Комисията за защита на личните данни излезе със становище за сканирането на вени на фенове на ЦСКА

В искането на администратора се посочва, че предвид естеството на планираното обработване и използването на специална категория лични данни е изготвена оценка на въздействието върху защитата на данни

Искане за предварителна консултация по чл. 36 във връзка с чл. 58, параграф З, буква а) от Регламент (ЕС) 2016/679 относно предстоящо въвеждане на система за предварителна идентификация чрез биометричен шаблон – вх. № ППН-02-161/13.02.2026 г.

С Т А Н О В И Щ Е

НА КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

рег. № ППН-02-161/2026 г. гр. София

ОТНОСНО: Искане за предварителна консултация по чл. 36 във връзка с чл. 58, параграф З, буква а) от Регламент (ЕС) 2016/679 относно предстоящо въвеждане на система за предварителна идентификация чрез биометричен шаблон – вх. № ППН-02-161/13.02.2026 г.

Комисията за защита на личните данни (КЗЛД) в състав – председател: Борислав Божинов и членове: Василка Рангелова, Цветана Червенякова – Илиева и Цветелин Софрониев, на редовно заседание, проведено на 21.05.2026 г., разгледа искане за предварителна консултация по чл. 36 във връзка с чл. 58, параграф 3, буква а) от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) относно предстоящо въвеждане на процес по обработване на лични данни.

Фактически данни по преписката

I. Предмет и основание на искането

Искането е подадено от администратора на лични данни “Професионален Футболен Клуб ЦСКА“ ЕАД (ПФК ЦСКА/администраторът/клубът) във връзка с планирано въвеждане на система за обработване на лични данни при организацията и контрола на достъпа до спортни мероприятия. Мотивирано е от намерението на администратора да внедри механизъм за предварителна идентификация и контрол на посетителите на домакински футболни срещи, включително чрез използване на биометрични данни за удостоверяване на самоличността при достъп до спортните обекти. Подчертава се, че обработването е свързано с изпълнение на законови задължения за опазване на обществения ред и сигурността по време на спортни мероприятия, както и с необходимостта от предотвратяване на насилие, хулигански прояви и други противоправни действия.

В искането се посочва, че предвид естеството на планираното обработване и използването на специална категория лични данни е изготвена оценка на въздействието върху защитата на данните (ОВЗД), в рамките на която са анализирани рисковете за правата и свободите на субектите на данни и са предвидени технически и организационни мерки за тяхното ограничаване.

II. Обосновка относно необходимостта от въвеждане на системата

Администраторът излага подробни съображения относно средата и обстоятелствата, при които се провеждат професионалните футболни срещи. Посочва се, че спортните мероприятия с голям брой посетители са свързани с повишен риск от нарушения на обществения ред, агресивно поведение, организирано насилие между фен групи, използване на пиротехнически средства, расистки прояви и други инциденти, застрашаващи живота и здравето на гражданите.

В искането се акцентира върху трайния характер на проблема с футболното хулиганство в България. Описани са множество прояви на насилие както в рамките на спортните обекти, така и извън тях – нападения между агитки, увреждане на имущество, сблъсъци с органите на реда, използване на опасни предмети, както и случаи на причинени телесни повреди. Подчертава се, че подобни инциденти нерядко засягат не само участници в агитките, но и случайни посетители, служители, журналисти и полицейски служители.

Според изложеното в искането, сериозен проблем представлява невъзможността за ефективно идентифициране на конкретните извършители на нарушенията. Липсата на персонализирана идентификация при достъпа до стадиона позволява използване на чужди билети или абонаментни карти, както и посещение на спортни мероприятия от лица, на които е наложена забрана за посещение. Клубът счита, че това води до чувство за безнаказаност и до повторяемост на агресивните прояви.

Наред с това се посочва, че действащата практика на спортните федерации и дисциплинарните органи предвижда налагане на санкции на организаторите на спортните мероприятия, включително глоби, затваряне на сектори или стадиони, провеждане на срещи без публика и други ограничения, независимо че в много случаи конкретните извършители не могат да бъдат индивидуализирани.

III. Позоваване на нормативната уредба и законовите задължения

В изложението си администраторът изтъква, че необходимостта от въвеждане на система за предварителна идентификация и контрол на достъпа до спортни мероприятия произтича пряко от действащата национална и международна спортна нормативна рамка, която възлага на организаторите на спортни събития широк кръг задължения, свързани с гарантиране на обществения ред и сигурността на посетителите. Във връзка с това се сочи, че относимата правна уредба включва разпоредбите на Закона за опазване на обществения ред при провеждане на спортни мероприятия (ЗООРПСМ), Закона за Министерството на вътрешните работи (ЗМВР), Закона за физическото възпитание и спорта (ЗФВС), както и вътрешните правила и дисциплинарни регламенти на Българския футболен съюз, УЕФА и ФИФА, които уреждат отговорността на спортните клубове при организиране и провеждане на футболни срещи.

Основните задължения на организаторите на спортни мероприятия са регламентирани в ЗООРПСМ. Във връзка с това в искането се акцентира върху разпоредбата на чл. 2а, ал. 2 от ЗООРПСМ, съгласно която мерките за сигурност и безопасност при провеждане на спортни мероприятия представляват задължение на техните организатори. Наред с това се посочва и чл. 2а, ал. 4 от ЗООРПСМ, според който степента на риска от нарушаване на обществения ред следва да бъде определяна от организатора съвместно с органите на МВР. Според администратора тези разпоредби налагат активно поведение от страна на клуба и изискват предприемане на адекватни превантивни мерки, съобразени с конкретната степен на риск при провеждането на всяко спортно мероприятие.

В изложението се акцентира и върху чл. 11, ал. 1 от ЗООРПСМ, който задължава организаторите да предприемат необходимите действия за допускане до спортната зона единствено на лица, които притежават право на достъп. Наред с това се посочва и чл. 13, ал. 1, т. 3 от ЗООРПСМ, предвиждащ задължение да не бъдат допускани лица, на които е наложена забрана за посещение на спортни мероприятия. Според изложеното ефективното изпълнение на тези законови задължения предполага наличие на надежден способ за установяване самоличността на посетителите, тъй като в противен случай организаторът не би могъл да провери дали конкретното лице действително е носител на представения билет или карта за достъп и дали спрямо него не е налице действаща забрана.

