Политика за поверителност: шаблон за уебсайт

Какво трябва да съдържа политиката за поверителност на Вашия уебсайт или онлайн магазин според ОРЗД и Закона за защита на личните данни, къде да я публикувате, кои са най-честите грешки и безплатен шаблон, който можете да копирате и попълните.

Последна проверка: 16 октомври 2026

Накратко

Кажете кой сте, за какво използвате данните, на какво правно основание и колко дълго ги пазите.
Посочете кой получава данните, дали те напускат Европа и с каква гаранция.
Обяснете правата на хората, включително оттеглянето на съгласие и жалбата до КЗЛД.
Поставете връзка към нея на всяка страница и до всяка форма, която събира лични данни.

Какво е политика за поверителност?

Политиката за поверителност, наричана още политика за защита на личните данни или уведомление за поверителност, е текстът, в който обяснявате какво правите с личните данни на хората. На уебсайт това обикновено е отделна страница, към която води връзка от долната част на всяка страница.

Задължението произтича от ОРЗД. Член 12 изисква информацията да е предоставена в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език. Членове 13 и 14 изброяват какво трябва да кажете: член 13, когато събирате данните от самия човек, например чрез форма, и член 14, когато ги получавате от някой друг. Информацията се предоставя безплатно.

В България ОРЗД се допълва от Закона за защита на личните данни (ЗЗЛД). Надзорният орган е Комисията за защита на личните данни (КЗЛД). Какво добавя българското право, е обяснено по-долу.

Какво трябва да съдържа?

Когато събирате лични данни от някого, член 13 от ОРЗД изисква следната информация:

Кой сте: наименованието и данните за контакт на организацията Ви, а ако сте установени извън ЕС, но предлагате стоки или услуги в ЕС, и на Вашия представител.
Длъжностното лице по защита на данните, ако имате такова, с данни за контакт.
Целите и правното основание. За всяка цел посочете на кое основание разчитате: съгласие, договор, законово задължение или легитимен интерес. Европейските насоки за прозрачност подчертават, че целите и правното основание трябва да са ясни.
Легитимния Ви интерес, ако това е основанието. Назовете конкретния интерес.
Получателите: кой получава данните, включително обработващите, като хостинг доставчика или доставчика на имейл услуги. Според насоките най-полезно е да назовете конкретните получатели; ако посочвате само категории, направете ги възможно най-конкретни.
Предаването извън ЕС или ЕИП: че предаване има, дали има решение относно адекватното ниво на защита и, ако няма, каква гаранция използвате и как хората могат да получат копие. Според насоките държавите по правило трябва да се посочат.
Колко дълго пазите данните или критериите, по които определяте срока. „Толкова, колкото е необходимо“ не е достатъчно според насоките.
Правата на човека: достъп, коригиране, изтриване, ограничаване, възражение и преносимост.
Правото да оттегли съгласието си по всяко време, когато разчитате на съгласие.
Правото на жалба до надзорен орган.
Дали предоставянето на данните е задължително, например защото са нужни за договор, и какво става, ако човекът не ги предостави. Насоките добавят, че в онлайн формите трябва ясно да се вижда кои полета са задължителни.
Автоматизираното вземане на решения, включително профилиране, ако има правни или подобно значими последици, със смислена информация за логиката и последиците.

Правото на възражение заслужава специално внимание: член 21 изисква то да бъде изрично доведено до знанието на хората, ясно и отделно от останалата информация, най-късно при първата комуникация с тях.

Какво добавя българското право

Повечето изисквания идват директно от ОРЗД. ЗЗЛД добавя някои неща, които е добре да отразите в политиката си:

КЗЛД като надзорен орган. Според член 6 от ЗЗЛД КЗЛД е постоянно действащ независим надзорен орган, който контролира спазването на ОРЗД и на закона. Посочете я в раздела за жалбите с адреса ѝ (гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2), имейл адреса kzld@cpdp.bg и сайта www.cpdp.bg.
Срок за жалба. Според член 38, ал. 1 от ЗЗЛД човек може да сезира КЗЛД в срок от 6 месеца от узнаването на нарушението, но не по-късно от две години от извършването му. Според член 39 действията на администратора могат да се обжалват и пред съда, включително с иск за обезщетение.
Деца под 14 години. Член 25в от ЗЗЛД определя, че когато обработването на данни на лице под 14 години се основава на съгласие, включително при услуги на информационното общество, съгласието трябва да е дадено от родителя или настойника. Ако сайтът Ви е предназначен и за деца, кажете как го проверявате.
Копия от лични карти. Член 25г от ЗЗЛД позволява да копирате документ за самоличност, шофьорска книжка или документ за пребиваване само ако това е предвидено в закон. Не искайте копие от лична карта, за да проверите самоличността при искане за достъп; използвайте по-малко натрапчив начин, например потвърждение от имейл адреса, с който клиентът е регистриран.

Къде да я публикувате

Член 13 изисква информацията в момента, в който събирате данните. Европейските насоки за прозрачност, одобрени от ЕКЗД, обясняват какво означава това за уебсайт:

Връзка на всяка страница. Всеки уебсайт трябва да публикува информация за поверителност, с директна връзка, която се вижда ясно на всяка страница, под обичайно наименование като „Поверителност“ или „Политика за поверителност“. Връзка, която трудно се забелязва заради мястото или цвета си, не е лесно достъпна.
На мястото на събиране. Добра практика е до всяка форма, която събира лични данни, да има връзка към политиката за поверителност, или информацията да е на същата страница.
Не скрита в общите условия. Хората не трябва да я търсят сред друга информация.
На нива, ако е дълга. Политика, разделена на нива, позволява на хората да отидат направо до частта, която им трябва. Пълната информация все пак трябва да е налична на едно място.
На езика на посетителя, ако се насочвате към хора, които говорят други езици, с точен превод.

Политика за поверителност, политика за бисквитките и банер

Трите имат различна роля:

Банерът за бисквитки иска съгласие, преди да поставите бисквитки, които не са строго необходими, и води към подробностите.
Политиката за бисквитките обяснява кои бисквитки и подобни технологии използвате, кой ги поставя и колко дълго се съхраняват. КЗЛД препоръчва на онлайн търговците отделна политика за бисквитките.
Политиката за поверителност обхваща всички лични данни, които обработвате, и извън бисквитките: форми, поръчки, бюлетини, обслужване на клиенти.

Те трябва да се препращат една към друга. Политиката за поверителност споменава инструментите за анализ и маркетинг, правното основание (обикновено съгласие) и евентуалното предаване извън Европа, а за подробностите за бисквитките препраща към политиката за бисквитките. Банерът води към двете. Оттеглянето на съгласие трябва да е толкова лесно, колкото даването му, затова кажете и в двата текста къде хората могат да променят избора си за бисквитки. Кои бисквитки изискват съгласие в България, ще намерите в Правилата за бисквитките в България; за Google Analytics вижте Google Analytics и ОРЗД.

Cookie Confirm показва банер, който записва съгласието на всеки посетител и води към политиката Ви за бисквитките и политиката Ви за поверителност.

Допълнително за онлайн магазини

Онлайн магазинът обработва повече данни от обикновения уебсайт, затова политиката му трябва да казва повече:

Поръчки: данните, които са нужни за доставката, на основание договора. Кажете, че без тях не можете да доставите.
Фактури: счетоводното и данъчното законодателство Ви задължават да ги пазите определен срок. Правното основание е законово задължение; посочете в политиката срока, който се прилага за Вас.
Плащане: назовете доставчика на платежни услуги и кажете дали сами получавате данни за карти или сметки.
Доставка: назовете куриерските фирми, които получават адреса за доставка.
Бюлетин: според член 261, ал. 1 от Закона за електронните съобщения директният маркетинг по имейл е позволен само с предварително съгласие, което може да бъде оттеглено по всяко време. Член 261, ал. 2 допуска изключение: ако сте получили имейл адреса при продажба, можете да изпращате реклама на собствени сходни продукти или услуги, стига клиентът безплатно и лесно да може да откаже още при сделката и при всяко следващо съобщение. Кажете в политиката си на кое от двете разчитате.
Отзиви: ако услуга за отзиви кани клиентите след покупка, назовете я и кажете кои данни ѝ предоставяте.
Клиентски профили: кажете колко дълго пазите профила и какво става при неактивност.

