Актът за цифровите услуги (DSA): какво дължи вашата платформа

Ако потребителите ви могат да качват снимки, обяви, коментари или да продават нещо чрез продукта ви, вече сте адресат на един от най-обемните регламенти на ЕС - не когато пораснете, а сега.

Регламент (ЕС) 2022/2065 - Актът за цифровите услуги, или DSA - важи за всички доставчици на посреднически услуги от 17 февруари 2024 г. Той е регламент, не директива: задълженията важат пряко, без нужда от транспониращ закон. Националното законодателство трябваше само да посочи надзорния орган и санкциите - България го направи със закъснение, през ноември 2025 г.

Добрата новина за стартъпите: DSA е изграден на нива, а най-тежките задължения засягат само най-големите. Лошата: базовите правила важат за всички, включително за екип от двама души, и повечето основатели не знаят в коя категория попадат.

Графикът: къде сме

Дата	Какво се случи	Основание
16 ноември 2022 г.	Регламентът влиза в сила	чл. 93, пар. 1
17 февруари 2023 г.	Първо публикуване на активните потребители от платформите	чл. 24, пар. 2
17 февруари 2024 г.	Пълно прилагане за всички посредници	чл. 93, пар. 2
17 февруари 2025 г.	Изтича 12-месечният срок за събиране на данни от заварени търговци в маркетплейсите	чл. 30, пар. 2
1 юли 2025 г.	Задължителни образци за отчетите за прозрачност	Регламент (ЕС) 2024/2835
21 ноември 2025 г.	Обнародван е ЗИД на Закона за електронните съобщения (ДВ, бр. 99)	ДВ, бр. 99/2025
Края на ноември 2025 г.	Българският закон влиза в сила; КРС поема ролята на Координатор за цифровите услуги	чл. 21, ал. 6 ЗЕС

В коя категория сте

DSA разпределя задълженията според това какво правите със съдържанието на потребителите. Всяко по-високо ниво носи задълженията на по-ниските плюс свои.

Категория	Какво прави	Примери	Основание
Обикновен пренос	Предава данни по мрежата, без да инициира преноса, избира получателя или променя съдържанието	Интернет доставчици, VPN, публичен Wi-Fi	чл. 4
Кеширане	Автоматично, междинно и временно съхранение само за да ускори преноса	CDN, кеширащи прокси сървъри	чл. 5
Хостинг	Съхранява информация по искане на потребителя, без да я разпространява публично	B2B SaaS, CRM/ERP, фактуриране, облачно хранилище, затворени хранилища за код	чл. 6
Онлайн платформа	Хостинг, който по искане на потребителя разпространява информацията до неограничен кръг лица	Маркетплейси, платформи за обяви, форуми, социални приложения, публични каталози с шаблони	чл. 3, б. „и“
Много голяма платформа или търсачка (VLOP/VLOSE)	Онлайн платформа/търсачка с 45 млн.+ средномесечни активни получатели в ЕС, определена от Комисията	Глобални платформи	чл. 33

Разделителната линия за повечето стартъпи е между хостинг и платформа: видимо ли е каченото съдържание извън кръга на клиента? Ако публичното разпространение е само незначителна, чисто спомагателна функция на друга основна услуга, услугата не се смята за онлайн платформа.

Нивото VLOP/VLOSE не засяга практически никой читател на тази статия. Прагът е 45 млн. активни получатели в ЕС - около 10% от населението на Съюза - а рисковите оценки, одитите и регистрите на рекламите важат само след изрично решение на Комисията. Никой български стартъп не доближава прага, затова не го разглеждаме по-подробно.

Уговорка за термините: „посредническа услуга“ и „хостинг“ по DSA не са същото като „посредничество за данни“ и правилата за смяна на облачен доставчик по Регламента за данните - отделен режим, разгледан в статията ни за EU Data Act.