Допълнително се посочва, че разпоредбите на закона възлагат на ръководителя по сигурността задължения по осъществяване на контрол върху достъпа на лица, отказващи проверка, както и на лица, спрямо които са наложени принудителни административни мерки. Според администратора законодателят изрично допуска използването на технически средства при реализиране на тези функции, като по този начин признава необходимостта от прилагане на технологични решения в процеса по гарантиране на сигурността на спортните мероприятия.

В искането се посочва също, че чл. 16 и чл. 29 от ЗООРПСМ предвиждат използването на видеонаблюдение, записи и други технически средства за установяване на нарушения и престъпления, извършени по време на спортни мероприятия. Администраторът обаче счита, че видеонаблюдението само по себе си не е достатъчно за еднозначното индивидуализиране на извършителите, особено при наличие на голям брой посетители, прикриване на лица или използване на чужди документи и билети. Поради това планираната система за предварителна регистрация и биометрична проверка се разглежда като допълваща мярка към съществуващото видеонаблюдение, насочена към повишаване ефективността на контрола на достъпа, а не като негов заместител.

Администраторът поддържа становището, че съвкупността от посочените нормативни задължения формира достатъчно правно основание за предвиденото обработване на лични данни. Според изложеното планираното обработване следва да се разглежда като необходимо за изпълнение на законови задължения, възложени на организатора на спортни мероприятия, както и като обработване, обусловено от съображения от важен обществен интерес, свързани с гарантиране на обществения ред и сигурността при провеждането на спортни срещи. Във връзка с това администраторът счита, че са налице предпоставките за прилагане на чл. 6, параграф 1, б. в) и чл. 9, параграф 2, б. в) от ОРЗД.

IV. Основни характеристики на планираното обработване

В искането се посочва, че администраторът предвижда внедряване на цялостна система за регистрация на привърженици, управление на достъпа до спортния обект и повишаване на мерките за сигурност при провеждане на футболни срещи. За реализиране на проекта клубът възнамерява да използва специализирана технологична платформа, разработена от унгарското дружество Devkode Korlátolt Felelősségű Társaság (Devkode), което осъществява дейност в областта на решенията за контрол на достъпа и управление на данни, свързани със системи за сигурност.

Според изложеното системата представлява интегрирано решение, обединяващо процесите по регистрация на фенове, издаване на персонализирани клубни карти и контрол на достъпа до стадиона. Като част от удостоверяването на самоличността се предвижда използване на биометрични данни, изразяващо се в генериране на криптографски биометричен шаблон въз основа на венозната структура на дланта. Изрично се подчертава, че системата не съхранява първични биометрични изображения, снимки на дланта или други сурови биометрични данни, а единствено математически генериран код, създаден посредством криптографски алгоритъм.

Администраторът заявява, че цялата система ще функционира в рамките на техническата инфраструктура на ПФК ЦСКА и под негов изключителен контрол. Доставчикът на софтуерното решение няма да разполага с достъп до личните данни на феновете, до биометричните шаблони или до базите данни, в които се съхранява информацията. Посочва се, че всички операции по обработване на данни ще бъдат определяни и управлявани единствено от клуба в качеството му на администратор на лични данни.

В искането се отбелязва още, че не се предвижда постоянна дистанционна връзка между доставчика и системата на администратора, както и наличие на постоянни външни администраторски профили. Единствено при възникване на конкретен технически проблем може да бъде предоставен временен и строго ограничен достъп чрез защитена VPN връзка. Подчертава се, че подобен достъп ще се активира само инцидентно, за ограничен период от време и при условия на пълно логване и проследимост на извършените действия. Според изложеното дори и в тези случаи доставчикът няма техническа възможност да достига до съдържанието на базите данни или до информация, позволяваща идентифициране на конкретни лица.

Подчертава се, че архитектурата на системата е изградена по начин, който изключва възможността биометричната информация и идентификационните данни на посетителите да бъдат обединени в общ масив или да бъдат достъпни чрез единен интерфейс. Данните са разделени както технически, така и функционално в две самостоятелни системи:

В първата системасе обработват данни, необходими за регистрацията на феновете и издаването на клубни карти и билети – три имена, дата на раждане, телефонен номер, електронна поща, снимка на лицето, номер на фен карта, фен идентификатор и данни, свързани с издадените билети. Тази информация се използва за администриране на достъпа и за управление на валидността на картите и билетите за конкретни спортни събития.
Втората системапредставлява самостоятелна среда за биометрично удостоверяване, в която се съхранява единствено криптографски генерираният шаблон, извлечен от венозната структура на дланта. Посочва се, че този шаблон е свързан само с произволно генериран уникален идентификатор и не съдържа информация, която би могла самостоятелно да доведе до идентифициране на физическо лице.

В искането се обръща специално внимание на организацията на достъпа до системите. Администраторът посочва, че достъпът е структуриран на принципа на стриктно разграничени роли и минимално необходими права, като не съществува потребител или длъжностно лице, което да има неограничен достъп до всички категории данни едновременно. Допълва се, че цялата техническа инфраструктура – сървъри, бази данни и комуникационна среда – се поддържа изцяло от ПФК ЦСКА и е разположена локално на територията на стадиона. Не се използват облачни услуги, външни хостинг доставчици или центрове за данни извън прекия контрол на клуба.

В системата са предвидени няколко нива на достъп:

Най-високото ниво – „Super Admin“– е ограничено до малък брой служители от ИТ структурата на клуба и е предназначено основно за техническо администриране на инфраструктурата, конфигуриране на системата и управление на потребителските роли. Според изложеното тези лица не осъществяват рутинен достъп до съдържанието на личните или биометричните данни.
Ниво „Integrator“е предоставено на доставчика Devkode единствено за цели, свързани с техническа поддръжка и конфигурация на софтуера. Подчертава се, че доставчикът няма достъп до данни за фенове, до биометрични шаблони или до логове, съдържащи информация за конкретни субекти на данни, като неговите правомощия са ограничени единствено до техническите параметри на системата.
Ниво „Admin“е предвидено за определени служители на ПФК ЦСКА, включително лица, ангажирани с дейности по сигурността съгласно ЗООРПСМ. Тези служители разполагат с достъп само до съответните функционалности, необходими за изпълнение на служебните им задължения, без възможност за комбиниран достъп до всички масиви от данни.
Ниво „Registrator“е предназначено за служители и лица по граждански договор, които извършват регистрация на фенове и продажба на билети и клубни карти. Техният достъп е ограничен единствено до дейности, свързани с регистрационния процес и обслужването на посетители, без права за достъп до биометричната система или до административните функции на платформата.

