GDPR nalaga izvedbo ocene učinka na varstvo podatkov za vsako obdelavo, ki lahko povzroči veliko tveganje za pravice in svoboščine posameznikov. SYAGA DPIA-Express strukturira in dokumentira vašo oceno učinka po metodologiji člena 35 in smernicah EOVP, brez improvizacije in brez žargona.
Ugotoviti, ali mora biti za vašo obdelavo izvedena ocena učinka, in jo nato izvesti po pravilih
Za vsako obdelavo, ki lahko povzroči veliko tveganje za pravice in svoboščine fizičnih oseb, je treba pred njeno uvedbo izvesti oceno učinka na varstvo podatkov (GDPR, čl. 35).
EOVP (nekdanja skupina G29, smernice WP248 rev.01) je opredelil 9 meril visokega tveganja. Takoj ko obdelava izpolnjuje vsaj dve od teh meril, je treba načeloma izvesti oceno učinka: en sam napačno opredeljen element in dokumentacija je nepopolna.
CNIL objavlja sezname obdelav, za katere je ocena učinka zahtevana ali ni zahtevana. Natančna umestitev vaše obdelave zahteva natančno branje, ne pa splošnega vtisa.
Prehitro izvedena ocena učinka je izpostavljena nepopolnosti pred nadzornim organom; njena neizvedba, kadar je zahtevana, izpostavlja organizacijo kršitvi člena 35. Metoda CNIL to odločitev strukturira in dokumentira.
Struktura, ki jo nalaga člen 35.7 GDPR, uporabljena za vašo obdelavo, z utemeljenim zaključkom pri vsakem koraku
Analiza glede na 3 primere iz člena 35.3, mrežo 9 meril EOVP (WP248 rev.01) in sezname CNIL zahtevanih ali nezahtevanih obdelav. Utemeljen zaključek, ne glede na to, ali je ocena učinka na koncu obvezna ali ne.
Nameni, kategorije podatkov in zadevnih oseb, prejemniki, roki hrambe: popoln zemljevid, ki ga zahteva člen 35.7.a, usklajen z vašo evidenco dejavnosti obdelave (čl. 30).
Preverjanje, da je vsak zbrani podatek potreben za zasledovani namen, da je pravna podlaga (čl. 6) opredeljena za vsako obdelavo, in da je upoštevano načelo minimizacije (čl. 5.1.c).
Za vsako prepoznano tveganje: resnost, verjetnost, že uvedeni ukrepi, preostalo tveganje, predstavljeno v obliki tabele, ki jo lahko uporabi vaše vodstvo ali vaš DPO.
Predvideni tehnični in organizacijski ukrepi (čl. 32), utemeljen zaključek in dokumentirana utemeljitev v skladu z načelom odgovornosti (čl. 5.2), uporabna v primeru nadzora CNIL.
Strukturiran, virovan dokument, ki pošteno navaja, kaj mora še potrditi vaš pravnik ali DPO
Popoln dokument po členu 35.7 (a do d), z utemeljenim zaključkom.
Predhodna analiza, ki odloči, ali vaša obdelava spada v okvir obveznosti.
Ocena učinka temelji na isti osnovi kot vaša evidenca dejavnosti obdelave.
Vsaka negotova točka je izrecno označena, nikoli ni odločena namesto vas.
Vsaka pravna trditev je virovana, ne navedena na pamet.
Predan v urejevalni obliki, ki jo lahko ponovno uporabi vaš DPO ali pravnik.
Metoda, ki temelji na besedilih in organih, ne na lastnih razlagah
Ocena učinka na varstvo podatkov. Prečiščeno besedilo Uredbe (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
9 meril visokega tveganja EOVP (nekdanja skupina G29), ki jih je CNIL povzel kot referenčno metodo za ugotavljanje obveznosti ocene učinka.
Seznami obdelav, za katere je ocena učinka zahtevana ali ni zahtevana, in metoda CNIL za izvedbo ocene učinka.
Evidenca dejavnosti obdelave: osnova skladnosti (nameni, podatki, roki), na kateri temelji vsaka ocena učinka.
