Как да разбера кой е използвал личните ми данни - стъпки за проверка

Съмнението, че някой е използвал име, ЕГН, адрес, телефон, снимка или данни за контакт без разрешение, изисква проверка, а не прибързани заключения. Обикновено няма единен публичен регистър, който показва всички лица, преглеждали или използвали дадени лични данни.

Проверката започва със събиране на доказателства и установяване на възможния администратор на данни, например институция, работодател, търговско дружество или онлайн платформа. Следва писмено искане за достъп до данните и информация за тяхното обработване, а при съмнение за нарушение може да се подаде жалба до Комисията за защита на личните данни. Практичните стъпки за проверка и защита започват с правилното документиране на случая.

Какво означава използване на лични данни и какво може да бъде установено?

Използването на лични данни включва всяко действие с информация, чрез която физическо лице може да бъде идентифицирано. Това може да бъде събиране, записване, съхраняване, справка, промяна, предоставяне на друго лице или изтриване. Данните могат да бъдат име, ЕГН, адрес, телефонен номер, електронна поща, снимка, данни от документ за самоличност или информация за онлайн профил.

Самото наличие на данни в регистър не доказва нарушение. Важно е да се установи кой е администраторът, каква е целта на обработването и на какво правно основание се извършва то. Надзорът за законосъобразното обработване в България се осъществява от Комисията за защита на личните данни.

Какво може да бъде установено при проверка?

При писмено искане до предполагаемия администратор лицето може да поиска информация дали негови данни се обработват. В зависимост от конкретния случай може да се установи:

• какви категории лични данни се съхраняват;
• за каква цел се използват;
• какво е правното основание за обработването;
• откъде са получени данните;
• на кои получатели или категории получатели са предоставени;
• колко време се предвижда да бъдат съхранявани;
• дали данните са използвани за автоматизирано вземане на решения или профилиране.

Отговорът може да покаже, че данните са използвани за регистрация, договор, доставка, кредитна проверка, трудово правоотношение или електронна услуга. Той може да разкрие и че информацията е предоставена на обработващ, например външен доставчик на платежни, счетоводни или IT услуги.

Какво не може да се установи автоматично?

Обикновено няма публичен регистър, който да показва всички служители или лица, преглеждали конкретно ЕГН. Достъпът до вътрешни логове, записи за справки и системни журнали зависи от администратора, вида на системата и приложимите правила за сигурност.

⚠️ Валидното ЕГН показва само, че номерът отговаря на алгоритъма за валидност. То не доказва самоличност, собственост или неправомерно използване.

Затова проверката трябва да се опира на конкретни следи, например непознат договор, известие за регистрация, кореспонденция от институция, промяна в профил или съобщение за нарушение на сигурността. Тези материали помагат да се посочи точният администратор и да се формулира обосновано искане за достъп.

Как да разбера кой е използвал личните ми данни чрез искане до администратора?

Когато има съмнение за неправомерен достъп, проверката започва с писмено искане до администратора на данни. Това може да бъде институция, работодател, банка, телекомуникационно дружество, онлайн платформа или другa организация, която вероятно съхранява информацията. Правото на достъп включва потвърждение дали данните се обработват, копие от тях и сведения за начина на обработване.

Каква информация е разумно да бъде поискана?

Искането трябва да бъде конкретно и да обхваща определен период. Така организацията може да провери действителните записи, вместо да изпрати общо описание на политиката си за поверителност. Практичните въпроси включват:

1. Какви лични данни се обработват, включително дали се съхраняват ЕГН, копия на документи, данни за вход или чувствителни категории данни?
2. Откъде са получени данните, ако не са предоставени пряко от лицето?
3. За каква цел и на какво правно основание се обработват?
4. На кого са били предоставяни, включително на конкретни получатели или категории получатели?
5. Има ли записи за достъп, справки, промени или изтегляне на данните в посочения период?
6. Какви технически и организационни мерки защитават информацията от неразрешен достъп?
7. Има ли данни за инцидент със сигурността, който засяга съответния профил или документ?