Администраторът посочва още, че достъпът до сървърите и базите данни е обезпечен чрез комплекс от технически и организационни мерки, включително сегментиране на мрежовата инфраструктура, механизми за удостоверяване на достъпа и регистриране на всички действия в системата, с цел предотвратяване на неразрешено извличане или използване на информация.

В искането се изяснява, че свързване между информацията от двете отделни системи може да бъде извършено единствено при наличие на конкретен инцидент, свързан с нарушение на обществения ред, насилие или друго противоправно деяние. Процедурата по идентификация се описва като строго формализирана и основана на съпоставка между няколко независими източника на информация. Най-напред чрез системите за видеонаблюдение се установяват конкретното лице, използваният входен турникет и точният момент на преминаване през него. След това се извършва проверка коя клубна карта е била използвана за достъп в съответния момент. Едва след установяване на тази връзка се допуска ограничена справка в системата за регистрация с цел идентифициране на притежателя на картата.

Получените данни се използват единствено за документиране на нарушението и за предоставяне на информация на компетентните държавни органи, включително органите на МВР, за нуждите на административнонаказателни или наказателни производства по реда на ЗООРПСМ. Изрично се посочва, че системата не предвижда автоматизирано профилиране, масово извличане на информация или използване на данните за цели, несъвместими с първоначално заявените.

От страна на администратора се подчертава, че биометричният шаблон сам по себе си не позволява идентификация на физическо лице и че свързването между различните категории данни се извършва само при наличие на конкретна необходимост, по изключение и при спазване на принципите на необходимост и пропорционалност.

В изложението подробно е описана и архитектурата на двете бази данни.

Първата база данни – MatchTicket – съдържа идентификационни и контактни данни на посетителите, включително три имена, дата на раждане, телефонен номер, електронна поща и снимка. Телефонът и електронната поща могат да бъдат използвани и за маркетингови цели само при наличие на изрично съгласие на лицето. Снимката се използва за удостоверяване на самоличността във връзка с издаването и използването на клубната карта.

Втората база данни – StadiumGuard – функционира като отделна система за биометрично удостоверяване. Биометричният шаблон се генерира чрез сертифицирано устройство, което сканира венозната структура на дланта. Според изложеното първичното изображение не се съхранява, а още на ниво устройство се преобразува в криптографски шаблон посредством еднопосочна хеш-функция с висока степен на защита, след което суровите данни се унищожават необратимо. Полученият шаблон представлява единствено поредица от криптографски символи, която не може да бъде преобразувана обратно във визуално изображение или използвана извън конкретната система. Посочва се, че използваният алгоритъм изключва възможността за обратна реконструкция на биометричните характеристики дори при евентуален неоторизиран достъп до шаблона.

Администраторът подчертава, че биометричният код се асоциира единствено с произволно генериран идентификатор и не съдържа връзка с имена, адреси, телефони, имейли или други идентифициращи данни. Биометричната система е напълно отделена от системата за издаване на карти и билети, като между двете не съществува общ интерфейс или обща база данни. Достъпът до биометричната информация е ограничен чрез ролеви механизми, криптиране и детайлни одитни логове, позволяващи проследимост на всяко действие в системата. Посочва се още, че функционалното предназначение на биометричната система е ограничено единствено до извършване на непреотстъпваема проверка на идентичността при вход на стадиона чрез локално сравнение между текущо сканирания шаблон и предварително записания биометричен код. Отбелязва се, че системата за биометрично удостоверяване ще се прилага само по отношение на пълнолетни лица – посетители на футболни срещи, които притежават клубни фен карти. Изрично се посочва, че не се предвижда обработване на биометрични данни на лица под 18-годишна възраст с оглед тяхната по-висока уязвимост и необходимостта от засилена защита на децата при обработване на лични данни.

V. Оценка на въздействието и идентифицирани рискове

Към отправеното искане за предварителна консултация администраторът е приложил и изготвена „Оценка на въздействието върху защитата на данните“ (ОВЗД) по смисъла на чл. 35 от ОРЗД. Оценката съдържа задължителните компоненти, предвидени в разпоредбата на чл. 35 от ОРЗД. При изготвянето ѝ са анализирани естеството, обхватът, контекстът и целите на планираното обработване, както и вероятността и тежестта на потенциалните рискове за правата и свободите на физическите лица. Документът е структуриран и разработен в съответствие с критериите и методологията, съдържащи се в „Насоки относно оценката на въздействието върху защитата на данни (ОВЗД) и определяне дали съществува вероятност обработването да породи висок риск за целите на Регламент 2016/679“ (WP 248), приети от бившата Работна група по член 29 и впоследствие възприети от Европейския комитет по защита на данните. В рамките на извършената ОВЗД подробно са разгледани отделните етапи на обработването, архитектурата на системата, ролите и нивата на достъп, механизмите за сигурност, както и техническите и организационните мерки, предвидени за защита на обработваната информация. Извършен е анализ на възможните рискове, свързани с обработването на биометрични данни, включително риск от неправомерен достъп, неразрешено свързване на различни категории данни, възможност за идентифициране на лица извън първоначално определените цели, както и риск от прекомерно или непропорционално обработване.

Администраторът подчертава, че в оценката изрично е отчетено обстоятелството, че определени характеристики на планираното обработване попадат сред дейностите, които по принцип предполагат повишено внимание от гледна точка на защитата на личните данни. Като такива са посочени използването на биометрични данни при удостоверяване на самоличността и значителният брой лица, които биха могли да бъдат обхванати от системата. Въпреки това, според направения от администратора анализ, не са установени обстоятелства, които да сочат наличие на неконтролируем или неприемливо висок риск за правата и свободите на субектите на данни.

Изводът, съдържащ се в ОВЗД, е че идентифицираните рискове произтичат основно от самото естество на обработваните данни и от спецификата на средата, в която ще функционира системата, а не от липса или недостатъчност на мерки за сигурност.

