Teie mõjuhinnang
CNIL avaldatud metoodika järgi
GDPR nõuab andmekaitsealast mõjuhinnangut igale töötlemistoimingule, mis võib põhjustada kõrge riski isikute õigustele ja vabadustele. SYAGA DPIA-Express struktureerib ja dokumenteerib teie mõjuhinnangu vastavalt artikli 35 metoodikale ja EAKN suunistele, ilma improviseerimise ja žargoonita.
Kohustus
Selgitada välja, kas teie töötlemistoiming vajab mõjuhinnangut, ja seejärel viia see läbi reeglipäraselt
GDPR artikkel 35 nõuab mõjuhinnangut
Iga töötlemistoiming, mis võib põhjustada kõrge riski füüsiliste isikute õigustele ja vabadustele, peab enne rakendamist läbima andmekaitsealase mõjuhinnangu (GDPR, art. 35).
CNIL reegel „2 kriteeriumi 9-st"
EAKN (endine G29, suunised WP248 rev.01) on määratlenud 9 kõrge riski kriteeriumi. Niipea kui töötlemistoiming vastab vähemalt kahele neist kriteeriumidest, tuleb põhimõtteliselt läbi viia mõjuhinnang: üks valesti tuvastatud element ja toimik on puudulik.
CNIL nimekirjad, mida tuleb võrrelda artikkel artikli haaval
CNIL avaldab nimekirju töötlemistoimingutest, mille puhul mõjuhinnang on nõutav või ei ole nõutav. Teie töötlemistoimingu täpse asukoha kindlaksmääramine nõuab põhjalikku lugemist, mitte üldist muljet.
Ilma metoodikata on risk kahekordne
Mõjuhinnangu liiga kiire läbiviimine muudab selle järelevalveasutuse ees puudulikuks; selle läbiviimata jätmine, kui see on nõutav, seab organisatsiooni artikli 35 rikkumise ohtu. CNIL metoodika struktureerib selle valiku ja dokumenteerib selle.
Metoodika: DPIA-Express
GDPR artikli 35.7 poolt nõutav struktuur, rakendatud teie töötlemistoimingule, koos põhjendatud järeldusega igas etapis
Kas teie töötlemistoiming tõesti vajab mõjuhinnangut?
Analüüs artikli 35.3 kolme juhtumi, EAKN 9 kriteeriumi maatriksi (WP248 rev.01) ja CNIL nõutavate/mittenõutavate töötlemistoimingute nimekirjade alusel. Põhjendatud järeldus, olenemata sellest, kas mõjuhinnang osutub lõpuks kohustuslikuks või mitte.
Töötlemistoimingu süstemaatiline kirjeldus
Eesmärgid, andmete ja puudutatud isikute kategooriad, vastuvõtjad, säilitamise tähtajad: artikli 35.7.a poolt nõutav täielik kaardistus, kooskõlas teie töötlemistoimingute registriga (art. 30).
Vajalikkus ja proportsionaalsus
Kontrollimine, kas iga kogutud andmeühik on eesmärgi saavutamiseks vajalik, kas õiguslik alus (art. 6) on iga töötlemistoimingu jaoks tuvastatud ning kas minimeerimispõhimõte (art. 5.1.c) on täidetud.
Isikutele avalduvate riskide hindamine
Iga tuvastatud riski kohta: raskusaste, tõenäosus, juba kehtestatud meetmed, jääkrisk, esitatud tabelina, mida teie juhtkond või andmekaitsespetsialist saab kasutada.
Meetmed ja dokumenteeritud järeldus
Kavandatud tehnilised ja korralduslikud meetmed (art. 32), põhjendatud järeldus ja vastutuse põhimõtte (art. 5.2) kohane dokumenteeritud põhjendus, mida saab kasutada CNIL kontrolli korral.
Mida te saate
Struktureeritud, viidatud ja aus dokument selle kohta, mis jääb teie juristi või andmekaitsespetsialisti kinnitada
Struktureeritud mõjuhinnangu raport
Täielik dokument artikli 35.7 (a-d) järgi, koos põhjendatud järeldusega.
