Er DPIA enligt
den metod som CNIL har publicerat
GDPR kräver en konsekvensbedömning avseende dataskydd för varje behandling som kan medföra en hög risk för fysiska personers rättigheter och friheter. SYAGA DPIA-Express strukturerar och dokumenterar er DPIA enligt metodiken i artikel 35 och EDPB:s riktlinjer, utan improvisation och utan jargong.
Skyldigheten
Avgör om er behandling måste genomgå en DPIA, och genomför den sedan enligt reglerna
Artikel 35 i GDPR kräver en DPIA
Varje behandling som kan medföra en hög risk för fysiska personers rättigheter och friheter måste genomgå en konsekvensbedömning avseende dataskydd innan den genomförs (GDPR, art. 35).
CNIL:s regel om «2 av 9 kriterier»
EDPB (f.d. G29, riktlinjer WP248 rev.01) har definierat 9 kriterier för hög risk. Så snart en behandling uppfyller minst två av dessa kriterier ska i princip en DPIA genomföras: en enda felbedömd punkt gör att underlaget blir ofullständigt.
CNIL-listor som måste jämföras punkt för punkt
CNIL publicerar listor över behandlingar där DPIA krävs eller inte krävs. Att avgöra exakt var er behandling hamnar kräver en noggrann genomgång, inte ett allmänt intryck.
Utan metod är risken dubbel
Att genomföra en DPIA för snabbt riskerar att göra den ofullständig inför en tillsynsmyndighet; att inte genomföra den när den krävs utsätter organisationen för en överträdelse av artikel 35. CNIL:s metod strukturerar detta val och dokumenterar det.
Metoden: DPIA-Express
Strukturen som krävs enligt artikel 35.7 i GDPR, tillämpad på er behandling, med en motiverad slutsats i varje steg
Omfattas er behandling verkligen av DPIA-kravet?
Analys mot de 3 fallen i artikel 35.3, EDPB:s matris med 9 kriterier (WP248 rev.01) och CNIL:s listor över behandlingar som kräver eller inte kräver DPIA. Motiverad slutsats, oavsett om DPIA slutligen är obligatorisk eller inte.
Systematisk beskrivning av behandlingen
Ändamål, kategorier av uppgifter och registrerade, mottagare, lagringstider: den fullständiga kartläggning som krävs enligt artikel 35.7.a, i linje med ert register över behandlingar (art. 30).
Nödvändighet och proportionalitet
Kontroll av att varje insamlad uppgift är nödvändig för det avsedda ändamålet, att den rättsliga grunden (art. 6) är identifierad för varje behandling, och att principen om uppgiftsminimering (art. 5.1.c) efterlevs.
Riskbedömning för de registrerade
För varje identifierad risk: allvarlighetsgrad, sannolikhet, befintliga åtgärder, kvarstående risk, presenterat i en tabell som er ledning eller ert dataskyddsombud (DPO) kan använda direkt.
Åtgärder och dokumenterad slutsats
Planerade tekniska och organisatoriska åtgärder (art. 32), motiverad slutsats och dokumenterad motivering enligt principen om ansvarsskyldighet (art. 5.2), användbar vid en eventuell CNIL-kontroll.
Vad ni får
Ett strukturerat, källbelagt dokument som ärligt anger vad som återstår för er jurist eller ert dataskyddsombud att godkänna
Strukturerad DPIA-rapport
Det fullständiga dokumentet enligt artikel 35.7 (a-d), med en motiverad slutsats.
- Systematisk beskrivning av behandlingen
- Analys av nödvändighet och proportionalitet
- Risktabell (allvarlighetsgrad/sannolikhet/åtgärder)
- Slutsats och dokumenterad motivering (art. 5.2)
Bedömningsmatris
Den inledande analysen som avgör om er behandling omfattas av kravet.
