именно в последния случай мнозина граждани се оплакват от „психически тормоз по телефона“ от банки, колекторски фирми и др. Въпросният тормоз по телефона се изразява в многократни покани, обикновено отправяни от кредитор към длъжник, срещу които длъжникът възразява. Всъщност адресатът на въпросния психически тормоз не възразява против това, че има задължения, но има против това служители на кредитодателя да го притесняват многократно по телефона, нерядко в неподходящо време. Имайки предвид, че няма закон за телефонния тормоз, нито за такъв психически тормоз се носи наказателна отговорност (освен ако не е напр. закана за убийство, което е престъпление), тогава на помощ идва правото „да бъде забравен“ адресата на споменатия психически телефонен тормоз.

Съгласно новия Регламент за защита на личните данни субект на лични данни (т.е. лицето чиито лични данни се събират и обработват) не може да поиска да бъде „напълно забравен“ при положение, че има непогасени задължения, а кредиторът има право да претендира вземанията си, но длъжникът има пълно право да поиска да бъдат изтрити някои негови конкретни лични данни, които нямат пряка връзка с изпълнението на задълженията му. Напр. длъжник по банков кредит или адресат на телефонен тормоз от колекторска фирма няма право да иска изтриването на неговите имена, ЕГН и пр. данни, които го индивидуализират като длъжник по договор и без които кредиторът няма да може ефективно да предяви вземанията си (напр. банката няма да може да подаде искова молба в съда без да разполага с имената на длъжника), но има други лични данни, които по никакъв начин не са в пряка връзка с изпълнението на задълженията на длъжника по даден договор – напр. телефонният му номер.

Предвид горното, всеки длъжник, който бива тормозен по телефона, независимо дали по един правомерен (напр. покана доброволно да погаси задълженията си) или незаконосъобразен начин (напр. заплахи за действия, които могат да бъдат предприети при неизпълнение на задълженията му) – може да изиска от съответното дружество – администратор на лични данни (банка, финансова институция, факторинг дружество, колекторска фирма и т.н.) да изтрие и спре използването на някои негови лични данни, вкл. телефонния му номер.

Трябва да имате предвид обаче, че дори и да се позовете на това свое право, администраторът на лични данни (например банката или колекторската фирма) може да възрази и да откаже да изтрие личните ви данни, защото счита, че неговият интерес има преимущество пред този на субекта на данните (физическото лице, което бива тормозено по телефон или имейл). Горепосоченият Регламент му дава това право, но следва то да бъде доказано.

Друга възможност, която предоставя Регламента за защита на личните данни на физическите лице е свързано с ограничаване обработването на личните им данни. Какво означава това? Най-просто казано, това е алтернатива на „правото да бъдеш забравен“, защото не изисква от администратора да изтрие напълно личните данни, с които разполага, а само да спре да ги използва. Той може да ги съхрани за определен период от време, но няма право да ги използва. С две думи – ако поискате да бъдат ограничени телефонният ви номер и електронната поща, то администраторът трябва да преустанови тормозещата си практика по този начин.

Препоръчително е заявлението за изтриване или за ограничаване обработването на лични данни от страна на физическото лице да бъде направено в писмена форма, тъй като устните волеизявления на практика трудно могат да бъдат доказани, а е добре да има писмено доказателство за обстоятелствата, свързани с гореизяснения психически тормоз. Ако е налице изрично писмено волеизявление в тази насока и администраторът на лични данни продължи да използва тези лични данни, които субектът на лични данни (физическото лице) изрично е забранил да бъдат използвани или е поскал да бъдат „забравени“ – тогава това физическо лице има право на жалба до Комисията за защита на личните данни, която съгласно новия Регламент за защита на личните данни има компетентност да налага огромни по размер санкции (до 20 милиона евро). Следва да бъде изрично обърнато внимание, че това не трябва да бъде жалба срещу телефонен тормоз, а жалба за неспазване на закона от администратор на лични данни. Ако комисията за защита на личните данни бъде сезирана с жалба за телефонен, психически или какъвто и да е друг тормоз, то тя няма да се произнесе по нея предвид липсата на компетентност.

Време за прочитане : 2 мин.

