Регистър на настанените лица и защита на личните данни

Обновена на 6 септември 2026 г. · Markdown

Всеки, който предлага нощувки — от къща за гости до една стая в собственото жилище — е длъжен да води регистър на настанените туристи и да подава данните към ЕСТИ (Единна система за туристическа информация). Същият този регистър означава, че домакинът обработва лични данни и носи отговорност по Общия регламент относно защитата на данните (GDPR).

Защо регистърът е задължителен

Задължението идва от чл. 116 от Закона за туризма и важи за всички хотелиери, включително за физически лица, които не са търговци. Не е важно колко стаи отдавате и дали обектът е категоризиран или само регистриран — регистърът се води винаги. Той е и източникът, от който се подават данните към ЕСТИ.

Ако мястото ви още не е вписано никъде, започнете от регистрацията пред общината и Регионалната здравна инспекция, защото без вписване в Националния туристически регистър обектът не може да се предлага онлайн.

Какви данни се вписват

Законът разделя гостите на две групи и иска различен обем данни за всяка.

Това е пълният списък. За гост от Европейския съюз законът не изисква нито име, нито номер на документ — достатъчни са броят и двете дати.

Електронно или на хартия

Носителят зависи от режима на обекта. За стаи и апартаменти за гости (клас „В“) законът не предписва конкретен носител — регистърът може да е и на хартия. За къщи за гости и всички обекти от клас „А“ и клас „Б“ чл. 116, ал. 3 от Закона за туризма изисква регистърът да се води електронно.

Практическата разлика е в подаването към ЕСТИ:

• Ако водите регистъра на хартия, все пак трябва да въведете данните в уеб интерфейса на ЕСТИ.
• Ако използвате софтуер, той може да води регистъра и да обменя данните автоматично със системата.

Срокът е един и същ: при въвеждане през уеб интерфейс данните отиват в ЕСТИ до 24 часа от вписването или промяната в регистъра за настаняване, тоест от настаняването или от отпътуването. Системата не позволява въвеждане със задна дата. При автоматизиран обмен система-към-система подаването е непрекъснато. Подробностите по достъпа и подаването са в статията за ЕСТИ.

Санкции

Санкциите по чл. 213 от Закона за туризма са отделни за регистъра и за обмена с ЕСТИ:

В скоби е сумата от левовата редакция на закона; евровата е преобразувана по неотменимия курс 1 EUR = 1,95583 BGN, както изисква Законът за въвеждане на еврото. Официална еврова редакция на чл. 213 не е потвърдена, така че при спор проверете актуалния текст в „Държавен вестник“.

Срок на съхранение

Регистърът не се унищожава веднага след напускане на госта — данните трябва да са налични за проверка от контролните органи. Конкретният срок обаче не е еднозначен и зависи от текста на Закона за туризма и наредбата към него, както и от други ваши задължения (например счетоводната документация към фактурите се пази по правилата на счетоводното законодателство).

Практичното правило е: не пазете личните данни на гостите по-дълго, отколкото имате причина. Определете си писмено срок, запишете го в уведомлението за поверителност и се придържайте към него. Ако не сте сигурни какъв е законовият минимум за регистъра, попитайте общината или Министерството на туризма, преди да изтриете стари записи.

Ролята ви по GDPR

Когато вие решавате защо и как се обработват данните на гостите, вие сте администратор на лични данни. Това важи и за физическо лице с една стая — регламентът няма праг за брой обекти или оборот. Изключението за „чисто лична дейност“ не се прилага, защото отдаването на нощувки е стопанска дейност.

Правните основания са различни за различните цели:

• Законово задължение (чл. 6, параграф 1, буква „в“ от Регламента) — за регистъра на настанените лица и подаването към ЕСТИ. Тук не искате съгласие от госта, защото той няма избор и вие също нямате.
• Изпълнение на договор (чл. 6, параграф 1, буква „б“) — за самата резервация: име, телефон, електронна поща, дати, цена.
• Съгласие (чл. 6, параграф 1, буква „а“) — само за неща, които не са необходими, например рекламен бюлетин след престоя. Съгласието трябва да е отделно и оттегляемо.

