Vaša ocena učinka po
metodi, ki jo je objavil CNIL
GDPR nalaga izvedbo ocene učinka na varstvo podatkov za vsako obdelavo, ki lahko povzroči veliko tveganje za pravice in svoboščine posameznikov. SYAGA DPIA-Express strukturira in dokumentira vašo oceno učinka po metodologiji člena 35 in smernicah EOVP, brez improvizacije in brez žargona.
Obveznost
Ugotoviti, ali mora biti za vašo obdelavo izvedena ocena učinka, in jo nato izvesti po pravilih
Člen 35 GDPR nalaga oceno učinka
Za vsako obdelavo, ki lahko povzroči veliko tveganje za pravice in svoboščine fizičnih oseb, je treba pred njeno uvedbo izvesti oceno učinka na varstvo podatkov (GDPR, čl. 35).
Pravilo CNIL »2 merili od 9«
EOVP (nekdanja skupina G29, smernice WP248 rev.01) je opredelil 9 meril visokega tveganja. Takoj ko obdelava izpolnjuje vsaj dve od teh meril, je treba načeloma izvesti oceno učinka: en sam napačno opredeljen element in dokumentacija je nepopolna.
Sezname CNIL je treba preveriti člen za členom
CNIL objavlja sezname obdelav, za katere je ocena učinka zahtevana ali ni zahtevana. Natančna umestitev vaše obdelave zahteva natančno branje, ne pa splošnega vtisa.
Brez metode je tveganje dvojno
Prehitro izvedena ocena učinka je izpostavljena nepopolnosti pred nadzornim organom; njena neizvedba, kadar je zahtevana, izpostavlja organizacijo kršitvi člena 35. Metoda CNIL to odločitev strukturira in dokumentira.
Metoda: DPIA-Express
Struktura, ki jo nalaga člen 35.7 GDPR, uporabljena za vašo obdelavo, z utemeljenim zaključkom pri vsakem koraku
Ali je za vašo obdelavo res potrebna ocena učinka?
Analiza glede na 3 primere iz člena 35.3, mrežo 9 meril EOVP (WP248 rev.01) in sezname CNIL zahtevanih ali nezahtevanih obdelav. Utemeljen zaključek, ne glede na to, ali je ocena učinka na koncu obvezna ali ne.
Sistematičen opis obdelave
Nameni, kategorije podatkov in zadevnih oseb, prejemniki, roki hrambe: popoln zemljevid, ki ga zahteva člen 35.7.a, usklajen z vašo evidenco dejavnosti obdelave (čl. 30).
Nujnost in sorazmernost
Preverjanje, da je vsak zbrani podatek potreben za zasledovani namen, da je pravna podlaga (čl. 6) opredeljena za vsako obdelavo, in da je upoštevano načelo minimizacije (čl. 5.1.c).
Ocena tveganj za posameznike
Za vsako prepoznano tveganje: resnost, verjetnost, že uvedeni ukrepi, preostalo tveganje, predstavljeno v obliki tabele, ki jo lahko uporabi vaše vodstvo ali vaš DPO.
Ukrepi in dokumentiran zaključek
Predvideni tehnični in organizacijski ukrepi (čl. 32), utemeljen zaključek in dokumentirana utemeljitev v skladu z načelom odgovornosti (čl. 5.2), uporabna v primeru nadzora CNIL.
Kaj prejmete
Strukturiran, virovan dokument, ki pošteno navaja, kaj mora še potrditi vaš pravnik ali DPO
Strukturirano poročilo ocene učinka
Popoln dokument po členu 35.7 (a do d), z utemeljenim zaključkom.
- Sistematičen opis obdelave
- Analiza nujnosti in sorazmernosti
- Tabela tveganj (resnost/verjetnost/ukrepi)
- Zaključek in dokumentirana utemeljitev (čl. 5.2)
Mreža za ugotavljanje obveznosti
Predhodna analiza, ki odloči, ali vaša obdelava spada v okvir obveznosti.
- 3 primeri iz člena 35.3
- 9 meril EOVP (WP248 rev.01)
- Primerjava s seznami CNIL
- Utemeljen in virovan zaključek
Skladnost z evidenco iz čl. 30
Ocena učinka temelji na isti osnovi kot vaša evidenca dejavnosti obdelave.