Ако сте извън ЕС - или клиентите ви са

DSA се прилага, когато услугата има „съществена връзка“ с ЕС. Стартъп, насочен изключително към трети държави и технически изключващ потребители от ЕС, не прилага материалните правила за модериране спрямо тях. Обратното: доставчик извън ЕС, таргетиращ България (български интерфейс, плащания в евро, реклама у нас), трябва писмено да определи законен представител в държава членка (чл. 13), който може да отговаря лично за нарушенията.

Изключението за малки предприятия - и къде свършва

За целите на DSA малко предприятие е това с под 50 служители и годишен оборот или балансово число под 10 млн. евро (Препоръка 2003/361/ЕО), с три отделни облекчения - точно тук се правят най-много грешки, в двете посоки:

Какво	Освободени ли са микро и малките?	Основание
Годишни доклади за прозрачност	Да, освен ако са VLOP	чл. 15, пар. 2
Допълнителни задължения за онлайн платформи (жалби, извънсъдебни спорове, доверени податели, тъмни модели, реклама, препоръчителни системи, непълнолетни)	Да, с изключение на чл. 24, пар. 3	чл. 19, пар. 1
Задължения за маркетплейси (проследимост на търговците, дизайн за съответствие, право на информация)	Не - важат за всички маркетплейси	чл. 29, пар. 1; чл. 30⁠–⁠32
Точки за контакт, Общи условия, сигнали, мотивирани становища, сигнал за престъпления	Не - важат за всички	чл. 11⁠–⁠18

Два детайла, които често се пропускат:

• Статусът VLOP отменя всичко - платформа, определена като много голяма, дължи пълния обем задължения независимо от броя на служителите.
• Шестмесечното преброяване по чл. 24, пар. 2 не отпада - дори малката платформа го дължи, а при поискване предоставя на КРС или Комисията и данните по чл. 24, пар. 3.

Задълженията, които важат за всички посредници

Независимо от размера и категорията:

• Точка за контакт за органите (чл. 11) - електронен канал за КРС, други национални органи, Комисията и Европейския съвет за цифровите услуги, с посочен поне един официален език на държавата на установяване.
• Точка за контакт за потребителите (чл. 12) - бърза комуникация, която не разчита само на автоматизирани инструменти.
• Общи условия (чл. 14) - всички правила и инструменти за модериране, включително алгоритмично вземане на решения, човешки преглед и вътрешната жалбена система, на ясен, недвусмислен, публичен и машинночетим език. За услуга, насочена към България, българската версия е задължителна; за услуга, насочена основно към непълнолетни, условията трябва да са разбираеми за тях.
• Изпълнение на разпореждания (чл. 9 и 10) - заповеди от съдилища и административни органи срещу незаконно съдържание или за информация.
• Годишен доклад за прозрачност (чл. 15) - освен ако сте микро или малко предприятие; от 1 юли 2025 г. по единните машинночетими образци на Регламент за изпълнение (ЕС) 2024/2835.

Обикновеният пренос и кеширането спират дотук - не дължат механизма за сигнали по чл. 16.

Хостинг: сигнали, решения и защитата от отговорност

Защитата от отговорност (чл. 6 и 7)

Хостинг доставчикът не отговаря за чуждото съдържание, ако няма действително знание за незаконността му, а щом узнае - действа експедитивно, за да го свали или блокира. Член 7 добавя правилото на „добрия самарянин“: доброволните проверки или инструменти за откриване на незаконно съдържание не отнемат тази защита.

В България старият режим на отговорност по глава четвърта от Закона за електронната търговия (чл. 13–18) е отменен със същия закон от ноември 2025 г. Правилата на ЗЕТ за преддоговорната информация, търговските съобщения и сключването на електронни договори обаче продължават да действат паралелно с DSA.