- Töötlemistoimingu süstemaatiline kirjeldus
- Vajalikkuse ja proportsionaalsuse analüüs
- Riskide tabel (raskusaste/tõenäosus/meetmed)
- Järeldus ja dokumenteeritud põhjendus (art. 5.2)
Kindlakstegemise maatriks
Eelnev analüüs, mis otsustab, kas teie töötlemistoiming kuulub kohustuse kohaldamisalasse.
- Artikli 35.3 kolm juhtumit
- EAKN 9 kriteeriumi (WP248 rev.01)
- Võrdlus CNIL nimekirjadega
- Põhjendatud ja viidatud järeldus
Kooskõla registriga (art. 30)
Mõjuhinnang tugineb samale alusele mis teie töötlemistoimingute register.
- Eesmärgid ja õiguslikud alused
- Andmete ja isikute kategooriad
- Vastuvõtjad ja volitatud töötlejad
- Säilitamise tähtajad kategooria kaupa
Punktid teie juristi/DPO kinnitamiseks
Iga ebaselge punkt on selgelt märgistatud, mitte kunagi teie eest otsustatud.
- Vastutava töötleja / volitatud töötleja määratlus
- Õiguslikud alused eesmärkide kaupa
- Tuvastatud EL-välised andmeedastused
- Andmekaitsespetsialisti määramine (art. 37), vajaduse korral
Allikad ja jälgitavus
Iga õiguslik väide on viidatud, mitte mälu järgi väidetud.
- GDPR konsolideeritud tekst (CELEX 32016R0679)
- CNIL lehed ja nimekirjad (mõjuhinnang, register)
- EAKN suunised (WP248 rev.01)
- Dokumendis viidatud kontrollitavad URL-id
Muudetav dokument
Üleandmine muudetavas formaadis, mida teie andmekaitsespetsialist või jurist saab uuesti kasutada.
- Artikliga 35.7 vastavuses olev struktuur
- Korduvkasutatav teie tulevaste töötlemistoimingute jaoks
- Valmis täiendamiseks enne lõplikku kinnitamist
- Ei mingit jäika kohustuslikku vormingut
Kasutatud viited
Metoodika, mis tugineb tekstidele ja ametiasutustele, mitte oma tõlgendustele
GDPR - artikkel 35
Andmekaitsealane mõjuhinnang. Määruse (EL) 2016/679 konsolideeritud tekst (EUR-Lex, CELEX 32016R0679).
Suunised WP248 rev.01
EAKN (endine G29) 9 kõrge riski kriteeriumi, mida CNIL kasutab mõjuhinnangu kohustuse kindlakstegemise viitemetoodikana.
CNIL nimekirjad ja metoodika (prantsuse amet)
Nimekirjad töötlemistoimingutest, mille puhul mõjuhinnang on nõutav või ei ole nõutav, ning CNIL metoodika mõjuhinnangu läbiviimiseks.
GDPR - artikkel 30
Töötlemistoimingute register: kooskõla alus (eesmärgid, andmed, tähtajad), millele iga mõjuhinnang tugineb.
Kohandatud mõjuhinnang, ilma varjatud hinnata
Ulatus sõltub töötlemistoimingute arvust, nende keerukusest ja sellest, mis on teil juba dokumenteeritud. Hinnapakkumine koostatakse pärast esimest vestlust.
Pakkumine on mõeldud ainult äriklientidele (ettevõtetele ja organisatsioonidele), mitte tarbijatele.
Kohustuse kindlakstegemine
Te ei tea, kas teie töötlemistoiming on puudutatud
- EAKN 9 kriteeriumi maatriks
- Võrdlus artikliga 35.3
- CNIL nimekirjade kontrollimine
- Põhjendatud ja viidatud järeldus
Täielik mõjuhinnang
Tuvastatud kõrge riskiga töötlemistoiming
- Kõik Kohustuse kindlakstegemine +
- Süstemaatiline kirjeldus (art. 35.7.a)
- Vajalikkus ja proportsionaalsus (35.7.b)
- Riskianalüüs (35.7.c)
- Kavandatud meetmed (35.7.d)
- Loetletud punktid teie juristile/DPO-le
Mitmeaastane programm
Mitu kõrge riskiga töötlemistoimingut, mis vajavad katmist
- Kõik Täielik mõjuhinnang +
- Ühine metoodikaraamistik
- Perioodiline ülevaatus (art. 35.11)
- Kooskõla säilitamine registriga (art. 30)
Mõjuhinnang ei ole kunagi lõplik
GDPR artikkel 35.11 nõuab analüüsi ülevaatamist töötlemistoimingu olulise muutuse korral (uus volitatud töötleja, majutuse muutus, andmekogumise ulatuse laiendamine). Ülevaatuse hinnapakkumine koostatakse iga juhtumi kohta eraldi.
Korduma kippuvad küsimused
Õigusaktide jälgimine - ametlikud allikad
Mida tekst tegelikult ütleb, lihtsas keeles kokku võetud. Iga punkt säilitab lingi ametlikule dokumendile.
Mis on mõjuhinnang, lihtsalt öeldes?
Mõjuhinnang on lihtsalt hindamistöö: vaadatakse riske, mida andmetöötlus isikutele kaasa toob, enne selle rakendamist. CNIL defineerib seda kui „formaalset protsessi isikuandmete töötlemisega seotud riskide hindamiseks". See ei ole veel üks haldusformaalsus, vaid terve mõistuse tööriist, mille GDPR teatud juhtudel kohustuslikuks muudab. Allikas: CNIL →
Keda see tegelikult puudutab: reegel „2 kriteeriumi 9-st"
Ei pea olema suur ettevõte, et olla puudutatud. CNIL leiab, et mõjuhinnang on kohustuslik niipea, kui töötlemistoiming vastab vähemalt kahele neist üheksast olukorrast: isikute hindamine või skoorimine, automatiseeritud otsuse tegemine, millel on neile reaalne mõju, süstemaatiline jälgimine, tundlike andmete (tervis, päritolu jne) kogumine, suuremahuline kogumine, mitme andmebaasi ristamine, haavatavate isikute (töötajad, patsiendid, alaealised...) sihtimine, uue tehnoloogia kasutamine või kellegi õiguse või teenuse kasutamise takistamine. Allikas: CNIL →
Kaks CNIL nimekirja, mis sageli vastavad teie eest
Et vältida oletamist, on CNIL avaldanud kaks ametlikku nimekirja: nimekirja 14 töötlemistoimingu tüübist, kus mõjuhinnang on kohustuslik (terviseandmed, personali profileerimine, töötajate jälgimine, suuremahuline asukohapõhine jälgimine...), ning nimekirja 12 tüübist, kus see ei ole nõutav (palgaarvestus ja personalihaldus alla 250 töötajaga ettevõtetes ilma profileerimiseta, tarnijate haldus, üksiku tervishoiutöötaja patsiendifail...). Need nimekirjad ei kata kõiki juhtumeid, kuid vastavad juba paljudele levinud olukordadele. Allikas: CNIL nõutavate töötlemistoimingute nimekiri →
Mida analüüs tegelikult peab sisaldama
GDPR (artikkel 35) ei nõua romaani, vaid nelja täpset osa: kirjeldada töötlemistoimingut ja selle eesmärki, kontrollida, kas see on tõesti vajalik ja proportsionaalne, hinnata puudutatud isikute riske, seejärel loetleda kavandatud meetmed nende riskide vähendamiseks. Selge järeldus lõpus: kas töötlemistoiming on vastuvõetav ja millistel tingimustel. Allikas: GDPR, artikkel 35 →
Teie andmekaitsespetsialisti roll (kui teil on selline)
Kui teie organisatsioon on määranud andmekaitsespetsialisti, nõuab GDPR temalt nõu küsimist mõjuhinnangu läbiviimisel ja tema ülesandeks tehakse kontrollida, et analüüs on nõuetekohaselt läbi viidud. See on kaitsemehhanism, mitte linnukest tegemiseks: andmekaitsespetsialist jääb õigeks refleksiks enne järelduse kinnitamist. Allikas: GDPR, artiklid 35 ja 39 →
Ja kui risk jääb pärast analüüsi kõrgeks?
Kui vaatamata kavandatud meetmetele kujutab töötlemistoiming endiselt isikutele kõrget riski, nõuab GDPR CNIL-iga konsulteerimist enne alustamist. Sellel on siis kaheksa nädalat aega kirjaliku arvamuse andmiseks (pikendatav kuue nädala võrra, kui toimik on keeruline). Rahustav teadmine: see juhtum jääb erandiks, mitte reegliks. Allikas: GDPR, artikkel 36 →
Sanktsioonid, ilma dramaatikata
CNIL tuletab meelde, et GDPR trahvid võivad ulatuda kuni 10 miljoni euroni või 2%-ni aastasest ülemaailmsest käibest, olenevalt sellest, kumb on suurem. See on seaduslik ülempiir, mitte paratamatus: hästi läbi viidud mõjuhinnang on just see, mis võimaldab kontrolli korral näidata, et küsimust on tõsiselt võetud. Allikas: CNIL →
Euroopa uudis, mida jälgida
Euroopa Andmekaitsenõukogu (EAKN/EDPB) korraldas 14. aprillist 9. juunini 2026 avaliku konsultatsiooni ühtse mõjuhinnangu mudeli eelnõu kohta, mille eesmärk on ühtlustada tavasid Euroopa riikide vahel. Konsultatsioon on nüüd suletud; me jälgime selle projekti edasist käiku, et sellest õigel ajal oma kliente teavitada. Allikas: EDPB →
Keda mõjuhinnang tegelikult puudutab?
Enne kui mõelda, kuidas mõjuhinnangut koostada, tuleb teada, kas see üldse puudutab teid. Siin on täpne kohaldamisala, nagu selle määratlevad GDPR ja CNIL, ilma tarbetu pingeta.
Ainus oluline kriteerium: risk, mitte suurus
GDPR ei sea mõjuhinnangu kohustusele mingit töötajate arvu piirmäära. Selle artikkel 35 kohustab „vastutavat töötlejat" seda analüüsi tegema, olenemata tema vormist (ühing, käsitööline, VKE, kohalik omavalitsus, suurkontsern), niipea kui töötlemine „võib tõenäoliselt kaasa tuua füüsiliste isikute õigustele ja vabadustele suure riski". Sagedane lõks, mida vältida: 250 töötaja piirmäär on GDPR-is tõesti olemas, kuid see puudutab osalist vabastust töötlemistoimingute registrist (artikkel 30), mitte mõjuhinnangut. 5 töötajaga ettevõte võib olla puudutatud; 2000 töötajaga kontsern võib mitte olla: kõik sõltub töötlemistoimingust, mitte kunagi organisatsiooni suurusest. Allikas: GDPR, artikkel 35 (CNIL avaldatud) →
Avalik või era: keegi ei jää kohaldamisalast välja
Artikkel 35 käsitleb „vastutavat töötlejat" laias tähenduses: nii eraettevõtet kui ka ametiasutust, kohalikku omavalitsust, ühingut või tervishoiuasutust. Tekst näeb isegi selgesõnaliselt ette „avalikult juurdepääsetava ala ulatusliku süstemaatilise jälgimise" juhtumi, mis puudutab tüüpiliselt linnavalitsust või sotsiaalkorterite üürileandjat, kes paigaldab avalikule teele videovalve, mitte ainult äriettevõtet. Allikas: GDPR, artikkel 35, lõige 3 →
Konkreetne käivitaja: 2 kriteeriumi 9-st
CNIL ja endine artikli 29 töörühm (praegune Euroopa Andmekaitsenõukogu, EDPB) on oma põhijuhistes (WP248) kehtestanud üheksa kriteeriumi. Niipea kui töötlemistoiming vastab vähemalt kahele neist, muutub mõjuhinnang kohustuslikuks: isikute hindamine või skoorimine, neid mõjutava automaatotsuse tegemine, süstemaatiline jälgimine, tundlike andmete töötlemine, suuremahuline töötlemine, andmebaaside ristamine, haavatavate isikute (töötajad, patsiendid, alaealised) sihtimine, uue tehnoloogia kasutamine või kellegi õiguse või lepingu kasutamise takistamine. Allikas: CNIL, G29/EDPB põhijuhised (WP248) →
Konkreetsed näited puudutatud profiilidest
Praktikas seob CNIL doktriin nende kriteeriumidega tüüpiliselt: arstikabinet või kliinik, kes töötleb tervishoiuandmeid suures mahus, personaliosakond, kes kasutab töötajate hindamise või profileerimise tööriista, ettevõte, kus on kasutusel pääsmed ja süstemaatiline videovalve avalikkusele avatud ruumides, krediidi- või inkassoasutus, kes teostab skoorimist, või tervisealane nutiseade, mis kogub eluviisi puudutavaid andmeid. Allikas: CNIL, 14 kohustusliku mõjuhinnanguga töötlemistoimingu nimekiri →
Ja kui see mind ei puuduta, kuidas seda teada saada?
CNIL on avaldanud ka nimekirja 12 töötlemistoimingu tüübist, mille puhul mõjuhinnang EI ole nõutav: näiteks alla 250 töötajaga organisatsiooni palgaarvestus ja personalihaldus (ilma profileerimiseta), üksinda tegutseva tervishoiutöötaja patsiendifail või tarnijate igapäevane haldus. Rahustav teadmine paljudele mikroettevõtetele: töötajate või klientide olemasolu üksi ei käivita kohustust. Allikas: CNIL, 12 mõjuhinnanguta töötlemistoimingu nimekiri →
Küsimused, mida juht mõjuhinnangu kohta tegelikult esitab
Ilma juristižargoonita: lihtsad vastused, millest igaüks tugineb ametlikule tekstile, millel see põhineb.
Mõjuhinnangu ajakava, selgelt lahti seletatud
Kuupäevad, mis tegelikult loevad, koos allikatega, et teada, mis on juba täna kohustuslik ja mis on tulemas.
Juba täna kehtiv
GDPR kehtib alates 25. maist 2018 kogu Euroopas. Mõjuhinnangu tegemise kohustus (artikkel 35), kaks CNIL nimekirja, mis ütlevad, millal see on kohustuslik või mitte, ning Euroopa põhijuhised, mis selgitavad selle läbiviimist: kõik see kehtib, on stabiilne ega sõltu ühestki tulevasest reformist. See on alus, millele saate juba praegu toetuda.
Jälgimist vajav, veel mitte lukustatud
Euroopa Andmekaitsenõukogu (EDPB) töötab ühtse mõjuhinnangu mudeli kallal, et ühtlustada tavasid Euroopa riikide vahel. Selle projekti avalik konsultatsioon lõppes 9. juunil 2026; lõpliku mudeli avaldamise kuupäeva ei ole veel teada antud. Miski ei kohusta ootama: CNIL meetod jääb selle aja jooksul kehtima.
GDPR võetakse vastu ja avaldatakse seejärel EL Teatajas
Euroopa Parlament ja nõukogu võtavad määruse 2016/679 vastu 27. aprillil 2016. See avaldatakse Euroopa Liidu Teatajas (ELT L119) 4. mail 2016 ning jõustub kakskümmend päeva hiljem, 24. mail 2016, ilma et see oleks veel kohaldatav. Allikas: EUR-Lex, määruse ametlik viide →
GDPR muutub kohaldatavaks: mõjuhinnang muutub tõeliseks kohustuseks
Kaks aastat pärast vastuvõtmist hakkab määrus lõpuks kohalduma kogu Euroopas (artikkel 99.2). Just sel päeval muutub artikli 35 mõjuhinnangu kohustus jõustatavaks ning Euroopa Andmekaitsenõukogu (EDPB) luuakse esimest korda, võttes üle juba koostatud mõjuhinnangu põhijuhised (WP248 rev.01). Allikas: EUR-Lex, määruse kirjeldus (artikkel 99) → Allikas: EDPB, ülevõetud põhijuhised →
CNIL avaldab oma nimekirja 14 töötlemistoimingust, kus mõjuhinnang on kohustuslik
Mõne kuu pärast GDPR-i kohaldamise algust võtab CNIL vastu oma otsuse nr 2018-327: konkreetse nimekirja 14 töötlemistoimingu tüübist (terviseandmed, personali profileerimine, töötajate jälgimine...), mille puhul tuleb mõjuhinnang alati läbi viia. Lõpp juhtumipõhisele oletamisele. Allikas: CNIL →
CNIL avaldab vastupidise nimekirja: millal mõjuhinnang ei ole vajalik
Aasta hiljem täiendab CNIL oma doktriini otsusega nr 2019-118: nimekiri töötlemistoimingutest, mille puhul mõjuhinnang EI ole nõutav (alla 250 töötaja palgaarvestus ilma profileerimiseta, tarnijate haldus, üksiku spetsialisti patsiendifail...). Mõlemad CNIL nimekirjad koos vastavad juba paljudele levinud olukordadele, ilma et peaksite ise otsustama. Allikas: CNIL →
EDPB konsulteerib ühtse Euroopa mõjuhinnangu mudeli üle
EDPB pani avalikule konsultatsioonile ühise mõjuhinnangu mudeli eelnõu, mille eesmärk on ühtlustada tavasid Euroopa riikide vahel (praegu on igal riiklikul asutusel veidi oma vorm). Konsultatsioon on suletud alates 9. juunist 2026; see ei ole veel kohaldatav tekst, vaid alles läbivaatamisel olev eelnõu. Allikas: EDPB →
EDPB mudeli lõplik vormistamine, teadmata tähtajaga
EDPB ise märgib, et mudel „vormistatakse lõplikult, arvestades asjakohaseid muudatusi", misjärel alustavad riiklikud asutused menetlusi selle vastuvõtmiseks ühtse mudelina või olemasolevate mudelitega (sealhulgas CNIL omaga) ühilduva „metamudelina". Praeguseks ei ole kuupäeva teada antud: me jälgime seda toimikut, et teavitada oma kliente niipea, kui midagi konkreetset on teada, ilma millegi ette näitamata. Allikas: EDPB →
GDPR sanktsioonid, selgelt lahti seletatud
Kes karistab, kui palju ja milliste kriteeriumide alusel. Ilma dramatiseerimata: valdav enamik juhtumeid ei ole seotud summadega, mis jõuavad suurtesse pealkirjadesse.
Kes otsustab Prantsusmaal: CNIL kitsendatud koosseis
Sanktsioone määrab CNIL-i spetsialiseeritud organ, mis erineb kolleegiumist, mis igapäevaselt kontrollib ja nõustab. Sellel on kasutada mitmesuguseid astmelisi vahendeid, mitte ainult trahv: hoiatus, noomitus, ettekirjutus (koos rahalise sunnirahaga või ilma), korraldus, töötlemise ajutine või lõplik piiramine. Trahv on vaid selle astmestiku viimane pulk. Allikas: CNIL, määratud sanktsioonid →
Kaks seaduslikku ülempiiri, mitte üks kindel summa
GDPR (artikkel 83) kehtestab kaks ülempiiri, millest kohaldatakse suuremat: kuni 10 miljonit eurot või 2% ülemaailmsest käibest eelmise majandusaasta eest organisatsiooniliste kohustuste rikkumiste eest (turvalisus, register, andmekaitsespetsialist, mõjuhinnang...); kuni 20 miljonit eurot või 4% sisuliste põhimõtete rikkumiste eest (õiguslik alus, nõusolek, andmesubjektide õigused, andmeedastus väljapoole ELi). Need on ülempiirid, mitte automaatsed summad. Allikas: GDPR, artikkel 83 →
Kuidas summa tegelikult kindlaks määratakse
Artikkel 83.2 kohustab asutust arvesse võtma: rikkumise raskust ja kestust, tahtlust või lihtsalt hooletust, juba võetud meetmeid kahju piiramiseks, vastutuse ulatust, varasemaid rikkumisi, koostööd asutusega ning puudutatud andmete tundlikkust. Konkreetselt: organisatsiooni, kes on oma tegevuse dokumenteerinud (register, mõjuhinnang, turvameetmed) ja teeb koostööd, hinnatakse teisiti kui organisatsiooni, kes ei ole midagi teinud. Allikas: GDPR, artikkel 83.2 →
Reaalne juhtum, kus mõjuhinnangu puudumine oli määrav: Discord
10. novembril 2022 määras CNIL kitsendatud koosseis Discordile 800 000 euro suuruse trahvi. Tuvastatud rikkumiste hulgas: liiga pikk säilitusaeg, turvapuudujääk ja GDPR-i artikli 35 rikkumine - mõjuhinnangu puudumine, kuigi suuremahuline ja alaealisi puudutav töötlemine seda nõudis. See on kõige otsesem näide seosest „dokumenteeritud mõjuhinnangu puudumise" ja määratud sanktsiooni vahel. Allikas: otsus SAN-2022-020, Légifrance →
Suured summad on olemas, kuid jäävad haruldaseks
Criteo'le määrati 15. juunil 2023 trahv summas 40 miljonit eurot, kuna ettevõte ei suutnud tõendada kehtivat nõusolekut reklaamiküpsiste kasutamiseks. Clearview AI'le määrati 17. oktoobril 2022 trahv summas 20 miljonit eurot fotode massilise kogumise eest ilma õigusliku aluseta. Need summad puudutavad väga suuremahulisi rahvusvahelisi töötlemistoiminguid, mitte oma tegevust dokumenteeriva VKE juhtumit. Allikas: otsus SAN-2023-009, Légifrance →
Enamiku CNIL juhtumite tegelikkus
Samal CNIL ametlikul otsuseid loetleval lehel on suur osa avaldatud sanktsioonidest tuhandetes eurodes, mitte miljonites: reklaamiagentuurile määrati 3 000 euro suurune trahv, kahele arstile 3 000 ja 6 000 eurot, toidukohaletoimetamisteenusele 20 000 eurot. Sanktsioon on proportsionaalne suuruse ja raskusastmega, mitte ühetaoline karistus. Allikas: CNIL, määratud sanktsioonid →
Mida meeles pidada
Hästi läbi viidud mõjuhinnang ei tee organisatsiooni puutumatuks: see on tõend, mis kontrolli korral näitab, et küsimust on tõsiselt võetud. Just seda nõuab GDPR-i artikkel 83.2 arvesse võtta trahvi määramisel või määramata jätmisel.
Teie järelevalveasutus, vastavalt teie riigile
Euroopas on igal riigil oma asutused. Siin on kõigi Euroopa Majanduspiirkonna 30 riigi jaoks andmekaitseasutus (teie GDPR-i kontaktpunkt) ja riiklik küberturvalisuse asutus. Iga nimi viitab ametlikule veebisaidile.
Allikad: asutuste ametlikud veebisaidid ja EDPB liikmete nimekiri (edpb.europa.eu), vaadatud 18. juulil 2026. Kinnitatud andmekaitseasutused: 30/30. Kinnitatud küberturvalisuse asutused: 28/30. Märked „à confirmer" tähistavad ametlikku allikat, mis ei ole tänaseks veel kinnitust leidnud.
Valmis oma mõjuhinnangut dokumenteerima?
Kirjeldage meile oma töötlemistoimingut, me võtame teiega ühendust personaalse hinnapakkumisega.