- Nameni in pravne podlage
- Kategorije podatkov in oseb
- Prejemniki in obdelovalci
- Roki hrambe po kategorijah
Točke za potrditev s strani pravnika/DPO
Vsaka negotova točka je izrecno označena, nikoli ni odločena namesto vas.
- Opredelitev upravljavec / obdelovalec
- Pravne podlage po namenu
- Prepoznani prenosi izven EU
- Imenovanje DPO (čl. 37), če je potrebno
Viri in sledljivost
Vsaka pravna trditev je virovana, ne navedena na pamet.
- Prečiščeno besedilo GDPR (CELEX 32016R0679)
- Strani in seznami CNIL (ocena učinka, evidenca)
- Smernice EOVP (WP248 rev.01)
- Preverljivi URL-ji, navedeni v dokumentu
Urejevalni dokument
Predan v urejevalni obliki, ki jo lahko ponovno uporabi vaš DPO ali pravnik.
- Struktura, skladna s členom 35.7
- Ponovno uporabljiv za vaše prihodnje obdelave
- Pripravljen za dopolnitev pred končno potrditvijo
- Brez vsiljene fiksne oblike
Uporabljeni viri
Metoda, ki temelji na besedilih in organih, ne na lastnih razlagah
GDPR - Člen 35
Ocena učinka na varstvo podatkov. Prečiščeno besedilo Uredbe (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
Smernice WP248 rev.01
9 meril visokega tveganja EOVP (nekdanja skupina G29), ki jih je CNIL povzel kot referenčno metodo za ugotavljanje obveznosti ocene učinka.
Seznami in metoda CNIL
Seznami obdelav, za katere je ocena učinka zahtevana ali ni zahtevana, in metoda CNIL za izvedbo ocene učinka.
GDPR - Člen 30
Evidenca dejavnosti obdelave: osnova skladnosti (nameni, podatki, roki), na kateri temelji vsaka ocena učinka.
Ocena učinka po meri, brez skritih cen
Obseg je odvisen od števila obdelav, njihove zapletenosti in tega, kar je pri vas že dokumentirano. Ponudba se pripravi po uvodnem pogovoru.
Ponudba je namenjena samo poslovnim uporabnikom (podjetjem in organizacijam), ne potrošnikom.
Ugotavljanje obveznosti
Ne veste, ali vaša obdelava spada med zadevne
- Mreža 9 meril EOVP
- Primerjava s členom 35.3
- Preverjanje seznamov CNIL
- Utemeljen in virovan zaključek
Popolna ocena učinka
Prepoznana obdelava z visokim tveganjem
- Vse iz paketa Ugotavljanje obveznosti +
- Sistematičen opis (čl. 35.7.a)
- Nujnost in sorazmernost (35.7.b)
- Analiza tveganj (35.7.c)
- Predvideni ukrepi (35.7.d)
- Točke, navedene za vašega pravnika/DPO
Večletni program
Več tveganih obdelav za pokritje
- Vse iz paketa Popolna ocena učinka +
- Skupen metodološki okvir
- Periodičen ponovni pregled (čl. 35.11)
- Ohranjena skladnost z evidenco (čl. 30)
Ocena učinka nikoli ni dokončna
Člen 35.11 GDPR nalaga ponovni pregled analize v primeru pomembne spremembe obdelave (nov obdelovalec, sprememba gostovanja, razširitev obsega zbiranja). Ponudba za ponovni pregled se pripravi za vsak primer posebej.
Pogosta vprašanja
Regulativni pregled - uradni viri
Kaj besedilo res pravi, povzeto v preprostem jeziku. Vsaka točka ohranja povezavo na uradni dokument.
Kaj je ocena učinka, preprosto povedano?