Механизмът за сигнали (чл. 16)

Всеки хостинг доставчик, включително SaaS без публична част, трябва да има лесен електронен механизъм за сигнали срещу незаконно съдържание. Формулярът позволява подаване на:

Реквизит	Основание
Обосновка защо съдържанието е незаконно	чл. 16, пар. 2, б. „а“
Точно електронно местоположение (URL)	чл. 16, пар. 2, б. „б“
Име и имейл на подателя (не се изискват при сигнали за сексуална експлоатация на деца)	чл. 16, пар. 2, б. „в“
Декларация за добросъвестност	чл. 16, пар. 2, б. „г“

Сигнал с тези реквизити поражда действително знание по чл. 6, ако позволява на добросъвестен доставчик да установи незаконността без подробен правен анализ - от този момент часовникът за защитата тече.

Работният процес:

1. Приемане - формулярът валидира задължителните полета.
2. Потвърждение - без неоправдано забавяне, ако подателят е оставил имейл, с номер на сигнала.
3. Триаж - спешна опашка за сексуална експлоатация на деца и терористично съдържание; приоритетна за доверени податели; стандартна за останалото.
4. Преглед и решение - своевременно, безпристрастно и обективно. Регламентът не определя срок в часове; 24 до 72 часа за обикновени сигнали е ориентир от практиката, не законово изискване.
5. Уведомяване - подателят научава решението и възможностите за обжалване, вкл. дали са ползвани автоматизирани средства.
6. Архив - входящи данни, време за реакция и решение, за да можете да отчетете дейността си.

Мотивираното становище (чл. 17)

Всяко ограничение заради незаконно съдържание или нарушение на Общите условия изисква ясно и конкретно мотивирано становище до засегнатия потребител (при налични контакти) - за премахване, блокиране, понижаване на видимостта, спиране на плащания, спиране на услугата или закриване на профил.

Становището съдържа най-малко:

• мярката, нейният териториален обхват и срок;
• фактите - включително дали решението е по сигнал или по собствена инициатива;
• дали са използвани автоматизирани средства;
• правното основание и защо съдържанието е незаконно, или клаузата от Общите условия и защо е нарушена;
• указания за обжалване - вътрешна жалба, извънсъдебно уреждане и съд, според приложимото.

Най-честата грешка тук е общото „нарушихте правилата ни“ без конкретен факт и конкретна клауза.

Сигнал към властите (чл. 18)

Ако узнаете за информация, пораждаща подозрение за престъпление срещу нечий живот или безопасност, трябва незабавно да уведомите правоохранителните или съдебните органи на засегнатата държава - в България на практика ГДБОП, или, ако не можете да я установите, органите на държавата ви на установяване, или Европол.

Онлайн платформи над прага за малки предприятия

Средно или голямо предприятие? Към горното се добавят задълженията от чл. 20-28.

Задължение	Същност	Основание
Вътрешна система за жалби	Безплатна, електронна; достъпна поне 6 месеца от решението; не само автоматизирани решения	чл. 20
Извънсъдебно уреждане	Информация за сертифицираните органи, добросъвестно участие, необвързващи решения	чл. 21
Доверени податели	Приоритетна обработка на сигналите им без неоправдано забавяне	чл. 22
Злоупотреба	Временно спиране (след предупреждение) на чести нарушители - явно незаконно съдържание или явно неоснователни сигнали	чл. 23
Допълнителна прозрачност	Спорове, спирания, автоматизирана модерация в годишния доклад; мотивирани становища в базата на Комисията без лични данни	чл. 24
Тъмни модели	Забрана на интерфейси, които заблуждават или манипулират	чл. 25
Реклама	Прозрачност за всяка реклама; забрана на профилиране със специални категории данни	чл. 26
Препоръчителни системи	Основните параметри - в Общите условия	чл. 27
Непълнолетни	Висока степен на неприкосновеност и безопасност; без реклама, основана на профилиране	чл. 28

Жалби и извънсъдебни спорове

Жалба подава засегнатият потребител или подателят на сигнала; разделянето по вид (съдържание, профили, плащания, монетизация) помага заради различните срокове и доказателства. КРС сертифицира органите за извънсъдебно уреждане на спорове - и в друга държава членка.