Чести грешки

Копиран общ текст. Политика от друг сайт или от генератор описва други инструменти и други данни. Ако не отговаря на това, което сайтът Ви наистина прави, тя не е прозрачна. КЗЛД пише в годишните си отчети, че получава много сигнали за сайтове и платформи.
Неясни цели. Европейските насоки дават примери за изрази, които не са достатъчно ясни, като използване на данните „за разработване на нови услуги“, „за изследвания“ или „за персонализирани услуги“, без да се казва какво означава това.
Няма правно основание за всяка цел. Едно общо изречение като „обработваме данните съгласно ОРЗД“ не казва нищо.
Американски инструменти без информация за предаването. Инструментите за анализ, имейл маркетинг и хостинг често са американски. Назовете доставчика, държавата и гаранцията, например Рамката за защита на личните данни между ЕС и САЩ или стандартни договорни клаузи.
„Толкова, колкото е необходимо.“ Посочете срок или критерии.
Липсва КЗЛД. Хората трябва да знаят, че могат да подадат жалба до надзорен орган. Посочете КЗЛД с данните ѝ за контакт.
Остаряла политика. Всеки нов плъгин, инструмент или обработващ може да промени това, което трябва да кажете.

Шаблонът

По-долу е шаблон, който можете да копирате. Попълнете всичко в [квадратни скоби], премахнете разделите, които не Ви трябват, и добавете липсващите дейности по обработване, така че текстът да описва това, което уебсайтът Ви наистина прави. Шаблонът не е правна консултация: ако не сте сигурни дали отговаря на Вашия случай, дайте го за преглед на юрист.

Източници

Шаблон на политика за поверителност

Политика за поверителност на [Име на компанията]

Последна актуализация: [дата]

Кои сме ние
[Име на компанията] („ние“) поддържа уебсайта [адрес на уебсайта] [и онлайн магазина на [адрес]]. Ние сме администратор на личните данни, описани в тази политика.
[Име на компанията], [улица и номер], [пощенски код и град], България
ЕИК: [номер]
Имейл: [имейл адрес за въпроси относно личните данни]
[Ако имате длъжностно лице по защита на данните: Можете да се свържете с нашето длъжностно лице по защита на данните на [имейл адрес].]

За какво се отнася тази политика
Тази политика обяснява какви лични данни събираме, когато посещавате уебсайта ни, свързвате се с нас, абонирате се за бюлетина ни или правите поръчка, защо го правим и какви са Вашите права. Бисквитките и подобните технологии са обяснени в нашата политика за бисквитките: [връзка към политиката за бисквитките].

Когато се свържете с нас
Ако използвате формата за контакт или ни пишете по имейл, използваме Вашето име, имейл адрес, [телефонен номер] и съобщението Ви, за да отговорим на въпроса Ви.
Правно основание: нашият легитимен интерес да отговаряме на хората, които се свързват с нас[, или предприемане на стъпки по Ваше искане преди сключването на договор].
Пазим тези съобщения [срок, например 12 месеца] след отговора на въпроса Ви, освен ако не доведат до поръчка.

Когато направите поръчка
За да обработим и доставим поръчката Ви, използваме Вашето име, адрес, имейл адрес, телефонен номер, поръчаните продукти и статуса на плащането.
Правно основание: изпълнение на договора с Вас. Без тези данни не можем да доставим поръчката Ви.
Пазим данните за поръчката [срок], а фактурите и другите счетоводни документи [срокът, който изискват счетоводното и данъчното законодателство], защото законът ни задължава.
Правно основание за съхраняването на фактурите: спазване на законово задължение.
[Ако клиентите могат да създадат профил: Ако създадете профил, пазим данните в него, докато не го изтриете или след [срок] без активност.]

Плащания
Плащанията се обработват от [доставчик на платежни услуги]. Получаваме потвърждение, че сте платили, но не и пълните данни на картата или банковата Ви сметка. [Доставчик на платежни услуги] обработва данните за плащането [като наш обработващ / като самостоятелен администратор съгласно собствената си политика за поверителност: връзка].