Ocena učinka je preprosto delo vrednotenja: pogleda se tveganja, ki jih obdelava podatkov predstavlja za posameznike, preden se jo uvede. CNIL jo opredeljuje kot »formalni postopek za ocenjevanje tveganj, povezanih z obdelavo osebnih podatkov«. To ni le še ena upravna formalnost, temveč orodje zdrave pameti, ki ga GDPR v določenih primerih nalaga. Vir: CNIL (francoski organ) →
Koga to res zadeva: pravilo »2 merili od 9«
Ni treba biti veliko podjetje, da bi bili zavezanec. CNIL šteje, da je ocena učinka obvezna, takoj ko obdelava izpolnjuje vsaj dve od naslednjih devetih situacij: ocenjevanje ali vrednotenje oseb, sprejemanje avtomatizirane odločitve, ki ima nanje resničen učinek, njihovo sistematično spremljanje, zbiranje občutljivih podatkov (zdravje, izvor itd.), zbiranje v velikem obsegu, povezovanje več baz podatkov, ciljanje na ranljive osebe (zaposlene, paciente, mladoletnike ...), uporaba nove tehnologije, ali odvzem nekomu pravice ali storitve. Vir: CNIL (francoski organ) →
Dva seznama CNIL, ki pogosto odgovorita namesto vas
Da bi se izognil ugibanju, je CNIL objavil dva uradna seznama: seznam 14 vrst obdelav, pri katerih je ocena učinka obvezna (zdravstveni podatki, kadrovsko profiliranje, nadzor zaposlenih, geolokacija v velikem obsegu ...), in seznam 12 vrst obdelav, kjer ni zahtevana (plače in upravljanje kadrov pri manj kot 250 zaposlenih brez profiliranja, upravljanje dobaviteljev, kartoteka pacienta pri samostojnem zdravstvenem delavcu ...). Ta seznama ne pokrivata vseh primerov, vendar že odgovarjata na veliko pogostih situacij. Vir: seznam CNIL zahtevanih obdelav →
Kaj mora analiza res vsebovati
GDPR (člen 35) ne zahteva romana, temveč štiri natančne sestavne dele: opisati obdelavo in njen namen, preveriti, ali je res nujna in sorazmerna, oceniti tveganja za zadevne osebe, nato pa navesti predvidene ukrepe za zmanjšanje teh tveganj. Na koncu jasen zaključek: ali je obdelava sprejemljiva, in pod kakšnimi pogoji. Vir: GDPR, člen 35 →
Vloga vašega DPO (če ga imate)
Če je vaša organizacija imenovala pooblaščenca za varstvo podatkov, GDPR nalaga, da ga zaprosite za nasvet ob izvedbi ocene učinka in da ga zadolžite za preverjanje, ali je bila analiza res izvedena. To je varovalka, ne kljukica: DPO ostaja pravi refleks pred potrditvijo zaključka. Vir: GDPR, člena 35 in 39 →
Kaj pa, če tveganje po analizi ostane visoko?
Če kljub predvidenim ukrepom obdelava še vedno predstavlja visoko tveganje za posameznike, GDPR nalaga posvetovanje s CNIL pred začetkom. Ta ima nato osem tednov časa za podajo pisnega mnenja (podaljšljivo za šest tednov, če je dokumentacija zapletena). Pomirjujoče je vedeti, da ta primer ostaja izjema, ne pravilo. Vir: GDPR, člen 36 →
Sankcije, brez pretiravanja
CNIL opozarja, da lahko globe po GDPR dosežejo do 10 milijonov evrov ali 2 % svetovnega letnega prometa, glede na višji znesek. To je zakonska zgornja meja, ne usoda: dobro izvedena ocena učinka je prav to, kar omogoča, da se v primeru nadzora dokaže, da je bilo vprašanje vzeto resno. Vir: CNIL (francoski organ) →
Evropska novost, ki jo velja spremljati
Evropski odbor za varstvo podatkov (EOVP/EDPB) je od 14. aprila do 9. junija 2026 izvedel javno posvetovanje o osnutku enotne predloge ocene učinka, namenjene uskladitvi praks med evropskimi državami. Posvetovanje je zdaj zaključeno; spremljamo nadaljnji razvoj tega projekta, da o njem obvestimo naše stranke, ko bo čas za to. Vir: EDPB →
Koga ocena učinka resnično zadeva?
Preden veste, kako izvesti oceno učinka, morate vedeti, ali ste zavezanec. Tukaj je natančen obseg, kot ga opredeljujeta GDPR in CNIL, brez nepotrebnega ugibanja.