Не смесвайте основанията. Ако впишете подаването към ЕСТИ като „съгласие“, гостът теоретично може да го оттегли — а вие пак сте длъжни да подадете данните.

Какво НЕ бива да се копира

Най-честата грешка е снимка или ксерокопие на личната карта или паспорта. Законът иска да впишете определени данни, а не да съхранявате изображение на документа. Копието съдържа много повече информация от изискваната (снимка, единен граждански номер, адрес, подпис) и превръща един изгубен телефон или пробита пощенска кутия в сериозен инцидент със сигурността.

Практически:

• Прочетете документа, впишете само нужните полета, върнете документа.
• Не пращайте снимки на документи по месинджър, електронна поща или облачна папка.
• Ако някога сте правили копия, изтрийте ги — включително от кошчето, от резервните копия и от галерията на телефона.
• Не искайте от гости от Европейския съюз документ за самоличност за целите на регистъра — за тях законът иска само брой и дати.

Договор с обработващ лични данни

Ако използвате външен доставчик, който борави с данните на гостите от ваше име — софтуер за резервации, счетоводител, фирма за почистване с достъп до списъка с гости — трябва да имате писмен договор по чл. 28 от Регламента. В него се записва какви данни се обработват, за каква цел, за колко време, какви мерки за сигурност се прилагат и че доставчикът няма да ги използва за свои цели.

Платформите като Booking.com и Airbnb са отделен случай: те са самостоятелни администратори за собствената си дейност и вие не подписвате с тях договор за обработващ. Отделно от това те отчитат данни за вас на Националната агенция за приходите по правилата за автоматичен обмен на данни от оператори на платформи (DAC7, Директива (ЕС) 2021/514) — вижте ДДС по чл. 97а и работата с платформите.

Уведомление за поверителност към гостите

Гостът има право да знае кой обработва данните му и защо. Направете кратък текст — една страница е достатъчна — и го дайте при настаняването или го изпратете с потвърждението на резервацията. Минималното съдържание:

• кой сте вие (име, адрес, начин за връзка);
• какви данни събирате и за какво;
• че част от данните се подават към ЕСТИ по силата на Закона за туризма;
• на кого още се предават данни (счетоводител, софтуерен доставчик);
• колко време се съхраняват;
• правата на госта — достъп, коригиране, изтриване, възражение, жалба до Комисията за защита на личните данни.

Не е нужно гостът да го подписва. Достатъчно е да можете да покажете, че текстът му е бил предоставен.

Кратък списък за проверка

• Регистърът се води за всеки гост, включително за деца, които заемат легло.
• Данните влизат в ЕСТИ до 24 часа.
• Гост от Европейския съюз — само брой и дати.
• Гост от трета държава — плюс име, дата на раждане, гражданство и данни за документа.
• Никакви снимки на документи.
• Уведомление за поверителност — предоставено.
• Договор с всеки външен доставчик, който вижда данните.

Останалите текущи задължения — туристически данък до 15-о число, вноски, декларации — са събрани в календара на задълженията.

Как помага host-manager

host-manager води регистъра на настанените лица като част от резервацията, така че данните се въвеждат веднъж и се подават към ЕСТИ в срок, без ръчно прехвърляне. Системата иска само полетата, които законът изисква за съответното гражданство, и не съхранява изображения на документи за самоличност. За гостите можете да генерирате уведомление за поверителност с вашите данни.

Важно

Тази статия е обща информация, а не данъчна или правна консултация. Правилата и санкциите се менят, а сроковете за съхранение и част от евровите редакции на текстовете подлежат на проверка в актуалния „Държавен вестник“. За конкретния ви случай се консултирайте със счетоводител или юрист. Последна проверка: август 2026 г.