Фирми без дейност – какво подават в Търговския регистър? Това е изключително популярен въпрос, особено в условията на обявено извънредно положение, а отговорът е, че фирми без дейност не публикуват годишни финансови отчети (ГФО) в Търговския регистър (ТР), а вместо това дружествата подават т.нар. „декларация за неактивност“ (декларация, че не са извършвали дейност) в Агенцията по вписванията (АВ), което е нововъведение от 2018. Освен това декларациите за неактивност могат да бъдат подадени лично от представител на фирмата или упълномощен адвокат, но не и от счетоводителя на съответното дружество. Предвид тази законова промяна в общественото пространство започна да се спекулира колко големи облекчения било предвидило законодателството във връзка с отчетността на неработещите фирми и за отпадането на т.нар. „нулеви декларации и финансови отчети“. Действително облекчения за неработещи дружества има, но задължението за подаване на отчетна информация към институциите остава, а сроковете и процедурите се промениха, което породи объркване у собственици, управители и счетоводители.

Бързата съпоставка с досегашната практика сочи, че до началото на 2018 дружествата имаха задължението да подават счетоводна отчетна информация до три различни институции, независимо от това дали през отчетния период са извършвали дейност или не. На първо място, всички фирми без дейност подаваха „нулева“ годишна данъчна декларация по чл. 92 от Закона за корпоративното подоходно облагане (ЗКПО) към съответното териториално подразделение на НАП по адреса на регистрация на дружеството. На следващо място, дружествата подаваха информация, че не осъществяват дейност в ИС „Бизнес статистика“ по регион към Националния статистически институт и трети път публикува годишните си финансови отчети в Агенцията по вписванията, Търговски регистър, като заплащаха такса за самото публикуване.

За първи път през 2018, в резултат на промени в Закона за корпоративното подоходно облагане, за предприятията, които не са осъществявали дейност през 2017 г. по смисъла на Закона за счетоводството, отпада задължението да подават годишна данъчна декларация в НАП. За тези, които не са сигурни дали попадат в категорията „без дейност“, Закона за счетоводството дава следната дефиниция:

„Предприятия, които не са осъществявали дейност през отчетния период“ са предприятия, за които едновременно са налице следните условия:

1. през отчетния период не са извършвали сделки по чл. 1, ал. 1 от Търговския закон;
2. през отчетния период не са възникнали условия да бъде признат приход съгласно Закона за счетоводството и приложимите счетоводни стандарти;
3. не са осъществявали дейност, свързана с инвестиции, производство и/или продажба;
4. не са осъществявали покупка на стоки и услуги с цел получаване на доходи и печалби.“

С други думи, ако имате фирма с открита банкова сметка, по която се начисляват банкови такси, плащате на счетоводител за подаване на нулево ДДС и само някои основни данъци и такси, то фирмата Ви е без дейност и може да се възползвате от облекчението.

Това е чудесно, но как държавата да разбере, че дружеството не е извършвало дейност през отчетния период? Отговорът е – чрез подаването на декларация за неактивност. Проблемът е, че ще трябва да бъде подадена два пъти на две различни места. Съгласно промените в Закона за счетоводството, фирмите без дейност се освобождават от задължението да публикуват годишни финансови отчети в Търговския регистър. Вместо това обаче, те трябва да подадат в срок до 31.03., декларация, че не са извършвали дейност. Декларацията се подава със заявление Г2, като към него се прилага и декларация истинност. Добрата новина е, че такса не се дължи. Заявлението може да се подаде лично „на гише“ в Агенцията по вписванията от управителя на дружеството или онлайн, ако дружеството има електронен подпис, както и от адвокат с адвокатско пълномощно.

Трябва да се подчертае, че Търговският регистър излезе с изрично становище, че декларацията за неактивност, не може да се подаде от счетоводителя на фирмата, тъй като счетоводителите имат право да подават само в качеството им на съставители на финансови отчети, а такива на практика сега не се изготвят. За целта може да Ви съдейства само адвокат, като предимството е, че за извършване на гореописаните действия от адвокати не се изисква нотариално заверено пълномощно.

В допълнение към подаването на пакета от документи към Търговския регистър, дружествата имат задължение да обявят факта, че не извършват дейност и към Националния статистически институт (НСИ), като подадат декларация по образец. Декларацията може да се подаде на имейл адрес (подписана, подпечатана и сканирана) или в съответните териториални структури на НСИ на хартиен носител, а срокът за това е до 30.04.2018.

От 2020 вече има образец на декларацията за неактивност и ТР ще приема само декларации, които са изготвени по образеца. Декларации в свободна форма няма да се приемат. Във връзка с пандемията от коронавирус обявеното извънредно положение, през 2020 срокът за подаване на документите е удължен до 30 юни 2020г.

Време за прочитане : 2 мин.

В модерния, технически напреднал живот, използването на всякакви начини за улесняване на ежедневните задължения на търговците, е вече почти задължително. Именно заради пестенето на време, пари и енергия все по-популярно започна да става издаването на т. нар. „електронни фактури“ (е-фактури, e-invoices). За разлика от обикновените, хартиени фактури, електронните такива например не заемат излишно място в офиса, защото не е необходимо да бъдат разпечатвани и съхранявани няколко години, а също и не е нужно да се изразходват излишни средства за изпращането им по пощата или куриер до техния получател.

Електронните фактури не отстъпват по нищо на хартиените. Според Закона за счетоводството, фактурата е първичен счетоводен документ и като такъв може да бъде както на хартиен носител, така и в електронен вид. И хартиените, и електронните фактури трябва да съдържат една и съща информация, която се явява условие за тяхната действителност. Така например и двата вида фактури задължително трябва да съдържат името „Фактура“ и нейният пореден номер, датата на издаване, име на юридическото или физическото лице, адрес или седалище, както и ЕИК / БУЛСТАТ на издателя и на получателя, когато са регистрирани в съответния регистър. В случай, че един от тях е физическо лице, тогава се посочва ЕГН. Отделно от това, задължително трябва да е посочено количеството и вида на стоката или услугата, цена без ДДС, размера на начисления ДДС и тяхната обща стойност (например цената на стоката е 15 лв., върху които трябва да се начисли 3 лв. ДДС и така крайната цена е равна на 18 лв.). ЗДДС в своите чл. 114 и 115 посочва и някои допълнителни специфични реквизити.

В последните години все по-често срещаме доставчици на услуги, които предлагат на своите потребители да се откажат от хартиената си фактура (мобилни оператори, електроразпределителни и ВиК дружества и др.) и да я заменят с електронна, която могат да получават на електронната си поща. Това от една страна пести време и средства, а и не на последно място – щади природата и не изразходва нейните изчерпаеми ресурси.

Като добра новина може да се определи това, че вече има много онлайн платформи, които предлагат услугата „Електронна фактура“ – онлайн програми и бланки на електронни фактури. Единственото условие е търговецът да има електронен подпис (КЕП). За разлика от хартиената фактура, при която подписът и печатът вече не са част от задължителните реквизити, то електронният подпис при електронната фактура няма как да отпадне. За момента това е единственият начин, който може да удостовери автентичността на произхода й. Важно е да се знае обаче, че за електронните фактури има законово изискване да бъдат приети от получателя. Това може да стане както с изрично, така и с мълчаливо съгласие.

Тъй като органите на НАП имат право да изискат представянето на всички счетоводни документи на търговеца при проверка, трябва да знаете, че и електронните фактури не са изключение от това правило. Търговецът трябва да осигури онлайн достъп до тях. И не на последно място, електронните фактури се признават и в съдебните производства.

Време за прочитане : 4 мин.

Безплатни образци и бланки на декларации, политики, регистри и всевъзможни други документи по новия GDPR Регламент и Закона за защита на личните данни (ЗЗЛД) са предмет на все по-голямо търсене от бизнес потребителите, имащи качеството на администратори на лични данни. Целта на настоящата статия е на първо място да обясни същността на тези документи, както и да предостави някои примерни образци за свободно ползване.

Мнозина може би вече са установили, че, въпреки голямото търсене, безплатни образци и бланки, свързани със защитата на личните данни, се намират трудно или въобще не се намират в интернет пространството. Това има своето напълно логично обяснение, което се корени в следните 2 основни причини:

1. Стандартни пакети образци не се разпространяват безплатно, а се продават
2. Стандартен пакет документи не вършат почти никаква работа

На пръв поглед купуващите подобни документи съвестни бизнесмени, които искат да спазват закона, остават с впечатлението, че с придобиването на подобен „ПЪЛЕН“ комплект документи, те вече ще са напълно изрядни и отговарящи на изискванията за обработка на лични данни, което обаче е огромна заблуда поради следните очевидни причини:

1. Нито в ЗЗЛД, нито в GDPR има посочен „пълен“ и изчерпателен списък от необходими документи, т.е. документите са неограничен брой и всеки път варират според особеностите на съответния бизнес
2. Всеки стандартен на пръв поглед документ, напр. политика за поверителност / защита на личните данни, следва да бъде изготвен съобразно индивидуалните особености на конкретния бизнес
3. Дори една стандартна бланка на декларация за защита на личните данни да отразява съвършено точно 90% от изискуемата информация – останалите 10% биха съставлявали невярна или непълна информация, което вероятно би съставлявало нарушение

Като илюстрация на горното идва един напълно реален пример от практиката. Продавачите на стандартни бланки на документация за защита на личните данни няма как да знаят къде точно и на каква платформа напр. се хоства даден онлайн магазин, какви протоколи за сигурност използва, дали съхранението на лични данни е локално или облачно, има ли локално или отдалечено видеонаблюдение и по какъв стандарт функционира и т.н. и т.н. Това са само няколко мънички детайла от ужасно многото такива, които следва да се преценят при изготвянето на пълната документация за съответствие с изискванията за защита на личните данни. Ако дори само едно мъничко детайлче се окаже невярно, то несъответствието в документацията на съответния бизнес ще е налице,. Така напр. е възможно в дадени стандартни образци да е записано, че администраторът ползва един вид хостинг или търговска платформа, но да се окаже, че в даден случай се касае за напълно различен вид – в резултат на което да се окаже, че се предават лични данни на трета страна – за което се изисква допълнителен слой защита, изразяващ се в задължението за инкорпориране на съответните допълнителни мерки и гаранции във фирмената документация за защита на лични данни. На практика е напълно немислимо съответните допълнителни мерки да бъдат предварително инкорпорирани в стандартен пакет образци на документи защото възможните различни комбинации от конкретни детайли, са хиляди, а продаваните пакети стандартни образци са един вид.

По-долу ще бъде направен кратък преглед на основните видове документи, които следва да се изготвят от администратор на лични данни (или респ. нает от него експерт, напр. адвокат или длъжностно лице по защита на данните), за да бъдат спазени изискванията на GDPR и ЗЗЛД при обработката на лични данни (т.нар. GDPR compliance). Отново следва да се има предвид, че наборът от документи варира при различните администратори в зависимост от естеството на конкретния бизнес.

Политика за защита на личните данни, позната още като политика за поверителност. Това един от основополагащите документи при доказване спазването на изискванията за защитата на личните данни. Това е вероятно най-всеобхватния документ в тази връзка, който съдържа препратки към останалата документация и различните конкретни аспекти на защитата на личните данни при съответния администратор. Предвид горното, изготвянето на стандартен образец – бланка на политика поверителност и защита на личните данни би било напълно неиздържано от правна гледна точка и може би несериозно от гледна точка на репутацията на даден бизнес. Защото изискванията на Регламента са за конкретни мерки, а не абстрактни декларации

Има редица други политики при обработката на лични данни, необходимостта от които обаче следва да се преценява с оглед конкретните параметри на съответния бизнес. Политика за обучение и инструктаж на персонала напр. няма да е необходима при ЕООД без нает персонал. Политика за възлагане на работа на подизпълнители също може да не е необходима, особено ако администраторът не планира наемането на подизпълнители в скорошен план и ако не обработва чувствителни данни. Политика за обработка на лични данни при видеонаблюдение, разбира се, би била напълно излишна, ако локално или онлайн видеонаблюдение не е инсталирано от администратора.

Оценка на въздействието върху защитата на личните данни е другият най-мащабен и сложен документ, наред с политиката за защита на личните данни, който следва да бъде изготвен, за да е налице съответствие с изискванията за защита на личните данни. Добрата новина е, че той не е задължителен за по-малките като обем и специфичност на бизнес дейност администратори. Оценка обаче е изискуема при използването на нови технологии в бизнес модела на администратора, напр. онлайн транзакции, които крият съществен риск от засягане на правата на субектите на лични данни (напр. източване на банкови карти, кражба на пароли и самоличност и т.н.). Същото важи и за обработката на лични данни. Като цяло оценката на въздействието върху защитата на личните данни представлява цялостен и напълно конкретен анализ на бизнес модела на администратора на лични данни, при който се систематизират и индивидуализират операциите, свързани с обработката на лични данни, тяхното въздействие върху правата на субектите и рисковете, които крият и най-сетне – мерките и гаранциите от страна на администратора за защитата на правата на субектите.