Edino merilo, ki šteje: tveganje, ne velikost
GDPR ne določa nobenega praga glede števila zaposlenih za obveznost ocene učinka. Njegov člen 35 to analizo nalaga »upravljavcu obdelave«, ne glede na njegovo obliko (društvo, obrtnik, MSP, javna skupnost, velika skupina), takoj ko obdelava »lahko povzroči visoko tveganje za pravice in svoboščine fizičnih oseb«. Pogosta past, ki se ji je treba izogniti: prag 250 zaposlenih v GDPR res obstaja, vendar se nanaša na delno oprostitev evidence obdelav (člen 30), ne na oceno učinka. Podjetje s 5 zaposlenimi je lahko zavezanec; skupina z 2000 zaposlenimi morda ni: vse je odvisno od obdelave, nikoli od velikosti organizacije. Vir: GDPR, člen 35 (povzet po CNIL) →
Javno ali zasebno: nihče ni izvzet iz obsega
Člen 35 zajema »upravljavca obdelave« v širšem pomenu: zasebno podjetje, upravni organ, lokalno skupnost, društvo ali zdravstveno ustanovo. Besedilo izrecno predvideva celo primer »sistematičnega obsežnega nadzora javno dostopnega območja«, kar tipično zadeva občino ali socialnega najemodajalca, ki namešča videonadzor na javni cesti, ne le komercialno podjetje. Vir: GDPR, člen 35, odstavek 3 →
Konkreten sprožilec: 2 merili od 9
CNIL in nekdanja delovna skupina po členu 29 (danes Evropski odbor za varstvo podatkov, EDPB) sta v svojih referenčnih smernicah (WP248) določila devet meril. Takoj ko obdelava izpolni vsaj dve, postane ocena učinka obvezna: ocenjevanje ali vrednotenje oseb, avtomatizirano odločanje, ki nanje vpliva, njihovo sistematično spremljanje, obdelava občutljivih podatkov, obdelava v velikem obsegu, povezovanje datotek, ciljanje na ranljive osebe (zaposlene, paciente, mladoletnike), uporaba nove tehnologije ali odvzem pravice ali pogodbe. Vir: CNIL, smernice G29/EDPB (WP248) →
Konkretni primeri zavezancev
V praksi CNIL tem merilom tipično pripiše: zdravniško ordinacijo ali kliniko, ki obdeluje zdravstvene podatke v velikem obsegu, kadrovsko službo, ki uporablja orodje za ocenjevanje ali profiliranje zaposlenih, podjetje z značkami in sistematičnim videonadzorom prostorov, odprtih za javnost, kreditno ali izterjevalno organizacijo, ki izvaja bonitetno ocenjevanje (scoring), ali zdravstveno povezano napravo, ki zbira podatke o življenjskih navadah. Vir: CNIL, seznam 14 obdelav z obvezno oceno učinka →
Kaj pa, če nisem zavezanec, kako to vem?
CNIL je objavil tudi seznam 12 vrst obdelav, za katere ocena učinka NI zahtevana: na primer plače in kadrovsko upravljanje organizacije z manj kot 250 zaposlenimi (brez profiliranja), kartoteko pacienta samostojnega zdravstvenega delavca ali tekoče upravljanje dobaviteljev. Pomirjujoče za veliko mikropodjetij: to, da imate zaposlene ali stranke, samo po sebi ne sproži obveznosti. Vir: CNIL, seznam 12 obdelav brez ocene učinka →
Vprašanja, ki si jih vodja resnično zastavlja o oceni učinka
Brez pravniškega žargona: preprosti odgovori, vsak podprt z uradnim besedilom, na katerem temelji.
Časovnica ocene učinka, na kratko
Datumi, ki resnično štejejo, s pripadajočimi viri, da veste, kaj je danes že obvezno in kaj šele prihaja.
Že v veljavi danes
GDPR se uporablja od 25. maja 2018 po vsej Evropi. Obveznost izvedbe ocene učinka (člen 35), oba seznama CNIL, ki povesta, kdaj je obvezna in kdaj ne, ter evropske smernice, ki pojasnjujejo, kako jo izvesti: vse to je v veljavi, stabilno in ni odvisno od nobene prihajajoče reforme. To je temelj, na katerega se lahko oprete že zdaj.