Obseg je odvisen od števila obdelav, njihove zapletenosti in tega, kar je pri vas že dokumentirano. Ponudba se pripravi po uvodnem pogovoru.
Ne veste, ali vaša obdelava spada med zadevne
Prepoznana obdelava z visokim tveganjem
Več tveganih obdelav za pokritje
Ocena učinka nikoli ni dokončna
Člen 35.11 GDPR nalaga ponovni pregled analize v primeru pomembne spremembe obdelave (nov obdelovalec, sprememba gostovanja, razširitev obsega zbiranja). Ponudba za ponovni pregled se pripravi za vsak primer posebej.
Kaj besedilo res pravi, povzeto v preprostem jeziku. Vsaka točka ohranja povezavo na uradni dokument.
Ocena učinka je preprosto delo vrednotenja: pogleda se tveganja, ki jih obdelava podatkov predstavlja za posameznike, preden se jo uvede. CNIL jo opredeljuje kot »formalni postopek za ocenjevanje tveganj, povezanih z obdelavo osebnih podatkov«. To ni le še ena upravna formalnost, temveč orodje zdrave pameti, ki ga GDPR v določenih primerih nalaga. Vir: CNIL (francoski organ) →
Ni treba biti veliko podjetje, da bi bili zavezanec. CNIL šteje, da je ocena učinka obvezna, takoj ko obdelava izpolnjuje vsaj dve od naslednjih devetih situacij: ocenjevanje ali vrednotenje oseb, sprejemanje avtomatizirane odločitve, ki ima nanje resničen učinek, njihovo sistematično spremljanje, zbiranje občutljivih podatkov (zdravje, izvor itd.), zbiranje v velikem obsegu, povezovanje več baz podatkov, ciljanje na ranljive osebe (zaposlene, paciente, mladoletnike ...), uporaba nove tehnologije, ali odvzem nekomu pravice ali storitve. Vir: CNIL (francoski organ) →
Da bi se izognil ugibanju, je CNIL objavil dva uradna seznama: seznam 14 vrst obdelav, pri katerih je ocena učinka obvezna (zdravstveni podatki, kadrovsko profiliranje, nadzor zaposlenih, geolokacija v velikem obsegu ...), in seznam 12 vrst obdelav, kjer ni zahtevana (plače in upravljanje kadrov pri manj kot 250 zaposlenih brez profiliranja, upravljanje dobaviteljev, kartoteka pacienta pri samostojnem zdravstvenem delavcu ...). Ta seznama ne pokrivata vseh primerov, vendar že odgovarjata na veliko pogostih situacij. Vir: seznam CNIL zahtevanih obdelav →
GDPR (člen 35) ne zahteva romana, temveč štiri natančne sestavne dele: opisati obdelavo in njen namen, preveriti, ali je res nujna in sorazmerna, oceniti tveganja za zadevne osebe, nato pa navesti predvidene ukrepe za zmanjšanje teh tveganj. Na koncu jasen zaključek: ali je obdelava sprejemljiva, in pod kakšnimi pogoji. Vir: GDPR, člen 35 →
Če je vaša organizacija imenovala pooblaščenca za varstvo podatkov, GDPR nalaga, da ga zaprosite za nasvet ob izvedbi ocene učinka in da ga zadolžite za preverjanje, ali je bila analiza res izvedena. To je varovalka, ne kljukica: DPO ostaja pravi refleks pred potrditvijo zaključka. Vir: GDPR, člena 35 in 39 →
Če kljub predvidenim ukrepom obdelava še vedno predstavlja visoko tveganje za posameznike, GDPR nalaga posvetovanje s CNIL pred začetkom. Ta ima nato osem tednov časa za podajo pisnega mnenja (podaljšljivo za šest tednov, če je dokumentacija zapletena). Pomirjujoče je vedeti, da ta primer ostaja izjema, ne pravilo. Vir: GDPR, člen 36 →
CNIL opozarja, da lahko globe po GDPR dosežejo do 10 milijonov evrov ali 2 % svetovnega letnega prometa, glede na višji znesek. To je zakonska zgornja meja, ne usoda: dobro izvedena ocena učinka je prav to, kar omogoča, da se v primeru nadzora dokaže, da je bilo vprašanje vzeto resno. Vir: CNIL (francoski organ) →
Evropski odbor za varstvo podatkov (EOVP/EDPB) je od 14. aprila do 9. junija 2026 izvedel javno posvetovanje o osnutku enotne predloge ocene učinka, namenjene uskladitvi praks med evropskimi državami. Posvetovanje je zdaj zaključeno; spremljamo nadaljnji razvoj tega projekta, da o njem obvestimo naše stranke, ko bo čas za to. Vir: EDPB →
Preden veste, kako izvesti oceno učinka, morate vedeti, ali ste zavezanec. Tukaj je natančen obseg, kot ga opredeljujeta GDPR in CNIL, brez nepotrebnega ugibanja.
