--- title: "GDPR за медицински и стоматологичен кабинет" canonical_url: "https://www.advokatami.bg/blog/gdpr-meditsinski-stomatologichen-kabinet/" language: "bg" description: "GDPR за медицински и стоматологичен кабинет: регистри, основания, достъп, пациенти, видеонаблюдение, пробиви и подготовка за проверка." date_modified: "2026-10-18" representation: "public rendered page; canonical HTML remains authoritative" --- [Начало](https://www.advokatami.bg/)[Статии](https://www.advokatami.bg/blog/) # GDPR за медицински и стоматологичен кабинет: какво проверяват РЗИ и КЗЛД Станимир Ненов · 15 юли 2026 г. Правна и редакторска актуализация: 18 октомври 2026 г. **GDPR за медицински и стоматологичен кабинет** изисква по-високо внимание, защото здравните данни са специална категория. Медицинската документация, снимките, графикът и дори фактът, че човек е пациент, могат да разкрият чувствителна информация. **Най-важното** КЗЛД е надзорният орган по защитата на данните, а РЗИ контролира изисквания в здравния сектор. Обхватът на всяка проверка зависи от конкретното основание и правомощията на органа. ## Съдържание - [Какви данни обработва кабинетът?](https://www.advokatami.bg/blog/gdpr-meditsinski-stomatologichen-kabinet/#data) - [Правно основание и здравни данни](https://www.advokatami.bg/blog/gdpr-meditsinski-stomatologichen-kabinet/#basis) - [Документи и доставчици](https://www.advokatami.bg/blog/gdpr-meditsinski-stomatologichen-kabinet/#docs) - [Физическа и техническа сигурност](https://www.advokatami.bg/blog/gdpr-meditsinski-stomatologichen-kabinet/#security) - [Снимки, сайт и видеонаблюдение](https://www.advokatami.bg/blog/gdpr-meditsinski-stomatologichen-kabinet/#photos) ## Какви данни обработва кабинетът? Обработват се идентификационни и контактни данни, анамнеза, диагнози, изследвания, рецепти, рентгенови изображения, плащания, графици и понякога видеозаписи. Картографирайте откъде идват данните, в коя система се въвеждат, кой има достъп, на кого се предоставят и кога се архивират или изтриват. ## Правно основание и здравни данни Лечението обичайно не се основава на общо „GDPR съгласие“. Нужни са основание по чл. 6 и условие по чл. 9, например предоставяне на здравни услуги при приложимите гаранции. Съгласие може да е нужно за отделна незадължителна цел, например публикуване на разпознаваема снимка в реклама. То е различно от информираното съгласие за медицинска интервенция. ## Документи и доставчици Подгответе регистър на дейностите, уведомление за пациентите, правила за персонала и процедура за права и инциденти. Малкият размер не освобождава автоматично при редовно обработване на здравни данни. Софтуерът за пациенти, облачният архив, IT поддръжката и счетоводството могат да са обработващи. Проверете договорите по чл. 28, достъпа и подизпълнителите. ## Физическа и техническа сигурност Пазете хартиените картони в контролирани помещения и организирайте рецепцията така, че други пациенти да не чуват ненужни подробности. Екраните не бива да са видими от чакалнята. Използвайте индивидуални профили, MFA, актуализации, резервни копия, криптиране и дневници. Проверявайте възстановяването от архив, а не само наличието му. ## Снимки, сайт и видеонаблюдение Клиничната снимка може да е част от лечението, но публикуването „преди и след“ е отделна цел. Премахването на име не гарантира анонимност. За камери определете необходимост, обхват и кратък срок. Камери в лечебни помещения са особено рискови; ограничете достъпа и не записвайте звук без самостоятелна убедителна обосновка. ## Практичен контролен списък 1. Актуализирайте регистъра и картата на системите. 2. Определете основания и срокове по категории документи. 3. Проверете договорите и отдалечения достъп. 4. Обучете персонала и отнемайте достъп при напускане. 