Разпознаване на посетители и GDPR: трезва оценка

Който се информира за разпознаването на посетители, чете противоречиви твърдения. Едни доставчици казват, че съгласие винаги е нужно. Други обещават, че с тяхното решение не е нужно нищо. И двете са твърде общи. Тази статия показва стъпките на проверката, с които можете сами да подготвите въпроса за Вашия уебсайт. Тя е класификация, а не правен съвет. Не замества проверката от Вашите служители по защита на данните или адвокати.

Състояние на източниците: 06.11.2026. Преди решение проверете актуалния текст.

Две отделни проверки

Разпознаването на посетители повдига два въпроса, които често се смесват:

1. Може ли скриптът да достъпва устройството на посетителя? Това урежда в Германия § 25 TDDDG, в Австрия § 165 Abs. 3 TKG 2021. И двете правила произлизат от директивата за ePrivacy. Съхраняването или четенето по принцип е позволено само със съгласие, освен ако достъпът е абсолютно необходим, за да работи изрично желана услуга.
2. Може ли обработването на данните да се осъществява? Това отговаря GDPR, когато става дума за лични данни. Нужно Ви е правно основание по чл. 6, пар. 1, например съгласие (буква а) или законен интерес (буква е).

И двете проверки важат едновременно. Законен интерес по GDPR не замества съгласието за достъп до устройството. Обратно, съгласието за скрипта не прави обработването автоматично законосъобразно, ако излиза извън това, за което е дадено съгласие.

Скрипт, който изобщо нищо не съхранява на устройството и не чете от него, при обстоятелства не засяга първия въпрос. Дали това е вярно, зависи от техниката и се оценява по различен начин. Попитайте доставчика си конкретно какво прави скриптът. Поискайте да Ви го опишат писмено.

Личен ли е IP адресът?

Накратко: често да. Съдът на Европейския съюз е решил по дело C-582/14 (Breyer), че и динамичен IP адрес може да бъде личен, ако операторът има правни средства да стигне до лицето чрез трети лица (например доставчика на достъп). Въпросът зависи следователно от конкретния случай. Органите поставят прага по-скоро ниско. Подробната версия ще намерите в IP адрес и GDPR: личен ли е?.

За разпознаването на посетители това означава: смятайте, че вече се брои моментът, в който адресът стига до сървъра, дори и да бъде отхвърлен след това.

Фирма, лице, псевдоним

Разпознаването на посетители в B2B твърди, че разпознава само фирми, а не лица. Това е добър подход, но не е свободен пропуск:

• Нивото на фирмата помага. Ако резултатът е името на предприятие, в края не стои отделно лице. Това намалява риска, най-вече при анализа.
• Еднолични търговци, свободни професии и малки кантори са едновременно фирма и лице. Резултат като „Schmidt Beratung“ може да се отнася за конкретно лице.
• Домашен офис. Който сърфира от вкъщи през фирмен VPN, се появява като фирма, макар зад него да стои конкретно лице. Повече за това в Домашен офис, VPN и мобилна мрежа: кого не виждате.
• Свързване. Щом към фирмата потърсите лице за контакт или обедините поведението с други данни, може да възникне връзка с лице.
• Псевдонимизирането е защитна мярка, а не изход. Псевдонимизираните данни остават лични, докато лицето може да бъде определено с допълнителна информация.

Който използва видеа с мишката или профили на поведение, се приближава още повече до лицето. За това: Session Replay и защита на данните: как да използвате видеата с мишката правилно.

Роли и договори

• Вие като оператор на уебсайта по правило сте администратор по смисъла на GDPR. Вие решавате дали и за какво се събират данните.
• Доставчикът на разпознаването на посетители по правило обработва данните по Ваше поръчение и тогава е обработващ данни. За това Ви е нужен договор по чл. 28 от GDPR. Проверете дали доставчикът използва данните и за собствени цели, защото тогава ролята се променя.
• Подизпълнителите (хостинг, бази данни, доставчици на фирмени данни) трябва да бъдат изброени и договорно обвързани. Попитайте за местоположението на сървъра и дали данни се предават към трети държави.