Въпросът за достъп не гарантира автоматично разкриване на имената на всеки служител, който е отварял запис. Организацията може да предостави дата, час, система, действие или роля на потребителя, когато това е достатъчно за проверката и не засяга права на други лица.

Добре е искането да посочи конкретни данни, профил, договор, заявление или известие, както и начална и крайна дата. Не е необходимо лицето да изпраща ново копие на личната карта или пълното си ЕГН, ако организацията разполага с по-малко рисков начин за идентификация. В заявлението се предоставя само информацията, нужна за потвърждаване на самоличността.

Подробните правила за правото на достъп са свързани с нормативната рамка за защита на личните данни.

Как се тълкува отговорът и кога той не е достатъчен?

Фразата „данните са обработвани законосъобразно" описва правното становище на организацията, но не показва кой е извършил конкретен достъп. Недостатъчен може да бъде и отговор, който посочва само целта на обработването, без период, получатели или информация за наличните записи.

При липса на отговор, непълен отговор или отказ лицето може да изпрати последващо уточнение. В него се посочват датата на първоначалното искане, конкретно пропуснатите въпроси и разумен срок за допълване. Ако организацията твърди, че записите вече не съществуват, може да бъде поисано уточнение за срока на съхранение и правилата за изтриване.

Организацията може да ограничи предоставената информация, когато това защитава права на други лица, търговска тайна или сигурността на системите. При спор кореспонденцията се съхранява като доказателство, но не е разумно да се публикува в социални мрежи, особено ако съдържа ЕГН, адреси, подписи или данни за вход. При основателно съмнение за нарушение следва да се потърси съдействие от Комисията за защита на личните данни.

Стъпки за проверка при сигнал за злоупотреба, изтичане или кражба на самоличност

При съмнение за злоупотреба с ЕГН проверката трябва да следва конкретна следа, например непознат кредит, договор, клиентски профил или уведомление за действие. Валидирането на самия номер е само техническа проверка и не показва кой, кога или защо го е използвал.

Как да се провери дали ЕГН или други данни са използвани за финансови услуги?

При непознат кредит или финансова услуга първият контакт трябва да бъде с посочената банка, финансова институция, платежна институция или дружество за електронни пари. Искането е добре да бъде подадено по официален канал, публикуван на сайта на организацията, а не чрез телефонен номер или линк от подозрително съобщение.

Физическо лице може да поиска справка за собствената си кредитна информация от Централния кредитен регистър (ЦКР) на Българската народна банка. БНБ описва реда за подаване на заявление, необходимата идентификация и достъпните начини в официалната информация за ЦКР. Актуалните условия трябва да се проверят непосредствено преди заявяване, тъй като процедурите и каналите могат да се променят.

Справката от ЦКР може да покаже кредитни отношения, отчетени от участващи институции, но не замества проверката при конкретния кредитор. При несъответствие лицето следва да поиска писмено уточнение, копия от относимите документи и информация за начина, по който е извършена идентификацията. Официалният формуляр за справка от ЦКР се използва според указанията на БНБ.

Проверка на структурата или контролната цифра на ЕГН има ограничено значение. Тя показва само дали номерът отговаря на алгоритъма за валидност. Валидното ЕГН не доказва самоличност и не показва история на използването му.

Кои признаци насочват към неправомерно използване на данни?

Следните сигнали могат да изискват проверка:

• непознато известие за вход, регистрация, договор или кредитна заявка;
• промяна в клиентски профил, адрес, телефон или начин за получаване на съобщения;
• писмо от институция за действие, което лицето не е извършвало;
• обаждане с искане за код, парола, снимка на документ или потвърждение;
• отказ на услуга без ясна причина;
• уведомление за инцидент със сигурността.

Всеки сигнал може да има и друго обяснение, например техническа грешка или чужд номер, въведен случайно. Затова проверката се извършва чрез официалния сайт, приложение или публичен телефон на съответната организация, а не чрез данни от подозрителното съобщение.