GDPR ne določa nobenega praga glede števila zaposlenih za obveznost ocene učinka. Njegov člen 35 to analizo nalaga »upravljavcu obdelave«, ne glede na njegovo obliko (društvo, obrtnik, MSP, javna skupnost, velika skupina), takoj ko obdelava »lahko povzroči visoko tveganje za pravice in svoboščine fizičnih oseb«. Pogosta past, ki se ji je treba izogniti: prag 250 zaposlenih v GDPR res obstaja, vendar se nanaša na delno oprostitev evidence obdelav (člen 30), ne na oceno učinka. Podjetje s 5 zaposlenimi je lahko zavezanec; skupina z 2000 zaposlenimi morda ni: vse je odvisno od obdelave, nikoli od velikosti organizacije. Vir: GDPR, člen 35 (povzet po CNIL) →
Člen 35 zajema »upravljavca obdelave« v širšem pomenu: zasebno podjetje, upravni organ, lokalno skupnost, društvo ali zdravstveno ustanovo. Besedilo izrecno predvideva celo primer »sistematičnega obsežnega nadzora javno dostopnega območja«, kar tipično zadeva občino ali socialnega najemodajalca, ki namešča videonadzor na javni cesti, ne le komercialno podjetje. Vir: GDPR, člen 35, odstavek 3 →
CNIL in nekdanja delovna skupina po členu 29 (danes Evropski odbor za varstvo podatkov, EDPB) sta v svojih referenčnih smernicah (WP248) določila devet meril. Takoj ko obdelava izpolni vsaj dve, postane ocena učinka obvezna: ocenjevanje ali vrednotenje oseb, avtomatizirano odločanje, ki nanje vpliva, njihovo sistematično spremljanje, obdelava občutljivih podatkov, obdelava v velikem obsegu, povezovanje datotek, ciljanje na ranljive osebe (zaposlene, paciente, mladoletnike), uporaba nove tehnologije ali odvzem pravice ali pogodbe. Vir: CNIL, smernice G29/EDPB (WP248) →
V praksi CNIL tem merilom tipično pripiše: zdravniško ordinacijo ali kliniko, ki obdeluje zdravstvene podatke v velikem obsegu, kadrovsko službo, ki uporablja orodje za ocenjevanje ali profiliranje zaposlenih, podjetje z značkami in sistematičnim videonadzorom prostorov, odprtih za javnost, kreditno ali izterjevalno organizacijo, ki izvaja bonitetno ocenjevanje (scoring), ali zdravstveno povezano napravo, ki zbira podatke o življenjskih navadah. Vir: CNIL, seznam 14 obdelav z obvezno oceno učinka →
CNIL je objavil tudi seznam 12 vrst obdelav, za katere ocena učinka NI zahtevana: na primer plače in kadrovsko upravljanje organizacije z manj kot 250 zaposlenimi (brez profiliranja), kartoteko pacienta samostojnega zdravstvenega delavca ali tekoče upravljanje dobaviteljev. Pomirjujoče za veliko mikropodjetij: to, da imate zaposlene ali stranke, samo po sebi ne sproži obveznosti. Vir: CNIL, seznam 12 obdelav brez ocene učinka →
Brez pravniškega žargona: preprosti odgovori, vsak podprt z uradnim besedilom, na katerem temelji.