В рамките на оценката е достигнато до заключение, че предвидените технически и организационни мерки осигуряват адекватна степен на защита на личните данни и ефективно ограничават вероятността от неблагоприятно въздействие върху субектите на данни. Като такива мерки са отчетени:

Разделянето на базите данни;
Липсата на общ интерфейс между системите;
Използването на криптографски шаблони вместо сурови биометрични изображения;
Стриктното ролево управление на достъпа;
Криптирането;
Логването на действията в системата;
Локалното съхранение на данните;
Липсата на достъп на външни доставчици до съдържанието на обработваната информация.

В искането се поддържа становището, че именно поради прилагането на този комплекс от мерки рискът за правата и свободите на физическите лица е сведен до ниво, което може да бъде определено като приемливо и контролируемо. Посочва се още, че според направената оценка системата е изградена в съответствие с принципите на „защита на данните още при проектирането“ и „защита на данните по подразбиране“, като обработването е ограничено до минимално необходимото за постигане на целите, свързани с контрола на достъпа и гарантиране на сигурността при провеждане на спортни мероприятия.

VI. Искане към Комисията за защита на личните данни

В заключение от страна на ПФК ЦСКА се отправя искане КЗЛД да извърши предварителна консултация по реда на чл. 36 от ОРЗД във връзка с планираното въвеждане на системата за предварителна идентификация и контрол на достъпа.

Администраторът се обосновава, че обработването преследва значим обществен интерес, свързан с опазването на обществения ред, защитата на живота и здравето на посетителите и предотвратяването на насилие при провеждане на спортни мероприятия. В същото време клубът отчита чувствителния характер на обработването на биометрични данни и необходимостта от оценка на съответствието на предвидените мерки с изискванията на ОРЗД. В искането се поддържа становището, че планираната система е необходима, пропорционална и функционално обусловена от законовите задължения на организатора, като предвидените мерки за защита на личните данни следва да осигурят баланс между обществения интерес от гарантиране на сигурността и правото на защита на личните данни на посетителите на спортните мероприятия.

V.Предприети действия от страна на Комисията за защита на личните данни

С Доклад вх. № ППН-02-161-2/10.03.2026 г. искането е разгледано на редовно заседание на КЗЛД, проведено на 12.03.2026 г., в рамките на което Комисията е обсъдила представената документация, включително изложените от администратора фактически и правни основания, техническата архитектура на системата и приложената оценка на въздействието върху защитата на данните.

С оглед спецификата на планираното обработване, използването на биометрични данни и необходимостта от допълнително изясняване на определени технически и правни аспекти, Комисията е приела, че следва да бъдат събрани допълнителни сведения и разяснения от администратора. Във връзка с това на 16.03.2026 г. в сградата на КЗЛД е проведена работна среща с представители на ПФК ЦСКА, по време на която са били обсъдени отделни елементи от предвидената система за фен регистрация и контрол на достъпа, както и приложимите механизми за защита на личните данни.

След извършения първоначален анализ на преписката и проведената работна среща Комисията е отправила до администратора допълнително писмо с изх. № ППН-02-161-3/24.03.2026 г. с искане за предоставяне на информация и уточнения по редица въпроси, които КЗЛД е счела за съществени при преценката на законосъобразността, необходимостта и пропорционалността на планираното обработване.

Изискани са допълнителни разяснения относно обхвата и начина на функциониране на системата за фен регистрация и биометрична идентификация. Комисията е поставила въпроси дали издаването на фен карта ще бъде задължително условие за закупуване на билет за домакинските срещи на стадион „Българска армия“, както и по какви критерии ще се определят зоните и категориите посетители, за които ще се прилага биометрична проверка. Наред с това е поискано описание на предвидените алтернативни, по-малко инвазивни мерки за контрол на достъпа.

Съществен акцент е поставен и върху правните основания за обработването на лични данни, включително механизмите за избор и отказ от участие в системата. В тази връзка КЗЛД е изискала уточнения относно приложимостта на съгласието като правно основание и начина, по който ще бъде гарантиран неговият свободен характер, ако фен регистрацията се явява условие за закупуване на билет.

Комисията е поискала също информация дали са били анализирани алтернативни технически и организационни мерки за ограничаване на футболното хулиганство, които не включват обработване на биометрични данни, както и дали е проучена практиката в други държави – членки на ЕС.

Допълнително КЗЛД е насочила администратора към възможността за приложение на чл. 35, параграф 9 от ОРЗД чрез търсене на становище от субектите на данни или техни представители, включително от ръководителите на фен клубовете, във връзка с планираното обработване.

С писмо вх. № ППН-02-161-4/02.04.2026 г. от ПФК ЦСКА са получени „Писмени разяснения и документи по преписка“ и са представени всички поискани допълнителни документи във връзка с писмото на КЗЛД (изх. № ППН-02-161-3/24.03.2026 г.).

Междувременно с Доклад вх. № ППН-02-161-5/28.04.2026 г. искането отново е докладвано на заседание на КЗЛД, проведено на 30.04.2026 г. с предложение с оглед прилагането на изискванията на ОРЗД по съгласуван начин, както и с цел запознаване, преглед и анализ на съществуващата европейска практика в Информационната система на вътрешния пазар с номер (ИВСП) да се открие процедура по чл. 61 от ОРЗД – „Доброволно взаимно сътрудничество“, със запитване за съществуващи практики и решения на други НО по аналогични на разглеждания случай. Процедурата е инициирана от КЗЛД на 04.05.2026 г. и е регистрирана в ИВСП с номер 908430.1 (IMI 908430.1).

VI. Последващи уточнения по искането и актуализиране на модела за обработване

С последваща молба, вх. № ППН-02-7/11.05.2026 г., ПФК ЦСКА е уведомил КЗЛД, че искането за предварителна консултация по чл. 36 от ОРЗД е подадено на 13.02.2026 г. с вх. № ППН-02-161/13.02.2026 г., разгледано е на редовно заседание на комисията на 12.03.2026 г., а на 16.03.2026 г. е проведена работна среща с представители на администратора. Посочено е, че след срещата КЗЛД е отправила искане за допълнителна информация с писмо изх. № ППН-02-161-3-26/24.03.2026 г., като всички поискани разяснения и документи са били представени в указания срок.

