Twoja DPIA według
metody opublikowanej przez CNIL
RODO nakłada obowiązek przeprowadzenia Oceny Skutków dla Ochrony Danych dla każdego przetwarzania mogącego powodować wysokie ryzyko dla praw i wolności osób fizycznych. SYAGA DPIA-Express strukturyzuje i dokumentuje Twoją DPIA według metodologii artykułu 35 i wytycznych EROD, bez improwizacji i bez żargonu.
Obowiązek
Ustalenie, czy Twoje przetwarzanie wymaga DPIA, a następnie przeprowadzenie jej zgodnie z zasadami
Artykuł 35 RODO nakłada obowiązek DPIA
Każde przetwarzanie mogące powodować wysokie ryzyko dla praw i wolności osób fizycznych musi zostać poddane Ocenie Skutków dla Ochrony Danych przed jego wdrożeniem (RODO, art. 35).
Zasada CNIL „2 kryteria z 9”
EROD (dawniej G29, wytyczne WP248 rev.01) zdefiniowała 9 kryteriów wysokiego ryzyka. Gdy przetwarzanie spełnia co najmniej dwa z tych kryteriów, DPIA co do zasady musi zostać przeprowadzona: jeden źle zidentyfikowany element, a dokumentacja jest niekompletna.
Listy CNIL do skonfrontowania artykuł po artykule
CNIL (francuski organ ds. ochrony danych) publikuje listy przetwarzań, dla których DPIA jest wymagana lub nie jest wymagana. Ustalenie, gdzie dokładnie sytuuje się Twoje przetwarzanie, wymaga rygorystycznej lektury, nie ogólnego wrażenia.
Bez metody ryzyko jest podwójne
Przeprowadzenie DPIA zbyt pobieżnie naraża na niekompletność wobec organu nadzorczego; nieprzeprowadzenie jej, gdy jest wymagana, naraża organizację na naruszenie artykułu 35. Metoda CNIL strukturyzuje ten wybór i go dokumentuje.
Metoda: DPIA-Express
Struktura narzucona przez artykuł 35.7 RODO, zastosowana do Twojego przetwarzania, z uzasadnionym wnioskiem na każdym etapie
Czy Twoje przetwarzanie naprawdę podlega DPIA?
Analiza względem 3 przypadków artykułu 35.3, siatki 9 kryteriów EROD (WP248 rev.01) i list CNIL przetwarzań wymaganych lub niewymaganych. Uzasadniony wniosek, niezależnie od tego, czy DPIA jest ostatecznie obowiązkowa czy nie.
Systematyczny opis przetwarzania
Cele, kategorie danych i osób, których dane dotyczą, odbiorcy, okresy przechowywania: kompletne mapowanie wymagane przez artykuł 35.7.a, spójne z Twoim rejestrem czynności przetwarzania (art. 30).
Niezbędność i proporcjonalność
Weryfikacja, że każda zbierana dana jest niezbędna do realizacji celu, że podstawa prawna (art. 6) jest zidentyfikowana dla każdego przetwarzania oraz że zasada minimalizacji (art. 5.1.c) jest przestrzegana.
Ocena ryzyk dla osób
Dla każdego zidentyfikowanego ryzyka: dotkliwość, prawdopodobieństwo, już wdrożone środki, ryzyko rezydualne, przedstawione w formie tabeli użytecznej dla Twojego kierownictwa lub IOD.
Środki i udokumentowany wniosek
Rozważane środki techniczne i organizacyjne (art. 32), uzasadniony wniosek i udokumentowane uzasadnienie w ramach rozliczalności (art. 5.2), gotowe do wykorzystania w razie kontroli CNIL.
Co otrzymujesz
Ustrukturyzowany, opatrzony źródłami dokument, uczciwie wskazujący, co pozostaje do zatwierdzenia przez Twojego prawnika lub IOD
Ustrukturyzowany raport DPIA
Kompletny dokument zgodny z artykułem 35.7 (a-d), z uzasadnionym wnioskiem.
