Лични данни в удостоверението за електронен подпис (GDPR)

Личните данни в удостоверението за квалифициран електронен подпис (КЕП) са малко на брой, но всеки, който получи подписан от вас документ, може да ги види. Тук обясняваме какво точно съдържа удостоверението, кой го вижда, какво пази доставчикът и колко дълго, и какви права ви дава Общият регламент относно защитата на данните (GDPR). Проверено към 28.10.2026.

Какво съдържа удостоверението

Регламент (ЕС) № 910/2014 (eIDAS) изброява в приложение I задължителното съдържание на квалифицираното удостоверение за подпис. За вас като титуляр то включва:

• името ви (или псевдоним, ако е използван, и тогава това се указва ясно);
• данните за проверка на подписа, тоест публичния ключ;
• началото и края на срока на валидност;
• уникален номер на удостоверението при доставчика.

Останалото е за доставчика: кой е той и от коя държава, неговият подпис, къде може да се провери валидността, и отметка дали ключът е в квалифицирано устройство.

На практика има и още полета.

• Личен идентификатор. Стандартът ETSI EN 319 412-1 определя как се записва той: три букви за вида на идентификатора, код на държавата, тире и самият номер. „PNO“ е за национален личен номер, „IDC“ за номер на лична карта, „PAS“ за паспорт, „TIN“ за данъчен номер. За български гражданин с ЕГН това изглежда като PNOBG- и след него ЕГН. Порталите на държавата разчитат на това поле: НАП, например, разпознава автоматично само удостоверения с личен идентификатор, а за останалите има отделна процедура с искане, подадено в офис.
• Данни за организацията при професионален подпис: наименование и идентификатор по същия стандарт, например „NTR“ за номер от търговския регистър или „VAT“ за номер по ДДС. Подробно за фирмените подписи: КЕП за фирма.
• Имейл. Доставчиците, които позволяват търсене в регистъра си по имейл, го пазят като част от данните за удостоверението.

Кой вижда данните, когато подписвате

Удостоверението се вгражда в подписа. Всеки, който получи подписания PDF или .p7s файл, може да отвори подписа и да прочете името, идентификатора и данните на организацията. Затова:

1. Когато подписвате документ за частно лице, то получава и вашия личен идентификатор. Ако не искате това, попитайте доставчика дали може да издаде удостоверение с друг вид идентификатор и дали порталите, които ползвате, ще го приемат.
2. Когато подписвате от името на фирма, получателят вижда и фирмата, и вас.
3. Ако публикувате подписан документ в интернет (например протокол или декларация), публикувате и удостоверението.

Нашата проверка на подпис показва кой е подписал, но скрива личния идентификатор на екрана: от номера остават видими само последните три знака. Файлът не напуска браузъра ви.

Публичните регистри на доставчиците

ЗЕДЕУУ предвижда, че доставчикът издава удостоверението, като го публикува в регистъра си (чл. 25, ал. 5). Регистрите служат за проверка дали удостоверението е валидно, спряно или прекратено. Какво може да се търси, зависи от доставчика:

• InfoNotary позволява търсене по сериен номер, по името на титуляря на латиница и по имейл.
• B-Trust позволява търсене по име на лице или фирма, по имейл и по сериен номер и показва валидни, невалидни, спрени и прекратени удостоверения.

Регламентът поставя граница: доставчикът пази данните така, че да са публично достъпни за търсене само ако лицето, за което се отнасят, е дало съгласие (чл. 24, пар. 2, буква „е“). Ако не искате удостоверението ви да излиза при търсене по име, проверете в договора и в политиката за личните данни на доставчика какво сте приели и как се оттегля съгласието.

Ако откриете грешка в удостоверението си, имате три дни от публикуването му в регистъра да възразите. Доставчикът поправя грешката, като издава ново удостоверение безплатно, освен ако грешката идва от неверни данни, които сте дали (чл. 25, ал. 6 и 7 от ЗЕДЕУУ).

Какво пази доставчикът и колко дълго

Доставчикът трябва да записва и пази всички данни за издадените и получените от него данни, включително след прекратяване на дейността си, за доказателство в съдебни производства и за непрекъснатост на услугата (чл. 24, пар. 2, буква „з“ от eIDAS). Българският закон определя срок от 10 години, включително след преустановяване на дейността (чл. 21, ал. 3 от ЗЕДЕУУ). Доставчикът няма право да използва тази информация за цели, различни от дейността си (чл. 21, ал. 4).

Сред тези данни са искането и договорът, които подписвате при издаването, и данните, с които доставчикът е проверил самоличността ви. Затова правото на изтриване по GDPR тук е ограничено: регламентът не го прилага, когато обработването е нужно за спазване на законово задължение на администратора (чл. 17, пар. 3, буква „б“ от GDPR).

Вашите права по GDPR

Спрямо доставчика на удостоверителни услуги сте субект на данни с всички права по GDPR. Най-полезните в практиката:

1. Достъп (чл. 15). Можете да поискате потвърждение какви ваши данни се обработват, за какви цели, на кого се разкриват и колко дълго ще се пазят.
2. Коригиране (чл. 16). Ако данните са неточни, поискайте поправка. За самото удостоверение важи редът по ЗЕДЕУУ: при грешка се издава ново.
3. Изтриване (чл. 17). Възможно е за данни, които вече не са нужни, например маркетингови съгласия, но не и за архива, който законът задължава доставчика да пази.
4. Жалба (чл. 77). Ако смятате, че правата ви са нарушени, можете да подадете жалба до надзорния орган по защита на данните. В България това е Комисията за защита на личните данни.

Всеки доставчик публикува политика за защита на личните данни. B-Trust, например, има отделна „Политика за защита на личните данни при предоставяне на Удостоверителни услуги“ в раздела си „Документи“. Къде са документите на всички доставчици, е обяснено в документите на доставчиците.

Кратко за работодатели и счетоводители

Ако издавате подписи на служители, в удостоверението им влизат и данните на фирмата. При напускане поискайте прекратяване на удостоверението, за да не може бившият служител да подписва от името на фирмата; в документите на доставчиците има искания за спиране и прекратяване. Ако получавате от клиенти подписани документи, пазете ги като всеки друг документ с лични данни: в тях е вграден личният идентификатор на подписалия.