Анализи и Казуси
GDPR за бизнеса в България: как ISO 27701 доказва съответствие
Осем години след влизането на GDPR в сила все още най-честият въпрос от българските фирми е един и същ: „Как да докажем, че сме съответни?“ Проблемът е, че GDPR казва какво трябва да постигнете, но не и как да го организирате и – най-важното – как да го докажете пред клиент, партньор или пред Комисията за защита на личните данни при проверка.
Точно тази празнина запълва ISO 27701 – международният стандарт за система за управление на защитата на личните данни. В това ръководство ще разгледаме как се съотнасят GDPR и ISO 27701, какво се промени с новото самостоятелно издание от 2025 г. и защо все повече договори изискват именно сертификат, а не самодекларация.
Ключови изводи
- GDPR (Регламент (ЕС) 2016/679) е задължителен закон, в сила от 25 май 2018 г. ISO 27701 е доброволен стандарт, който изгражда системата за съответствие.
- От 2025 г. ISO/IEC 27701 е самостоятелен стандарт – вече не е добавка към ISO 27001. Можете да изградите система за защита на данните (PIMS), без задължително да сте сертифицирани по 27001.
- ISO 27701 не е задължителен за GDPR и сам по себе си не е „сертификат за GDPR съответствие“ – но е най-структурираният, одитируем начин да докажете надлежна грижа.
- Санкциите по GDPR достигат до 20 млн. евро или 4% от годишния световен оборот (по-голямата от двете стойности).
- Надзорният орган в България е Комисията за защита на личните данни (КЗЛД).
- Стандартът покрива и двете роли – администратор и обработващ лични данни – което е ключово за фирмите, които обработват данни от името на клиенти.
Какво е GDPR и кого задължава?
GDPR (General Data Protection Regulation), или Регламент (ЕС) 2016/679, е европейският регламент за защита на физическите лица при обработването на лични данни. Като регламент той има пряко действие – прилага се еднакво във всички държави членки. В България се допълва от Закона за защита на личните данни (ЗЗЛД).
Задължава на практика всяка организация, която обработва лични данни на лица в ЕС – независимо от размера. Малка счетоводна кантора, онлайн магазин, softwarehouse, обработващ данни за чуждестранен клиент, или болница – всички попадат в обхвата. „Ние сме малка фирма, за нас не важи“ е най-скъпата заблуда в тази област.
Какво е ISO 27701?
ISO/IEC 27701 е международният стандарт за система за управление на защитата на личните данни (Privacy Information Management System, PIMS). Той дефинира изискванията за установяване, внедряване, поддържане и непрекъснато подобряване на процесите по обработка на лични данни – както за администратори, така и за обработващи.
Важна промяна за 2026: изданието ISO/IEC 27701:2025 преработи стандарта в самостоятелна система за управление. Предишната версия от 2019 г. работеше само като разширение върху ISO 27001. Сега можете да внедрите PIMS и без да имате изградена система за информационна сигурност – макар че двете остават естествено свързани.
GDPR срещу ISO 27701: каква е разликата?
Най-краткото обяснение: GDPR е законът, ISO 27701 е системата, която доказва спазването му.
| Критерий | GDPR | ISO 27701 |
|---|---|---|
| Правен характер | Задължителен регламент на ЕС | Доброволен международен стандарт |
| Какво определя | Правата на субектите и задълженията | Процесите, чрез които тези задължения се изпълняват |
| Резултат | Съответствие (или санкция при пропуск) | Сертификат от акредитиран орган |
| Доказуемост | Трудна – разчита на вътрешни записи | Одитирана от независим трети орган |
| Обхват на ролите | Администратор и обработващ | Изрични изисквания и за двете роли |
| Санкция | До 20 млн. евро или 4% от оборота | Отнемане на сертификата, загуба на договори |
Честа заблуда: „Имаме ISO 27701, значи сме 100% GDPR съответни.“ Не автоматично. Стандартът покрива голямата част от организационните и техническите изисквания, но специфични правни задължения (например основанието за обработка или конкретни уведомления) трябва да се адресират отделно. ISO 27701 е доказателство за надлежна грижа, а не правен имунитет.
Как ISO 27701 покрива изискванията на GDPR
Стандартът е структуриран така, че директно да отговаря на ключовите глави от регламента:
- Права на субектите на данни – процедури за достъп, коригиране, изтриване („правото да бъдеш забравен“) и преносимост.
- Правни основания и съгласие – управление на съгласията и на основанията за обработка.
- Оценка на въздействието (DPIA) – процес за оценка на риска за правата и свободите на субектите.