- Systematyczny opis przetwarzania
- Analiza niezbędności i proporcjonalności
- Tabela ryzyk (dotkliwość/prawdopodobieństwo/środki)
- Wniosek i udokumentowane uzasadnienie (art. 5.2)
Siatka ustalenia obowiązku
Wstępna analiza rozstrzygająca, czy Twoje przetwarzanie wchodzi w zakres obowiązku.
- 3 przypadki artykułu 35.3
- 9 kryteriów EROD (WP248 rev.01)
- Konfrontacja z listami CNIL
- Uzasadniony i udokumentowany wniosek
Spójność z rejestrem art. 30
DPIA opiera się na tej samej podstawie co Twój rejestr czynności przetwarzania.
- Cele i podstawy prawne
- Kategorie danych i osób
- Odbiorcy i podmioty przetwarzające
- Okresy przechowywania wg kategorii
Punkty do zatwierdzenia przez prawnika/IOD
Każdy punkt niepewności jest wyraźnie zaznaczony, nigdy nie rozstrzygamy go za Ciebie.
- Kwalifikacja administrator / podmiot przetwarzający
- Podstawy prawne dla każdego celu
- Zidentyfikowane transfery poza UE
- Wyznaczenie IOD (art. 37), jeśli dotyczy
Źródła i identyfikowalność
Każde twierdzenie prawne jest opatrzone źródłem, nie podawane z pamięci.
- Skonsolidowany tekst RODO (CELEX 32016R0679)
- Strony i listy CNIL (DPIA, rejestr)
- Wytyczne EROD (WP248 rev.01)
- Weryfikowalne adresy URL cytowane w dokumencie
Dokument edytowalny
Dostarczony w formacie edytowalnym, wielokrotnego użytku przez Twojego IOD lub prawnika.
- Struktura zgodna z artykułem 35.7
- Wielokrotnego użytku dla przyszłych przetwarzań
- Gotowy do uzupełnienia przed ostatecznym zatwierdzeniem
- Bez narzuconego sztywnego formatowania
Wykorzystane referencje
Metoda oparta na przepisach i organach, nie na własnych interpretacjach
RODO - Artykuł 35
Ocena skutków dla ochrony danych. Skonsolidowany tekst Rozporządzenia (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
Wytyczne WP248 rev.01
9 kryteriów wysokiego ryzyka EROD (dawniej G29), przyjętych przez CNIL jako metoda referencyjna do ustalenia obowiązku DPIA.
Listy i metoda CNIL
Listy przetwarzań, dla których DPIA jest wymagana lub niewymagana, oraz metoda CNIL prowadzenia oceny skutków.
RODO - Artykuł 30
Rejestr czynności przetwarzania: podstawa spójności (cele, dane, okresy), na której opiera się każda DPIA.
DPIA na miarę, bez ukrytych cen
Zakres zależy od liczby przetwarzań, ich złożoności i tego, co jest już udokumentowane u Ciebie. Wycena ustalana po wstępnej rozmowie.
Oferta skierowana wyłącznie do przedsiębiorców i organizacji, nie do konsumentów.
Ustalenie obowiązku
Nie wiesz, czy Twoje przetwarzanie jest objęte obowiązkiem
- Siatka 9 kryteriów EROD
- Konfrontacja z artykułem 35.3
- Weryfikacja list CNIL
- Uzasadniony i udokumentowany wniosek
Pełna DPIA
Przetwarzanie zidentyfikowane jako wysokiego ryzyka
- Wszystko z Ustalenia obowiązku +
- Systematyczny opis (art. 35.7.a)
- Niezbędność i proporcjonalność (35.7.b)
- Analiza ryzyk (35.7.c)
- Rozważane środki (35.7.d)
- Punkty wskazane dla Twojego prawnika/IOD
Program wieloletni
Kilka przetwarzań ryzykownych do objęcia
- Wszystko z Pełnej DPIA +
- Wspólne ramy metodologiczne
- Okresowy przegląd (art. 35.11)
- Spójność utrzymana z rejestrem (art. 30)
DPIA nigdy nie jest ustalona raz na zawsze
Artykuł 35.11 RODO nakłada obowiązek ponownego zbadania analizy w przypadku istotnej zmiany przetwarzania (nowy podmiot przetwarzający, zmiana hostingu, rozszerzenie zakresu zbierania danych). Wycena przeglądu jest ustalana indywidualnie.