В молбата се отбелязва, че към 08.05.2026 г. все още не е постановено писмено становище по искането за предварителна консултация. Във връзка с това администраторът се позовава на чл. 36, параграф 2 от ОРЗД относно сроковете за произнасяне на надзорния орган, както и на разпоредбите на чл. 57, параграф 1, буква в) и буква з) и чл. 58, параграф 3, буква а) от ОРЗД, уреждащи консултативните и надзорни правомощия на КЗЛД. Посочени са също чл. 6, ал. 1, т. 8 от ЗЗЛД и принципът на бързина и процесуална икономия по чл. 13 АПК.

Наред с това ПФК ЦСКА е информирал Комисията за настъпила съществена промяна в концепцията на проекта. След допълнителен анализ и съобразяване с поставените от КЗЛД въпроси администраторът е взел решение да въведе алтернативен режим за достъп до сектор „Б8“ на стадион „Българска армия“, при който посещението на спортни мероприятия ще бъде възможно без обработване на биометрични данни и без регистрация в системата за биометрична идентификация. Посочва се, че по този начин на посетителите ще бъде предоставена реална възможност за избор относно използването на биометрична идентификация.

В молбата се посочва, че направените промени налагат актуализиране на оценката на въздействието върху защитата на данните, вътрешните политики и техническата документация по проекта. С оглед изложеното администраторът е поискал КЗЛД да съобрази промените при изготвянето на окончателното становище и е предложил провеждането на допълнителна работна среща с цел представяне на актуализираната архитектура на системата и обсъждане на допълнителни насоки от страна на надзорния орган.

Основната промяна се състои във въвеждането на двукартова система за достъп до спортни мероприятия на „Стадион Българска армия“:

Фен карта тип А– предоставя достъп до всички основни сектори на стадиона. За пълнолетните фенове биометрични данни ще се обработват единствено при наличие на изрично, информирано и доброволно съгласие. За лица под 18 години биометрични данни не се обработват при никакви условия.
Фен карта тип Б– алтернативна карта без обработване на биометрични данни, предназначена за пълнолетни фенове, които не желаят да предоставят биометрия. Картата осигурява достъп до специално обособен сектор „Б8“ с капацитет 900–1000 места, като идентификацията се извършва чрез небиометрични методи.

С въведената система изборът между двата режима е изцяло свободен и не води до неблагоприятни последици за феновете, отказали обработване на биометрични данни. По този начин администраторът гарантира реално свободно съгласие по смисъла на чл. 4, т. 11 и чл. 7, параграф 4 ОРЗД.

В резултат на тази промяна е актуализирано и правното основание за обработване на биометрични данни. Вместо първоначално заявеното основание – изпълнение на правно задължение и важен обществен интерес, обработването вече ще се извършва единствено въз основа на изрично съгласие съгласно чл. 6, параграф 1, буква а) и чл. 9, параграф 2, буква а) ОРЗД. Съгласието ще бъде отделно, конкретно, информирано и подлежащо на оттегляне по всяко време, като при оттегляне биометричният шаблон ще бъде окончателно заличаван.

Като приложение към молбата е представен актуализиран комплект документи, включително нови уведомления за поверителност, декларации за съгласие, актуализирана политика за защита на личните данни, ОВЗД и вътрешни правила.

На редовно заседание на КЗЛД, проведено на 14.05.2026 г., е взето решение надзорният орган да се произнесе със становище, извън процедурата по чл. 36 от Регламент (ЕС) 2016/679. Настоящото произнасяне следва да се разглежда като принципно становище на надзорния орган относно разглеждания модел на обработване, изразено в рамките на правомощията по чл. 58, параграф 3, буква б) от ОРЗД.

Правен анализ:

Обработване на лични данни чрез система за предварителна идентификация на посетители посредством биометричен шаблон (венозна структура на дланта) следва да бъде разгледано в контекста на приложимата европейска и национална нормативна уредба относно защитата на личните данни, както и специалната правна рамка, уреждаща сигурността и обществения ред при провеждане на спортни мероприятия. Наред с това, при анализа на допустимостта и законосъобразността на подобно обработване следва да бъде отчетена и релевантната практика на Съда на Европейския съюз, насоките и решенията на Европейския комитет по защита на данните (ЕКЗД), както и практиката на другите европейските надзорни органи по защита на личните данни, доколкото същите конкретизират приложението на принципите за законосъобразност, пропорционалност, свеждане на данните до минимум и гарантиране на адекватни мерки за защита при обработване на биометрични данни като специална категория лични данни.

Еднаквото прилагане на Регламент (ЕС) 2016/679 в държавите членки налага проучването, анализа и съобразяването с практиката на европейските надзорни органи по защита на данните и съдилищата по аналогични казуси. Независимо, че в конкретния случай се твърди обработване изцяло на национално ниво, въпросният регламент е задължителен в своята цялост и се прилага пряко във всички държави членки. Тези принципни положения обвързват както отделните администратори на лични данни, така и КЗЛД при разглеждането на конкретните казуси.

По отношение на нормативната уредба, приложими са общите правила на ОРЗД, включително принципите по чл. 5, основанията за законосъобразност на обработването по чл. 6, специалният режим за обработване на биометрични данни по чл. 9, изискванията за оценка на въздействието върху защитата на данните по чл. 35 и правилата относно отговорността, отчетността и сигурността на обработването по чл. 24, чл. 25 и чл. 32 от ОРЗД. Наред с това, доколкото разглежданият модел включва използване на технологии за биометрична идентификация и автоматизирано техническо обработване на физиологични характеристики, относими биха били и разпоредбите на Регламент (ЕС) 2024/1689 за установяване на хармонизирани правила относно изкуствения интелект (Акт за изкуствения интелект), включително правилата относно системите за биометрична идентификация, управлението на риска, прозрачността, човешката намеса и изискванията към високорисковите системи с изкуствен интелект, доколкото същите са приложими към конкретната архитектура и функционалности на планираната система.

От гледна точка на националната правна рамка е относим режимът, установен със ЗООРПСМ, ЗМВР и ЗФВС. Също така следва да бъдат отчитани и приложимите дисциплинарни правила на Българския футболен съюз, УЕФА и ФИФА.

В рамките на тази нормативна среда организаторът на спортното мероприятие носи отговорност за осигуряване на сигурността и обществения ред при провеждане на спортни събития. Съгласно чл. 2а, ал. 2 от ЗООРПСМ мерките за сигурност и безопасност са задължение на организатора на спортното мероприятие, а по силата на чл. 11 и чл. 13 от закона организаторът е длъжен да предприеме всички необходими мерки за недопускане на лица без право на достъп (изчерпателно изредени в ЗООРПСМ), както и на лица с наложени забрани за посещение на спортни мероприятия.