Доставка
Предоставяме Вашето име, адрес [и имейл адрес или телефонен номер] на [куриерска фирма], за да може тя да достави поръчката Ви и да Ви уведоми кога ще пристигне.

Бюлетин
[Изберете:]
[Ако се абонирате, използваме Вашия имейл адрес [и име], за да Ви изпращаме бюлетина си. Правно основание: Вашето съгласие. Можете да се отпишете по всяко време чрез връзката във всеки бюлетин или като ни пишете. Това не засяга законосъобразността на обработването преди оттеглянето на съгласието.]
[Като наш клиент може да Ви изпращаме имейли за наши собствени сходни продукти или услуги. Правно основание: нашият легитимен интерес от директен маркетинг. Можете да откажете безплатно още при поръчката, както и по всяко време чрез връзката във всеки имейл.]
Използваме [доставчик на услуги за имейл маркетинг], за да изпращаме бюлетина. Пазим имейл адреса Ви, докато не се отпишете.

Отзиви
[Ако е приложимо: След поръчката може да Ви поканим да оцените покупката си чрез [услуга за отзиви]. За целта предоставяме на [услуга за отзиви] Вашето име, имейл адрес и номер на поръчката. Правно основание: [нашият легитимен интерес да събираме отзиви от клиенти / Вашето съгласие]. Ако публикувате отзив, той се показва с [малкото Ви име / името, което изберете].]

Анализ и маркетинг
Използваме [инструмент за анализ], за да виждаме как посетителите използват уебсайта ни, и [маркетингови инструменти, например Google Ads, Meta Pixel], за да измерваме и показваме рекламите си. Тези инструменти използват бисквитки или подобни технологии. Използваме ги само ако дадете съгласие чрез банера за бисквитки. Можете да промените избора си по всяко време чрез [връзката „Настройки за бисквитки“ в долната част на всяка страница]. Кои бисквитки използваме, кой ги поставя и колко дълго се съхраняват, е посочено в политиката ни за бисквитките: [връзка].

Кой получава Вашите данни
Не продаваме личните Ви данни. Предоставяме ги само в случаите, описани в тази политика, или когато законът го изисква. Следните компании обработват данни от наше име по договор за обработване на лични данни:
- [Хостинг доставчик] – хостинг на уебсайта [и онлайн магазина] ни
- [Доставчик на услуги за имейл] – изпращане на имейли и бюлетини
- [Платформа за онлайн магазин] – нашият онлайн магазин
- [Счетоводен софтуер или счетоводна фирма] – счетоводство
[Добавете или премахнете получатели, така че списъкът да отговаря на Вашия случай.]

Данни извън Европа
Някои от тези компании се намират извън Европейското икономическо пространство или могат да имат достъп до данните оттам:
- [Доставчик] в [държава]. Гаранция: [решението на Европейската комисия относно адекватното ниво на защита по Рамката за защита на личните данни между ЕС и САЩ / стандартни договорни клаузи].
Можете да поискате копие от тези гаранции на [имейл адрес за въпроси относно личните данни]. [Ако няма такива: Не предаваме лични данни извън Европейското икономическо пространство.]

Колко дълго пазим данните Ви
Не пазим данните Ви по-дълго, отколкото е нужно за посочените цели. Сроковете са посочени във всеки раздел. След това изтриваме или анонимизираме данните.

Автоматизирани решения
Не вземаме решения за Вас, основани единствено на автоматизирано обработване, включително профилиране, които пораждат правни последици за Вас или Ви засягат в подобна степен. [Ако го правите, например при автоматична проверка за измами, опишете я, логиката ѝ и последиците за клиента.]

Вашите права
Имате право:
- на достъп до личните данни, които обработваме за Вас;
- да поискате коригиране на неточни данни;
- да поискате изтриване на данните си;
- да поискате ограничаване на обработването;
- да получите данните, които сте ни предоставили, в структуриран, широко използван формат или да поискате да ги изпратим на друг администратор, когато ги обработваме въз основа на съгласие или договор (преносимост);
- да оттеглите съгласието си по всяко време, когато обработването се основава на съгласие. Това не засяга законосъобразността на обработването преди оттеглянето.