Datumi, ki resnično štejejo, s pripadajočimi viri, da veste, kaj je danes že obvezno in kaj šele prihaja.
GDPR se uporablja od 25. maja 2018 po vsej Evropi. Obveznost izvedbe ocene učinka (člen 35), oba seznama CNIL, ki povesta, kdaj je obvezna in kdaj ne, ter evropske smernice, ki pojasnjujejo, kako jo izvesti: vse to je v veljavi, stabilno in ni odvisno od nobene prihajajoče reforme. To je temelj, na katerega se lahko oprete že zdaj.
Evropski odbor za varstvo podatkov (EDPB) pripravlja enotno predlogo ocene učinka za uskladitev praks med evropskimi državami. Javno posvetovanje o tem projektu se je zaključilo 9. junija 2026; datum objave končne predloge še ni bil sporočen. Nič ne zavezuje k čakanju: metoda CNIL medtem ostaja veljavna.
Evropski parlament in Svet sprejmeta Uredbo 2016/679 27. aprila 2016. Objavljena je v Uradnem listu Evropske unije (UL L119) 4. maja 2016, nato začne veljati dvajset dni kasneje, 24. maja 2016, ne da bi se še uporabljala. Vir: EUR-Lex, uradna referenca uredbe →
Dve leti po sprejetju se uredba končno začne uporabljati po vsej Evropi (člen 99.2). Prav ta dan postane obveznost ocene učinka iz člena 35 pravno zavezujoča, hkrati pa je prvič ustanovljen Evropski odbor za varstvo podatkov (EDPB), ki prevzame že pripravljene smernice o oceni učinka (WP248 rev.01). Vir: EUR-Lex, stran uredbe (člen 99) → Vir: EDPB, prevzete smernice →
Nekaj mesecev po začetku uporabe GDPR CNIL sprejme svoj sklep št. 2018-327: konkreten seznam 14 vrst obdelav (zdravstveni podatki, kadrovsko profiliranje, nadzor zaposlenih ...), pri katerih je treba oceno učinka sistematično izvesti. Konec ugibanja od primera do primera. Vir: CNIL →
Leto kasneje CNIL dopolni svojo doktrino s sklepom št. 2019-118: seznam obdelav, za katere ocena učinka NI zahtevana (plače pri manj kot 250 zaposlenih brez profiliranja, upravljanje dobaviteljev, kartoteka pacienta samostojnega zdravstvenega delavca ...). Oba seznama CNIL skupaj že odgovorita na veliko pogostih situacij, ne da bi morali sami odločati. Vir: CNIL →
EDPB je v javno posvetovanje dal osnutek skupne predloge ocene učinka, namenjene uskladitvi praks med evropskimi državami (danes ima vsak nacionalni organ nekoliko svojo shemo). Posvetovanje je zaključeno od 9. junija 2026; to še ni veljavno besedilo, temveč le osnutek v obravnavi. Vir: EDPB →
EDPB sam navaja, da bo predloga »dokončana, ob upoštevanju ustreznih sprememb«, nato bodo nacionalni organi začeli postopke za njeno sprejetje kot enotno predlogo ali kot »metapredlogo«, združljivo z že obstoječimi predlogami (med njimi tudi predlogo CNIL). Do danes ni bil sporočen noben datum: to zadevo spremljamo, da bomo naše stranke obvestili takoj, ko bo kaj konkretnega, ne da bi karkoli predvidevali. Vir: EDPB →
Kdo kaznuje, koliko in po katerih merilih. Brez pretiravanja: velika večina primerov nima nič skupnega z zneski, ki delajo naslovnice.
