Кой закон урежда бисквитките в България?
Правилото за бисквитките в България е член 4а от Закона за електронната търговия (ЗЕТ). Той е добавен през декември 2011 г. (ДВ, бр. 105 от 2011 г.) и въвежда член 5, параграф 3 от европейската Директива за ePrivacy. Отнася се за всеки „доставчик на услуги на информационното общество“, тоест и за обикновен фирмен сайт или онлайн магазин, който съхранява информация в крайното устройство на посетителя или чете информация от него. Това са бисквитките, но също local storage, пиксели и подобни техники.
Според член 4а такова съхраняване или достъп е допустимо, когато:
- посетителят е получил ясна и изчерпателна информация по член 13 от ОРЗД (кой сте, за какво използвате данните, на кого ги давате, колко време ги пазите);
- посетителят има възможност да откаже съхраняването или достъпа.
Освен това посетителят трябва по всяко време да може да получи информация за данните, съхранени на устройството му. Изискванията не се прилагат, когато съхраняването или достъпът са необходими за предаването на съобщение по мрежата или за услуга, която посетителят изрично е поискал, например кошница, вход в профил или запомняне на избора в банера.
„Възможност за отказ“ или съгласие?
Текстът на българския закон е формулиран като възможност за отказ, докато директивата изисква съгласие. Съдът на ЕС постанови в делото Planet49 (2019 г.), че предварително отметнато поле не е валидно съгласие и че правилото важи независимо дали става дума за лични данни. КЗЛД също чете правилото като изискване за съгласие: в насоките си за онлайн търговията тя посочва, че съхраняването и достъпът чрез бисквитки са допустими само при ясна информация и предварително съгласие, освен ако бисквитката е строго необходима за услуга, поискана от потребителя.
Затова не разчитайте на модела „поставяме бисквитките, а посетителят може да откаже“. Сигурният подход е същият като в останалата част от ЕС: първо съгласие, после бисквитки.
Кои бисквитки изискват съгласие?
КЗЛД разделя бисквитките на четири вида в насоките си за онлайн търговци:
| Вид бисквитки | Съгласие според КЗЛД | Примери |
|---|---|---|
| Строго необходими | Не | Вход в профил, кошница, сигурно плащане, запомняне на избора в банера |
| Предпочитания | Да | Език, регион, настройки |
| Статистически | Да, освен ако се използват в анонимизиран вид и не се споделят | Google Analytics |
| Маркетингови и рекламни | Да, изрично съгласие | Facebook Pixel, ремаркетинг с Google Ads |
Позицията за бисквитките за предпочитания е по-строга, отколкото в някои други държави. В отговор на запитване, публикуван в годишния ѝ отчет за 2024 г., КЗЛД обяснява, че функционалните бисквитки не са съществени за работата на сайта и че посетителят трябва да знае точно за какво служат, кой ги поставя и дали следят сърфирането му в други сайтове. Ако не сте сигурни, че дадена бисквитка е строго необходима, поставете я в категория със съгласие.
За всички бисквитки, включително строго необходимите, трябва да информирате посетителите, обикновено в политика за бисквитките. Повече за видовете бисквитки ще намерите в Какво са бисквитките?
Какво трябва да прави банерът?
Съгласието се зачита само ако отговаря на ОРЗД: свободно, конкретно, информирано и изразено с ясно действие. КЗЛД превежда това в конкретни изисквания към банера:
- Без предварително отметнати категории, освен за необходимите бисквитки.
- Без насочване с цвят или шрифт към определен избор. „Приемам“ и „Отказвам“ трябва да са еднакво видими.
- Свободен отказ или избор по категории.
- Без ограничаване на достъпа до сайта при отказ. Стена за бисквитки не дава свободно съгласие.
- Отделна политика за бисквитките с видовете бисквитки, целите им, сроковете на съхранение и третите страни, които получават достъп.
И най-важното: докато няма съгласие, бисквитките, които го изискват, не трябва да се поставят. Скриптовете на маркетинговите и аналитичните инструменти трябва да са блокирани до избора на посетителя и да останат блокирани след отказ.
Пример от практиката на КЗЛД: в отчета си за 2024 г. комисията описва жалба срещу банера на застрахователна и финансова група. Банерът активира само строго необходимите бисквитки, ако посетителят не избере нищо или затвори банера с „Х“. Затварянето не се смята за съгласие. КЗЛД приема, че банерът е съобразен с ОРЗД.
Кой упражнява контрол?
В България има две институции:
- Комисията за защита на потребителите (КЗП) упражнява цялостен контрол за спазването на Закона за електронната търговия, включително член 4а. Тя може да разпореди прекратяване на нарушение и да налага санкции.
- Комисията за защита на личните данни (КЗЛД) е надзорният орган по ОРЗД. Тъй като бисквитките за проследяване почти винаги обработват лични данни, КЗЛД разглежда жалби за банери и политики за бисквитки и издава насоки.
| Закон | Орган | Максимална санкция |
|---|---|---|
| ЗЕТ, член 4а (санкции по член 24) | КЗП | Глоба от 250 до 1500 лева за физическо лице; имуществена санкция от 500 до 2000 лева за фирма. При повторно нарушение до 2500 и 4000 лева |
| ОРЗД, член 83 | КЗЛД | До 20 милиона евро или 4% от световния годишен оборот, ако е по-висок |
Сумите в ЗЕТ все още са посочени в лева. От 1 януари 2026 г. валутата на България е еврото, по фиксиран курс 1,95583 лева за 1 евро, така че 2000 лева са около 1023 евро. Повече в Глоби за бисквитки.
Как стоят нещата на практика?
Публикувана глоба специално за бисквитки нито от КЗП, нито от КЗЛД не открихме. В доклада си за 2024 г. КЗП описва 80 проверки по Закона за електронната търговия, свързани най-вече с непоискани търговски съобщения и липсваща информация за доставчика; бисквитките не се споменават. КЗЛД пише в годишните си отчети, че получава много сигнали за интернет сайтове и платформи, включително за политиките им за бисквитки.
Това не означава, че рискът е нулев. Посетител може да подаде жалба до КЗЛД (в 6-месечния срок по член 38, ал. 1 от Закона за защита на личните данни), а в други държави от ЕС надзорните органи налагат все по-високи глоби за бисквитки. Ако имате посетители от други държави, техните правила също може да важат за тях.
Как да приведете сайта си в съответствие
- Разберете кои бисквитки поставя сайтът Ви. Скенерът за бисквитки открива и тези от плъгини и вградено съдържание.
- Премахнете това, което не използвате. Без бисквитки за проследяване не Ви трябва банер за съгласие.
- Разделете останалото по цел: строго необходими, предпочитания, статистика и маркетинг.
- Поставете банер с „Приемам“ и „Отказвам“ един до друг, еднакво видими, без отметнати полета.
- Блокирайте всички бисквитки, които изискват съгласие, докато посетителят не се съгласи.
- Използвате Google Ads или Google Analytics? Предайте избора с Google Consent Mode v2. Повече в Google Analytics и ОРЗД.
- Публикувайте политика за бисквитките с всички бисквитки, целта им, срока им и кой ги поставя.
- Пазете доказателство за съгласието, за да можете да покажете кой, кога и за какво е дал съгласие.
Cookie Confirm помага за стъпки 1 и от 3 до 8: скенерът проверява сайта Ви всеки месец (и когато пожелаете), банерът блокира скриптовете до получаване на съгласие и предава избора към Google Consent Mode v2, политиката за бисквитките се генерира от сканирането и се поддържа актуална, а всяко съгласие се пази 12 месеца. Не искате да го инсталирате сами? Безплатната ни услуга за инсталиране го прави до 24 часа, след като ни дадете достъп.
Източници
- Закон за електронната търговия, членове 4а, 20, 24 и 25 (текст, публикуван от Министерството на транспорта и съобщенията)
- EUR-Lex: Директива 2002/58/ЕО (Директивата за ePrivacy), член 5, параграф 3
- EUR-Lex: Регламент (ЕС) 2016/679 (ОРЗД), членове 7, 13 и 83
- КЗЛД: Специфични насоки за различни сектори – Онлайн търговия, използване на „бисквитки“
- КЗЛД: Годишен отчет за 2024 г. (отговор относно бисквитките и жалбата за банер за бисквитки)
- КЗЛД: Годишен отчет за 2025 г.
- КЗП: Доклад за дейността на Комисията за защита на потребителите за 2024 г.
- Съвет на ЕС: България е готова да използва еврото от 1 януари 2026 г. (8 юли 2025 г.)
- Съд на ЕС: Дело C-673/17, Planet49
- ЕКЗД: Насоки 05/2020 относно съгласието
- Законодателна обсерватория на Европейския парламент: процедура 2025/0360(COD), Digital Omnibus