Право на възражение
Когато обработваме данните Ви въз основа на легитимен интерес, можете да възразите срещу обработването по причини, свързани с Вашата конкретна ситуация. Срещу директен маркетинг можете да възразите винаги и тогава спираме да използваме данните Ви за тази цел.

За да упражните някое от тези права, пишете ни на [имейл адрес за въпроси относно личните данни]. Отговаряме в срок от един месец. Ако искането е сложно, може да удължим срока с още два месеца; ще Ви уведомим за това в рамките на първия месец. Може първо да Ви помолим да потвърдите самоличността си.

Жалби
Ако не сте доволни от начина, по който обработваме данните Ви, моля, свържете се първо с нас на [имейл адрес за въпроси относно личните данни]. Имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД): гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, имейл kzld@cpdp.bg, www.cpdp.bg. Можете да подадете жалба и до надзорния орган в държавата от ЕС, в която живеете или работите или в която според Вас е извършено нарушението. Имате също право да обжалвате действията ни пред съда.

Промени в тази политика
Може да актуализираме тази политика, когато се променят услугите ни или законодателството. Датата в началото показва кога е последната актуализация. При съществени промени ще Ви уведомим [по имейл / със съобщение на уебсайта].

Предпочитате да не го попълвате сами?Cookie Confirm изготвя декларацията Ви за бисквитките въз основа на това, което скенерът открие на сайта Ви, и я поддържа актуална, когато бисквитките се променят.

Често задавани въпроси

Задължителна ли е политиката за поверителност за уебсайт?

Ако уебсайтът Ви събира лични данни, например чрез форма за контакт, бюлетин, поръчки или инструменти за анализ, ОРЗД Ви задължава да предоставите информацията по членове 13 и 14. Законът не изисква страница с название „политика за поверителност“, но политика, към която води връзка от всяка страница, е обичайният начин да го направите.

Мога ли да използвам генератор на политика за поверителност?

Генераторът или шаблонът е добро начало, стига да проверите всяко изречение спрямо това, което уебсайтът Ви наистина прави: кои данни, кои инструменти, кои получатели и колко дълго ги пазите. Текст, който описва чужди инструменти или данни, които не събирате, не е прозрачен.

Каква е разликата между политика за поверителност, политика за защита на личните данни и уведомление за поверителност?

На практика това е едно и също: публичният текст, който обяснява как използвате личните данни на хората. ОРЗД не използва нито едно от тези наименования, а говори за информацията, която трябва да предоставите. В България се срещат всички варианти.

Мога ли да обединя политиката за поверителност и политиката за бисквитките?

Да. Някои уебсайтове събират всичко в един документ, други имат две страници, които се препращат една към друга. КЗЛД препоръчва на онлайн търговците отделна политика за бисквитките. Важното е информацията да е пълна и лесна за намиране, а банерът за бисквитки да води към нея.

До кого могат да се оплачат посетителите в България?

До Комисията за защита на личните данни (КЗЛД), гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2, kzld@cpdp.bg. Според член 38 от Закона за защита на личните данни жалбата се подава в срок от 6 месеца от узнаването на нарушението, но не по-късно от две години от извършването му. Посочете КЗЛД и данните ѝ за контакт в политиката си.

Колко често трябва да актуализирам политиката за поверителност?

Всеки път, когато обработването се промени: нов инструмент, нов обработващ, нова цел или предаване на данни извън Европа. Посочете датата на последната актуализация в началото и уведомявайте хората активно за съществени промени.

Това ръководство е обща информация, а не правен съвет. Проверяваме го редовно, но законите и насоките се променят. Не сте сигурни за Вашия случай? Консултирайте се с юрист.

Прочетете още

Още ръководства

Всички ръководства →

Първите 7 дни са напълно безплатни

Създайте безплатен акаунт и вижте дали Cookie Confirm е подходящ за Вас. Работи до 5 минути.

Без кредитна карта
След това 7,95 € на месец
Инсталиране plug & play

Започнете безплатния пробен период

4,9/5 5 000+ уебсайта