Najczęściej zadawane pytania
Monitoring regulacyjny - źródła oficjalne
To, co naprawdę mówi przepis, streszczone prostym językiem. Każdy punkt zachowuje link do dokumentu oficjalnego.
Czym jest DPIA, mówiąc wprost?
DPIA to po prostu praca oceniająca: patrzymy na ryzyka, jakie przetwarzanie danych stwarza dla osób, zanim je wdrożymy. CNIL definiuje ją jako "formalny proces pozwalający ocenić ryzyka związane z przetwarzaniem danych osobowych". To nie kolejna formalność administracyjna, to narzędzie zdrowego rozsądku, uczynione obowiązkowym przez RODO w niektórych przypadkach. Źródło: CNIL →
Kogo naprawdę dotyczy: zasada „2 kryteriów z 9”
Nie trzeba być dużym przedsiębiorstwem, aby być objętym obowiązkiem. CNIL uważa, że DPIA jest obowiązkowa, gdy przetwarzanie spełnia co najmniej dwie z dziewięciu sytuacji: ocenianie lub punktowanie osób, podejmowanie zautomatyzowanej decyzji mającej realny wpływ na nie, systematyczne ich monitorowanie, zbieranie danych wrażliwych (zdrowie, pochodzenie itd.), zbieranie na dużą skalę, krzyżowanie kilku baz danych, dotyczenie osób wrażliwych (pracownicy, pacjenci, małoletni...), wykorzystywanie nowej technologii, lub pozbawianie kogoś prawa lub usługi. Źródło: CNIL →
Dwie listy CNIL, które często odpowiadają za Ciebie
Aby uniknąć zgadywania, CNIL opublikowała dwie oficjalne listy: listę 14 typów przetwarzań, gdzie DPIA jest obowiązkowa (dane zdrowotne, profilowanie HR, monitorowanie pracowników, geolokalizacja na dużą skalę...), oraz listę 12 typów, gdzie nie jest wymagana (płace i zarządzanie personelem poniżej 250 pracowników bez profilowania, zarządzanie dostawcami, dokumentacja pacjenta pojedynczego pracownika ochrony zdrowia...). Listy te nie obejmują wszystkich przypadków, ale odpowiadają już na wiele typowych sytuacji. Źródło: lista CNIL przetwarzań wymaganych →
Co analiza naprawdę musi zawierać
RODO (artykuł 35) nie wymaga powieści, lecz czterech precyzyjnych elementów: opisać przetwarzanie i jego cel, sprawdzić, czy jest naprawdę niezbędne i proporcjonalne, ocenić ryzyka dla osób, których dane dotyczą, a następnie wymienić przewidziane środki dla zmniejszenia tych ryzyk. Na końcu jasny wniosek: czy przetwarzanie jest akceptowalne, i na jakich warunkach. Źródło: RODO, artykuł 35 →
Rola Twojego IOD (jeśli go masz)
Jeśli Twoja organizacja wyznaczyła Inspektora Ochrony Danych, RODO nakazuje zasięgnąć jego opinii przy przeprowadzaniu DPIA i zlecić mu weryfikację, że analiza została rzeczywiście wykonana. To zabezpieczenie, nie pole do odhaczenia: IOD pozostaje właściwym punktem odniesienia przed zatwierdzeniem wniosku. Źródło: RODO, artykuły 35 i 39 →
A jeśli ryzyko pozostaje wysokie po analizie?