Кога се подава жалба до КЗЛД и кога се търси съдействие от полицията?

КЗЛД е подходящият орган при съмнение за неправомерно обработване, отказан достъп, непълен отговор или липса на информация от администратора. Полицията се намесва, когато използването на данните е свързано с измама, кражба на самоличност, фалшив документ, заплаха или друго възможно престъпление. При сериозен случай двата сигнала могат да се подадат паралелно, защото имат различна цел.

Какви доказателства да бъдат приложени към сигнала?

Добре подготвеният сигнал позволява на институцията да проследи случая без предположения. Материалите могат да бъдат подредени в следната последователност:

1. Кратка хронология с дати, часове и описания на действията.
2. Данни за администратора, например наименование на дружеството, институцията, платформата или конкретната услуга.
3. Описание на подозрителното действие, включително непознат договор, регистрация, кредитна заявка, промяна в профил или достъп до акаунт.
4. Копие от искането за достъп до личните данни.
5. Отговорът на администратора, отказът или доказателство, че отговор не е получен.
6. Технически известия, имейли, SMS съобщения, записи на вход, известия за промяна на парола и екранни снимки с видими дата и час.
7. Доказателства за последиците, като непознато задължение, отказана услуга или кореспонденция за действие, което лицето не е извършвало.

Жалбата до КЗЛД се подава по реда, посочен в официалните указания за жалби и сигнали. При електронно подаване изискванията за подписване и идентификация следва да се проверят предварително.

Реални ЕГН, номера на лични документи, банкови сметки, кодове за достъп и подписи не бива да се публикуват в статии, форуми или социални мрежи. Копията се изпращат само по официален защитен канал, като излишните данни се заличават, когато това е допустимо.

Какво да се направи при известие за нарушение на сигурността?

Уведомлението обикновено посочва вида на инцидента, засегнатите категории данни, вероятните последици и препоръчаните защитни мерки. Възможно е да са засегнати данни за контакт, идентификация, профил, плащане или достъп до услуга.

Администраторът има задължения при нарушение на сигурността, включително уведомяване на надзорния орган в приложимите случаи и срокове. Тези срокове и изключения зависят от конкретния риск и инцидент. Затова проверката следва да се основава на официалната информация на КЗЛД и правилата на GDPR, а не на общи публикации в интернет.

При известие е разумно да се съхрани оригиналното съобщение, да се сменят засегнатите пароли през официалния сайт и да се подаде сигнал до полицията, ако има данни за измама или кражба на самоличност.

Как да се намали рискът от злоупотреба с ЕГН и други лични данни?

Най-сигурният подход е личните данни да се предоставят само при ясна необходимост, на проверен получател и по защитен канал. ЕГН не трябва да се изпраща по непоискани имейли, чатове или телефонни обаждания, когато самоличността на отсрещната страна не е потвърдена.

Ограничаване на споделянето на ЕГН

Преди предоставяне на ЕГН организацията трябва да посочи целта, правното основание и необходимия срок за обработване. Когато е възможно, копие от личен документ се изпраща със заличени несвързани полета. Снимки на лична карта, подпис или документ с адрес не бива да се публикуват в социални мрежи и публични групи.

При изпращане на документ следва да се използва официален портал или защитен канал на администратора. Линковете от SMS и имейли се проверяват чрез самостоятелно отваряне на официалния сайт, а не чрез директно използване на получения адрес.

Защита на профили и електронни услуги

ЕГН често се комбинира с име, адрес, телефон или данни за вход. Затова компрометирането на един акаунт може да улесни достъп до допълнителна информация. Силните и уникални пароли, двуфакторната автентикация и редовните актуализации ограничават този риск.

Практичните мерки включват:

• използване на различна парола за всеки профил;
• активиране на двуфакторна автентикация, когато услугата я поддържа;
• проверка на известията за вход и промяна на настройки;
• избягване на въвеждане на чувствителни данни през непознати обществени Wi-Fi мрежи;
• ограничаване на достъпа на приложения до контакти, снимки и местоположение.

