Видеонаблюдение в магазина и GDPR: какво е разрешено през 2026 г.

Да, можете да имате камери в магазина, но всеки запис на клиенти и служители е обработване на лични данни. Затова ви трябват табела на входа, ясна цел, кратък и обоснован срок за съхранение и защитен достъп до записите. Регистрация в Комисията за защита на личните данни (КЗЛД) не се изисква от 2018 г.

По-долу отбелязваме кое е закон (задължително), кое е насока на Европейския комитет по защита на данните (ЕКЗД) или на КЗЛД (авторитетно тълкуване, но не закон) и кое е добра практика.

Кои правила важат и кой следи за тях

Образът на човек, който може да бъде разпознат, е лични данни. Записът, съхранението и гледането на живо са „обработване“ по чл. 4 от Общия регламент относно защитата на данните (GDPR).

Вашата фирма е администратор на лични данни: тя решава защо и как се записва. Обичайното правно основание е легитимният интерес (чл. 6, параграф 1, буква „е“ от GDPR): опазване на имуществото и предотвратяване на кражби. Според Насоки 3/2019 на ЕКЗД интересът трябва да е реален, а не хипотетичен, и е добре да го преразглеждате периодично, например веднъж годишно.

Надзорът е на КЗЛД. Тя може да даде официално предупреждение, да разпореди преместване или маскиране на камера, временно да забрани обработването или да наложи глоба (чл. 58, параграф 2 от GDPR и чл. 38, ал. 3 от ЗЗЛД). Таванът на глобите е до 20 млн. евро или 4% от световния годишен оборот, ако тази сума е по-висока (чл. 83, параграф 5 от GDPR). Минимален размер няма.

На практика КЗЛД най-често започва с предупреждения и разпореждания. През 2025 г. е получила 690 жалби, сигнали и запитвания за видеонаблюдение, направила е над 240 проверки и е прилагала основно корективни мерки, предупреждения и временни забрани (БТА, 10.03.2026). Глоба е възможна например при неизпълнено разпореждане: фирма, която продължила да снима обществени площи, е санкционирана с 5000 лв., около 2556 евро (преписка ППН-01-769/2018).

Каква табела трябва да има и какво пише на нея

Закон: чл. 13 от GDPR задължава да информирате хората за наблюдението. Насоки: ЕКЗД препоръчва информация на две нива и дава за пример точно магазин: табела при входа и подробен документ на касата.

Първо ниво: табелата

• че обектът е под видеонаблюдение;
• името и данните за контакт на администратора, както и на длъжностното лице по защита на данните, ако имате такова;
• целта, например опазване на имуществото;
• правата на хората: достъп до записите, изтриване, възражение;
• срокът на съхранение и всичко, което може да изненада: наблюдение на живо, предаване на записи на трети лица, особено извън ЕС;
• къде е пълната информация: на касата, на сайта, чрез QR код или телефон.

Ако на табелата няма срок на съхранение, хората имат основание да смятат, че има само наблюдение на живо, без запис (ЕКЗД, т. 115). Табелата се поставя приблизително на нивото на очите, преди човек да влезе в обхвата на камерите. Точното място на всяка камера не е нужно да се посочва (т. 113).

Второ ниво: пълната информация

Документ на касата или на сайта с цялата информация по чл. 13 от GDPR, включително правното основание, получателите на записите и правото на жалба до КЗЛД. Трябва да е достъпен, без човек да влиза в наблюдаваната зона.

Колко време може да пазите записите

Закон: нито един български закон не определя срок от 30 дни за магазин, който сам управлява камерите си. Важи общият принцип записите да се пазят не по-дълго от необходимото (чл. 5, параграф 1, буква „д“ от GDPR). Срокът определяте вие и трябва да можете да го обосновете.

Насоки: ЕКЗД препоръчва в повечето случаи записите да се изтриват до няколко дни, най-добре автоматично. Колкото по-дълъг е срокът, особено над 72 часа, толкова по-сериозна обосновка е нужна (т. 121). За малък магазин ЕКЗД дава пример с 24 часа и по-дълъг срок покрай почивни дни. По-дълъг срок е възможен при конкретна, записана причина, например кражбите се откриват при инвентаризация.

Изключение по закон: когато видеонаблюдението се извършва от лицензирана охранителна фирма, записите се пазят два месеца в регистър „Видеонаблюдение“ (чл. 56, ал. 4 от Закона за частната охранителна дейност (ЗЧОД)).

Отделен запис с инцидент (кражба, щета, спор) може да се запази по-дълго, докато трае проверката или делото. Да пазите всичко месеци наред „за всеки случай“ обаче противоречи на принципа за ограничено съхранение.

Какви документи трябва да имате

Регистрация в КЗЛД вече не се изисква

Задължението администраторите да се регистрират в КЗЛД отпадна на 25 май 2018 г., когато започна да се прилага GDPR. Вместо това се води вътрешна документация.

Регистър на дейностите по обработване

Закон: чл. 30 от GDPR изисква писмен регистър на дейностите по обработване. Фирмите с под 250 служители са освободени само ако обработването е инцидентно, не носи риск и не включва специални категории данни (чл. 30, параграф 5). Постоянното видеонаблюдение не е инцидентно, затова и малкият магазин трябва да го впише.

Вътрешни правила

Закон: чл. 25д от Закона за защита на личните данни (ЗЗЛД) изисква правила при систематично мащабно наблюдение на публично достъпни зони, включително чрез видеонаблюдение. Те описват основанията и целите, обхвата и средствата, срока на съхранение и изтриването, достъпа на заснетите лица, информирането и ограниченията при даване на записи на трети лица. Ако камерите служат и за контрол на достъпа, работното време или дисциплината, работодателят приема правила по чл. 25и от ЗЗЛД и уведомява служителите.