- Уведомяване при нарушение – процедура за реакция и уведомяване на КЗЛД в 72-часовия срок.
- Отношения с обработващи – контрол върху подизпълнителите и договорите за обработка.
- Трансфер на данни – механизми за международно предаване на лични данни.
Връзката с ISO 27001 и информационната сигурност
Макар вече самостоятелен, ISO 27701 стъпва концептуално върху логиката на ISO 27001. Причината е проста: не можете да защитите поверителността на данните, без първо да сте защитили самата информация. Затова на практика повечето организации внедряват двата стандарта заедно – 27001 за сигурността, 27701 за поверителността.
Ако темата за информационната сигурност ви е нова, започнете с материала ни за това какво е ISO 27001 и защо сигурността е задължителна. А ако попадате в обхвата на NIS2, вижте и анализа ни за ISO 27001 срещу NIS2 – трите рамки (GDPR, NIS2 и ISO стандартите) все по-често се внедряват заедно.
Обработвате лични данни и искате да го докажете?
Помагаме на български фирми да изградят система за защита на данните по ISO 27701, съгласувана с GDPR – от анализ на пропуските до сертификационния одит.
Пътят до сертификация: 6 стъпки
- Картографирайте данните. Какви лични данни събирате, откъде, къде се съхраняват и с кого се споделят (data mapping).
- Определете ролите. Кога сте администратор и кога обработващ – задълженията са различни.
- Анализ на пропуските. Сравнение на текущите практики спрямо GDPR и ISO 27701.
- Изградете PIMS. Политики, процедури за правата на субектите, управление на съгласия, DPIA, реакция при нарушения.
- Обучете екипа. Защитата на данните е основно човешки, не технически проблем.
- Сертификационен одит. Оценка от акредитиран орган – уверете се, че е акредитиран, за да е признат сертификатът.
Заключение
GDPR няма да изчезне, а изискванията за доказуемост само ще растат – особено с навлизането на изкуствения интелект, който обработва все повече лични данни (тема, която разглеждаме в статията за ISO 42001). ISO 27701 превръща абстрактното „ние спазваме GDPR“ в одитируем, признат актив, който отваря врати към клиенти и пазари.
Ако искате да оцените готовността си, разгледайте страницата ни за ISO 27001, пълния списък с ISO стандарти или консултантските ни услуги.
Често задавани въпроси
Задължителен ли е ISO 27701 за GDPR съответствие?
Не. GDPR е задължителен закон, но не изисква конкретен стандарт. ISO 27701 е доброволен и не е „сертификат за GDPR“ в правен смисъл. Той обаче е най-структурираният и одитируем начин да докажете, че сте предприели надлежните организационни и технически мерки – което има реална тежест пред клиенти, партньори и надзорния орган.
Каква е разликата между ISO 27001 и ISO 27701?
ISO 27001 защитава информацията като цяло (поверителност, цялост, наличност). ISO 27701 се фокусира конкретно върху защитата на личните данни и съответствието с изисквания като GDPR. От изданието 2025 г. ISO 27701 е самостоятелен стандарт, но на практика двата се внедряват заедно, защото защитата на данните стъпва върху информационната сигурност.
Какви са санкциите по GDPR?
GDPR предвижда административни глоби до 20 млн. евро или до 4% от годишния световен оборот на предприятието – като се прилага по-голямата от двете стойности. За по-леки нарушения таванът е 10 млн. евро или 2% от оборота. В България санкциите се налагат от Комисията за защита на личните данни.
Кой е надзорният орган по защита на данните в България?
Комисията за защита на личните данни (КЗЛД). Тя разглежда жалби, извършва проверки, издава указания и налага санкции при нарушения на GDPR и ЗЗЛД. КЗЛД не издава ISO сертификати – сертификацията по ISO 27701 се извършва от акредитирани сертифициращи органи.
Трябва ли ми ISO 27001, за да внедря ISO 27701?
От изданието 2025 г. вече не е задължително – ISO 27701 стана самостоятелна система за управление и може да се внедри отделно. На практика обаче повечето организации внедряват двата стандарта заедно, тъй като защитата на личните данни се гради върху мерки за информационна сигурност, дефинирани в ISO 27001.
Колко време отнема внедряването на ISO 27701?
За организация, която вече поддържа ISO 27001 – между 3 и 5 месеца. За фирма, която изгражда и информационната сигурност, и защитата на данните от нулата, реалистичният срок е 6 до 9 месеца. Определящи фактори са обемът и чувствителността на обработваните данни и броят на процесите, в които участват лични данни.