Тъмни модели

Член 25 забранява интерфейси, които заблуждават, манипулират или по друг начин нарушават свободния избор на потребителя - по-видима опция при избор, повтарящо се питане за вече направен избор, по-трудно прекратяване от записване. Специализирани насоки по чл. 25 все още липсват.

На практика подвеждащият абонаментен бутон или банерът за бисквитки се преследват едновременно по чл. 25 от DSA и по членове 68в–68к от българския ЗЗП. Правилата за бисквитките и бутона за отказ от договор са разгледани в чеклиста ни за B2C съответствие.

Реклама и препоръчителни системи

За всяка реклама потребителят вижда в реално време, че е реклама, от чие име е, кой я е платил (ако е друго лице) и основните параметри на таргетирането, с възможност да ги промени. Потребителите могат и да декларират собствено съдържание като търговско съобщение.

Две абсолютни забрани: реклама, основана на профилиране със специални категории лични данни по чл. 9 GDPR (чл. 26, пар. 3), и профилиране-базирана реклама към потребители, за които знаете с разумна увереност, че са непълнолетни (чл. 28, пар. 2). GDPR съгласие не отменя първата забрана.

Ако подреждате съдържание с алгоритъм, Общите условия обясняват основните параметри - най-важните критерии, защо имат тази тежест, и как потребителят може да ги промени; при няколко варианта на подреждане, изборът трябва да е достъпен директно от съответната част на интерфейса.

Отделно, AI Act изисква прозрачност при чатботове и генерирано съдържание (чл. 50) - виж статията ни за AI Act.

Непълнолетни

Платформите, достъпни за непълнолетни, дължат висока степен на неприкосновеност, безопасност и сигурност (насоки по чл. 28, C/2025/5519). Регламентът изрично не задължава да обработвате допълнителни лични данни, за да прецените възрастта (чл. 28, пар. 3). Изборът на технология - трета страна, сигнали от устройството, криптографски доказателства без разкриване на данни - остава сива зона; EDPB (насоки 3/2025) съветва да не се събират масово копия на лични карти и да се направи оценка на въздействието.

Маркетплейси: проследимост на търговците

Ако платформата ви позволява на потребители да сключват договори от разстояние с търговци, важат чл. 30–32 - независимо от размера. Изключението за микро и малки предприятия по чл. 19 не важи тук: раздел 4 от DSA обвързва абсолютно всички маркетплейси.

Задължение	Какво изисква	Основание
Данни за търговеца преди достъп	Име, адрес, телефон, имейл; документ за самоличност или електронна идентификация; данни за платежна сметка; търговски регистър и номер (ЕИК)	чл. 30, пар. 1
Проверка	Разумни усилия чрез официални бази данни - валидност на ЕИК в Търговския регистър, ДДС номер през VIES, съвпадение на титуляря на IBAN с търговеца - или чрез документи от търговеца	чл. 30, пар. 2
Заварени търговци	Срокът за събиране на данните им изтече на 17.02.2025 г.; без данни - спиране	чл. 30, пар. 2
Неточни данни	Искане за корекция; при неизпълнение - бързо спиране	чл. 30, пар. 3
Срок на съхранение	6 месеца след края на договора с търговеца, след което данните се заличават	чл. 30, пар. 5
Видимост за купувача	Името, адресът и регистрацията на търговеца - поне на страницата на продукта	чл. 30, пар. 7
Дизайн за съответствие	Интерфейсът позволява на търговците да посочат задължителна информация; случайни проверки дали продуктите са обявени за незаконни	чл. 31
Право на информация	Уведомяване на купувачите от последните 6 месеца при незаконен продукт; ако нямате контактите им - публично съобщение	чл. 32

Регламентът не определя процент или честота на случайните проверки - методологията остава сива зона. Пример от практиката: седмично автоматизирано сканиране на 3-5% от новите обяви по списък с рискови ключови думи (фалшификати, опасни съставки, липса на CE маркировка), плюс проверка срещу Safety Gate за опасни нехранителни продукти, с електронен запис на всяка проверка.

Уведомлението по чл. 32 съдържа три неща: че продуктът или услугата е незаконна, кой е търговецът и какви са възможностите за защита.

DSA и GPSR не са едно и също

Задълженията на маркетплейсите по Регламента за общата безопасност на продуктите (GPSR) - точка за контакт, регистрация в Safety Gate и сваляне на опасни продукти до 2 работни дни от нареждане - са отделен режим за физическите стоки, разгледан в чеклиста ни за B2C съответствие; прилага се паралелно с чл. 30–32 от DSA, не вместо тях.

Типични случаи

SaaS с потребителско съдържание. Затворени пространства - хостинг; публични галерии, форуми и шаблони - платформа. Разделете ги архитектурно: бутон за сигнал под публичното съдържание, описание на скенерите в Общите условия, шаблони за мотивирани становища. Сива зона: спиране за неплащане и чл. 17.

Freelance и booking платформи. Маркетплейси за услуги: проверка на изпълнителите по чл. 30 (вкл. регистрация по Закона за туризма); мотивирано становище при ескроу задържане; разкриване на факторите за класиране. Задържането на средства - и по ЗПУПС.

Мобилно приложение с общност. Бутон „Докладвай“, мотивирани становища при блокиране; над прага - вътрешни жалби, без профилиране на непълнолетни за реклама. Геймификацията като манипулативен дизайн - отворен въпрос.

Новинарски сайт с коментари. Редакционното съдържание не е посредническа услуга; коментарите обикновено са спомагателна функция (съображение 13) - но за тях сайтът е хостинг доставчик и дължи механизъм за сигнали и бързо сваляне.

AI платформа. Лична употреба - хостинг; публична общност за споделяне - платформа. Филтрите се описват в Общите условия (чл. 14). AI Act изисквания - отделно, виж статията ни за AI Act.

Крипто и финтех. MiCA за финансовите услуги, DSA за социалните - чатове, профили, инвестиционни дискусии. Регулаторният периметър на MiCA - в статията ни за крипто регулацията.

Магазин за приложения или плъгини. Маркетплейс за цифрово съдържание: проверка на разработчиците, случайни проверки, уведомяване при компрометиран плъгин.

Кой следи в България

Националната рамка мина през Народното събрание на 6 ноември 2025 г. и бе обнародвана в ДВ, бр. 99 от 21 ноември 2025 г.; влезе в сила три дни по-късно - със закъснение спрямо срока 17 февруари 2024 г., след като Комисията вече бе открила процедура за нарушение срещу България.

Орган	Компетентност	Основание
Комисия за регулиране на съобщенията (КРС)	Координатор за цифровите услуги; надзор над всички посредници освен видео-платформите; тъмни модели и препоръчителни системи за всички; сертифицира извънсъдебни органи и доверени податели; проверки и санкции	чл. 21, ал. 6 и чл. 49г ЗЕС
Съвет за електронни медии (СЕМ)	Платформи за споделяне на видеоклипове - без чл. 25 и 27	чл. 49г, ал. 3 ЗЕС
Комисия за защита на личните данни (КЗЛД)	Обработване на лични данни по DSA - профилиране в реклама и защита на непълнолетните	чл. 49г, ал. 4 ЗЕС
Комисия за защита на потребителите (КЗП)	Не е орган по DSA, но преследва нелоялни търговски практики по ЗЗП, вкл. заблуждаващи интерфейси	ЗЗП

Жалба до КРС може да подаде всеки потребител; при компетентност на СЕМ или КЗЛД, КРС я препраща. Двете производства могат да текат успоредно: за тъмен модел при абонамент КЗП може да наложи до 50 000 лв. (≈25 565 евро, приблизително - без нов еврови еквивалент) по чл. 68в ЗЗП, докато КРС разследва паралелно нарушение на чл. 25.