- De 3 fallen i artikel 35.3
- EDPB:s 9 kriterier (WP248 rev.01)
- Jämförelse med CNIL:s listor
- Motiverad och källbelagd slutsats
Samstämmighet med registret enligt art. 30
DPIA:n bygger på samma underlag som ert register över behandlingar.
- Ändamål och rättsliga grunder
- Kategorier av uppgifter och registrerade
- Mottagare och personuppgiftsbiträden
- Lagringstider per kategori
Punkter som er jurist/DPO ska godkänna
Varje osäker punkt flaggas tydligt och avgörs aldrig åt er.
- Bedömning av personuppgiftsansvarig/personuppgiftsbiträde
- Rättsliga grunder per ändamål
- Identifierade överföringar utanför EU
- Utseende av ett dataskyddsombud (art. 37), i förekommande fall
Källor och spårbarhet
Varje juridiskt påstående är källbelagt, inte hämtat ur minnet.
- Konsoliderad GDPR-text (CELEX 32016R0679)
- CNIL:s sidor och listor (DPIA, register)
- EDPB:s riktlinjer (WP248 rev.01)
- Verifierbara webbadresser angivna i dokumentet
Redigerbart dokument
Levereras i ett redigerbart format som ert dataskyddsombud eller er jurist kan återanvända.
- Struktur i enlighet med artikel 35.7
- Återanvändbar för era framtida behandlingar
- Klar att kompletteras före slutligt godkännande
- Ingen låst formatering påtvingas
Referenser som används
En metod som bygger på lagtexter och myndigheter, inte på egna tolkningar
GDPR - Artikel 35
Konsekvensbedömning avseende dataskydd. Konsoliderad text av förordning (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
Riktlinjer WP248 rev.01
EDPB:s (f.d. G29) 9 kriterier för hög risk, som CNIL använder som referensmetod för att fastställa DPIA-skyldigheten.
CNIL:s listor och metod
Listor över behandlingar där DPIA krävs eller inte krävs, samt CNIL:s metod för att genomföra en konsekvensbedömning.
GDPR - Artikel 30
Register över behandlingar: den samstämmiga grund (ändamål, uppgifter, lagringstider) som varje DPIA bygger på.
En skräddarsydd DPIA, utan dolda kostnader
Omfattningen beror på antalet behandlingar, deras komplexitet och vad som redan är dokumenterat hos er. Offert upprättas efter ett första samtal.
Erbjudandet gäller endast yrkesverksamma (företag och organisationer), inte konsumenter.
Fastställande av skyldighet
Ni vet inte om er behandling omfattas
- EDPB:s matris med 9 kriterier
- Jämförelse mot artikel 35.3
- Kontroll mot CNIL:s listor
- Motiverad och källbelagd slutsats
Fullständig DPIA
Behandling identifierad med hög risk
- Allt i Fastställande av skyldighet, plus:
- Systematisk beskrivning (art. 35.7.a)
- Nödvändighet och proportionalitet (35.7.b)
- Riskanalys (35.7.c)
- Planerade åtgärder (35.7.d)
- Listade punkter för er jurist/DPO
Flerårigt program
Flera riskbehandlingar att täcka
- Allt i Fullständig DPIA, plus:
- Gemensamt metodramverk
- Periodisk granskning (art. 35.11)
- Fortsatt samstämmighet med registret (art. 30)
En DPIA är aldrig statisk
Artikel 35.11 i GDPR kräver att analysen granskas på nytt vid en betydande förändring av behandlingen (nytt personuppgiftsbiträde, byte av hosting, utökad omfattning av insamlingen). En offert för granskning upprättas från fall till fall.
Vanliga frågor
Regelbevakning - officiella källor
Vad lagtexten faktiskt säger, sammanfattat i klarspråk. Varje punkt behåller sin länk till det officiella dokumentet.
Vad är en DPIA, i klarspråk?
En DPIA är helt enkelt ett bedömningsarbete: man tittar på de risker en databehandling innebär för de registrerade, innan den sätts i drift. CNIL definierar den som "en formell process för att bedöma riskerna med behandling av personuppgifter". Det är inte ytterligare en administrativ formalitet, utan ett sunt förnuftsverktyg som GDPR gör obligatoriskt i vissa fall. Källa: CNIL →
Vem berörs egentligen: regeln om «2 av 9 kriterier»
Man behöver inte vara ett stort företag för att beröras. CNIL anser att en DPIA är obligatorisk så snart en behandling uppfyller minst två av dessa nio situationer: bedöma eller poängsätta personer, fatta ett automatiserat beslut som får verklig effekt för dem, systematiskt övervaka dem, samla in känsliga uppgifter (hälsa, ursprung osv.), samla in i stor skala, korsköra flera databaser, rikta sig mot utsatta personer (anställda, patienter, minderåriga...), använda ny teknik, eller beröva någon en rättighet eller en tjänst. Källa: CNIL →
Två CNIL-listor som ofta svarar åt er
För att slippa gissa har CNIL publicerat två officiella listor: en lista med 14 typer av behandlingar där DPIA är obligatorisk (hälsodata, HR-profilering, övervakning av anställda, storskalig geolokalisering...), och en lista med 12 typer där den inte krävs (löner och personaladministration för färre än 250 anställda utan profilering, leverantörshantering, patientjournal hos en enskild vårdgivare...). Dessa listor täcker inte alla fall, men de besvarar redan många vanliga situationer. Källa: CNIL:s lista över behandlingar som kräver DPIA →
Vad analysen verkligen måste innehålla
GDPR (artikel 35) kräver inte en roman, utan fyra precisa byggstenar: beskriva behandlingen och dess syfte, kontrollera att den verkligen är nödvändig och proportionerlig, bedöma riskerna för de registrerade, och sedan lista de planerade åtgärderna för att minska riskerna. En tydlig slutsats i slutet: är behandlingen acceptabel, och på vilka villkor. Källa: GDPR, artikel 35 →
Ert dataskyddsombuds roll (om ni har ett)
Om er organisation har utsett ett dataskyddsombud kräver GDPR att ni rådfrågar det när DPIA:n genomförs, och att ombudet får i uppgift att kontrollera att analysen verkligen har utförts. Det är ett skyddsnät, inte en bock i en ruta: dataskyddsombudet är rätt instans att vända sig till innan en slutsats fastställs. Källa: GDPR, artiklarna 35 och 39 →
Vad händer om risken kvarstår hög efter analysen?
Om behandlingen, trots de planerade åtgärderna, fortfarande innebär en hög risk för de registrerade, kräver GDPR att CNIL rådfrågas innan behandlingen påbörjas. Myndigheten har då åtta veckor på sig att lämna ett skriftligt yttrande (kan förlängas med sex veckor om ärendet är komplext). Betryggande att veta: detta fall förblir undantaget, inte regeln. Källa: GDPR, artikel 36 →
Sanktionerna, utan att dramatisera
CNIL påminner om att GDPR-böterna kan uppgå till 10 miljoner euro eller 2 % av den globala årsomsättningen, det högsta av de två beloppen. Det är ett juridiskt tak, inte ett oundvikligt öde: en väl genomförd DPIA är just det som gör det möjligt att visa, vid en kontroll, att frågan har tagits på allvar. Källa: CNIL →
En europeisk nyhet att följa
Europeiska dataskyddsstyrelsen (EDPB) höll mellan den 14 april och 9 juni 2026 ett offentligt samråd om ett förslag till en gemensam DPIA-mall avsedd att harmonisera praxis mellan europeiska länder. Samrådet är nu avslutat; vi följer utvecklingen av detta förslag för att informera våra kunder när det är dags. Källa: EDPB →
Vem berörs egentligen av DPIA:n?
Innan man vet hur man gör en DPIA måste man veta om man berörs. Här är den exakta omfattningen, så som GDPR och CNIL definierar den, utan onödig spänning.
