---
title: "GDPR одит на фирма: обхват, подготовка и резултат"
canonical_url: "https://www.advokatami.bg/blog/gdpr-odit-na-firma/"
language: "bg"
description: "Какво проверява GDPR одитът и как се различава от пакет документи, DPIA и тест за сигурност. Подготовка, резултати и фактори за цената."
date_modified: "2026-11-02"
date_published: "2026-11-02"
representation: "public rendered page; canonical HTML remains authoritative"
---

[Начало](https://www.advokatami.bg/)[Статии](https://www.advokatami.bg/blog/)

# GDPR одит на фирма: обхват, подготовка и резултат

Advokatami.bg · 2 ноември 2026 г.

Редакция с помощта на AI и проверка на посочените източници: 2 ноември 2026 г. Общата информация се прилага според конкретната дейност и не заменя индивидуална правна преценка.

**GDPR одитът е преглед на това как организацията действително работи с лични данни и как го доказва.** Обхватът се определя предварително: кои процеси, дружества, сайтове и системи се проверяват и с каква дълбочина. Самото наличие на папка с политики не показва дали достъпът, съхранението и действията на екипа им съответстват.

## Кога прегледът е особено полезен?

- Има документи от стар проект, но бизнесът използва нови системи и доставчици.
- Добавят се онлайн продажби, служители, камери, маркетинг или AI инструменти.
- Не е ясно кой пази данните и кой има достъп след напускане на човек от екипа.
- Получено е искане за достъп или изтриване и данните са разпръснати в много места.
- Предстои договор с клиент, който иска конкретни гаранции за защитата на данните.

Няма универсално правило всяка фирма да купува ежегоден външен одит или „GDPR сертификат“. Прегледът е средство за отчетност и управление на риска. Честотата и дълбочината следват дейността, промените и приложимите специални изисквания.

## Какво може да обхване GDPR одитът?

1. **Карта на данните:** от кого постъпват, през кои системи минават, къде се пазят и на кого се предоставят.
2. **Цели и основания:** дали всяко използване има подходяща цел и основание; дали данните са ограничени до необходимото.
3. **Информация към хората:** политики, уведомления и текстове до формите, съобразени с реалните процеси.
4. **Доставчици и роли:** администратори, обработващи, подизпълнители, договори и международни трансфери.
5. **Срокове и достъп:** кой вижда данните, как се отнемат права и кога се заличават записите.
6. **Права и инциденти:** отговорници, процедури, записи и възможност за изпълнение.
7. **Особени рискове:** необходимост от допълнителна оценка, DPIA или DPO при приложимите условия.

Условен пример: малка фирма има политика, която посочва изтриване след определен срок, но копия остават в обща папка и служебни пощи. Полезната констатация описва конкретните места, нужния срок и отговорника за промяната. Препоръката „актуализирайте политиката“ сама по себе си не решава разминаването.

## Одит, пакет документи, DPIA и тест за сигурност

- **Пакетът документи** задава правила и информация за договорените процеси.
- **GDPR одитът** сравнява факти, правила и доказателства в определения обхват.
- **DPIA** е оценка на въздействието при вероятен висок риск по чл. 35; общ одит не я замества.
- **Тестът за киберсигурност** проверява технически уязвимости в договорени граници и се възлага отделно.
- **Сертификацията** по предвиден механизъм е различна от частен доклад и не премахва отговорността на администратора или обработващия.

## Какъв резултат да договориш?

Преди възлагане уточни какво ще получиш. Практичен резултат е списък на прегледаните процеси, доказателствата, ограниченията и констатациите, последван от план за действие.

- За всяка констатация: конкретен процес, риск и препоръчана промяна.
- Приоритет, отговорник и реалистичен срок за изпълнение.
- Кои документи се преработват и кои настройки остават задача на технически изпълнител.
- Кои проверки не са извършени поради липса на достъп, сведения или уговорен обхват.
- Дали последващата проверка на корекциите е включена или се възлага отделно.

## Как да подготвиш първоначалното запитване?

Опиши дейността, броя дружества и сайтове, основните процеси, системите и причината за прегледа. Посочи дали има служители, специални категории данни, чуждестранни доставчици или съществуващи документи. На този етап обикновено е достатъчно описание и списък; не изпращай пароли, пълни клиентски бази или медицински досиета.

Ако за конкретна проверка са нужни примери, предварително се уточняват необходимите данни, начинът на предоставяне и достъпът. Използвай заличени или примерни материали, когато те са достатъчни за целта.

## От какво зависят цената и срокът?

От броя и сложността на процесите, готовността на документацията, системите и доставчиците, нужните интервюта и договорените проверки. Преглед на документи, оценка на организацията и техническо изпитване са различни задачи. Оферта без описан обхват трудно позволява сравнение.

Цената на наръчник или комплект образци не е цена за индивидуален одит. При нужда от съдействие първо се уточнява дали подходящата следваща стъпка е преглед, изготвяне на документи или участие на технически специалист.

Разгледай [GDPR услугата за фирми](https://www.advokatami.bg/gdpr/#zapitvane) и опиши какъв преглед търсиш, за да бъде уточнен обхватът. За документите само на сайт или магазин виж [общи условия и политики](https://www.advokatami.bg/obshti-uslovia-i-politiki/). Полезни допълнения: [DPA с доставчик](https://www.advokatami.bg/blog/dpa-dogovor-gdpr/), [данни на служители](https://www.advokatami.bg/blog/lichni-danni-na-sluzhiteli/) и [проверка на бисквитките](https://www.advokatami.bg/blog/biskvitki-baner-consent-mode/).

**Източници:** [GDPR — чл. 5, 24–25, 28, 30, 32, 35, 37 и 42](https://eur-lex.europa.eu/legal-content/BG/TXT/PDF/?uri=CELEX:32016R0679); [ЕКЗД — отчетност и съответствие](https://www.edpb.europa.eu/sme/be-compliant/be-compliant_en); [ЕКЗД — роли на администратор и обработващ](https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_en).