Наредбите на надзорния орган, приети на 1 октомври, все още не са публикувани в „Държавен вестник“
Наредбите по чл. 14а, ал. 3 от ЗЗЛД и по чл. 14, ал. 5 и ал. 6 от Закона за защита на личните данни бяха приети от Комисията за защита на личните данни (КЗЛД), но все още не са публикувани в „Държавен вестник“. Ето съобщението на надзорния орган:
„Комисията за защита на личните данни прие две нови наредби
На свое редовно заседание № 74, проведено на 01 октомври 2026 г., Комисията за защита на личните данни прие Наредба № 2 за изискванията и реда за акредитация и отнемане на акредитацията на органи за наблюдение на кодекси за поведение и Наредба № 3 относно условията, изискванията и реда за акредитация и отнемане на акредитация на сертифициращ орган, критериите, механизмите и процедурите за сертифициране, печати и маркировки.
Наредбите са приети след проведено обществено обсъждане и предстои тяхното обнародване в Държавен вестник.
Както кодексите за поведение, така и сертифицирането, представляват доброволни инструменти по чл. 40 и 42 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните) за правилното прилагане на въпросния регламент и за демонстриране на спазването на общоевропейските стандарти за защита на личните данни.
Кодексите за поведение са предназначени за категории администратори в отделни сектори на икономиката с фокус върху микропредприятията и малките и средни предприятия, които могат да се присъединят към тях. Сертифицирането от своя страна е насочено към индивидуални администратори/обработващи за потвърждаване на спазването на изискванията на Общия регламент относно защитата на данните при операциите за обработване, които те осъществяват.
Нито кодексите за поведение, нито сертифицирането имат задължителен характер за администраторите/обработващите лични данни и те не са необходим елемент за осъществяване дейността на длъжностно лице по защита на данните. Това са изцяло доброволни инструменти, като присъединяването към кодекс за поведение или сертифицирането на администратор/обработващ не представляват окончателен атестат за спазване на изискванията на Общия регламент относно защитата на данните. Както кодексите за поведение са обект на непрекъснато наблюдение от нарочни органи, така и сертифицираните лица са обект на постоянен преглед от акредитиран сертифициращ орган, издал дадения сертификат.
Никой от двата инструмента не ограничава или преклудира правомощията на Комисията за защита на личните данни за упражняване на надзорни и корективни правомощия по отношение на всеки администратор/обработващ лични данни.“
На 14.08.2026 г. писах, че Само по едно публично становище получиха проектите на наредби на КЗЛД. Ето и цитат от Справката по наредбата, свързана с кодексите за поведение: Не беше прието предложението за добавяне на текста „Чл. 2 от проекта на наредба не отчита изключението по чл. 41, пар. 6 от Регламент (ЕС) 2016/679. Проектът категорично предвижда, че спазването на всеки одобрен кодекс за поведение се наблюдава от орган за наблюдение. Чл. 41, пар. 6 от Регламент (ЕС) 2016/679 обаче изрично постановява, че чл. 41 не се прилага спрямо обработването, извършвано от публичните власти и органи. Това изключение е изрично отчетено и в Насоки 1/2019 на ЕКЗД. Предлагам чл. 2 да се редактира по следния начин: „Спазването на кодекс за поведение, одобрен при условията и по реда на Глава четвърта, раздел VIII от Правилника за дейността на КЗЛД и на нейната администрация, се наблюдава от акредитиран орган за наблюдение в съответствие с чл. 41 от Регламент (ЕС) 2016/679, освен в случаите по чл. 41, пар. 6 от същия регламент.“
Аргументи на КЗЛД: Регламент (ЕС) 2016/679 е задължителен в своята цялост и се прилага пряко във всички държави членки. Поради това предложената разпоредба препраща към чл. 41 от Регламент (ЕС) 2016/679 в цялост, с оглед вземане под внимание на всички хипотези, които урежда. Дублиране на изисквания, уреждане по друг начин са недопустими при въвеждането на мерки за изпълнение на регламент в националното законодателство.
Второто отхвърлено предложение: „Процедурата по жалби не трябва да изглежда като заместител на защитата пред КЗЛД. Приложението създава доста детайлна частна процедура – безплатно подаване, състезателност, срокове, решение и корективни мерки. Това е допустимо и дори необходимо по чл. 41, пар. 2, б. „в“ от Регламент (ЕС) 2016/679, но трябва да е абсолютно ясно, че не засяга правото на субекта на данни да сезира КЗЛД или съда. Самият Регламент (ЕС) 2016/679 изрично гарантира правата по чл. 77 и 79 независимо от други извънсъдебни механизми. Предлагам да се добави: „Процедурата за разглеждане на жалби пред органа за наблюдение не ограничава и не е предварително условие за упражняване на правото на жалба пред компетентен надзорен орган или на правото на съдебна защита по Регламент (ЕС) 2016/679.“ Също така е препоръчително изразът „състезателно производство“ да се замени с „процедура, гарантираща правото на страните да бъдат изслушани и да представят становище и доказателства“, защото органът за наблюдение може да бъде частноправен субект и да не осъществява административно производство в класическия смисъл.“
Аргументи на КЗЛД: Приложение № 1, съдържащо изискванията е прието от КЗЛД с решение. По конкретния текст Европейският борд за защита на данните е изразил становище, след което в текста са отразени неговите бележки. В окончателната си редакция изискванията по Приложение № 1 са изпратени в ЕКЗД за публикуване. По тези съображения, те не подлежат на промяна, доколкото процедурата по тяхното приемане е приключила и на този етап няма решение на КЗЛД за промяна.