Za spremljati, še ni dokončno
Evropski odbor za varstvo podatkov (EDPB) pripravlja enotno predlogo ocene učinka za uskladitev praks med evropskimi državami. Javno posvetovanje o tem projektu se je zaključilo 9. junija 2026; datum objave končne predloge še ni bil sporočen. Nič ne zavezuje k čakanju: metoda CNIL medtem ostaja veljavna.
GDPR je sprejet, nato objavljen v Uradnem listu EU
Evropski parlament in Svet sprejmeta Uredbo 2016/679 27. aprila 2016. Objavljena je v Uradnem listu Evropske unije (UL L119) 4. maja 2016, nato začne veljati dvajset dni kasneje, 24. maja 2016, ne da bi se še uporabljala. Vir: EUR-Lex, uradna referenca uredbe →
GDPR postane uporaben: ocena učinka postane resnična obveznost
Dve leti po sprejetju se uredba končno začne uporabljati po vsej Evropi (člen 99.2). Prav ta dan postane obveznost ocene učinka iz člena 35 pravno zavezujoča, hkrati pa je prvič ustanovljen Evropski odbor za varstvo podatkov (EDPB), ki prevzame že pripravljene smernice o oceni učinka (WP248 rev.01). Vir: EUR-Lex, stran uredbe (člen 99) → Vir: EDPB, prevzete smernice →
CNIL objavi svoj seznam 14 obdelav, pri katerih je ocena učinka obvezna
Nekaj mesecev po začetku uporabe GDPR CNIL sprejme svoj sklep št. 2018-327: konkreten seznam 14 vrst obdelav (zdravstveni podatki, kadrovsko profiliranje, nadzor zaposlenih ...), pri katerih je treba oceno učinka sistematično izvesti. Konec ugibanja od primera do primera. Vir: CNIL →
CNIL objavi nasprotni seznam: kdaj ocena učinka ni potrebna
Leto kasneje CNIL dopolni svojo doktrino s sklepom št. 2019-118: seznam obdelav, za katere ocena učinka NI zahtevana (plače pri manj kot 250 zaposlenih brez profiliranja, upravljanje dobaviteljev, kartoteka pacienta samostojnega zdravstvenega delavca ...). Oba seznama CNIL skupaj že odgovorita na veliko pogostih situacij, ne da bi morali sami odločati. Vir: CNIL →
EDPB izvede posvetovanje o enotni evropski predlogi ocene učinka
EDPB je v javno posvetovanje dal osnutek skupne predloge ocene učinka, namenjene uskladitvi praks med evropskimi državami (danes ima vsak nacionalni organ nekoliko svojo shemo). Posvetovanje je zaključeno od 9. junija 2026; to še ni veljavno besedilo, temveč le osnutek v obravnavi. Vir: EDPB →
Dokončanje predloge EDPB, brez znanega roka
EDPB sam navaja, da bo predloga »dokončana, ob upoštevanju ustreznih sprememb«, nato bodo nacionalni organi začeli postopke za njeno sprejetje kot enotno predlogo ali kot »metapredlogo«, združljivo z že obstoječimi predlogami (med njimi tudi predlogo CNIL). Do danes ni bil sporočen noben datum: to zadevo spremljamo, da bomo naše stranke obvestili takoj, ko bo kaj konkretnega, ne da bi karkoli predvidevali. Vir: EDPB →
Sankcije po GDPR, na kratko
Kdo kaznuje, koliko in po katerih merilih. Brez pretiravanja: velika večina primerov nima nič skupnega z zneski, ki delajo naslovnice.