Следва да се отчете, че в практиката на професионалния футбол масовите спортни мероприятия са обективно свързани с повишен риск от насилие, футболно хулиганство, използване на пиротехнически средства, расистки прояви и други действия, създаващи опасност за живота и здравето на посетителите, служителите на организатора и органите на реда. Именно в този контекст националното законодателство възлага на организаторите задължение за осигуряване на ефективен контрол на достъпа и за идентифициране на лица, които нарушават обществения ред.

Същевременно обаче изпълнението на тези задължения следва да бъде съобразено с принципите на необходимост, пропорционалност и свеждане на обработването до минимум по смисъла на чл. 5 от ОРЗД (доколкото същият е с общо приложение). Обстоятелството, че администраторът разполага с легитимна цел, свързана със сигурността, не освобождава същия от задължението да докаже, че избраният модел на обработване е необходим, подходящ и пропорционален спрямо преследваната цел.

Характер на обработваните данни и приложимост на чл. 6 и чл. 9 от ОРЗД:

Предвиденото обработване включва използване на биометричен шаблон, генериран въз основа на венозната структура на дланта на посетителя. Независимо от обстоятелството, че не се съхранява сурово изображение на дланта или първичен биометричен запис, следва да се приеме, че се обработват биометрични данни по смисъла на чл. 4, т. 14 от ОРЗД. Съгласно легалната дефиниция биометрични данни са лични данни, получени в резултат на специфично техническо обработване, свързано с физическите, физиологичните или поведенческите характеристики на физическо лице, които позволяват или потвърждават уникалната идентификация на това лице.

В случая, целта на използвания биометричен шаблон е именно удостоверяване на идентичността на конкретния посетител при достъп до стадиона. Поради това обработването попада в специалния режим на чл. 9 от ОРЗД и по принцип е забранено, освен ако не е приложимо някое от изключенията по чл. 9, параграф 2 от ОРЗД.

Закупуването на билет и/или издаването на членска карта е свързано със сключването и изпълнението на договор, за който важат определени общи условия (чл. 6, параграф 1, буква б) от ОРЗД). За неговото изпълнение, включващо обработване на лични данни, съгласието е неприложимо, тъй като не могат да бъдат удовлетворени изискванията за неговата валидност по смисъла чл. 7 от ОРЗД. От друга страна, наличието на конкретно правно основание (в случая сключването и изпълнението на договор по чл. 6, параграф 1, буква б) от ОРЗД), прави съгласието невалидно. По аргумент за по-силното основание, съгласието по чл. 9, параграф 2, буква а) от ОРЗД също следва да е невалидно предвид нормата на чл. 7, параграф 4 от ОРЗД. Следователно, за обработването на биометричните данни в този случай е необходимо да се приложат изискванията на специален закон. В разпоредбата на чл. 9, параграф 2, буква ж) от ОРЗД се посочва, че обработването на биометрични данни е допустимо, когато е необходимо по причини от важен обществен интерес на основание правото на Съюза или правото на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните. Следователно, регламентът не допуска въвеждането на такова обработване, тъй като липсва законодателна мярка, която да го регламентира. От друга страна, за да се обоснове с важен обществен интерес, обработването на биометрични данни следва да се отнесе към всички спортни събития и зони, а не към отделен частен клуб.

В представената документация администраторът се позовава основно на необходимостта от изпълнение на задължения по националното законодателство относно сигурността на спортните мероприятия и предотвратяването на противообществени прояви. Във връзка с това следва да се подчертае, че обработването на биометрични данни представлява особено интензивна намеса в правото на защита на личните данни и в правото на личен живот, поради което изисква особено стриктна преценка относно наличието на ясна правна основа, необходимост и пропорционалност.

Самото наличие на законови задължения за осигуряване на сигурността и реда в спортната зона не води автоматично до допустимост на всяка форма на биометрична идентификация. Необходимо е недвусмислено да бъде констатирано, че:

преследваната цел не може да бъде постигната чрез по-малко инвазивни средства;
обхватът на обработването е ограничен до строго необходимото;
са предвидени достатъчни гаранции срещу неправомерно използване, проследяване или вторична употреба на данните;
субектите на данни разполагат с реална и ефективна възможност да упражняват правата си по ОРЗД.

В този смисъл, обстоятелството, че администраторът е предвидил алтернативен режим за достъп до стадиона без обработване на биометрични данни, показва, че обработването на биометрични данни не е строго необходимо, след като допуска това да зависи от желанието на субекта на данни. Наличието на подобна алтернатива не кореспондира с твърденията, че обработването на биометрични данни е задължение на администратора, произтичащо от ЗООРПСМ. Нещо повече, ЗООРПСМ не въвежда конкретни изисквания за идентификация на посетителите на спортни мероприятия, още повече уникална, освен посоченото в чл. 13, ал. 2, т. 2 от същия закон. От въпросната разпоредба може да се направи извод, че за да не допусне на територията на спортната зона лице без лична карта, същата трябва да бъде проверена при осъществяване на пропускателния контрол.

При оценката на законосъобразността на планираното обработване следва да бъдат разгледани в дълбочина принципите на законосъобразност и пропорционалност, които представляват основен критерий при обработване на специални категории данни.

Не на последно място по важност е и спазването на принципа за целесъобразност на обработването. В чл. 21 от ЗООРПСМ изрично са посочени противообществените прояви (спортно хулиганство). Те са определени, като проява, която не съставлява престъпление по смисъла на Наказателния кодекс и е извършена в спортния обект или в спортната зона преди, по време или непосредствено след спортното мероприятие, както и на отиване или на връщане от спортния обект във връзка със спортното мероприятие. Въпреки, че въвеждането на мерки за сигурност и безопасност при провеждането на спортни мероприятия е задължение на техните организатори, чл. 2а, ал. 4 от ЗООРПСМ посочва, че степента на риск от нарушаване на обществения ред в тези случаи се определя от организатора на мероприятието и спортната федерация, администрираща съответния вид състезание, съвместно с органите на Министерството на вътрешните работи. Това означава, че рискът се преценява за всеки конкретен случай със задължителното участие на органите на МВР. Законът не предвижда превантивно, общо и неизбирателно събиране на лични данни, което не е допустимо да се извършва и от самите органи на МВР, особено когато се отнася за обработването на биометрични данни.