Det enda kriteriet som räknas: risken, inte storleken
GDPR fastställer ingen personalgräns för DPIA-skyldigheten. Artikel 35 ålägger denna analys "den personuppgiftsansvarige", oavsett organisationsform (förening, hantverkare, SME, kommun, storföretag), så snart en behandling "sannolikt leder till en hög risk för fysiska personers rättigheter och friheter". Vanlig fälla att undvika: gränsen på 250 anställda finns visserligen i GDPR, men den gäller ett delvis undantag från registret över behandlingar (artikel 30), inte DPIA:n. Ett företag med 5 anställda kan beröras; en koncern med 2000 anställda kan slippa: allt beror på behandlingen, aldrig på organisationens storlek. Källa: GDPR, artikel 35 (återgiven av CNIL) →
Offentligt eller privat: ingen är undantagen
Artikel 35 avser "den personuppgiftsansvarige" i vid mening: ett privat företag likaväl som en myndighet, en kommun, en förening eller en vårdinrättning. Texten nämner till och med uttryckligen fallet med "systematisk övervakning i stor omfattning av en allmänt tillgänglig plats", vilket typiskt gäller en kommun eller ett allmännyttigt bostadsbolag som installerar kameraövervakning på allmän plats, inte bara ett kommersiellt företag. Källa: GDPR, artikel 35, punkt 3 →
Den konkreta utlösaren: 2 kriterier av 9
CNIL och den tidigare artikel 29-gruppen (numera EDPB) har fastställt nio kriterier i sina vägledande riktlinjer (WP248). Så snart en behandling uppfyller minst två av dem blir DPIA:n obligatorisk: att betygsätta eller bedöma personer, fatta automatiska beslut som påverkar dem, övervaka dem systematiskt, behandla känsliga uppgifter, behandla i stor omfattning, korsköra register, rikta sig till sårbara personer (anställda, patienter, minderåriga), använda ny teknik, eller frånta någon en rättighet eller ett avtal. Källa: CNIL, riktlinjer från G29/EDPB (WP248) →
Konkreta exempel på berörda profiler
I praktiken kopplar CNIL:s doktrin typiskt dessa kriterier till: en läkarmottagning eller klinik som behandlar hälsouppgifter i stor omfattning, en HR-avdelning som använder ett verktyg för betygsättning eller profilering av anställda, ett företag utrustat med passersystem och systematisk kameraövervakning av lokaler öppna för allmänheten, ett kredit- eller inkassobolag som utövar scoring, eller en uppkopplad hälsoprodukt som samlar in data om levnadsvanor. Källa: CNIL, förteckning över de 14 behandlingar som kräver DPIA →
Och om jag inte berörs, hur vet jag det?
CNIL har också publicerat en förteckning över 12 typer av behandlingar för vilka DPIA INTE krävs: till exempel löneadministration och personalhantering hos en organisation med färre än 250 anställda (utan profilering), patientjournalen hos en ensam yrkesverksam vårdgivare, eller löpande leverantörshantering. Lugnande för många småföretag: att ha anställda eller kunder räcker inte i sig för att utlösa skyldigheten. Källa: CNIL, förteckning över de 12 behandlingar utan DPIA →
De frågor en företagsledare verkligen har om DPIA:n
Ingen advokatjargong: enkla svar, vart och ett grundat på den officiella text som ligger till grund för det.
Tidslinjen för DPIA:n, i klartext
De datum som verkligen betyder något, källbelagda, för att veta vad som redan är obligatoriskt idag och vad som är på väg.
Redan gällande idag
GDPR har tillämpats sedan 25 maj 2018, i hela Europa. Skyldigheten att göra en DPIA (artikel 35), CNIL:s två förteckningar som anger när den är obligatorisk eller inte, samt de europeiska riktlinjer som förklarar hur den ska genomföras: allt detta gäller, är stabilt och beror inte på någon kommande reform. Det är grunden ni kan luta er mot redan nu.
Att följa, ännu inte fastställt
Europeiska dataskyddsstyrelsen (EDPB) arbetar med en gemensam DPIA-mall för att harmonisera praxis mellan europeiska länder. Det offentliga samrådet om detta förslag avslutades den 9 juni 2026; inget datum för publicering av den slutliga mallen har ännu meddelats. Inget hindrar er från att agera under tiden: CNIL:s metod förblir giltig.
GDPR antas, sedan publiceras i EU:s officiella tidning
Europaparlamentet och rådet antar förordning 2016/679 den 27 april 2016. Den publiceras i Europeiska unionens officiella tidning (EUT L119) den 4 maj 2016, och träder sedan i kraft tjugo dagar senare, den 24 maj 2016, utan att ännu vara tillämplig. Källa: EUR-Lex, officiell referens för förordningen →
GDPR blir tillämplig: DPIA:n blir en verklig skyldighet
Två år efter antagandet börjar förordningen äntligen tillämpas i hela Europa (artikel 99.2). Det är den dagen som DPIA-skyldigheten i artikel 35 blir bindande, och Europeiska dataskyddsstyrelsen (EDPB) inrättas för första gången och övertar de riktlinjer om DPIA som redan utarbetats (WP248 rev.01). Källa: EUR-Lex, förordningens sammanfattning (artikel 99) → Källa: EDPB, övertagna riktlinjer →
CNIL publicerar sin förteckning över de 14 behandlingar där DPIA är obligatorisk
Några månader efter att GDPR börjat tillämpas antar CNIL sitt beslut nr 2018-327: en konkret förteckning över 14 typer av behandlingar (hälsouppgifter, HR-profilering, övervakning av anställda...) för vilka DPIA:n systematiskt måste genomföras. Slut på att gissa från fall till fall. Källa: CNIL →
CNIL publicerar den omvända förteckningen: när DPIA inte behövs
Ett år senare kompletterar CNIL sin doktrin med beslut nr 2019-118: en förteckning över behandlingar för vilka en DPIA INTE krävs (löneadministration för färre än 250 anställda utan profilering, leverantörshantering, patientjournal hos en ensam yrkesverksam...). CNIL:s två förteckningar besvarar tillsammans redan många vanliga situationer utan att man behöver avgöra det själv. Källa: CNIL →
EDPB samråder om en gemensam europeisk DPIA-mall
EDPB har genomfört ett offentligt samråd om ett förslag till en gemensam DPIA-mall, avsedd att harmonisera praxis mellan europeiska länder (idag har varje nationell myndighet sin egen variant). Samrådet har varit avslutat sedan 9 juni 2026; det är ännu inte en tillämplig text, bara ett förslag under granskning. Källa: EDPB →
Slutförandet av EDPB:s mall, utan känd tidsplan
EDPB anger själv att mallen "kommer att slutföras, med förbehåll för lämpliga ändringar", varefter de nationella myndigheterna inleder processen att anta den som gemensam mall, eller som en "metamodell" som är kompatibel med redan existerande mallar (däribland CNIL:s). Inget datum har meddelats hittills: vi följer detta ärende för att informera våra kunder så snart det finns något konkret, utan att förutspå något. Källa: EDPB →
GDPR-sanktionerna, i klartext
Vem som sanktionerar, hur mycket, och enligt vilka kriterier. Utan att dramatisera: de allra flesta ärenden har inget att göra med de belopp som blir stora rubriker.
