GDPR nõuab andmekaitsealast mõjuhinnangut igale töötlemistoimingule, mis võib põhjustada kõrge riski isikute õigustele ja vabadustele. SYAGA DPIA-Express struktureerib ja dokumenteerib teie mõjuhinnangu vastavalt artikli 35 metoodikale ja EAKN suunistele, ilma improviseerimise ja žargoonita.
Selgitada välja, kas teie töötlemistoiming vajab mõjuhinnangut, ja seejärel viia see läbi reeglipäraselt
Iga töötlemistoiming, mis võib põhjustada kõrge riski füüsiliste isikute õigustele ja vabadustele, peab enne rakendamist läbima andmekaitsealase mõjuhinnangu (GDPR, art. 35).
EAKN (endine G29, suunised WP248 rev.01) on määratlenud 9 kõrge riski kriteeriumi. Niipea kui töötlemistoiming vastab vähemalt kahele neist kriteeriumidest, tuleb põhimõtteliselt läbi viia mõjuhinnang: üks valesti tuvastatud element ja toimik on puudulik.
CNIL avaldab nimekirju töötlemistoimingutest, mille puhul mõjuhinnang on nõutav või ei ole nõutav. Teie töötlemistoimingu täpse asukoha kindlaksmääramine nõuab põhjalikku lugemist, mitte üldist muljet.
Mõjuhinnangu liiga kiire läbiviimine muudab selle järelevalveasutuse ees puudulikuks; selle läbiviimata jätmine, kui see on nõutav, seab organisatsiooni artikli 35 rikkumise ohtu. CNIL metoodika struktureerib selle valiku ja dokumenteerib selle.
GDPR artikli 35.7 poolt nõutav struktuur, rakendatud teie töötlemistoimingule, koos põhjendatud järeldusega igas etapis
Analüüs artikli 35.3 kolme juhtumi, EAKN 9 kriteeriumi maatriksi (WP248 rev.01) ja CNIL nõutavate/mittenõutavate töötlemistoimingute nimekirjade alusel. Põhjendatud järeldus, olenemata sellest, kas mõjuhinnang osutub lõpuks kohustuslikuks või mitte.
Eesmärgid, andmete ja puudutatud isikute kategooriad, vastuvõtjad, säilitamise tähtajad: artikli 35.7.a poolt nõutav täielik kaardistus, kooskõlas teie töötlemistoimingute registriga (art. 30).
Kontrollimine, kas iga kogutud andmeühik on eesmärgi saavutamiseks vajalik, kas õiguslik alus (art. 6) on iga töötlemistoimingu jaoks tuvastatud ning kas minimeerimispõhimõte (art. 5.1.c) on täidetud.
Iga tuvastatud riski kohta: raskusaste, tõenäosus, juba kehtestatud meetmed, jääkrisk, esitatud tabelina, mida teie juhtkond või andmekaitsespetsialist saab kasutada.
Kavandatud tehnilised ja korralduslikud meetmed (art. 32), põhjendatud järeldus ja vastutuse põhimõtte (art. 5.2) kohane dokumenteeritud põhjendus, mida saab kasutada CNIL kontrolli korral.
Struktureeritud, viidatud ja aus dokument selle kohta, mis jääb teie juristi või andmekaitsespetsialisti kinnitada
Täielik dokument artikli 35.7 (a-d) järgi, koos põhjendatud järeldusega.
Eelnev analüüs, mis otsustab, kas teie töötlemistoiming kuulub kohustuse kohaldamisalasse.
Mõjuhinnang tugineb samale alusele mis teie töötlemistoimingute register.
Iga ebaselge punkt on selgelt märgistatud, mitte kunagi teie eest otsustatud.
Iga õiguslik väide on viidatud, mitte mälu järgi väidetud.
Üleandmine muudetavas formaadis, mida teie andmekaitsespetsialist või jurist saab uuesti kasutada.
Metoodika, mis tugineb tekstidele ja ametiasutustele, mitte oma tõlgendustele
Andmekaitsealane mõjuhinnang. Määruse (EL) 2016/679 konsolideeritud tekst (EUR-Lex, CELEX 32016R0679).
EAKN (endine G29) 9 kõrge riski kriteeriumi, mida CNIL kasutab mõjuhinnangu kohustuse kindlakstegemise viitemetoodikana.
Nimekirjad töötlemistoimingutest, mille puhul mõjuhinnang on nõutav või ei ole nõutav, ning CNIL metoodika mõjuhinnangu läbiviimiseks.
Töötlemistoimingute register: kooskõla alus (eesmärgid, andmed, tähtajad), millele iga mõjuhinnang tugineb.
Ulatus sõltub töötlemistoimingute arvust, nende keerukusest ja sellest, mis on teil juba dokumenteeritud. Hinnapakkumine koostatakse pärast esimest vestlust.
Te ei tea, kas teie töötlemistoiming on puudutatud
Tuvastatud kõrge riskiga töötlemistoiming
Mitu kõrge riskiga töötlemistoimingut, mis vajavad katmist
Mõjuhinnang ei ole kunagi lõplik
GDPR artikkel 35.11 nõuab analüüsi ülevaatamist töötlemistoimingu olulise muutuse korral (uus volitatud töötleja, majutuse muutus, andmekogumise ulatuse laiendamine). Ülevaatuse hinnapakkumine koostatakse iga juhtumi kohta eraldi.
Mida tekst tegelikult ütleb, lihtsas keeles kokku võetud. Iga punkt säilitab lingi ametlikule dokumendile.
Mõjuhinnang on lihtsalt hindamistöö: vaadatakse riske, mida andmetöötlus isikutele kaasa toob, enne selle rakendamist. CNIL defineerib seda kui „formaalset protsessi isikuandmete töötlemisega seotud riskide hindamiseks". See ei ole veel üks haldusformaalsus, vaid terve mõistuse tööriist, mille GDPR teatud juhtudel kohustuslikuks muudab. Allikas: CNIL →
Ei pea olema suur ettevõte, et olla puudutatud. CNIL leiab, et mõjuhinnang on kohustuslik niipea, kui töötlemistoiming vastab vähemalt kahele neist üheksast olukorrast: isikute hindamine või skoorimine, automatiseeritud otsuse tegemine, millel on neile reaalne mõju, süstemaatiline jälgimine, tundlike andmete (tervis, päritolu jne) kogumine, suuremahuline kogumine, mitme andmebaasi ristamine, haavatavate isikute (töötajad, patsiendid, alaealised...) sihtimine, uue tehnoloogia kasutamine või kellegi õiguse või teenuse kasutamise takistamine. Allikas: CNIL →
Et vältida oletamist, on CNIL avaldanud kaks ametlikku nimekirja: nimekirja 14 töötlemistoimingu tüübist, kus mõjuhinnang on kohustuslik (terviseandmed, personali profileerimine, töötajate jälgimine, suuremahuline asukohapõhine jälgimine...), ning nimekirja 12 tüübist, kus see ei ole nõutav (palgaarvestus ja personalihaldus alla 250 töötajaga ettevõtetes ilma profileerimiseta, tarnijate haldus, üksiku tervishoiutöötaja patsiendifail...). Need nimekirjad ei kata kõiki juhtumeid, kuid vastavad juba paljudele levinud olukordadele. Allikas: CNIL nõutavate töötlemistoimingute nimekiri →
GDPR (artikkel 35) ei nõua romaani, vaid nelja täpset osa: kirjeldada töötlemistoimingut ja selle eesmärki, kontrollida, kas see on tõesti vajalik ja proportsionaalne, hinnata puudutatud isikute riske, seejärel loetleda kavandatud meetmed nende riskide vähendamiseks. Selge järeldus lõpus: kas töötlemistoiming on vastuvõetav ja millistel tingimustel. Allikas: GDPR, artikkel 35 →
Kui teie organisatsioon on määranud andmekaitsespetsialisti, nõuab GDPR temalt nõu küsimist mõjuhinnangu läbiviimisel ja tema ülesandeks tehakse kontrollida, et analüüs on nõuetekohaselt läbi viidud. See on kaitsemehhanism, mitte linnukest tegemiseks: andmekaitsespetsialist jääb õigeks refleksiks enne järelduse kinnitamist. Allikas: GDPR, artiklid 35 ja 39 →
Kui vaatamata kavandatud meetmetele kujutab töötlemistoiming endiselt isikutele kõrget riski, nõuab GDPR CNIL-iga konsulteerimist enne alustamist. Sellel on siis kaheksa nädalat aega kirjaliku arvamuse andmiseks (pikendatav kuue nädala võrra, kui toimik on keeruline). Rahustav teadmine: see juhtum jääb erandiks, mitte reegliks. Allikas: GDPR, artikkel 36 →
CNIL tuletab meelde, et GDPR trahvid võivad ulatuda kuni 10 miljoni euroni või 2%-ni aastasest ülemaailmsest käibest, olenevalt sellest, kumb on suurem. See on seaduslik ülempiir, mitte paratamatus: hästi läbi viidud mõjuhinnang on just see, mis võimaldab kontrolli korral näidata, et küsimust on tõsiselt võetud. Allikas: CNIL →
Euroopa Andmekaitsenõukogu (EAKN/EDPB) korraldas 14. aprillist 9. juunini 2026 avaliku konsultatsiooni ühtse mõjuhinnangu mudeli eelnõu kohta, mille eesmärk on ühtlustada tavasid Euroopa riikide vahel. Konsultatsioon on nüüd suletud; me jälgime selle projekti edasist käiku, et sellest õigel ajal oma kliente teavitada. Allikas: EDPB →
Enne kui mõelda, kuidas mõjuhinnangut koostada, tuleb teada, kas see üldse puudutab teid. Siin on täpne kohaldamisala, nagu selle määratlevad GDPR ja CNIL, ilma tarbetu pingeta.
GDPR ei sea mõjuhinnangu kohustusele mingit töötajate arvu piirmäära. Selle artikkel 35 kohustab „vastutavat töötlejat" seda analüüsi tegema, olenemata tema vormist (ühing, käsitööline, VKE, kohalik omavalitsus, suurkontsern), niipea kui töötlemine „võib tõenäoliselt kaasa tuua füüsiliste isikute õigustele ja vabadustele suure riski". Sagedane lõks, mida vältida: 250 töötaja piirmäär on GDPR-is tõesti olemas, kuid see puudutab osalist vabastust töötlemistoimingute registrist (artikkel 30), mitte mõjuhinnangut. 5 töötajaga ettevõte võib olla puudutatud; 2000 töötajaga kontsern võib mitte olla: kõik sõltub töötlemistoimingust, mitte kunagi organisatsiooni suurusest. Allikas: GDPR, artikkel 35 (CNIL avaldatud) →
Artikkel 35 käsitleb „vastutavat töötlejat" laias tähenduses: nii eraettevõtet kui ka ametiasutust, kohalikku omavalitsust, ühingut või tervishoiuasutust. Tekst näeb isegi selgesõnaliselt ette „avalikult juurdepääsetava ala ulatusliku süstemaatilise jälgimise" juhtumi, mis puudutab tüüpiliselt linnavalitsust või sotsiaalkorterite üürileandjat, kes paigaldab avalikule teele videovalve, mitte ainult äriettevõtet. Allikas: GDPR, artikkel 35, lõige 3 →
CNIL ja endine artikli 29 töörühm (praegune Euroopa Andmekaitsenõukogu, EDPB) on oma põhijuhistes (WP248) kehtestanud üheksa kriteeriumi. Niipea kui töötlemistoiming vastab vähemalt kahele neist, muutub mõjuhinnang kohustuslikuks: isikute hindamine või skoorimine, neid mõjutava automaatotsuse tegemine, süstemaatiline jälgimine, tundlike andmete töötlemine, suuremahuline töötlemine, andmebaaside ristamine, haavatavate isikute (töötajad, patsiendid, alaealised) sihtimine, uue tehnoloogia kasutamine või kellegi õiguse või lepingu kasutamise takistamine. Allikas: CNIL, G29/EDPB põhijuhised (WP248) →
Praktikas seob CNIL doktriin nende kriteeriumidega tüüpiliselt: arstikabinet või kliinik, kes töötleb tervishoiuandmeid suures mahus, personaliosakond, kes kasutab töötajate hindamise või profileerimise tööriista, ettevõte, kus on kasutusel pääsmed ja süstemaatiline videovalve avalikkusele avatud ruumides, krediidi- või inkassoasutus, kes teostab skoorimist, või tervisealane nutiseade, mis kogub eluviisi puudutavaid andmeid. Allikas: CNIL, 14 kohustusliku mõjuhinnanguga töötlemistoimingu nimekiri →
CNIL on avaldanud ka nimekirja 12 töötlemistoimingu tüübist, mille puhul mõjuhinnang EI ole nõutav: näiteks alla 250 töötajaga organisatsiooni palgaarvestus ja personalihaldus (ilma profileerimiseta), üksinda tegutseva tervishoiutöötaja patsiendifail või tarnijate igapäevane haldus. Rahustav teadmine paljudele mikroettevõtetele: töötajate või klientide olemasolu üksi ei käivita kohustust. Allikas: CNIL, 12 mõjuhinnanguta töötlemistoimingu nimekiri →
Ilma juristižargoonita: lihtsad vastused, millest igaüks tugineb ametlikule tekstile, millel see põhineb.
Kuupäevad, mis tegelikult loevad, koos allikatega, et teada, mis on juba täna kohustuslik ja mis on tulemas.
GDPR kehtib alates 25. maist 2018 kogu Euroopas. Mõjuhinnangu tegemise kohustus (artikkel 35), kaks CNIL nimekirja, mis ütlevad, millal see on kohustuslik või mitte, ning Euroopa põhijuhised, mis selgitavad selle läbiviimist: kõik see kehtib, on stabiilne ega sõltu ühestki tulevasest reformist. See on alus, millele saate juba praegu toetuda.
Euroopa Andmekaitsenõukogu (EDPB) töötab ühtse mõjuhinnangu mudeli kallal, et ühtlustada tavasid Euroopa riikide vahel. Selle projekti avalik konsultatsioon lõppes 9. juunil 2026; lõpliku mudeli avaldamise kuupäeva ei ole veel teada antud. Miski ei kohusta ootama: CNIL meetod jääb selle aja jooksul kehtima.
Euroopa Parlament ja nõukogu võtavad määruse 2016/679 vastu 27. aprillil 2016. See avaldatakse Euroopa Liidu Teatajas (ELT L119) 4. mail 2016 ning jõustub kakskümmend päeva hiljem, 24. mail 2016, ilma et see oleks veel kohaldatav. Allikas: EUR-Lex, määruse ametlik viide →
Kaks aastat pärast vastuvõtmist hakkab määrus lõpuks kohalduma kogu Euroopas (artikkel 99.2). Just sel päeval muutub artikli 35 mõjuhinnangu kohustus jõustatavaks ning Euroopa Andmekaitsenõukogu (EDPB) luuakse esimest korda, võttes üle juba koostatud mõjuhinnangu põhijuhised (WP248 rev.01). Allikas: EUR-Lex, määruse kirjeldus (artikkel 99) → Allikas: EDPB, ülevõetud põhijuhised →
Mõne kuu pärast GDPR-i kohaldamise algust võtab CNIL vastu oma otsuse nr 2018-327: konkreetse nimekirja 14 töötlemistoimingu tüübist (terviseandmed, personali profileerimine, töötajate jälgimine...), mille puhul tuleb mõjuhinnang alati läbi viia. Lõpp juhtumipõhisele oletamisele. Allikas: CNIL →
Aasta hiljem täiendab CNIL oma doktriini otsusega nr 2019-118: nimekiri töötlemistoimingutest, mille puhul mõjuhinnang EI ole nõutav (alla 250 töötaja palgaarvestus ilma profileerimiseta, tarnijate haldus, üksiku spetsialisti patsiendifail...). Mõlemad CNIL nimekirjad koos vastavad juba paljudele levinud olukordadele, ilma et peaksite ise otsustama. Allikas: CNIL →
EDPB pani avalikule konsultatsioonile ühise mõjuhinnangu mudeli eelnõu, mille eesmärk on ühtlustada tavasid Euroopa riikide vahel (praegu on igal riiklikul asutusel veidi oma vorm). Konsultatsioon on suletud alates 9. juunist 2026; see ei ole veel kohaldatav tekst, vaid alles läbivaatamisel olev eelnõu. Allikas: EDPB →
EDPB ise märgib, et mudel „vormistatakse lõplikult, arvestades asjakohaseid muudatusi", misjärel alustavad riiklikud asutused menetlusi selle vastuvõtmiseks ühtse mudelina või olemasolevate mudelitega (sealhulgas CNIL omaga) ühilduva „metamudelina". Praeguseks ei ole kuupäeva teada antud: me jälgime seda toimikut, et teavitada oma kliente niipea, kui midagi konkreetset on teada, ilma millegi ette näitamata. Allikas: EDPB →
Kes karistab, kui palju ja milliste kriteeriumide alusel. Ilma dramatiseerimata: valdav enamik juhtumeid ei ole seotud summadega, mis jõuavad suurtesse pealkirjadesse.
Sanktsioone määrab CNIL-i spetsialiseeritud organ, mis erineb kolleegiumist, mis igapäevaselt kontrollib ja nõustab. Sellel on kasutada mitmesuguseid astmelisi vahendeid, mitte ainult trahv: hoiatus, noomitus, ettekirjutus (koos rahalise sunnirahaga või ilma), korraldus, töötlemise ajutine või lõplik piiramine. Trahv on vaid selle astmestiku viimane pulk. Allikas: CNIL, määratud sanktsioonid →
GDPR (artikkel 83) kehtestab kaks ülempiiri, millest kohaldatakse suuremat: kuni 10 miljonit eurot või 2% ülemaailmsest käibest eelmise majandusaasta eest organisatsiooniliste kohustuste rikkumiste eest (turvalisus, register, andmekaitsespetsialist, mõjuhinnang...); kuni 20 miljonit eurot või 4% sisuliste põhimõtete rikkumiste eest (õiguslik alus, nõusolek, andmesubjektide õigused, andmeedastus väljapoole ELi). Need on ülempiirid, mitte automaatsed summad. Allikas: GDPR, artikkel 83 →
Artikkel 83.2 kohustab asutust arvesse võtma: rikkumise raskust ja kestust, tahtlust või lihtsalt hooletust, juba võetud meetmeid kahju piiramiseks, vastutuse ulatust, varasemaid rikkumisi, koostööd asutusega ning puudutatud andmete tundlikkust. Konkreetselt: organisatsiooni, kes on oma tegevuse dokumenteerinud (register, mõjuhinnang, turvameetmed) ja teeb koostööd, hinnatakse teisiti kui organisatsiooni, kes ei ole midagi teinud. Allikas: GDPR, artikkel 83.2 →
10. novembril 2022 määras CNIL kitsendatud koosseis Discordile 800 000 euro suuruse trahvi. Tuvastatud rikkumiste hulgas: liiga pikk säilitusaeg, turvapuudujääk ja GDPR-i artikli 35 rikkumine - mõjuhinnangu puudumine, kuigi suuremahuline ja alaealisi puudutav töötlemine seda nõudis. See on kõige otsesem näide seosest „dokumenteeritud mõjuhinnangu puudumise" ja määratud sanktsiooni vahel. Allikas: otsus SAN-2022-020, Légifrance →
Criteo'le määrati 15. juunil 2023 trahv summas 40 miljonit eurot, kuna ettevõte ei suutnud tõendada kehtivat nõusolekut reklaamiküpsiste kasutamiseks. Clearview AI'le määrati 17. oktoobril 2022 trahv summas 20 miljonit eurot fotode massilise kogumise eest ilma õigusliku aluseta. Need summad puudutavad väga suuremahulisi rahvusvahelisi töötlemistoiminguid, mitte oma tegevust dokumenteeriva VKE juhtumit. Allikas: otsus SAN-2023-009, Légifrance →
Samal CNIL ametlikul otsuseid loetleval lehel on suur osa avaldatud sanktsioonidest tuhandetes eurodes, mitte miljonites: reklaamiagentuurile määrati 3 000 euro suurune trahv, kahele arstile 3 000 ja 6 000 eurot, toidukohaletoimetamisteenusele 20 000 eurot. Sanktsioon on proportsionaalne suuruse ja raskusastmega, mitte ühetaoline karistus. Allikas: CNIL, määratud sanktsioonid →
Mida meeles pidada
Hästi läbi viidud mõjuhinnang ei tee organisatsiooni puutumatuks: see on tõend, mis kontrolli korral näitab, et küsimust on tõsiselt võetud. Just seda nõuab GDPR-i artikkel 83.2 arvesse võtta trahvi määramisel või määramata jätmisel.
Euroopas on igal riigil oma asutused. Siin on kõigi Euroopa Majanduspiirkonna 30 riigi jaoks andmekaitseasutus (teie GDPR-i kontaktpunkt) ja riiklik küberturvalisuse asutus. Iga nimi viitab ametlikule veebisaidile.
Allikad: asutuste ametlikud veebisaidid ja EDPB liikmete nimekiri (edpb.europa.eu), vaadatud 18. juulil 2026. Kinnitatud andmekaitseasutused: 30/30. Kinnitatud küberturvalisuse asutused: 28/30. Märked „à confirmer" tähistavad ametlikku allikat, mis ei ole tänaseks veel kinnitust leidnud.
Kirjeldage meile oma töötlemistoimingut, me võtame teiega ühendust personaalse hinnapakkumisega.
Tasuta: teie skoor + teie kõrvalekalded. Üksikasjalik aruanne ja tõend: 499 EUR käibemaksuta, ainult siis, kui te seda otsustate.
contact@syaga.eu Vaata uuesti CNIL metoodikat