По принцип, всяко прекомерно обработване на лични данни води до нарушаване на принципите, съответно до засягане на правата и свободите на субектите на данни. В този смисъл, всяко превантивно, общо и/или неизбирателно събиране и обработване по друг начин на лични данни, води до нарушение на Регламент (ЕС) 2016/679, като такива принципни заключения относно нарушението на основните принципи, могат да се намерят в редица решения на Съда на ЕС, като например по дела C‑511/18, C‑512/18, C‑520/18, C‑140/20 и др.

В искането са посочени и допълнителни цели, като предотвратяване на насилие и причиняване на телесни повреди, както и други видове престъпления, които надхвърлят функциите на една частна организация, каквато е спортният клуб. За целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване, се прилага режимът по Директива (ЕС) 2016/680, транспонирана Глава осма от ЗЗЛД. Правомощията за това обаче, могат да бъдат упражнявани единствено от компетентните органи, посочени в чл. 42 от ЗЗЛД. В това число, компетентните органи следва да ограничават обработването и да го осъществяват само когато биометричните данни са строго необходими. Пример за това е и относима практика на СЕС относно полицейската регистрация, съгласно която биометричните данни трябва да се събират от МВР при условията на „строга необходимост“, а не превантивно, общо и неизбирателно:

C-205/21, Ministerstvo na vatreshnite raboti / В.С.
C-118/22, NG v Direktor na Glavna direktsia “Natsionalna politsia” pri MVR – Sofia
C-80/23, Ministerstvo na vatreshnite raboti, GDBOP v V.S.

В насоките и на ЕКЗД последователно се приема, че използването на биометрични технологии следва да бъде ограничено до случаи, при които обработването е действително строго необходимо за постигане на конкретна легитимна цел и при които не съществуват разумни по-малко инвазивни алтернативи. Например:

Насоки на ЕКЗД относно използването на лицево разпознаване и биометрични технологии;

Насоки 05/2022 относно използването на технология за лицево разпознаване в областта на правоприлагането;

Насоки 3/2019 относно обработването на лични данни чрез видеоустройства.

В тези насоки ЕКЗД приема, че: използването на биометрични технологии представлява особено интензивна намеса в правото на защита на личните данни. По тази причина администраторът следва да докаже строгата необходимост (strict necessity), трябва да бъде анализирано дали съществуват по-малко инвазивни алтернативи. Застъпени са позициите, че мащабното или систематично използване на биометрия предполага висок риск и изисква засилени гаранции.

Следва да се имат предвид и Насоките на Съвета на Европа от 2021 г. относно лицевото разпознаване. В т. 1.2.3. от въпросните насоки е посочено, че „Частните субекти не трябва да внедряват технологии за лицево разпознаване в неконтролирани среди, като например търговски центрове, особено за идентифициране на издирвани лица, за маркетингови цели или за целите на частна охранителна дейност“. Лицевото разпознаване е само една от формите на обработване на биометрични данни, като планираното обработване предвижда въвеждането на дори по-напреднала технология, позволяваща още по-безспорна идентификация.

При преценката на законосъобразността и пропорционалността на планираното обработване следва да бъде отчетена и формиращата се практика на европейските надзорни органи по защита на данните относно използването на биометрични технологии при контрол на достъпа до спортни мероприятия. Анализът на тази практика показва последователна тенденция към изключително рестриктивен подход при внедряване на системи за биометрична идентификация в контекста на масови събития, особено когато обработването обхваща широк кръг лица и липсва специална и достатъчно ясна нормативна уредба.

Във връзка с това следва да бъдат отчетени следните случаи:

През 2025 г. испанският надзорен орган по защита на данните (AEPD) е наложил имуществена санкция в размер на 1 000 000 евро на La Liga (испанската футболна лига)във връзка с внедрена система за биометричен контрол на достъпа до стадиони, включително чрез технологии за биометрична идентификация. В рамките на производството надзорният орган приема, че не са били доказани достатъчно ясно законосъобразността и пропорционалността на обработването, както и че не са били въведени достатъчни гаранции за защита на правата и свободите на субектите на данни.
Испанският надзорен орган е наложил санкция и на „Атлетик Осасуна“ в размер на 200 000 евроза използване на система за лицево разпознаване на стадиона на клуба. В мотивите си органът подчертава, че обработването на биометрични данни за целите на контрола на достъпа представлява особено интензивна намеса в правото на защита на личните данни и изисква наличие на строго необходима и ясно регламентирана нормативна основа.
През март 2026 г. испанският надзорен орган санкционира ФК Барселона с имуществена санкция в размер на 500 000 евровъв връзка с използване на биометрични технологии при достъп до спортни съоръжения. И в този случай надзорният орган поставя акцент върху липсата на достатъчно убедително доказване на „strict necessity“ по смисъла на практиката на Съда на Европейския съюз и върху необходимостта от наличие на реални, ефективни и равностойни алтернативи без обработване на биометрични данни.
През 2021 г. френският надзорен орган по защита на данните (CNIL) отправя официално предупреждение до футболен клуб „Мец“ във връзка с експериментално използвана система за лицево разпознаване на стадиона на клуба. В позицията си CNIL подчертава, че биометричната идентификация не следва да се превръща в стандартен механизъм за контрол на достъпа при масови събития и че подобни технологии могат да бъдат допустими единствено при наличие на доказана строга необходимост, ясна правна рамка и особено високо ниво на гаранции за субектите на данни.
През 2019 г. чешкият надзорен орган по защита на данните приема становищеотносно използването на технологии за лицево разпознаване на футболни стадиони, в което изрично посочва, че обработването на биометрични данни за целите на идентификацията изисква наличие на ясно и конкретно правно основание по чл. 9 от ОРЗД. В становището се приема, че общите разпоредби на националното законодателство относно спорта и обществения ред не са достатъчни, за да обосноват допустимостта на подобно обработване. Надзорният орган достига до извод, че липсва изрична нормативна уредба, позволяваща използването на технологии за лицево разпознаване на стадиони.
През 2024 г. КЗЛД изрази становище с рег. № ПНМД-01-24/2024 г., публикувано в официалния ѝ сайт в раздел Практика > Становища на КЗЛД за 2024 г. Становището е относно използването на биометрични данни за контрол на достъпа чрез технически средства за достъп до спортни центрове. Следва да се има предвид, че становището не се отнася до мащабно обработване на биометрични данни, каквото би се осъществило на един стадион.
Следва да се вземе под внимание и Конституционно дело № 3415/2022 (Х.21.) AB végzés – унгарски Конституционен съд. Предметът на делото е относно биометрична „клубна/фен карта“ за достъп до футболни мачове на Ferencvárosi Torna Club (FTC), при която се използва сканиране на венозния модел на дланта. Тук е важно да се отбележи обстоятелството, че в Унгария има действащ Закона за спорта, който позволявала на организаторите на спортни събития да използват система за сигурност и контрол на достъпа, включително клубни карти и биометрични шаблони, генерирани от образ на лице, пръстов отпечатък, ирис или венозен отпечатък. Въпреки това жалбоподателят подава конституционна жалба срещу разпоредби на Sporttv. 72 §, 72/A § и 72/B §, като иска те да бъдат обявени за противоконституционни и отменени. Преди Конституционният съд да се произнесе по същество дали системата е конституционна, по инициатива на клуба е въведена алтернативна „B“ карта без венозно сканиране.