Vem beslutar, i Frankrike: CNIL:s "formation restreinte" (sanktionsnämnd)
Det är ett specialiserat organ inom CNIL, skilt från den styrelse som kontrollerar och ger råd i det dagliga arbetet, som utfärdar sanktioner. Den förfogar över flera gradvisa verktyg, inte bara böter: tillsägelse, varning, föreläggande (med eller utan vite), åläggande, tillfällig eller permanent begränsning av behandlingen. Böterna är bara det sista steget på stegen. Källa: CNIL, utfärdade sanktioner →
Två rättsliga tak, inte ett enda belopp
GDPR (artikel 83) fastställer två tak, det högsta av de två gäller: upp till 10 miljoner euro eller 2 % av den globala omsättningen för föregående räkenskapsår för överträdelser av organisatoriska skyldigheter (säkerhet, register, dataskyddsombud, konsekvensbedömning...); upp till 20 miljoner euro eller 4 % för överträdelser av grundläggande principer (rättslig grund, samtycke, registrerades rättigheter, överföringar utanför EU). Dessa är tak, inte automatiska belopp. Källa: GDPR, artikel 83 →
Hur beloppet verkligen fastställs
Artikel 83.2 ålägger myndigheten att beakta: överträdelsens allvar och varaktighet, om den var avsiktlig eller berodde på ren oaktsamhet, de åtgärder som redan vidtagits för att begränsa skadan, ansvarsgraden, tidigare överträdelser, samarbetet med myndigheten, och känsligheten hos de berörda uppgifterna. Konkret: en organisation som har dokumenterat sitt arbete (register, DPIA, säkerhetsåtgärder) och samarbetar bedöms annorlunda än en som inte gjort någonting. Källa: GDPR, artikel 83.2 →
Ett verkligt fall där avsaknad av DPIA spelade roll: Discord
Den 10 november 2022 utfärdade CNIL:s sanktionsnämnd böter på 800 000 euro mot Discord. Bland de överträdelser som fastställdes: alltför lång lagringstid, bristande säkerhet, samt artikel 35 i GDPR - avsaknaden av en konsekvensbedömning trots att behandlingen, i stor omfattning och riktad mot minderåriga, krävde en sådan. Det är det mest direkta exemplet på kopplingen mellan "ingen dokumenterad DPIA" och en utfärdad sanktion. Källa: beslut SAN-2022-020, Légifrance →
De stora beloppen finns, men förblir sällsynta
Criteo sanktionerades med 40 miljoner euro den 15 juni 2023, eftersom bolaget inte kunde visa ett giltigt samtycke till att sätta ut reklamcookies. Clearview AI sanktionerades med 20 miljoner euro den 17 oktober 2022, för en massiv insamling av foton utan rättslig grund. Dessa belopp gäller internationella behandlingar i mycket stor omfattning, inte fallet med ett SME som dokumenterar sitt arbete. Källa: beslut SAN-2023-009, Légifrance →
Verkligheten för de flesta CNIL-ärenden
På CNIL:s egen officiella sida som listar besluten uppgår en stor del av de publicerade sanktionerna till tusentals euro, inte miljoner: en reklambyrå sanktionerad med 3 000 euro, två läkare med 3 000 respektive 6 000 euro, en matleveranstjänst med 20 000 euro. Sanktionen står i proportion till storlek och allvar, inte en enhetlig yxa. Källa: CNIL, utfärdade sanktioner →
Vad man bör komma ihåg
En väl genomförd DPIA gör inte en organisation orörbar: den utgör beviset, vid en kontroll, att frågan har tagits på allvar. Det är precis vad artikel 83.2 i GDPR kräver ska beaktas för att fastställa, eller inte fastställa, böter.
Er tillsynsmyndighet, beroende på land
I Europa har varje land sina egna myndigheter. Här är, för de 30 länderna i Europeiska ekonomiska samarbetsområdet, dataskyddsmyndigheten (er GDPR-kontakt) och den nationella cybersäkerhetsmyndigheten. Varje namn länkar till den officiella webbplatsen.
Källor: myndigheternas officiella webbplatser och EDPB:s medlemsförteckning (edpb.europa.eu), hämtade den 18 juli 2026. Bekräftade dataskyddsmyndigheter: 30/30. Bekräftade cybersäkerhetsmyndigheter: 28/30. Anmärkningen "att bekräfta" anger en officiell källa som ännu inte är fastställd.
Redo att dokumentera er DPIA?
Beskriv er behandling för oss, så återkommer vi med en personlig offert.