В кои случаи не се изисква съгласие за обработване на лични данни

Обработването на лични данни е законосъобразно, когато е налице поне едно от правните основания, посочени в чл. 6, параграф 1 от Регламент (ЕС) 2016/679 – Общия регламент относно защитата на данните (GDPR).

Съгласието е само едно от тези основания. Администраторът не трябва автоматично да изисква декларация за съгласие, когато обработването е необходимо на друго правно основание.

Правните основания по чл. 6 от GDPR

Обработването на лични данни е законосъобразно, когато е приложимо поне едно от следните основания:

1. Субектът на данните е дал съгласие за една или повече конкретни цели.
2. Обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по негово искане преди сключването на договор.
3. Обработването е необходимо за спазването на законово задължение, приложимо спрямо администратора.
4. Обработването е необходимо за защита на жизненоважните интереси на субекта на данните или на друго физическо лице.
5. Обработването е необходимо за изпълнение на задача от обществен интерес или при упражняване на официални правомощия.
6. Обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато преимущество имат интересите или основните права и свободи на субекта на данните.

1. Обработване по силата на законово задължение

Съгласие не е необходимо, когато администраторът е длъжен по закон да събира, съхранява или предоставя определени лични данни.

Такива задължения могат да произтичат например от:

• Кодекса на труда;
• Кодекса за социално осигуряване;
• Закона за здравето;
• Закона за счетоводството;
• данъчното и осигурителното законодателство;
• други специални нормативни актове.

В тези случаи лицето не може чрез отказ от съгласие да отмени законовото задължение на администратора. Затова искането на съгласие би създало погрешно впечатление, че лицето разполага с избор дали данните да бъдат обработени.

2. Административни услуги и официални правомощия

Когато държавен или общински орган обработва лични данни за предоставяне на административна услуга или при упражняване на нормативно предоставени правомощия, обработването обичайно се основава на законово задължение или на задача от обществен интерес.

В тези случаи не е необходимо лицето да подписва отделно съгласие само за да може органът да изпълни законовите си функции.

3. Лични данни при трудово правоотношение

При трудовите отношения работодателят обработва значителен обем лични данни във връзка със сключването, изпълнението и прекратяването на трудовото правоотношение и изпълнението на нормативните си задължения.

Това включва например данни, необходими за трудовия договор, трудовото възнаграждение, осигуряването, отпуските, данъчните задължения, трудовия стаж и други изисквания, установени в трудовото и осигурителното законодателство.

Това не означава, че съгласие никога не може да се прилага в трудови отношения. То е допустимо за отделна конкретна цел, когато работодателят може да докаже, че работникът разполага с реален свободен избор.

4. Данни, необходими за сключване или изпълнение на договор

Когато определени лични данни са обективно необходими за изпълнението на договор или за предприемане на стъпки по искане на лицето преди сключване на договора, отделно съгласие не е необходимо.

Основанието е приложимо само за обработване, което е действително необходимо за изпълнението на конкретния договор.

Не е правилно към необходимите договорни данни да се добавят други цели – например директен маркетинг – и те автоматично да се обосновават с договора.

5. Легитимен интерес

Обработването може да се основава на легитимен интерес на администратора или на трета страна, когато този интерес е действителен и законосъобразен и не е надделян от интересите, правата и свободите на субекта на данните.

В практиката това може да включва например:

• определени мерки за физическа и информационна сигурност;
• контрол на достъпа до сгради и системи;
• защита на информационни и мрежови системи;
• защита на правни претенции и интереси;
• предотвратяване на измами при подходящи обстоятелства.

Преди обработване на това основание администраторът трябва да оцени необходимостта от обработването и баланса между своя интерес и правата и свободите на лицето. Наличието на търговски интерес само по себе си не е достатъчно.

6. Прехвърляне на вземане

При прехвърляне на вземане определени документи и съдържащите се в тях лични данни могат да бъдат предадени от предишния на новия кредитор, когато това произтича от приложимото договорно и гражданско законодателство.

