Политика и регулация

Правила за данните на децата по GDPR: Защо „отбелязването на квадратчета“ не е достатъчно за съответствие

31 август 2026 г.5 мин четене

By Джеймс Окафор — Сертифициран CIPP/E, специалист по дигитални права и право на поверителност

Правила за данните на децата по GDPR: Защо „отбелязването на квадратчета“ не е достатъчно за съответствие

Защо данните на децата се превърнаха в най-големия проблемен пункт на GDPR

В цяла Европа правилата, уреждащи как марките събират и използват личните данни на децата, тихо се превърнаха в най-оспорвания и най-глобявания аспект на закона за дигиталния маркетинг. Регулаторите вече не третират поверителността на децата като нещо второстепенно, добавено към стандартното съответствие с GDPR. Тя се е превърнала в самостоятелен приоритет за правоприлагане, като марките, които все още я разглеждат като просто упражнение по отбелязване на квадратчета, са изправени пред едни от най-големите глоби, предвидени в закона.

Моделът е последователен: компаниите изграждат потоци за съгласие, възрастови ограничения и известия за поверителност, предназначени да задоволят общ списък за проверка на съответствието, а след това откриват твърде късно, че регулаторите очакват нещо далеч по-строго, когато става въпрос за деца. Разпоредбите на GDPR относно непълнолетните са написани с предположението, че децата не могат смислено да дават съгласие за обработка на данни по начина, по който го правят възрастните, и органите за правоприлагане в ЕС и Обединеното кралство агресивно са се облегнали на това предположение.

Какво всъщност изисква GDPR за данните на децата

За разлика от едно единно, унифицирано правило, подходът на GDPR към данните на децата е многослоен и в известна степен умишлено двусмислен. Той задава стандартна възраст за съгласие от 16 години, но позволява на отделните държави-членки да намалят този праг до минимум 13 години, което означава, че марка, работеща в няколко страни от ЕС, може да се сблъска с различни правни прагове за един и същ продукт в зависимост от това къде се намира потребителят. Само това разнообразие прави съответствието чрез отбелязване на квадратчета рисковано: механизъм за съгласие, изграден за правилата на една юрисдикция, може напълно да се провали в друга.

Отвъд възрастовите прагове, регламентът очаква марките да демонстрират, че известията за поверителност, исканията за съгласие и практиките за събиране на данни са наистина разбираеми за детето, а не просто юридически достатъчни за възрастен читател. Верификацията на възрастта, механизмите за родителско съгласие и минимализацията на данните попадат под засилен контрол, когато субектът на данните е непълнолетен. Регулаторите показаха, че са готови да се задълбочат в спецификите на това как всъщност функционира дадена платформа, а не само в това какво твърди нейната политика за поверителност.

Именно тази разлика вече е довела до големи глоби другаде. Регулаторът за защита на данните на Обединеното кралство наскоро потвърди глоба от 12,7 милиона паунда, след като TikTok загуби обжалването си срещу глобата за обработка на детски данни, свързана с личните данни на над 1,4 милиона деца. Този случай подчерта точка, която регулаторите повтарят: платформите се очаква да знаят, и да действат съобразно факта, че деца използват услугите им, дори когато верификацията на възрастта е несъвършена. Незнанието за младата потребителска база не се приема като защита.

Цената на грешката нараства в световен мащаб

Европа не действа изолирано тук. Подобен контрол върху данните на децата и учениците се появява и на други големи пазари, което повишава летвата за съответствие за всяка марка, работеща международно. В Индия, например, законът DPDP вече притиска бюджетите за съответствие в сектора на образователните технологии, принуждавайки компаниите, които обработват ученически данни, да преустроят начина, по който ги събират, съхраняват и обработват. Марките, работещи както в ЕС, така и на пазари като Индия, все повече се нуждаят от рамки за съответствие, достатъчно гъвкави, за да задоволят едновременно множество различни режими за данни на деца, вместо един единен шаблон, прилаган универсално.