Kdo odloča v Franciji: omejena sestava CNIL (formation restreinte)
Sankcije izreka specializiran organ CNIL, ločen od kolegija, ki vsakodnevno nadzoruje in svetuje. Na voljo ima več stopnjevanih orodij, ne le globe: opomin, svarilo, uradni poziv k odpravi kršitev (z denarno prisilo ali brez), odredbo, začasno ali dokončno omejitev obdelave. Globa je le zadnja stopnica lestvice. Vir: CNIL, izrečene sankcije →
Dve zakonski zgornji meji, ne en sam znesek
GDPR (člen 83) določa dve zgornji meji, upošteva se višja: do 10 milijonov evrov ali 2 % svetovnega prometa preteklega poslovnega leta za kršitve organizacijskih obveznosti (varnost, evidenca, DPO, ocena učinka ...); do 20 milijonov evrov ali 4 % za kršitve temeljnih načel (pravna podlaga, privolitev, pravice posameznikov, prenosi izven EU). To sta zgornji meji, ne samodejna zneska. Vir: GDPR, člen 83 →
Kako se znesek dejansko določi
Člen 83.2 organu nalaga, da upošteva: resnost in trajanje kršitve, ali je šlo za namernost ali le malomarnost, že sprejete ukrepe za omejitev škode, stopnjo odgovornosti, predhodne kršitve, sodelovanje z organom in občutljivost zadevnih podatkov. Konkretno: organizacija, ki je dokumentirala svoj postopek (evidenca, ocena učinka, varnostni ukrepi) in sodeluje, je obravnavana drugače kot tista, ki ni naredila ničesar. Vir: GDPR, člen 83.2 →
Resničen primer, kjer je odsotnost ocene učinka štela: Discord
10. novembra 2022 je omejena sestava CNIL izrekla globo v višini 800.000 evrov proti Discordu. Med ugotovljenimi kršitvami: prekomerno obdobje hrambe, pomanjkljiva varnost in kršitev člena 35 GDPR, odsotnost ocene učinka, čeprav bi jo obdelava, izvedena v velikem obsegu in ki je zadevala mladoletnike, potrebovala. To je najbolj neposreden primer povezave med »nedokumentirano oceno učinka« in izrečeno sankcijo. Vir: sklep SAN-2022-020, Légifrance →
Visoki zneski obstajajo, a ostajajo redki
Criteo je bil 15. junija 2023 kaznovan z 40 milijoni evrov, ker ni mogel dokazati veljavne privolitve za nameščanje oglasnih piškotkov. Clearview AI je bil 17. oktobra 2022 kaznovan z 20 milijoni evrov zaradi množičnega zbiranja fotografij brez pravne podlage. Ti zneski se nanašajo na mednarodne obdelave izjemno velikega obsega, ne na primer MSP, ki dokumentira svoj postopek. Vir: sklep SAN-2023-009, Légifrance →
Realnost večine primerov CNIL
Na isti uradni strani CNIL, ki navaja sklepe, se pomemben del objavljenih sankcij meri v tisočih evrov, ne v milijonih: oglaševalska agencija kaznovana s 3.000 evri, dva zdravnika s 3.000 oziroma 6.000 evri, služba za dostavo hrane z 20.000 evri. Sankcija je sorazmerna z velikostjo in resnostjo, ne enoten udarec. Vir: CNIL, izrečene sankcije →
Kaj si je treba zapomniti
Dobro izvedena ocena učinka organizacije ne naredi nedotakljive: v primeru nadzora predstavlja dokaz, da je bila zadeva vzeta resno. To je natanko tisto, kar člen 83.2 GDPR zahteva upoštevati pri odločanju, ali globo izreči ali ne.
Vaš nadzorni organ, glede na vašo državo
V Evropi ima vsaka država svoje organe. Tukaj so za 30 držav Evropskega gospodarskega prostora navedeni organ za varstvo podatkov (vaš kontakt za GDPR) in nacionalni organ za kibernetsko varnost. Vsako ime vodi na uradno spletno stran.
Viri: uradne spletne strani organov in seznam članov EDPB (edpb.europa.eu), pregledano 18. julija 2026. Potrjeni organi za varstvo podatkov: 30/30. Potrjeni organi za kibernetsko varnost: 28/30. Oznake »à confirmer« (za potrditev) označujejo uradni vir, ki na ta dan še ni bil dokončno potrjen.
Ste pripravljeni dokumentirati svojo oceno učinka?
Opišite nam svojo obdelavo, mi se vam vrnemo s prilagojeno ponudbo.