При съмнение за измама паролата се сменя през официалния сайт, а засегнатият профил, карта или услуга се блокира според указанията на съответния доставчик.

Документиране и реакция при инцидент

Сигнали за злоупотреба се съхраняват с оригиналните имейли, дата, час, телефонен номер и екранни снимки. Реалното ЕГН и други идентификатори се изпращат само до компетентен получател, като публичното им споделяне увеличава риска от допълнително използване.

При неяснота относно правата или реакцията на администратора информацията на КЗЛД посочва официалните канали за жалби и сигнали. Валидното ЕГН само отговаря на алгоритъм за проверка, затова не доказва самоличност и не показва кой е използвал номера.

Често задавани въпроси

Проверката на лични данни често започва с погрешното очакване, че един валиден идентификатор може да покаже цялата история на достъпа. На практика техническата валидация, справката в регистър и установяването на неправомерно използване са различни процедури. Всеки отговор зависи от конкретния администратор, наличните записи и причината за проверката.

Може ли само ЕГН да покаже кой е използвал данните?

Само ЕГН не показва кой е извършил справка, кога е отворен записът или за каква цел са използвани данните. Номерът не съдържа история на достъпите и не функционира като дневник на действията в информационна система.

Проверката на структурата и контролната цифра може да установи дали ЕГН отговаря на съответния алгоритъм за валидност. Тя обаче не доказва, че номерът принадлежи на конкретно лице, нито че дадена организация е имала право да го използва. Валидното ЕГН не е доказателство за самоличност или за законосъобразен достъп.

За да се проследи конкретен случай, се отправя писмено искане до предполагаемия администратор. В зависимост от системата организацията може да разполага с дата, час, действие, потребителска роля или друг запис за достъп.

Има ли единна справка за всички организации, използвали данните?

Обичайно няма една обща справка, която да обхваща всички администратори, обработвали данните на дадено лице. Различните организации поддържат собствени системи, цели на обработване и срокове за съхранение на журналите.

Проверката се отправя до конкретна организация, с която лицето е имало отношения, или до администратора, свързан с установения инцидент. Например непознат кредит насочва искането към посочения кредитор, а подозрителна регистрация, към оператора на съответната услуга.

Какво означава отказът на организацията да даде подробен журнал?

Отказът може да има законова или свързана със сигурността причина. Подробният журнал може да съдържа данни за служители, вътрешна архитектура, други лица или защитни механизми. Организацията обаче трябва да обоснове ограничението според приложимите правила, а не да отхвърля искането без обяснение.

При непълен отговор се изпраща последващо искане с посочени пропуски. Ако съмнението за нарушение остане, лицето може да подаде жалба до КЗЛД или да използва друг подходящ официален ред.

Към кого се подава сигнал при измама с лични данни?

Изборът на адресат зависи от конкретния риск:

• Администраторът се уведомява при непознат акаунт, договор, регистрация или действие в конкретна услуга.
• Банката или финансовата институция се уведомява незабавно при риск за сметка, карта, кредит или плащане.
• МВР или прокуратурата се сезират при данни за измама, фалшив документ, кражба на самоличност или друго престъпление.
• КЗЛД се сезира при съмнение за неправомерно обработване, отказан достъп или нарушение на правилата за защита на личните данни.

Сигналите и отговорите трябва да се съхраняват с датите, а чувствителните данни да не се публикуват публично.

Установяването кой е използвал лични данни започва с откриване на възможния администратор, събиране на доказателства и изпращане на конкретно писмено искане за достъп. При необходимост засегнатите профили и услуги се защитават, а при отказ, настъпила вреда или съмнение за престъпление се търси съдействие от КЗЛД, МВР или друга компетентна институция.

Няма надежден публичен инструмент, който само чрез ЕГН да показва кой е извършил справка. Валидността на номера доказва единствено съответствие с алгоритъма, но не разкрива история на достъпите. Отговорното боравене с лични данни включва използване само на официалните контакти на организациите и институциите, както и избягване на публично споделяне на ЕГН, документи и кодове за достъп.