Това, което свързва тези случаи, е промяна в регулаторната позиция. Органите за защита на данните се отдалечават от приемането на общи, ориентирани към възрастни рамки за съгласие като достатъчно покритие, когато децата са част от потребителската база. Очакването сега е компаниите активно да проектират продуктите си с мисъл за възможността непълнолетни да ги използват, вместо да предполагат, че езикът на общите условия сам по себе си ги предпазва от отговорност.

Какво означава това за вас

За маркетинговите и правните екипи практическото значение е ясно: съответствието за данни на деца вече не може да бъде добавка към по-широка програма за GDPR. То се нуждае от собствена оценка на риска, собствен дизайн на съгласието и собствен текущ преглед, защото регулаторите активно проверяват дали платформите познават реалната си потребителска база и дали съответно коригират практиките си.

За родителите и обикновените потребители тази вълна от правоприлагане е напомняне, че регулаторите все повече са на ваша страна, когато става въпрос за това как платформите третират по-младите потребители. Глоби като потвърдената срещу TikTok съществуват именно защото властите установиха, че заявените политики не съответстват на реалната практика. Ако управлявате достъпа на дете до приложения или онлайн услуги, струва си да прегледате какви данни събират тези платформи и дали техните настройки за поверителност за непълнолетни са наистина рестриктивни по подразбиране, вместо да разчитате на уверения в политиката за поверителност.

Основни изводи

Марките, работещи в Европа, трябва да третират правилата на GDPR за данни на деца като отделна категория за съответствие, а не като подмножество на общите задължения за защита на данните. Това означава да се одитират методите за верификация на възрастта за реална ефективност, да се адаптира езикът на съгласието, за да бъде наистина разбираем за по-младите потребители, и да се вгради минимализацията на данните в продуктовия дизайн, вместо да се добавя със задна дата след регулаторно разследване. С оглед на различните възрастови прагове в държавите-членки, мултинационалните марки особено се нуждаят от прегледи за всяка отделна държава, а не от един единен шаблон за целия ЕС. Организациите, които все още залагат най-големите глоби в бюджетите си, са почти без изключение тези, които предположиха, че общата политика за поверителност е достатъчна.

// FAQ

Защо данните на децата по GDPR се превърнаха в толкова голям приоритет за правоприлагане?

Регулаторите вече не третират поверителността на децата като нещо второстепенно и са я превърнали в самостоятелен приоритет за правоприлагане, налагайки едни от най-големите глоби на марки, които обработват данни на непълнолетни само с минимално ниво на съответствие чрез отбелязване на квадратчета.

Защо съответствието „чрез отбелязване на квадратчета“ се проваля при данните на децата по GDPR?

То се проваля, защото GDPR изисква повече от общи потоци за съгласие и възрастови ограничения; регулаторите изискват известията за поверителност и исканията за съгласие да бъдат наистина разбираеми за децата и проверяват как всъщност функционира дадена платформа, а не само какво твърди нейната политика.

Каква е възрастта за съгласие по GDPR за обработка на данни на деца?

GDPR задава стандартна възраст за съгласие от 16 години, но държавите-членки на ЕС могат да я намалят до минимум 13 години, така че марките, работещи в няколко държави, може да се сблъскат с различни възрастови прагове за един и същ продукт.

Какво демонстрира глобата на TikTok относно правилата за данни на деца?

Регулаторът на Обединеното кралство потвърди глоба от 12,7 милиона паунда срещу TikTok за обработката на детски данни, включваща личните данни на над 1,4 милиона деца, което показва, че платформите се очаква да знаят, че деца използват услугите им, дори когато верификацията на възрастта е несъвършена.

Появяват ли се подобни правила за данни на деца извън Европа?

Да, подобен контрол се появява в световен мащаб; например индийският закон DPDP вече засяга бюджетите за съответствие в сектора на образователните технологии, повишавайки летвата за международните марки.