Jeśli mimo przewidzianych środków przetwarzanie nadal stwarza wysokie ryzyko dla osób, RODO nakazuje skonsultować się z CNIL przed rozpoczęciem. Ma ona wtedy osiem tygodni na wydanie pisemnej opinii (możliwe przedłużenie o sześć tygodni, jeśli sprawa jest złożona). Uspokajający fakt: ten przypadek pozostaje wyjątkiem, nie regułą. Źródło: RODO, artykuł 36 →
Sankcje, bez dramatyzowania
CNIL przypomina, że kary RODO mogą sięgać do 10 milionów euro lub 2% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. To pułap prawny, nie fatalizm: dobrze przeprowadzona DPIA jest właśnie tym, co pozwala pokazać, w razie kontroli, że kwestia została potraktowana poważnie. Źródło: CNIL →
Aktualność europejska do śledzenia
Europejska Rada Ochrony Danych (EROD/EDPB) poddała pod konsultacje publiczne, od 14 kwietnia do 9 czerwca 2026, projekt jednolitego wzorca DPIA mającego zharmonizować praktyki między krajami europejskimi. Konsultacje są już zamknięte; śledzimy dalsze losy tego projektu, aby poinformować o nich naszych klientów w odpowiednim czasie. Źródło: EDPB →
Kogo naprawdę dotyczy obowiązek DPIA?
Zanim dowiesz się, jak przeprowadzić DPIA, trzeba wiedzieć, czy w ogóle Cię to dotyczy. Oto dokładny zakres, tak jak definiują go RODO i CNIL, bez zbędnego napięcia.
Jedyne liczące się kryterium: ryzyko, nie wielkość
RODO nie ustala żadnego progu liczby pracowników dla obowiązku DPIA. Jego artykuł 35 nakłada ten obowiązek na "administratora danych", niezależnie od jego formy (stowarzyszenie, rzemieślnik, MŚP, jednostka samorządowa, duża grupa), gdy tylko przetwarzanie "może powodować wysokie ryzyko dla praw i wolności osób fizycznych". Częsta pułapka do uniknięcia: próg 250 pracowników rzeczywiście istnieje w RODO, ale dotyczy częściowego zwolnienia z prowadzenia rejestru czynności przetwarzania (artykuł 30), a nie DPIA. Firma zatrudniająca 5 osób może być objęta obowiązkiem; grupa licząca 2000 pracowników może nim nie być: wszystko zależy od przetwarzania, nigdy od wielkości struktury. Źródło: RODO, artykuł 35 (przytoczony przez CNIL) →
Publiczny czy prywatny: nikt nie jest wyłączony z zakresu
Artykuł 35 dotyczy "administratora danych" w szerokim znaczeniu: zarówno firmy prywatnej, jak i administracji publicznej, jednostki samorządu terytorialnego, stowarzyszenia czy placówki ochrony zdrowia. Tekst przewiduje nawet wprost przypadek "systematycznego monitorowania na dużą skalę obszaru dostępnego publicznie", który typowo dotyczy urzędu miasta lub instytucji społecznego budownictwa mieszkaniowego instalującej monitoring wizyjny w przestrzeni publicznej, a nie tylko przedsiębiorstwa komercyjnego. Źródło: RODO, artykuł 35, ustęp 3 →
Konkretny wyzwalacz: 2 kryteria z 9
CNIL oraz dawna grupa robocza z artykułu 29 (przekształcona w Europejską Radę Ochrony Danych, EDPB) ustaliły dziewięć kryteriów w swoich referencyjnych wytycznych (WP248). Gdy przetwarzanie spełnia co najmniej dwa z nich, DPIA staje się obowiązkowa: ocenianie lub punktowanie osób, podejmowanie zautomatyzowanej decyzji mającej na nie realny wpływ, systematyczne ich monitorowanie, przetwarzanie danych wrażliwych, przetwarzanie na dużą skalę, krzyżowanie zbiorów danych, dotyczenie osób wrażliwych (pracownicy, pacjenci, małoletni), wykorzystywanie nowej technologii lub pozbawianie kogoś prawa bądź umowy. Źródło: CNIL, wytyczne G29/EDPB (WP248) →
Konkretne przykłady objętych profili
W praktyce doktryna CNIL zalicza do tych kryteriów typowo: gabinet lekarski lub klinikę przetwarzającą dane zdrowotne na dużą skalę, dział HR korzystający z narzędzia oceniania lub profilowania pracowników, firmę wyposażoną w system identyfikatorów i systematyczny monitoring wizyjny swoich pomieszczeń dostępnych publicznie, instytucję kredytową lub windykacyjną stosującą scoring, bądź urządzenie zdrowotne typu connected object zbierające dane o nawykach życiowych. Źródło: CNIL, lista 14 przetwarzań z obowiązkową DPIA →
A jeśli mnie to nie dotyczy, skąd to wiedzieć?
CNIL opublikowała również listę 12 typów przetwarzań, dla których DPIA NIE jest wymagana: na przykład płace i zarządzanie personelem organizacji zatrudniającej mniej niż 250 pracowników (bez profilowania), dokumentacja pacjenta prowadzona przez samodzielnie praktykującego pracownika ochrony zdrowia, czy bieżące zarządzanie dostawcami. Uspokajająca wiadomość dla wielu mikroprzedsiębiorstw: samo posiadanie pracowników lub klientów nie wystarczy, by uruchomić ten obowiązek. Źródło: CNIL, lista 12 przetwarzań bez DPIA →
Pytania, które naprawdę zadaje sobie osoba zarządzająca firmą w sprawie DPIA
Bez prawniczego żargonu: proste odpowiedzi, każda oparta na oficjalnym tekście, który ją uzasadnia.
Kalendarium DPIA, jasno i przejrzyście
Daty, które naprawdę się liczą, opatrzone źródłami, aby wiedzieć, co jest już dziś obowiązkowe, a co dopiero nadchodzi.
Już obowiązuje dzisiaj
RODO obowiązuje od 25 maja 2018 roku, w całej Europie. Obowiązek przeprowadzenia DPIA (artykuł 35), obie listy CNIL wskazujące, kiedy jest ona obowiązkowa lub nie, oraz europejskie wytyczne wyjaśniające, jak ją przeprowadzić: wszystko to obowiązuje, jest stabilne i nie zależy od żadnej nadchodzącej reformy. To podstawa, na której możesz oprzeć się już teraz.
Do śledzenia, jeszcze nie ustalone
Europejska Rada Ochrony Danych (EROD) pracuje nad jednolitym wzorcem DPIA, mającym zharmonizować praktyki między krajami europejskimi. Konsultacje publiczne w sprawie tego projektu zakończyły się 9 czerwca 2026 roku; data publikacji ostatecznego wzorca nie została jeszcze podana. Nic nie zmusza do czekania: metoda CNIL pozostaje w tym czasie ważna.
RODO zostaje przyjęte, a następnie opublikowane w Dzienniku Urzędowym UE
Parlament Europejski i Rada przyjmują rozporządzenie 2016/679 27 kwietnia 2016 roku. Zostaje ono opublikowane w Dzienniku Urzędowym Unii Europejskiej (Dz.U. L119) 4 maja 2016 roku, a następnie wchodzi w życie dwadzieścia dni później, 24 maja 2016 roku, choć nie jest jeszcze stosowane. Źródło: EUR-Lex, oficjalne odniesienie do rozporządzenia →
RODO staje się stosowane: DPIA staje się prawdziwym obowiązkiem
Dwa lata po jego przyjęciu rozporządzenie zaczyna wreszcie obowiązywać w całej Europie (artykuł 99.2). To właśnie tego dnia obowiązek DPIA z artykułu 35 staje się prawnie wiążący, a Europejska Rada Ochrony Danych (EROD) zostaje po raz pierwszy ustanowiona, przejmując wytyczne dotyczące DPIA opracowane wcześniej (WP248 rev.01). Źródło: EUR-Lex, karta rozporządzenia (artykuł 99) → Źródło: EROD, przejęte wytyczne →
CNIL publikuje swoją listę 14 przetwarzań, w których DPIA jest obowiązkowa
Kilka miesięcy po wejściu w stosowanie RODO, CNIL przyjmuje uchwałę nr 2018-327: konkretną listę 14 typów przetwarzań (dane zdrowotne, profilowanie HR, monitorowanie pracowników...), dla których DPIA musi być systematycznie przeprowadzana. Koniec zgadywania od przypadku do przypadku. Źródło: CNIL →
CNIL publikuje listę odwrotną: kiedy DPIA nie jest konieczna
Rok później CNIL uzupełnia swoją doktrynę uchwałą nr 2019-118: listą przetwarzań, dla których DPIA NIE jest wymagana (płace poniżej 250 pracowników bez profilowania, zarządzanie dostawcami, dokumentacja pacjenta samodzielnie praktykującego specjalisty...). Obie listy CNIL razem odpowiadają już na wiele typowych sytuacji bez konieczności samodzielnego rozstrzygania. Źródło: CNIL →
EROD prowadzi konsultacje w sprawie jednolitego europejskiego wzorca DPIA
EROD poddała pod konsultacje publiczne projekt wspólnego wzorca DPIA, mający na celu zharmonizowanie praktyk między krajami europejskimi (dziś każdy organ krajowy ma nieco własną siatkę). Konsultacje są zamknięte od 9 czerwca 2026 roku; to jeszcze nie obowiązujący tekst, a jedynie projekt w trakcie rozpatrywania. Źródło: EROD →
Finalizacja wzorca EROD, bez znanego terminu
Sama EROD wskazuje, że wzorzec "zostanie sfinalizowany, z zastrzeżeniem odpowiednich zmian", po czym organy krajowe rozpoczną działania mające na celu przyjęcie go jako jednolitego wzorca lub jako "meta-wzorca" zgodnego z już istniejącymi wzorcami (w tym z wzorcem CNIL). Do dziś nie podano żadnej daty: śledzimy tę sprawę, aby poinformować naszych klientów, gdy tylko pojawią się konkrety, bez wyprzedzającego zakładania czegokolwiek. Źródło: EROD →
Sankcje RODO, jasno i przejrzyście
Kto nakłada sankcje, w jakiej wysokości i na jakich kryteriach. Bez dramatyzowania: zdecydowana większość spraw nie ma nic wspólnego z kwotami trafiającymi na pierwsze strony gazet.
Kto decyduje we Francji: izba orzekająca CNIL (formation restreinte)
To wyspecjalizowany organ CNIL, odrębny od kolegium, które na co dzień kontroluje i doradza, wydaje sankcje. Dysponuje kilkoma stopniowanymi narzędziami, nie tylko karą pieniężną: upomnienie, ostrzeżenie, wezwanie do usunięcia naruszeń (z okresową karą finansową lub bez), nakaz, czasowe lub trwałe ograniczenie przetwarzania. Kara pieniężna to jedynie ostatni szczebel tej drabiny. Źródło: CNIL, wydane sankcje →
Dwa prawne pułapy, nie jedna kwota
RODO (artykuł 83) ustala dwa pułapy, przy czym stosuje się ten wyższy: do 10 milionów euro lub 2% światowego obrotu z poprzedniego roku obrotowego za naruszenia obowiązków organizacyjnych (bezpieczeństwo, rejestr, IOD, ocena skutków...); do 20 milionów euro lub 4% za naruszenia zasad merytorycznych (podstawa prawna, zgoda, prawa osób, transfery poza UE). To pułapy, nie automatyczne kwoty. Źródło: RODO, artykuł 83 →
Jak naprawdę ustala się kwotę
Artykuł 83.2 nakłada na organ obowiązek uwzględnienia: wagi i czasu trwania naruszenia, umyślnego charakteru lub zwykłego zaniedbania, środków już podjętych w celu ograniczenia szkody, stopnia odpowiedzialności, wcześniejszych naruszeń, współpracy z organem oraz wrażliwości danych, których dotyczy sprawa. Konkretnie: organizacja, która udokumentowała swoje działania (rejestr, DPIA, środki bezpieczeństwa) i współpracuje, jest oceniana inaczej niż ta, która nic nie zrobiła. Źródło: RODO, artykuł 83.2 →
Rzeczywisty przypadek, w którym brak DPIA miał znaczenie: Discord
10 listopada 2022 roku izba orzekająca CNIL nałożyła karę w wysokości 800 000 euro na Discord. Wśród stwierdzonych naruszeń: nadmierny okres przechowywania danych, brak zabezpieczeń, a także naruszenie artykułu 35 RODO, czyli brak oceny skutków, mimo że przetwarzanie, prowadzone na dużą skalę i dotyczące małoletnich, jej wymagało. To najbardziej bezpośredni przykład związku między "brakiem udokumentowanej DPIA" a nałożoną sankcją. Źródło: uchwała SAN-2022-020, Légifrance →
Duże kwoty istnieją, ale pozostają rzadkością
Criteo zostało ukarane kwotą 40 milionów euro 15 czerwca 2023 roku, ponieważ nie zdołało wykazać ważnej zgody na umieszczanie reklamowych plików cookie. Clearview AI zostało ukarane kwotą 20 milionów euro 17 października 2022 roku za masowe zbieranie zdjęć bez podstawy prawnej. Te kwoty dotyczą międzynarodowych przetwarzań na bardzo dużą skalę, a nie przypadku MŚP, które dokumentuje swoje działania. Źródło: uchwała SAN-2023-009, Légifrance →
Rzeczywistość większości spraw CNIL
Na tej samej oficjalnej stronie CNIL zawierającej listę uchwał, znaczna część publikowanych sankcji liczona jest w tysiącach euro, a nie w milionach: agencja reklamowa ukarana kwotą 3 000 euro, dwóch lekarzy odpowiednio kwotami 3 000 i 6 000 euro, serwis dostawy posiłków kwotą 20 000 euro. Sankcja jest proporcjonalna do wielkości i wagi naruszenia, a nie jednolitym cięciem topora. Źródło: CNIL, wydane sankcje →
Co warto zapamiętać
Dobrze przeprowadzona DPIA nie czyni organizacji nietykalną: stanowi dowód, w razie kontroli, że temat został potraktowany poważnie. To dokładnie to, co artykuł 83.2 RODO nakazuje uwzględnić przy ustalaniu (lub nieustalaniu) kary.
Twój organ nadzorczy, w zależności od kraju
W Europie każdy kraj ma własne organy. Poniżej, dla 30 krajów Europejskiego Obszaru Gospodarczego, znajdziesz organ ochrony danych (Twój punkt kontaktowy w sprawach RODO) oraz krajowy organ ds. cyberbezpieczeństwa. Każda nazwa prowadzi do strony oficjalnej.
Źródła: oficjalne strony organów oraz lista członków EDPB (edpb.europa.eu), sprawdzone 18 lipca 2026 roku. Potwierdzone organy ochrony danych: 30/30. Potwierdzone organy ds. cyberbezpieczeństwa: 28/30. Oznaczenia „do potwierdzenia" wskazują na źródło oficjalne, które na dziś nie jest ustabilizowane.
Gotowy, by udokumentować swoją DPIA?
Opisz nam swoje przetwarzanie, wrócimy do Ciebie ze spersonalizowaną wyceną.