5. Подгответе процедура и регистър за нарушения. **Официални източници** Вижте [GDPR](https://eur-lex.europa.eu/eli/reg/2016/679/oj) и актуалните материали на [КЗЛД](https://cpdp.bg/). ## Практически пример: снимки и комуникация с пациент Стоматологичен кабинет прави клинични снимки, изпраща ги през лично чат приложение и по-късно публикува част от тях като „преди и след“. Клиничната документация и рекламното публикуване са различни цели. Това, че пациентът е съгласен с лечението, не означава автоматично съгласие за маркетинг. Коректният процес определя кои снимки са необходими за лечението, къде се пазят и кой има достъп. За разпознаваемо рекламно използване се събира отделно конкретно съгласие, което може да бъде оттеглено. Кабинетът има план как премахва копията от собствените си канали. ## Как да приложите правилата на практика ### 1. Картографирайте пациентския път Опишете записването на час, регистрацията, лечението, плащането, лабораториите, здравното осигуряване, архивирането и комуникацията. За всяка точка определете данни, основание и получатели. ### 2. Ограничете достъпа според ролята Рецепция, медицински специалисти, счетоводство и IT не се нуждаят от еднаква информация. Използвайте индивидуални профили, логове и незабавно отнемане на достъп при напускане. ### 3. Подгответе доказателства за сигурността Проверявайте резервното възстановяване, актуализациите, криптирането, физическите архиви и договорите със софтуер, лаборатории и поддръжка. При висок риск направете оценка на въздействието. ## Чести грешки - Общо „GDPR съгласие“ като основание за цялото лечение. - Разговори за диагноза на рецепция пред други пациенти. - Споделени пароли и видими екрани в чакалнята. - Публикуване на клинични снимки без отделна цел и доказателство. ## Често задавани въпроси ### Трябва ли кабинетът да има длъжностно лице по защита на данните? Не всеки кабинет автоматично. Преценяват се мащабът, основните дейности и редовното обработване на специални категории данни. ### Може ли да се напомня за час по SMS? Да при подходящо основание, минимално съдържание и сигурен доставчик. Не включвайте диагноза или ненужни медицински подробности. ### РЗИ контролира ли GDPR? КЗЛД е надзорният орган по GDPR. РЗИ има отделни здравни правомощия; конкретната проверка зависи от компетентността и повода. ## Как би изглеждала една добра подготовка за проверка? Съберете документите в структура, която следва реалната работа на кабинета: регистър на процесите, основания, срокове, доставчици, права на пациентите и инциденти. Проверяващият трябва да може да проследи например как записването на час преминава през рецепция, медицински софтуер, лекар и архив. Направете кратка демонстрация на достъпа: кой профил какво вижда, как се отнема достъп и как се извличат данни при искане на пациент. Проверете и физическата среда — принтери, кошове, архивни шкафове, екрани и разговори в приемната. ### Матрица за решение - **Рутинни идентификационни данни:** Прилагайте минимизация, ролеви достъп и ясен срок. - **Здравни данни и изображения:** Добавете условията по чл. 9 и по-високи мерки. - **Маркетинг и социални мрежи:** Отделете целта от лечението и осигурете реално оттегляне. **Какво да запазите като доказателство?** Регистри, уведомления, договори, протоколи от обучение, матрица на достъпа, тестове на архивите, оценка на риска и регистър на нарушенията. ## Свързани теми - [GDPR документи за фирми](https://www.advokatami.bg/blog/gdpr-dokumenti-za-firmi/) - [Глоби и санкции по GDPR](https://www.advokatami.bg/blog/globi-sanktsii-gdpr-bulgaria/) - [Пробив в сигурността](https://www.advokatami.bg/blog/probiv-lichni-danni-72-chasa/) ## Нуждаете се от документи за вашия бизнес? Медицинските процеси изискват индивидуални основания, уведомления, вътрешни правила и договори, съобразени с конкретния кабинет. [**Разгледайте подходящата услуга**](https://www.advokatami.bg/gdpr/) ## Срокове, DPO и права на пациента Длъжностно лице по защита на данните е задължително при изпълнен критерий на чл. 37 GDPR; редовното обработване на здравни данни само по себе си не е достатъчно без преценка на мащаба и основните дейности. За индивидуалния лекар и голямата клиника изводът може да е различен. Правото на изтриване не отменя приложимо задължение за медицинска документация и архивиране. Определете сроковете по вид документ и съответната здравна уредба, вместо да обещавате изтриване на цялото досие при поискване. **Правни източници:** [Регламент (ЕС) 2016/679, чл. 5–6, 9, 12–22, 28–34 и 44–49](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=BG).