Какъв е реалният риск? Към момента няма публично оповестени санкции на КРС срещу местни платформи. По оценка в изследването зад статията, през 2025-2026 г. КРС е фокусирана върху сигнали за тежки нарушения, регистъра на доверените податели и трансграничното сътрудничество - масови проверки на малки стартъпи без жалби са малко вероятни. Оценка, не гаранция: една жалба стига, за да започне проверка.

Санкции

Българският закон не определя фиксирани суми в евро, а възпроизвежда процентните тавани на регламента:

Нарушение	Максимум	Основание в DSA	Основание в ЗЕС
Неизпълнение на задължение по DSA	6% от световния годишен оборот за предходната финансова година	чл. 52, пар. 3	чл. 323ф, ал. 1
Непредоставена, неточна или подвеждаща информация; отказ от проверка на място	1% от годишния доход или световния оборот	чл. 52, пар. 3	чл. 323ф, ал. 2
Периодична санкция за продължаващо неизпълнение	До 5% от среднодневния световен оборот на ден	чл. 52, пар. 4	чл. 323ф, ал. 4

Размерът зависи от тежестта, продължителността и смекчаващите или отегчаващите обстоятелства. КРС може и временно да ограничи достъпа, но само чрез съда.

Най-големите санкции досега са на Комисията срещу много големи платформи - 120 млн. евро за X (декември 2025 г.), 200 млн. евро за Temu (май 2026 г.) и 550 млн. евро за AliExpress (юли 2026 г.). Не засягат пряко стартъпите, но показват фокуса на регулаторите: заблуждаващ дизайн, прозрачност на рекламата и незаконни продукти в маркетплейсите.

Чеклист по типове стартъп

Правя B2B SaaS или хостинг

• Имате ли публична точка за контакт за органи и потребители?
• Описват ли Общите условия модерацията, автоматизираните инструменти и човешкия преглед?
• Има ли механизъм за сигнали с четирите реквизита по чл. 16?
• Подготвен ли е шаблон за мотивирано становище по чл. 17?
• Знае ли екипът кога и как да сезира ГДБОП по чл. 18?

Правя онлайн платформа или приложение с общност

• Всичко отгоре, плюс бутон за сигнал под публичното съдържание.
• Микро или малко предприятие? Документирайте го и следете кога ще загубите статуса.
• Броите ли активните получатели на всеки шест месеца, за да ги предоставите при поискване?
• Над прага: вътрешни жалби с човешки контрол, прозрачност на рекламите, параметри на класирането в Общите условия, без профилиране на непълнолетни.

Правя маркетплейс

• Събирате ли и проверявате данните на търговците преди активиране - независимо от размера?
• Показвате ли данните на търговеца на страницата на продукта?
• Имате ли процес за случайни проверки и уведомяване на купувачите от последните 6 месеца?
• Продавате ли физически стоки? Тогава GPSR важи независимо от размера ви.

Базиран съм извън ЕС, но продавам в България

• Определен ли е писмено законен представител в държава членка и уведомен ли е координаторът?

DSA рядко се нарушава с едно голямо решение - а с формуляр без задължително поле, спрян профил без обяснение, интерфейс, проектиран да продава, а не да информира. Всичко това е евтино за поправяне, докато сте малки, и скъпо след първата жалба.

---

Тази статия е обща информация към септември 2026 г., а не индивидуален правен съвет. Процентните тавани на санкциите са проверени спрямо текста на Регламент (ЕС) 2022/2065 и на ЗИД на Закона за електронните съобщения (ДВ, бр. 99/2025). Българският закон не определя фиксирани суми в евро, затова статията не посочва такива за нарушения на самия DSA; към момента на писане няма публично оповестена практика на КРС по налагане на санкции. Посочената сума по ЗЗП (50 000 лв.) остава в лева в статутния текст и е преизчислена по фиксния курс - не е установен нов еврови еквивалент. Точната дата на влизане в сила на закона и методологията на случайните проверки в маркетплейсите остават неизяснени - проверете актуалната позиция на КРС, преди да разчитате на тях.