Задължения за информиране

Посетителите трябва да научат какво се случва. Декларацията за защита на данните трябва да съдържа най-малко:

• че се използва разпознаване на посетители и за какво
• какви данни се обработват (например посетени страници, моменти, произход, продължителност на престоя)
• правното основание
• колко дълго се съхраняват данните
• получателя или категорията получатели, т.е. Вашия доставчик
• правата на засегнатите: достъп, заличаване, възражение, жалба до надзорния орган

Общо изречение за „уеб анализ“ не стига, когато зад него стои присвояване на фирма. Опишете го като отделна точка.

Швейцария

Швейцария има с ревизирания закон за защита на данните (revDSG) собствени правила, които важат от 1 септември 2023 г. Те са по-малко центрирани върху съгласието, а повече върху прозрачността:

• Трябва да информирате засегнатите подходящо за получаването и обработването на личните им данни.
• Обработването трябва да е пропорционално и целесъобразно.
• Ако някой изрично възрази, данните му могат да се обработват по-нататък само при основание за оправдаване.
• За бисквитките и сходните техники се добавят задължения за информиране от правото на далекосъобщенията.

Ако Вашата оферта важи и за посетители от ЕС, може допълнително да се приложи GDPR.

Контролен списък за оператори

1. Опишете писмено какви данни събира решението, кога и къде се съхраняват.
2. Изяснете дали скриптът достъпва крайното устройство. След това решете дали за това получавате съгласие.
3. Изберете правно основание за обработването и документирайте претеглянето.
4. Сключете договор за обработване на данни и поискайте да Ви назоват подизпълнителите.
5. Проверете местоположението на сървъра и възможни предавания към трети държави.
6. Допълнете декларацията за защита на данните с отделен раздел.
7. Определете срокове за съхранение и проверявайте дали се заличава.
8. Блокирайте чувствителни зони като каса, акаунт и формуляри със здравни данни.
9. Въведете път за обработване на искания за достъп и заличаване.
10. Решете дали е необходима оценка на въздействието върху защитата на данните. Запишете резултата.
11. Впишете обработването в регистъра на дейностите по обработване.

Как да организирате процеса на избор, показва Сравняване на разпознаването на посетители: 12 критерия за избор.

Открити въпроси за Вашето правно консултиране

Някои точки не са изяснени окончателно или зависят от Вашия случай. Вземете ги със себе си:

• Достатъчно ли е за достъпа до устройството съгласие в категорията „Статистика“, или е нужно отделно съгласие?
• Издържа ли законният интерес за присвояване на фирма? Как излиза претеглянето при малки фирми и еднолични търговци?
• От какъв размер или правна форма един резултат е еднозначно „неличен“?
• Колко точно трябва да бъдат информирани посетителите за присвояването на фирма?
• Как се справяте с възраженията, когато IP адресът не се съхранява?

Отговор има само в конкретния случай. Който Ви обещава общо, че не остава правен риск, Ви продава гаранция, която никой не може да даде.

Как един доставчик може да се справи с това

Като пример от практиката: Whovisit отхвърля IP адреса след справката, съхранява само фирми и институции и не поставя бисквитка. Къде са данните и кой участва, е описано на страницата Принцип за защита на данните. Колко дълго какво се съхранява, е описано в помощта под Съхранение и заличаване. Дали това е достатъчно за Вашия уебсайт, решавате заедно с Вашето правно консултиране.

Накратко

Проверявайте разпознаването на посетители в две стъпки: достъп до устройството и обработване. Нивото на фирмата намалява риска, но не го премахва. Изяснете ролите и договорите, информирайте самостоятелно и заличавайте рано. И вземете откритите въпроси в разговор с някого, който познава Вашия бизнес.