GDPR: правилата за личните ти данни

Лични данни са всичко, по което някой може да те разпознае. Име и имейл, разбира се. Но и местоположението на телефона ти всеки ден в седем сутринта. От него се вижда къде живееш, къде работиш и при кого ходиш след работа.

Регламентът казва няколко прости неща. Трябва ти законно основание, за да събираш. Трябва да кажеш честно какво правиш с данните. Не пазиш повече от нужното и не по-дълго от нужното. И трябва да можеш да докажеш, че спазваш всичко това, а не само да го твърдиш.

Пример от тази есен

На 21 септември 2026 ирландската Комисия за защита на данните глоби Google с 403 милиона евро заради данни за местоположение, събирани между 25 май 2018 и 4 февруари 2020. Според решението Google е нарушил законността и добросъвестността на обработката, прозрачността и срока на съхранение. Разследването започва през февруари 2020 след жалби на потребителски организации. Решението идва шест години и половина по-късно.

Местоположението на телефона ти разказва за теб повече, отколкото би разказал ти.

Защо това е AI тема

Моделите се хранят с данни, а агентите четат пощата и календара ти. Всеки път, когато AI продукт пипа лични данни на хора в ЕС, GDPR е в стаята, редом с DSA и Европейския закон за AI. Същия ден като глобата Европейският комитет по защита на данните (EDPB) прие окончателните си насоки как се съчетават GDPR и DSA.

Най-ясният пример е от лятото. На 21 август 2026 нидерландският орган за защита на данните, Autoriteit Persoonsgegevens (AP), глоби Uber с 824 990 000 евро. По преценка на AP между 2018 и 2022 година Uber е изключвал шофьори автоматично, при подозрение за измама или при твърде ниски оценки от клиенти, понякога завинаги, без човек да погледне случая. Това е забраната за напълно автоматизирани решения от член 22 на GDPR, а отделно шофьорите не са били информирани достатъчно. „Компютър не бива сам да взима решения, които имат големи последици за теб“, казва заместник-председателката на AP Monique Verdier. Uber оспорва глобата. На 8 октомври Европейският комитет по защита на данните (EDPB) публикува решението и отбелязва, че окончателно съдебно решение още няма.

Същото важи и когато данните минават през чужди ръце. На 2 октомври 2026 норвежкият орган Datatilsynet взе окончателно решение да глоби Xandr, рекламна компания на Microsoft, с 8,6 млн. евро (92 млн. норвежки крони) за данни на потребители на Grindr в Норвегия. Xandr се е позовал на съгласието, събрано от Grindr, а органът го смята за невалидно. В обобщението на EDPB пише: „accountability cannot be outsourced“, отговорността не може да се прехвърли. Всеки съвместен администратор трябва сам да провери, че съгласието е валидно и покрива неговата собствена обработка.

Визуалът е генериран код-арт, без чужди изображения.