Sankcije izreka specializiran organ CNIL, ločen od kolegija, ki vsakodnevno nadzoruje in svetuje. Na voljo ima več stopnjevanih orodij, ne le globe: opomin, svarilo, uradni poziv k odpravi kršitev (z denarno prisilo ali brez), odredbo, začasno ali dokončno omejitev obdelave. Globa je le zadnja stopnica lestvice. Vir: CNIL, izrečene sankcije →
GDPR (člen 83) določa dve zgornji meji, upošteva se višja: do 10 milijonov evrov ali 2 % svetovnega prometa preteklega poslovnega leta za kršitve organizacijskih obveznosti (varnost, evidenca, DPO, ocena učinka ...); do 20 milijonov evrov ali 4 % za kršitve temeljnih načel (pravna podlaga, privolitev, pravice posameznikov, prenosi izven EU). To sta zgornji meji, ne samodejna zneska. Vir: GDPR, člen 83 →
Člen 83.2 organu nalaga, da upošteva: resnost in trajanje kršitve, ali je šlo za namernost ali le malomarnost, že sprejete ukrepe za omejitev škode, stopnjo odgovornosti, predhodne kršitve, sodelovanje z organom in občutljivost zadevnih podatkov. Konkretno: organizacija, ki je dokumentirala svoj postopek (evidenca, ocena učinka, varnostni ukrepi) in sodeluje, je obravnavana drugače kot tista, ki ni naredila ničesar. Vir: GDPR, člen 83.2 →
10. novembra 2022 je omejena sestava CNIL izrekla globo v višini 800.000 evrov proti Discordu. Med ugotovljenimi kršitvami: prekomerno obdobje hrambe, pomanjkljiva varnost in kršitev člena 35 GDPR, odsotnost ocene učinka, čeprav bi jo obdelava, izvedena v velikem obsegu in ki je zadevala mladoletnike, potrebovala. To je najbolj neposreden primer povezave med »nedokumentirano oceno učinka« in izrečeno sankcijo. Vir: sklep SAN-2022-020, Légifrance →
Criteo je bil 15. junija 2023 kaznovan z 40 milijoni evrov, ker ni mogel dokazati veljavne privolitve za nameščanje oglasnih piškotkov. Clearview AI je bil 17. oktobra 2022 kaznovan z 20 milijoni evrov zaradi množičnega zbiranja fotografij brez pravne podlage. Ti zneski se nanašajo na mednarodne obdelave izjemno velikega obsega, ne na primer MSP, ki dokumentira svoj postopek. Vir: sklep SAN-2023-009, Légifrance →
Na isti uradni strani CNIL, ki navaja sklepe, se pomemben del objavljenih sankcij meri v tisočih evrov, ne v milijonih: oglaševalska agencija kaznovana s 3.000 evri, dva zdravnika s 3.000 oziroma 6.000 evri, služba za dostavo hrane z 20.000 evri. Sankcija je sorazmerna z velikostjo in resnostjo, ne enoten udarec. Vir: CNIL, izrečene sankcije →
Kaj si je treba zapomniti
Dobro izvedena ocena učinka organizacije ne naredi nedotakljive: v primeru nadzora predstavlja dokaz, da je bila zadeva vzeta resno. To je natanko tisto, kar člen 83.2 GDPR zahteva upoštevati pri odločanju, ali globo izreči ali ne.
V Evropi ima vsaka država svoje organe. Tukaj so za 30 držav Evropskega gospodarskega prostora navedeni organ za varstvo podatkov (vaš kontakt za GDPR) in nacionalni organ za kibernetsko varnost. Vsako ime vodi na uradno spletno stran.
Viri: uradne spletne strani organov in seznam članov EDPB (edpb.europa.eu), pregledano 18. julija 2026. Potrjeni organi za varstvo podatkov: 30/30. Potrjeni organi za kibernetsko varnost: 28/30. Oznake »à confirmer« (za potrditev) označujejo uradni vir, ki na ta dan še ni bil dokončno potrjen.
Opišite nam svojo obdelavo, mi se vam vrnemo s prilagojeno ponudbo.
Brezplačno: vaš rezultat + vaša odstopanja. Podrobno poročilo in potrdilo: 499 EUR brez DDV, samo če se tako odločite.
contact@syaga.eu Preglejte metodo CNIL