В разглеждания от КЗЛД случай целите, свързани с предотвратяване на футболно хулиганство, недопускане на лица с наложени забрани и установяване на извършители на нарушения, по принцип могат да бъдат определени като легитимни и обществено значими.

Наред с това обаче следва да бъде отчетено, че обработването обхваща голям брой лица, включително лица, за които липсват каквито и да било данни за противоправно поведение. Поради това е необходимо да бъде доказано, че избраният модел не води до прекомерно и непропорционално ограничаване на правата на посетителите.

Същевременно следва да се подчертае, че пропорционалността на подобен модел следва да бъде оценявана динамично и постоянно, включително с оглед практическото му прилагане, реалния обхват на обработването, ефективността на режима и наличието на достатъчни гаранции срещу функционално разширяване на системата.

Оценка на въздействието върху защитата на данните

С оглед характера, обхвата и използваната технология извършването на оценка на въздействието върху защитата на данните по чл. 35 от ОРЗД е било задължително.

Оценка на въздействието трябва да съдържа необходимите елементи по чл. 35, пар. 7 от ОРЗД, включително:

описание на операциите по обработване;
анализ на необходимостта и пропорционалността;
оценка на рисковете за правата и свободите на субектите на данни;
описание на предвидените мерки за ограничаване на риска, включително гаранциите, мерките за сигурност и механизмите за осигуряване на защитата на личните данни и за демонстриране на спазването на ОРЗД, като се вземат предвид правата и законните интереси на субектите на данни и на други заинтересовани лица.

От извършения от администратора анализ не се установява наличие на остатъчен висок риск, който да не може да бъде ограничен чрез предвидените технически и организационни мерки. Биометричните данни по своята природа представляват чувствителна категория лични данни и обработването им винаги предполага повишено ниво на риск при тяхното обработване и съответно отговорност от страна на администратора. При извършването на ОВЗД, администраторът не следва да се ограничава единствено до оценката на риска. Той е длъжен да оцени как наложените технически и организационни мерки за защита правата на субектите на данни се съотнасят и въздействат върху всички останали техни права. В този случай, предприемането само на технически мерки за защита на данните не е достатъчно и не може да придаде законосъобразност на обработването.

Поради това администраторът има задължение да извършва и периодичен преглед на необходимостта от обработването, на ефективността на мерките и на съответствието на системата с принципите на ОРЗД, както и да не се нарушат останалите права и свободи на субектите на данни.

В заключение, следва да се отбележи, че ОРЗД изисква КЗЛД да осъществява непредубеден и независим надзор върху дейността по обработване на лични данни. При евентуални нарушения на правилата за защита на личните данни КЗЛД трябва да може безпристрастно и независимо да упражни своите надзорни функции и правомощия спрямо администраторите в рамките на производство по разглеждане на жалба или сигнал. Иначе казано, даването на конкретни отговори, както и правни консултации по конкретни казуси или потвърждаване на конкретни разбирания на администраторите може да доведе КЗЛД до конфликт на интереси с нейната основна функция по надзор. Произнасянето на надзорния орган по конкретни казуси изисква извършването на детайлни проверки, изясняване на всички обстоятелства по казуса и запознаване със специфичната дейност, осъществявана от администратора, включително със специалното законодателство, което я урежда. Такава дейност надзорният орган може да осъществи, само при спазване изискванията за упражняване на контрол в административното производство (по разглеждане на жалба или сигнал, както и при уведомление за нарушение на сигурността на данните) или в хода на предварителната консултация по чл. 36 от ОРЗД (за която има допълнителни изисквания). Ето защо в правомощията на КЗЛД при изразяване на становища се включва единствено даването на насоки и разясняване на принципни положения от законодателството, без да се решават в конкретика отделни казуси.

Настоящото становище не представлява индивидуален административен акт и не предопределя евентуални бъдещи действия на КЗЛД в рамките на надзорно производство.

По тези съображения, на основание чл. 58, ал. 3 от Регламент (ЕС) 2016/679 и чл. 10а, ал. 1 от Закона за защита на личните данни, Комисията за защита на личните данни изразява следното

СТАНОВИЩЕ:

Обработване на лични данни чрез система за биометрична идентификация на посетители на спортни мероприятия е допустимо единствено при наличие на валидно правно основание по чл. 6, пар. 1 и приложимо изключение по чл. 9, пар. 2 от Регламент (ЕС) 2016/679, при спазване на принципите по чл. 5 от същия регламент, както и при осигуряване на подходящи технически и организационни мерки по чл. 24, чл. 25 и чл. 32 от ОРЗД, съобразени с чувствителния характер на обработваните биометрични данни. Като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, преценката относно законосъобразността, и пропорционалността на конкретния модел на обработване следва да бъде извършвана самостоятелно и при условията на отчетност от администратора, за всеки конкретен случай, а не превантивно, общо и неизбирателно.

Администраторът на лични данни носи отговорността да докаже, че извършва обработването на лични данни в съответствие с Регламент (ЕС) 2016/679 и ЗЗЛД.

ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ: