Това зависи от това дали вашата компания е „задължен субект“ съгласно българския Закон за мерките срещу изпирането на пари (ЗМИП). Задължените субекти включват финансови институции, юридически и счетоводни специалисти, брокери на недвижими имоти, агенти за учредяване на дружества, доставчици на доверителни услуги и VASP — наред с други. Стандартните търговски дружества, електронната търговия и доставчиците на IT услуги обикновено не са задължени субекти. Ако обаче вашият бизнес модел засяга каквато и да е регулирана дейност, препоръчваме кратка оценка за потвърждаване на вашия статус. Свържете се с нас за безплатна първоначална оценка.
Съответствие, AML и GDPR в България
Съответствие с изискванията за борба с изпирането на пари, действителните собственици и защитата на данните за български дружества
Директиви на ЕС за AML
Съответствие с GDPR
Действителни собственици
Програми с фиксиран хонорар
НАКРАТКО
6-та Директива на ЕС за AML — въведена в България
€20 млн. Максимална санкция по GDPR (или 4% от глобалния оборот)
7 дни Срок за актуализация на действителните собственици
Фиксирани Налични пакети за съответствие с фиксиран хонорар
Съответствие, AML и GDPR за чуждестранно притежавани български дружества
Регулаторното съответствие вече не е по избор за българските дружества — то е правно задължение с реални финансови последици при неспазване. Директивите на ЕС за борба с изпирането на пари, GDPR и изискванията за прозрачност на действителната собственост се прилагат за българските дружества, а контролът от страна на българските и европейските регулатори значително се е увеличил през последните години.
България за бизнес ДПК предоставя консултантски и внедрителни услуги по съответствие на чуждестранно притежавани български дружества — обхващащи трите основни рамки за съответствие, засягащи повечето международни бизнеси: борба с изпирането на пари (AML), Общ регламент относно защитата на данните (GDPR) и регистрация на действителните собственици. Нашите адвокати по съответствие проектират, внедряват и поддържат програми за съответствие, съобразени с конкретния бизнес модел и рисков профил на вашата компания.
ЗАЩО СЪОТВЕТСТВИЕТО Е ВАЖНО ЗА ЧУЖДЕСТРАННИТЕ СОБСТВЕНИЦИ: Чуждестранно притежаваните български дружества често са подложени на засилен контрол от банки, платежни оператори и регулатори — именно поради тяхната международна собственост и управление. Добре документирана AML програма, актуален регистър на действителните собственици и базова рамка за GDPR стават все по-необходими не само за правно съответствие, но и за поддържане на банковите взаимоотношения, спечелване на договори и преминаване на проверки за надлежна проверка от контрагенти.
Нашите услуги по съответствие
Обхващаме всичките три основни рамки за съответствие за българските дружества — AML, действителни собственици и GDPR — както и секторно специфично регулаторно съответствие за регулирани отрасли.
Програма за съответствие с AML
Проектиране и внедряване на вътрешна програма за съответствие с AML/CFT за български дружества, попадащи в обхвата на Закона за мерките срещу изпирането на пари — включително оценка на риска, вътрешни политики, процедури за KYC и обучение на персонала.
Регистър на действителните собственици
Подаване и поддържане на българския регистър на действителните собственици (Регистър на действителните собственици) — идентифициране и вписване на всички физически лица, които в крайна сметка притежават или контролират българско дружество през верига от собственост.
Програма за съответствие с GDPR
Пълно внедряване на съответствие с GDPR за български дружества, обработващи лични данни — одит на данните, декларации за поверителност, механизми за съгласие, споразумения за обработка на данни, регистри на дейностите по обработка и процедури за реакция при пробиви в сигурността.
Споразумения за обработка на данни (DPA)
Изготвяне на съответстващи на GDPR споразумения за обработка на данни между български администратори и обработващи лица — обхващащи обхвата на обработка, мерките за сигурност, вериги от подобработващи лица, трансфери на данни и уведомяване при пробив.
Услуги на длъжностно лице по защита на данните (DPO)
Външна функция на DPO за български дружества, задължени да назначат DPO — или решили да го направят доброволно. Нашето длъжностно лице по защита на данните действа като лице за контакт с българската Комисия за защита на личните данни (КЗЛД).
Консултации по регулаторно съответствие
Консултации по секторно специфично регулаторно съответствие за български дружества в регулирани отрасли — финансови услуги, платежни институции, доставчици на услуги за виртуални активи (VASP) и недвижими имоти.
Борба с изпирането на пари (AML) — българската нормативна рамка
България е въвела директивите на ЕС за борба с изпирането на пари (AMLD) чрез Закона за мерките срещу изпирането на пари (ЗМИП). Законът е бил актуализиран най-скоро с цел въвеждане на 6-тата директива за AML. Той налага задължения на определен кръг от „задължени субекти“ — предприятия, извършващи дейност в сектори, считани за по-рискови по отношение на изпирането на пари и финансирането на тероризъм.
ПРИЛАГАНЕ НА AML: Държавната агенция „Национална сигурност“ (ДАНС) е основният надзорен орган по AML за нефинансовите задължени субекти в България. ДАНС извършва проверки на място и може да налага санкции до 500 000 лв. за сериозни нарушения на AML. НАП също има надзорни правомощия по отношение на счетоводители, одитори и данъчни консултанти. България за бизнес ДПК препоръчва всички субекти в обхвата да внедрят документирана AML програма, преди да настъпи надзорна проверка.
Кой подлежи на задълженията по AML в България?
Следните категории субекти са „задължени субекти“ съгласно българския Закон за мерките срещу изпирането на пари и трябва да внедрят програми за съответствие с AML/CFT. Ако вашата българска компания попада в някоя от тези категории, съответствието с AML е задължително — а не по избор.
| Категория задължен субект | Обхват в България |
|---|---|
| Кредитни институции и платежни институции | Банки, доставчици на платежни услуги, институции за електронни пари и обменни бюра. |
| Инвестиционни посредници и управители на фондове | Инвестиционни посредници, управители на предприятия за колективно инвестиране и дружества за управление на портфейли. |
| Застрахователни дружества | Дружества за животозастраховане и застрахователни посредници — за инвестиционно свързани продукти. |
| Одитори, счетоводители и данъчни консултанти | Регистрирани одитори, счетоводни къщи и данъчни консултанти, предоставящи услуги на клиенти — включително счетоводни и административни услуги за дружества. |
| Юридически специалисти (адвокати и нотариуси) | Когато консултират или подпомагат финансови сделки, учредяване на дружества, покупки на активи, или действат като доверителни управители. |
| Брокери на недвижими имоти | Когато участват в сделки за покупка или продажба на недвижими имоти. |
| Доставчици на услуги за виртуални активи (VASP) | Субекти, предоставящи услуги за обмен, попечителство или трансфер на криптовалути — подлежащи на засилени изисквания по AML съгласно 6-тата директива за AML, въведена в България. |
| Агенти за учредяване на дружества | Лица, предоставящи на трети страни, на професионална основа, услуги по учредяване на дружества, регистриран адрес, директорство или довереничество. |
| Доставчици на доверителни и корпоративни услуги | Субекти, предоставящи като бизнес услуги по управление на доверителна собственост, корпоративно секретарство или регистрирано седалище. |
Какво трябва да съдържа програмата за съответствие с AML
Всеки задължен субект съгласно българското право за AML трябва да внедри документирана вътрешна програма за съответствие, съобразена с неговия размер, естество на дейността и рисков профил по отношение на изпирането на пари/финансирането на тероризъм. Таблицата по-долу изброява всички задължителни компоненти на съответстваща AML програма съгласно ЗМИП.
| Компонент на програмата | Описание |
|---|---|
| Писмени вътрешни политики за AML/CFT | Документиран набор от вътрешни правила и процедури за предотвратяване на изпирането на пари и финансирането на тероризъм — обхващащи приемането на клиенти, наблюдението на транзакции, докладването и отговорностите на персонала. |
| Оценка на риска от изпиране на пари/финансиране на тероризъм | Писмена оценка на изложеността на субекта на риск от изпиране на пари и финансиране на тероризъм — по вид клиент, географски регион, продукт и канал за доставка. Служи като основа за пропорционалното прилагане на мерки за надлежна проверка. |
| Процедури за комплексна проверка на клиента (CDD) | Документирани процедури за идентифициране и проверка на клиенти и действителни собственици — включително стандартна CDD, засилена комплексна проверка (EDD) за клиенти с висок риск и опростена CDD за случаи с нисък риск. |
| Проверка за политически видни личности (PEP) | Процедури за идентифициране на PEP (настоящи и бивши), техните членове на семейството и близки сътрудници — с прилагане на засилена комплексна проверка към всички взаимоотношения с PEP. |
| Процедури за докладване на съмнителни операции (STR) | Вътрешни процедури за ескалация и докладване на съмнителни транзакции или дейности — включително ролята на служителя по съответствие и докладването до ДАНС (Държавна агенция „Национална сигурност“) в България. |
| Мониторинг на транзакции | Процедури за текущ мониторинг на транзакциите на клиентите — идентифициране на нетипични модели, големи транзакции в брой и транзакции, несъответстващи на познатия профил на клиента. |
| Програма за обучение на персонала | Годишно обучение по AML/CFT за целия релевантен персонал — обхващащо разпознаването на съмнителна дейност, задълженията за комплексна проверка на клиента и процедурите за докладване. |
| Назначаване на служител по съответствие | Определяне на отговорен служител по съответствие (или член на висшето ръководство) със специфична отговорност за надзор по AML/CFT. |
| Процедури за водене на документация | Процедури за съхраняване на свързаната с AML документация — записи по KYC, документация за транзакции, файлове по STR и записи за обучение — за законоустановения минимален срок (5 години в България). |
Регистър на действителните собственици — задължения и процес
България е въвела задължителна регистрация на действителните собственици през 2019 г. съгласно Директива 2018/843 (5-та директива за AML). Всеки български търговски субект трябва да идентифицира своите действителни собственици и да ги регистрира в публично достъпната част на българския Търговски регистър, отнасяща се до действителните собственици.
| Изискване | Подробности |
|---|---|
| Кой трябва да се регистрира | Всички български търговски дружества (ООД, ЕООД, АД, СД, КД) и клонове на чуждестранни дружества, регистрирани в България. Юридическите лица с нестопанска цел (фондации, сдружения) също имат задължения за регистрация по паралелен регистър. |
| Кой е действителен собственик | Всяко физическо лице, което пряко или непряко в крайна сметка притежава или контролира субекта — чрез притежаване на дялове, права на глас или други средства за контрол. Прагът е притежаване или контрол над 25% от дяловете или правата на глас. Когато никое физическо лице не отговаря на този праг, старшото управляващо длъжностно лице (обикновено управителят) се вписва като действителен собственик. |
| Къде се извършва регистрацията | В българския Търговски регистър, поддържан от Агенцията по вписванията. Регистрацията се извършва по електронен път чрез портала на НАП. |
| Срок за първоначална регистрация | Съществуващи дружества: до 1 май 2019 г. (срокът вече е изтекъл — късна регистрация подлежи на санкция). Нови дружества: към момента на търговската регистрация. |
| Срок за актуализация | Всяка промяна в действителната собственост трябва да бъде регистрирана в срок от 7 дни от настъпването на промяната. |
| Санкции за нерегистрация | Неизпълнението на регистрацията или актуализацията на регистъра на действителните собственици носи санкции от 1 000 до 20 000 лв. за дружеството и от 500 до 10 000 лв. за отговорния управител лично. |
| Публичен достъп | Регистърът на действителните собственици е публично достъпен — всяко лице може да търси в регистъра, за да идентифицира действителните собственици на българско дружество. |
СЛОЖНИ СТРУКТУРИ НА СОБСТВЕНОСТ: Когато българско дружество се притежава чрез верига от холдингови дружества в множество юрисдикции, идентифицирането на крайния действителен собственик(ци) може да бъде сложно. Прагът от 25% се прилага на всяко ниво от верижата — което означава, че лице, притежаващо 50% от дружество, което притежава 60% от българския субект (ефективно 30%), е действителен собственик. България за бизнес ДПК извършва анализ на действителната собственост за сложни структури и подава правилната регистрация, включително когато са включени доверителни договорености или структури с довереник.
GDPR — какво трябва да направи всяко българско дружество
Общият регламент относно защитата на данните (GDPR — Регламент 2016/679) се прилага пряко в България като държава членка на ЕС. Всяко българско дружество, което обработва лични данни — на служители, клиенти, доставчици или други физически лица — подлежи на GDPR. Българският надзорен орган е Комисията за защита на личните данни (КЗЛД).
| Задължение по GDPR | Какво означава това за вашата българска компания |
|---|---|
| Правно основание за обработка | Всяка дейност по обработка трябва да има правно основание съгласно чл. 6 от GDPR — съгласие, договор, законово задължение, жизненоважни интереси, обществена задача или легитимен интерес. Позоваването на грешно основание прави обработката незаконна. |
| Декларация за поверителност / уведомление за коректна обработка | Физическите лица трябва да бъдат информирани за начина, по който се обработват техните данни — кой ги обработва, за какви цели, правното основание, срока на съхранение и техните права. Липсата на съответстваща декларация е често срещано нарушение на GDPR. |
| Регистри на дейностите по обработка (ROPA) | Повечето организации трябва да поддържат вътрешен регистър на всички дейности по обработка на данни — чл. 30 от GDPR. Служи като основа за отчетността по GDPR и е първият документ, изискван при проверка от надзорния орган. |
| Споразумения за обработка на данни (DPA) | Когато лични данни се обработват от трета страна от името на компанията (обработващ), трябва да има писмено DPA — чл. 28 от GDPR. Обичайни примери: доставчици на облачни услуги, обработващи заплати, счетоводни къщи, доставчици на CRM. |
| Международни трансфери на данни | Трансферът на лични данни извън ЕС/ЕИП изисква одобрен механизъм за трансфер — решение за адекватност, стандартни договорни клаузи (SCC) или обвързващи корпоративни правила. Трансферите към неадекватни трети държави без механизъм са незаконни. |
| Права на субектите на данни | Физическите лица имат право на достъп, коригиране, изтриване, ограничаване и преносимост на своите данни, както и право на възражение срещу обработката. Организациите трябва да разполагат с процедури за отговор на тези искания в срок от 30 дни. |
| Уведомяване за пробив в сигурността на данните | Пробивите в сигурността на личните данни трябва да се оценяват незабавно. Когато пробивът е вероятно да доведе до риск за физическите лица, той трябва да бъде уведомен на КЗЛД в срок от 72 часа. Пробивите с висок риск трябва също да бъдат съобщени и на засегнатите лица. |
| Длъжностно лице по защита на данните (DPO) | DPO трябва да бъде назначен, когато организацията обработва данни в голям мащаб като основна дейност, извършва мащабно наблюдение на физически лица или обработва специални категории данни в голям мащаб. DPO действа като лице за контакт с надзорния орган. |
ПРИЛАГАНЕ НА GDPR В БЪЛГАРИЯ: КЗЛД значително е увеличила дейността си по прилагане. Тя е налагала санкции на български дружества в множество отрасли, включително здравеопазване, финансови услуги и електронна търговия. Най-често срещаните нарушения, водещи до санкции, са: липса на съответстваща декларация за поверителност, липса на писмено споразумение за обработка на данни с обработващите лица и неуведомяване за пробиви в сигурността на данните в срок от 72 часа. България за бизнес ДПК препоръчва внедряването на минимум базов пакет за GDPR (ROPA + декларации за поверителност + шаблони за DPA) за всяка клиентска компания.
Услуги по съответствие — хонорари и цени
Всички услуги по съответствие са налични на база фиксиран хонорар за стандартни ангажименти. Сложни програми или програми за регулирани субекти се остойностяват след предварителна оценка. Всички хонорари са без българско ДДС (20%).
| Услуга | Какво включва | Цена (без ДДС) |
|---|---|---|
| Регистър на действителните собственици — първоначално подаване | Идентифициране на действителните собственици, изготвяне на декларации и електронно подаване в българския Търговски регистър. | От €150 |
| Регистър на действителните собственици — подаване на актуализация | Подаване на промяна в действителната собственост в рамките на законоустановения 7-дневен срок. | От €100 |
| Оценка на риска от AML (базова) | Писмена оценка на риска от изпиране на пари/финансиране на тероризъм за стандартен български субект с нисък до среден риск — по вид клиент, географски регион и продукт. | От €400 |
| Програма за съответствие с AML (базова) | Пълна писмена програма за AML/CFT за стандартен задължен субект — политики, процедури за CDD, проверка за PEP, процедури за STR и политика за водене на документация. | От €800 |
| Програма за съответствие с AML (разширена) | Разширена AML програма за субекти с по-висок риск — VASP, финансови посредници или субекти със сложни клиентски профили или международна изложеност. | От €1 500 |
| Годишен преглед и актуализация на AML | Годишен преглед и актуализация на AML програмата — отразяващ регулаторни промени, промени в бизнес модела и указания от надзорния орган. | От €400/год. |
| Одит на съответствието с GDPR | Преглед на текущите дейности по обработка на данни на компанията и идентифициране на пропуски спрямо изискванията на GDPR. | От €500 |
| Пакет за съответствие с GDPR (базов) | Регистри на дейностите по обработка (ROPA), декларация за поверителност, политика за бисквитки и вътрешна политика за защита на данните за стандартна българска компания. | От €800 |
| Пакет за съответствие с GDPR (пълен) | Пълно внедряване на GDPR: ROPA, всички декларации за поверителност, шаблони за DPA, механизми за съгласие, процедура за реакция при пробив в данните и писмо за назначаване на DPO. | От €1 500 |
| Споразумение за обработка на данни (DPA) | Съответстващо на GDPR DPA между администратор и обработващ — обхващащо всички изисквания на чл. 28. | От €250 |
| Оценка на международните трансфери на данни | Оценка на трансграничните трансфери на данни и внедряване на подходящ механизъм за трансфер (SCC, адекватност, BCR). | От €400 |
| Външна услуга на DPO | Месечна външна функция на DPO — лице за контакт с КЗЛД, реакция при инциденти, запитвания от персонала и годишен преглед на съответствието. | От €200/мес. |
| Извънредни консултации по съответствие | Почасова консултация по конкретни въпроси относно AML, GDPR или регулаторно съответствие. | От €150/час |
Налични са пакети за годишен преглед и поддръжка на съответствието за клиенти, нуждаещи се от текуща подкрепа по AML и GDPR. Свържете се с нас за индивидуална оферта за годишен абонамент за съответствие.
Често задавани въпроси — съответствие, AML и GDPR
Да. Всеки регистриран български търговски субект — ООД, ЕООД, АД, СД, КД — трябва да регистрира своите действителни собственици в българския Търговски регистър. Това задължение се прилага независимо от бизнес дейността или размера на дружеството. Регистърът е публично достъпен. Неизпълнението на регистрацията носи санкции до 20 000 лв. за дружеството и 10 000 лв. за управителя лично. България за бизнес ДПК подава и поддържа регистрациите на действителните собственици за всички клиентски компании като стандартна услуга.
GDPR се прилага за всяка организация, която обработва лични данни на физически лица, намиращи се в ЕС — независимо от това дали самата организация е базирана в ЕС. Българско дружество, обработващо данни на български служители, клиенти или доставчици, подлежи на GDPR. Дори чисто вътрешна българска дейност, обработваща само данни на български жители, подлежи на GDPR, тъй като България е държава членка на ЕС. Българският надзорен орган е Комисията за защита на личните данни (КЗЛД).
GDPR предвижда два нива на административни санкции: до 10 милиона евро или 2% от глобалния годишен оборот (по-високото от двете) за по-леки нарушения; и до 20 милиона евро или 4% от глобалния годишен оборот за по-сериозни нарушения — включително незаконна обработка, нарушение на правата на субектите на данни и незаконни международни трансфери. Българската КЗЛД е налагала санкции на български субекти — прилагането значително се е увеличило от 2021 г. България за бизнес ДПК препоръчва внедряването на базово съответствие с GDPR като приоритет за всички клиентски компании.
Длъжностно лице по защита на данните (DPO) трябва да бъде назначено, когато: (1) компанията е публичен орган; (2) основните дейности се състоят от мащабно, редовно и системно наблюдение на физически лица; или (3) основните дейности включват мащабна обработка на специални категории данни. Повечето стандартни търговски дружества, доставчици на IT услуги и консултантски фирми не отговарят на тези прагове и не са задължени да назначават DPO. Много от тях обаче избират да назначат външен DPO доброволно като демонстрация на отчетност. Нашата услуга за външен DPO предоставя тази функция от €200/месец.
DPA е договор, изискван съгласно чл. 28 от GDPR, между „администратор“ (субекта, който определя целта и средствата на обработка) и „обработващ“ (трета страна, обработваща данни от името на администратора). Обичайни взаимоотношения с обработващи включват: доставчици на облачен хостинг, бюра за заплати, счетоводни къщи, доставчици на CRM софтуер и платформи за имейл маркетинг. Всяко такова взаимоотношение трябва да се урежда от съответстващо DPA. България за бизнес ДПК изготвя DPA от €250 на споразумение.
Трябва да оценявате пробива незабавно. Ако е вероятно пробивът да доведе до риск за правата и свободите на физическите лица, трябва да уведомите българската КЗЛД в срок от 72 часа от узнаването за пробива. Ако е вероятно пробивът да доведе до висок риск, трябва също да уведомите засегнатите лица без неоправдано забавяне. Неуведомяването в срок от 72 часа само по себе си е нарушение на GDPR, носещо потенциални санкции. България за бизнес ДПК предоставя подкрепа при реакция на пробиви като част от нашата услуга за съответствие с GDPR и функцията на външен DPO.
Физическо лице се счита за действителен собственик, ако пряко или непряко притежава или контролира повече от 25% от дяловете, правата на глас или други средства за контрол на български субект. Когато никое физическо лице не отговаря на този праг чрез пряка или непряка собственост, лицето, упражняващо контрол чрез други средства (напр. право да назначава по-голямата част от директорите), е действителният собственик. Когато не може да се идентифицира физическо лице, старшото управляващо длъжностно лице — обикновено управителят — се регистрира като действителен собственик.
Уредете съответствието си още днес
Безплатна първоначална оценка на съответствието за всички нови запитвания. Идентифицираме вашите задължения и предоставяме оферта с фиксиран хонорар за необходимата работа.
Действителни собственици от €150
AML програма от €800
GDPR пакет от €800
DPO от €200/мес.
AML програма от €800
GDPR пакет от €800
DPO от €200/мес.
България за бизнес ДПК — вашият доверен партньор за разширяване на бизнеса в България и Европейския съюз. Всички правни услуги се предоставят от адвокати, квалифицирани и вписани в българската адвокатура. Регулаторните изисквания са актуални към 2024–2025 г. и подлежат на законодателни промени. Този документ е само с обща информационна цел и не представлява правен съвет.