И в тези случаи трябва да бъдат спазени принципите за законосъобразност, прозрачност, ограничение на целите и свеждане на данните до необходимия минимум.

7. Предоставяне на данни на обработващ лични данни

GDPR позволява на администратора да възложи определени операции по обработване на друго лице – обработващ лични данни.

Примери за обработващи могат да бъдат:

• счетоводни дружества;
• служби по трудова медицина;
• доставчици на информационни услуги;
• доставчици на хостинг или облачни услуги;
• други външни изпълнители, които обработват данни от името на администратора.

За възлагането на обработването не се изисква отделно съгласие от субектите на данните само защото администраторът е ангажирал обработващ. Между администратора и обработващия трябва да бъдат изпълнени изискванията на чл. 28 от GDPR.

8. Снимки и видеозаписи

Не съществува общо правило, според което всяко фотографиране или видеозаснемане на публично място автоматично се извършва без съгласие.

Ако физическо лице обработва данни в рамките на чисто лична или домашна дейност, GDPR може да не се прилага. При професионално или организационно видеозаснемане трябва да се определи конкретно правно основание и да се изпълнят изискванията за прозрачност.

При видеонаблюдение на работното място съгласието на служителите по правило е проблематично правно основание именно поради дисбаланса между работодател и работник.

9. Специални категории лични данни

За специалните категории лични данни – например данни за здравословно състояние, биометрични данни при определени условия, религиозни убеждения, политически възгледи и членство в синдикални организации – се прилагат допълнителните условия на чл. 9 от GDPR.

Обработването им не става законосъобразно само защото е налице едно от основанията по чл. 6. Трябва да е приложимо и съответно изключение от забраната по чл. 9.

Например здравни данни могат да се обработват без изрично съгласие при изпълнение на приложимите условия за превантивна или трудова медицина, оценка на трудоспособността, медицинска диагностика и други предвидени в GDPR случаи.

Кога съгласието все пак е подходящо?

Съгласието е подходящо, когато лицето има реален избор дали обработването да се извършва и отказът няма да доведе до неблагоприятни последици.

За да бъде валидно, съгласието трябва да бъде:

• свободно дадено;
• конкретно;
• информирано;
• недвусмислено;
• оттегляемо без затруднения.

Практически подход за администратора

1. Определете конкретната цел на обработването.
2. Определете кои данни са действително необходими за тази цел.
3. Изберете приложимото правно основание преди започване на обработването.
4. Не искайте съгласие, ако обработването е задължително по закон или договор.
5. Документирайте основанията и извършените преценки.
6. Информирайте лицата прозрачно за целите, основанията, сроковете и техните права.

Свързана информация

• Декларация за съгласие за обработване на лични данни
• Трудови правоотношения
• Документация по ЗБУТ
• Трудова медицина

Често задавани въпроси

Трябва ли работодателят да иска съгласие за данните по трудовия договор?

Не, когато обработването е необходимо за изпълнение на трудовото правоотношение или за спазване на законово задължение. В тези случаи трябва да се посочи действителното правно основание, а не да се изисква формално съгласие.

Нужно ли е съгласие, когато счетоводна къща обработва данни на служителите?

Не само защото е ангажирана счетоводна къща. Когато тя действа като обработващ от името на работодателя, отношенията между администратора и обработващия се уреждат съгласно GDPR.

Нужно ли е съгласие за данни, които законът задължава работодателя да събира?

Не. Ако обработването е необходимо за спазване на законово задължение, правното основание е това задължение.

Може ли договорът да бъде обвързан със съгласие за рекламни съобщения?

Не следва да се поставя такова условие, ако рекламното обработване не е необходимо за изпълнението на договора. Това поставя под съмнение свободния характер на съгласието.

Всички здравни данни ли изискват изрично съгласие?

Не. GDPR предвижда други допустими основания за обработване на здравни данни, включително при определени условия за превантивна и трудова медицина и оценка на трудоспособността.

Първоначално публикувано: 10.07.2018 г. | Последна актуализация: 03.09.2026 г.