Декларация за защита на личните данни. Всъщност декларациите в тази връзка може да са неограничен брой – от интернет потребители, от работодатели, от служители на даден администратор и т.н. Най-съществените от тях са декларация за поверителност и декларация за съгласие.

Декларацията за поверителност е едно от различните наименования в практиката на документ, който се изготвя от администратора на лични данни или натоварено от него за целта лице и съдържа задължителна според Регламента информация, която следва да се предостави в определени в Регламента случаи на субектите на лични данни. Регламентът дава общи насоки за съдържанието на този документ – какви точно лични данни се обработват, какви са целите и основанието на обработката, кои са получателите на лични данни, предават ли се такива на трети страни и т.н. Конкретни отговори на всички тези въпроси по отношение на бизнеса на конкретен администратор няма как да бъдат дадени предварително и затова използването на бланка на декларация за поверителност по GDPR е практически неприложимо.

Декларацията за съгласие е документ, по силата на който субект на лични данни дава съгласието си конкретен администратор да обработва личните му данни на конкретно основание и за конкретни цели при спазването на конкретни изисквания. Следва да се има предвид, че съгласието е едно от няколкото основания, на които законосъобразно според GDPR могат да бъдат обработвани лични данни и съгласие не е необходимо, ако са налице други валидни основания, напр. договор. След влизането в сила на GDPR през май 2018 настана истинска истерия и всевъзможни администратори започнаха да изискват съгласие за обработка на лични данни, като се стигна дори до абсурдни ситуации болници да не приемат пациенти докато последните не дадат изрично писмено съгласие. Предвид което Комисията за защита на личните данни (КЗЛД) беше принудена да излезе с официално становище на интернет страницата си, че съгласие не се изисква при обичайната дейност на редица професии като лекари, адвокати и т.н. Но никъде в становището не се споменава, че за обработка на специални категории лични данни (т.нар. чувствителни данни) съгласие се изисква въпреки това. Дори напр. основанието за обработка да е договор (в който случай съгласие не се изисква), ако се обработват чувствителни данни, изрично съгласие се изисква паралелно с договора.

Вътрешни регистри за обработка на лични данни. Вътрешните регистри са различни видове в зависимост от дейността на администратора, но основен документ в тази насока е вътрешният регистър по обработката на лични данни. Последният представлява аналитична таблица, в която се систематизират абсолютно всички дейности, които извършва администраторът и които имат връзка с обработката на лични данни. За всяка отделна дейност следва да се посочат различни изискуеми от Регламента реквизити. Други основни регистри са тези за искания от страна на субекти до администратора, за пробиви в сигурността (security breaches), за планирано изтриване на лични данни и др.

Образци на документи в PDF формат:

• Искане от субект до администратор на лични данни
• Вътрешен регистър на исканията на субекти на лични данни
• Оценка на въздействието върху защитата на личните данни

Време за прочитане : 5 мин.

Администратор на лични данни и обработващ лични данни са две напълно самостоятелни фигури, предмет на уредба на българския Закон за защита на личните данни (ЗЗЛД) и на новия общ Регламент (ЕС) 2016/679 за защита на личните данни, известен с абревиатурата GDPR. Целта на настоящата статия е да разгледа същността на и разликата между тези две фигури, както и редица чисто практически аспекти – кой следва да бъде администратор и кой обработващ лични данни при едно търговско дружество, кога е задължително и важи ли за малки фирми, необходима ли е регистрация и т.н.

Администраторът на лични данни и обработващият лични данни са едни от най-важните фигури в регламента и Закона за защита на личните данни. На пръв прочит техните функции изглеждат почти еднакви и повечето хора ще се запитат: „Каква тогава е разликата между тези две понятия“? В чл. 4, ал. 7 от регламента е дадено конкретното описание на фигурата „администратор на лични данни“, а именно „физическо или юридическо лице, публичен орган или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни“. Или по-просто обяснено, администраторът е този, който определя какви лични данни ще се събират от субектите (физически лица) за осъществяване на неговите функции, колко време ще се съхраняват, дали ще се предоставят на трети страни и по какъв начин, как и кога ще се унищожават, информира субекта за неговите права и т.н. А възможно най-просто обяснено – администратор на лични данни е съответното търговско дружество. Така например при един онлайн магазин администратор на лични данни ще е напр. „Онлайн магазин“ ООД, а не управителят на фирмата, счетоводителят, компютърната поддръжка и т.н. Може би мнозина биха се зачудили как чисто технически дадена фирма ще обработва лични данни и не е ли необходимо някой служител на фирмата да изпълнява тази функция. И отговорът е, че фирмата носи отговорността за изпълнението на задълженията на администратора на лични данни, а чисто технически задълженията в тази насока се изпълняват или от физически лица – служители на фирмата, или от външен експерт по договор за услуга – но това по никакъв начин не прави последните администратори на лични данни. Администратор на лични данни винаги е съответното юридическо лице – търговско дружество, а всички, които на практика обработват лични данни, имат други качества, които ще бъдат разгледани по-долу.

Сред основните функции на администратора на лични данни е да осигурява защитата и сигурността на събраните и обработвани лични данни, в това число организационните и техническите средства за тази защита. А какво означава това на практика? Това означава администраторът на лични данни (чрез своите служители, разбира се, или чрез едноличния собственик на капитала в случая на ЕООД без служители, или чрез нает за целта външен експерт, напр. адвокат) да направи няколко неща:

1. Да направи една първоначална цялостна и всеобхватна проверка (одит) на дейността на фирмата, за да установи абсолютно всички лични данни, които се обработват в дейността на дружеството, и всички специфики във връзка с това – чувствителни ли са личните данни или част от тях, широкомащабна ли е обработката им, препращат ли се събрани от администратора лични данни на трети лица или услуги (напр. Google Analytics, Facebook и т.н.), има ли препращане към лица или сървъри извън ЕС и т.н.
2. След изясняването на въпросите по предходната точка да предприеме съответните мерки, които най-общо се изразяват в изготвяне или изменение на съществуваща фирмена документация (политики, процедури, правила, вътрешни регистри, бланки, формуляри и т.н.). Това е абсолютно задължително, защото спазването на изискванията за защита на личните данни се доказва не по друг начин, а именно чрез наличната фирмена документация. В тази връзка е важно да се отбележи, че при една внезапна проверка възможността за „спасяване на положението“ чрез прибягване до услугите на компетентен експерт, напр. адвокат, който да провери дали дейността на фирмата отговаря на изискванията на закона и регламента и евентуално да промени и приведе в съответствие документация преди предоставянето й на КЗЛД, е практически нулева. Адвокат може да се намеси, ако е даден срок, в който да бъдат предоставени документи на комисията, но в такъв случай следва да се има предвид, че не винаги всичко може да бъде направено експресно, напр. в рамките на няколко дни, защото трябва да се изследва цялата дейност на фирмата (дори КЗЛД да е поискала само 1 документ), да се направи връзка със счетоводство и други външни доставчици и т.н.
3. Обучение на служители на администратора на лични данни е последната стъпка, която е препоръчителна, но не и задължителна. По закон има изискване съответните служители да са запознати с правилата за защита на личните данни и да ги спазват, но при проверка Комисията за защита на личните данни (КЗЛД) няма да провежда изпит на служителите доколко са компетентни, а ще проверява изготвената от тях документация. Обучението на служители може да се извършва основно по две направления – посещаване на специализирани курсове за обучение или обучение от нает от администратора външен експерт. Типичен пример за последното е адвокат, нает по договор за услуги от дадена фирма – администратор на лични данни като външен експерт – „Длъжностно лице по защита на занните“. В този случай срещу ГОДИШЕН хонорар, равняващ се на по-малко от МЕСЕЧНАТА заплата на даден служител във фирмата, съответното длъжностно лице по защита на данните, напр. нает за целта адвокат, не само следи текущо дейността на фирмата на отговаря на всички изисквания и промени в законодателството за защита на личните данни, но и извършва обучение на служителите във фирмата, които могат да се обръщат към експерта със съвсем конкретни въпроси и казуси.

Администраторът на лични данни може да бъде подпомаган в дейността си от „длъжностно лице по защита на данните“, което лице може да бъде служител на фирмата или външен експерт, напр. адвокат. При по-големи предприятия тази фигура е задължителна. Такъв ще е случаят напр. с една болница, тъй като тя ежедневно обработва и то основано „чувствителни“ данни, свързани със здравословното състояние на пациентите си.

