Договор за обработване на лични данни (чл. 28 ОРЗД): 12 точки за проверка

Накратко

• Чл. 28, ал. 3 ОРЗД определя минимално съдържание. Липсата на някой елемент е нарушение и за администратора, и за обработващия.
• Най-честите проблеми в практиката не са в минималното съдържание, а в сроковете, одитите, подизпълнителите и връзката с ограничението на отговорността в основния договор.
• Комисията е приела стандартни клаузи по чл. 28 (Решение за изпълнение (ЕС) 2021/915). Те са полезен еталон дори когато не се използват.

Кога е нужен договор

Когато едно лице обработва лични данни от името на администратора — доставчик на облачна услуга, счетоводство, ИТ поддръжка, външен юрист, работещ по възлагане. Договорът трябва да е в писмена форма, включително електронна (чл. 28, ал. 9).

Минимално съдържание (чл. 28, ал. 3)

1. Предмет, срок, естество и цел на обработването; вид данни; категории субекти. Чести проблеми: „всякакви лични данни" вместо конкретни категории; липса на специални категории, когато такива реално се обработват.

2. Обработване само по документирани нареждания — включително за трансфери към трети държави (буква „а"). Провери: какво се смята за нареждане (договорът, SOW, тикет); задължение обработващият да уведоми, ако смята нареждането за нарушение на ОРЗД (последната алинея на чл. 28, ал. 3).

3. Поверителност на лицата, които обработват данните (буква „б").

4. Мерки за сигурност по чл. 32 (буква „в"). Провери: дали мерките са описани в приложение или само с препращане към „индустриални стандарти"; дали обработващият може да ги променя едностранно — и при какво условие (без да намалява нивото на защита).

5. Подизпълнители (букви „г" и чл. 28, ал. 2 и 4). Провери: общо или конкретно разрешение; списък на текущите подизпълнители; срок за уведомяване за нов подизпълнител и право на възражение; какво става при възражение (прекратяване? без санкция?); пренасяне на същите задължения към подизпълнителя.

6. Съдействие за правата на субектите (буква „д"). Провери: срок за препращане на искане; дали съдействието се таксува отделно.

7. Съдействие по чл. 32–36 — сигурност, нарушения, оценка на въздействието, предварителна консултация (буква „е").

8. Връщане или изтриване след края на услугата (буква „ж"). Провери: срок; формат на връщане; сертификат за изтриване; изключения за резервни копия.

9. Информация и одити (буква „з"). Провери: право на одит от администратора или независим одитор; честота; уведомление; кой плаща; дали сертификатите (ISO 27001, SOC 2) заместват одита — изцяло или до първото съмнение за нарушение.

Извън минималното съдържание

10. Срок за уведомяване при нарушение на сигурността. ОРЗД изисква обработващият да уведоми администратора „без ненужно забавяне" (чл. 33, ал. 2). Администраторът има 72 часа към надзорния орган (чл. 33, ал. 1). Без конкретен срок в договора (напр. 24–48 часа) администраторът може да не успее да спази своя.

11. Трансфери извън ЕИП. Провери: къде физически са данните и откъде се осъществява достъп (поддръжка 24/7 от трета държава е трансфер); основание по глава V; при стандартни договорни клаузи — модул 2 (администратор → обработващ) или модул 3 (обработващ → обработващ) по Решение за изпълнение (ЕС) 2021/914; оценка на въздействието на трансфера.

12. Отговорност и ред на приоритет. Провери: дали ограничението на отговорността в основния договор важи и за нарушения на DPA; дали има отделен таван; кой документ има предимство при противоречие — основният договор, DPA или стандартните клаузи. Стандартните клаузи не могат да бъдат изменяни по същество.

Таблица за бърз преглед

#	Точка	✔ / ✘ / бележка
1	Предмет, данни, субекти
2	Документирани нареждания
3	Поверителност на персонала
4	Мерки по чл. 32
5	Подизпълнители
6	Права на субектите
7	Съдействие по чл. 32–36
8	Връщане/изтриване
9	Одити
10	Срок при нарушение
11	Трансфери
12	Отговорност и приоритет

Последна проверка: 2026-09-16. Статията е обща информация и не е правна консултация.