Добра практика: при един малък магазин прагът „мащабно“ може да не е достигнат, но кратки писмени правила са най-лесният начин да докажете, че спазвате изискванията (чл. 5, параграф 2 и чл. 24 от GDPR).

Оценка на въздействието (ОВЗД)

Закон: оценката на въздействието върху защитата на данните е задължителна при мащабно систематично наблюдение на публично достъпна зона (чл. 35, параграф 3, буква „в“ от GDPR) и при обработване с висок риск, например лицево разпознаване. Решаващи са мащабът и технологията, а не колко е натоварен обектът. Единичен магазин с няколко обикновени камери обикновено не я изисква, но е добре да запишете защо.

Договор с обработващия

Закон: ако фирмата, която поддържа системата, или доставчикът на облачно съхранение има достъп до записите, тя е обработващ лични данни и с нея се сключва писмен договор по чл. 28 от GDPR.

Къде камерите не бива да гледат и какво не бива да записват

• Тоалетни, съблекални, стаи за почивка. Българският закон не ги изброява поименно, но наблюдението там е непропорционално според насоките на ЕКЗД (т. 37–38) и практиката на КЗЛД. Фалшива камера не обработва данни и GDPR не се прилага, но в такова помещение тя също е неприемлива и може да доведе до гражданска отговорност.
• Тротоарът, улицата и съседните обекти. По правило камерата обхваща само вашия имот. Ако по изключение трябва да покрие и непосредствено прилежаща зона, излишното се маскира (ЕКЗД, т. 27).
• Масите в кафене или ресторант. На места за почивка и хранене интересите на хората често надделяват над тези на собственика (ЕКЗД, т. 38).
• Звук. Изрична законова забрана за магазините няма, но звукът почти никога не е нужен срещу кражби. ЕКЗД посочва, че ненужните функции, включително звукозаписът, неограниченото завъртане и приближаването, се изключват (т. 129).
• Оценка на служителите. Камера на касата срещу злоупотреби е допустима, ако служителите са информирани предварително. Според становище на КЗЛД (рег. № ПНМД-17-239/2023) записите не могат да се използват за оценка на работата или за бонуси, дори със съгласие на служителя.
• Лицево разпознаване. Биометричните данни са специална категория (чл. 9 от GDPR) и за обикновен магазин такава система практически не може да се обоснове. Анонимното броене на посетители е друг, по-нискорисков случай.

Кой има достъп до записите: служители, клиенти, полиция

Пароли, отдалечен достъп и облак

Закон: чл. 32 от GDPR изисква подходяща сигурност. Насоки: ЕКЗД препоръчва достъп само за упълномощени лица, монитори, които клиентите не виждат, ред за даване и отнемане на достъп, записване на действията, защитени канали за предаване и криптиране (т. 134–135). Добра практика: отделен акаунт за всеки, смяна на фабричните пароли, заключено място за видеорекордера, обновен софтуер и гледане от телефона само през защитена връзка. Ако записите се съхраняват извън ЕС, това се посочва в информацията за хората (чл. 13, параграф 1, буква „е“ от GDPR).

Ние монтираме и поддържаме системи за видеонаблюдение и можем да помогнем с техническата част: ъгли и маскиране, изключване на звука, автоматично изтриване и защитен достъп. Вътрешните правила е добре да прегледате и с юрист.

Когато заснет човек поиска записа

Закон: всеки има право на копие от своите данни (чл. 15 от GDPR). Отговаряте до един месец, а при сложни искания срокът може да се удължи с още два месеца, като уведомите човека (чл. 12, параграф 3).

• Помолете човека да посочи приблизително кога е бил в обекта (ЕКЗД, т. 96).
• Замъглете или покрийте другите хора в кадъра, преди да дадете копие (чл. 15, параграф 4 от GDPR; ЕКЗД, т. 94).
• Ако записът вече е изтрит по вашия срок за съхранение, уведомете човека за това.

Когато полицията поиска записа

Закон: при официално искане във връзка с разследване основанието е законово задължение (чл. 6, параграф 1, буква „в“ от GDPR). ЕКЗД дава точно такъв пример с магазин и кражба. Ако сами занесете запис в полицията, защото подозирате престъпление, основанието е легитимният интерес. Лицензираните охранителни фирми са длъжни да предават записи на МВР и ДАНС (чл. 54 от ЗЧОД). Добра практика: отбелязвайте всяко предаване: дата, кой е поискал, кой запис. Публикуването на записи в социалните мрежи е друга цел и трудно може да се обоснове.

Какво да направите сега

1. Проверете какво снима всяка камера и маскирайте тротоара и съседните обекти.
2. Махнете камерите от тоалетни, съблекални и стаи за почивка. Изключете микрофоните.
3. Поставете табела на входа и подгответе пълна информация на касата или на сайта.
4. Определете и обосновете писмено срок за съхранение. Настройте автоматично изтриване.
5. Впишете видеонаблюдението в регистъра по чл. 30 от GDPR, подгответе кратки правила и уведомете служителите писмено.
6. Сменете фабричните пароли, дайте отделен достъп на всеки и проверете отдалечения достъп.
7. Сключете договор по чл. 28 от GDPR с фирмата, която поддържа системата или съхранява записите.
8. Подгответе кратка процедура за искания на записи от клиенти и полиция.