В регламента е уредена и ролята на т.нар. „съвместни администратори“ на лични данни, които заедно определят целите и средствата. Тази фигура не е по-различна от „самостоятелния“ администратор. Но за удобство на субекта на лични данни (физическото лице, чиито данни се събират и обработват) е предвидена възможност да упражни правата си поотделно към всеки администратор. На практика такъв би бил случаят при фирма, която продава продуктите си чрез оторизиран дилър, в който случай търговецът (напр. производител) и оторизираният му дилър са съвместни администратори на лични данни.

Важно е да се спомене, че след 25 май 2018г. отпада задължението за регистрация на администратор на лични данни в Комисията за защита наличните данни. Самата комисия обаче остава водещият надзорен орган за България и тя ще продължи да съблюдава спазването на всички изисквания на българското и европейското законодателство. Изключително важно е обаче да се отбележи, че отпадането на задължението за регистрация на администратори на лични данни съвсем не означава, че отпадат дадени задължения на търговските дружества, свързани с обработката на лични данни. Дори напротив – още при първото извършено от името на дадена фирма действие, представляващо обработка на лични данни (напр. сключване на трудови договори, в които фигурират личните данни на съответните служители), се счита, че фирмата има качеството администратор на лични данни – без да е необходима изрична регистрация или подобно нарочно действие.

В следващата алинея на член 4 от регламента, е дефинирана същността и функцията на „обработващ личните данни“. Това може да бъде както физическо лице, така и юридическо лице (напр. външен доставчик на услуги), което обработва лични данни от името на администратора. Основната разлика с администратора се състои в това, че администраторът може да възложи обработването на данните на този орган и на практика обработващият лични данни се явява подчинен на администратора и подпомага неговата дейност по спазване разпоредбите на регламента. На практика администратор може да бъде напр. финансова институция, която събира данните на субектите на лични данни (клиентите си), а обработването и съхраняването (напр. сканиране и съхранение в цифров вид) е възложено на външна фирма, която по договор с администратора изпълнява функцията на обработващ лични данни. Друг типичен обработващ лични данни са доставчиците на облачни или хостинг услуги. Обработващият лични данни е длъжен при евентуално нарушение или пробив в сигурността на цялата база или отделни лични данни да докладва първо на администратора, а той, от своя страна, в рамките на 72 часа от установяване на нарушението, да съобщи на компетентния надзорен орган, който в случая е КЗЛД. Възлагане на обработването на обработващия може да стане по силата на сключен договор, като обаче администраторът е длъжен да се убеди, че обработващият прилага всички възможни и необходими гаранции за прилагане разпоредбите на приложимото законодателство и да е в състояние да ги докаже. В договора се определят всички въпроси, свързани с обработването – предмет, срок и действие, цел на обработването, категориите субекти, вид на обработването и други, изрично посочени в чл. 28 от регламента. При неспазване на договорните задължения или ако обработващият сам определи целите и средствата за обработването, той самият ще се счита за администратор. При по-големи предприятия е възможно обработващият лични данни да използва друг обработващ, който да подпомага неговата дейност. Но това трябва задължително преди това да е съгласувано с администратора на лични данни и е възможно само след неговото писмено разрешение. За него също важат всички изисквания, споменати за отношенията администратор – обработващ, т.е. осигуряване на адекватно ниво на защита и сигурност на личните данни, чрез прилагане на подходящи за целта и конкретния случай технически и организационни мерки. При неспазване на което и да е от тези задължения, отговорността е за основния обработващ личните данни. В случай на възникване на някакъв проблем или нарушение в сигурността на личните данни, субектът на лични данни (физическото лице, чиито лични данни се събират и обработват) може да упражни правата си и към двамата. Тяхната отговорност е солидарна и всеки от тях отговаря за размера на цялата вреда.

След като уточнихме кои са най-съществените разлики между администратор на лични данни и обработващ лични данни, следва да изложим и техните прилики, които също не са малко. И двамата:

• Носят пълна отговорност за спазването на Закона за защита на личните данни и GDPR регламента и подлежат на санкциониране при евентуални пропуски в това отношение
• Са отговорни за обработването на лични данни
• Носят пълна отговорност пред субекта на личните данни, който може да упражни правата си към всеки от тях
• Са длъжни да спомагат за упражняване правата на субектите на лични данни

Като цяло, нито фигурата на администратора на лични данни, нито тази на обработващия лични данни са нещо ново и непознато. Новостите в регламента целят основно да се осигури по-висока степен за защита на личните данни, във връзка с вече значително напредналото дигитализиране на света около нас.