GDPR krefst mats á áhrifum á persónuvernd fyrir hvers kyns vinnslu sem gæti skapað mikla áhættu fyrir réttindi og frelsi einstaklinga. SYAGA DPIA-Express skipuleggur og skjalfestir MÁP þitt samkvæmt aðferðafræði 35. greinar og leiðbeiningum EDPB (Evrópska persónuverndar- ráðsins), án spuna og án hrognamáls.
Ákvarða hvort vinnsla þín þurfi MÁP, og framkvæma það síðan samkvæmt reglum
Sérhver vinnsla sem gæti skapað mikla áhættu fyrir réttindi og frelsi einstaklinga þarf mat á áhrifum á persónuvernd áður en hún er sett í framkvæmd (GDPR, 35. gr.).
EDPB (áður G29, leiðbeiningar WP248 rev.01) hefur skilgreint 9 viðmið um mikla áhættu. Um leið og vinnsla uppfyllir að minnsta kosti tvö þessara viðmiða þarf í grundvallar- atriðum að framkvæma MÁP: eitt rangt greint atriði, og skjalið er ófullnægjandi.
CNIL birtir lista yfir vinnslur þar sem MÁP er annaðhvort krafist eða ekki krafist. Að ákvarða nákvæmlega hvar vinnsla þín fellur krefst nákvæmrar yfirferðar, ekki almennrar tilfinningar.
Að framkvæma MÁP of hratt gerir hana ófullnægjandi gagnvart eftirlitsyfirvaldi; að framkvæma hana ekki þegar hennar er krafist skapar brot á 35. grein fyrir stofnunina. Aðferð CNIL skipuleggur þessa ákvörðun og skjalfestir hana.
Uppbyggingin sem 35.7. grein GDPR kveður á um, beitt á vinnslu þína, með rökstuddri niðurstöðu í hverju skrefi
Greining gegn þeim 3 tilvikum sem 35.3. grein tilgreinir, viðmiðatöflu EDPB (9 viðmið, WP248 rev.01) og listum CNIL yfir kröfuskyldar og ókröfuskyldar vinnslur. Rökstudd niðurstaða, hvort sem MÁP reynist á endanum skylda eða ekki.
Tilgangur, flokkar gagna og hlutaðeigandi einstaklinga, viðtakendur, varðveislutími: fullkomin kortlagning sem 35.7.a. grein krefst, í samræmi við vinnsluskrá þína (30. gr.).
Sannprófun á því að hver safnaður gagnaþáttur sé nauðsynlegur fyrir tilganginn, að lagagrundvöllur (6. gr.) sé skilgreindur fyrir hverja vinnslu, og að reglan um lágmörkun gagna (5.1.c. gr.) sé virt.
Fyrir hverja greinda áhættu: alvarleiki, líkur, þegar innleiddar ráðstafanir, eftirstandandi áhætta, sett fram í töflu sem stjórnendur þínir eða persónuverndarfulltrúi (DPO) geta nýtt.
Fyrirhugaðar tæknilegar og skipulagslegar ráðstafanir (32. gr.), rökstudd niðurstaða og skjalfestur rökstuðningur í samræmi við ábyrgðarregluna (5.2. gr.), tiltækt ef til eftirlits CNIL kemur.
Skipulagt og heimildaskráð skjal, hreinskilið um það sem lögfræðingur þinn eða persónuverndarfulltrúi (DPO) þarf enn að staðfesta
Heildarskjalið samkvæmt 35.7. grein (a til d), með rökstuddri niðurstöðu.
Undanfarandi greining sem sker úr um hvort vinnsla þín falli undir skylduna.
MÁP byggir á sama grunni og vinnsluskrá þín.
Hvert óvissuatriði er tilgreint skýrt, aldrei ákveðið í þínum stað.
Sérhver lagaleg fullyrðing er heimildaskráð, ekki sett fram eftir minni.
Afhent á breytanlegu sniði, endurnýtanlegt fyrir DPO þinn eða lögfræðing.
Aðferð sem byggir á lagatextum og yfirvöldum, ekki heimatilbúnum túlkunum
Mat á áhrifum á persónuvernd. Samræmdur texti reglugerðar (ESB) 2016/679 (EUR-Lex, CELEX 32016R0679).
9 viðmið EDPB (áður G29) um mikla áhættu, notuð af CNIL sem viðmiðunaraðferð til að ákvarða MÁP-skyldu.
Listar yfir vinnslur þar sem MÁP er annaðhvort krafist eða ekki krafist, og aðferð CNIL við framkvæmd áhrifamats.
Vinnsluskrá: grunnurinn að samræmi (tilgangur, gögn, tímalengd) sem sérhver MÁP byggir á.
Umfangið ræðst af fjölda vinnsla, flækjustigi þeirra og því sem þegar er skjalfest hjá þér. Tilboð útbúið eftir fyrstu samræður.
Þú veist ekki hvort vinnsla þín falli undir skylduna
Vinnsla sem greind er í mikilli áhættu
Margar áhættuvinnslur sem þarf að ná yfir
MÁP er aldrei endanlegt skjal
35.11. grein GDPR krefst þess að greiningin sé endurskoðuð ef verulegar breytingar verða á vinnslunni (nýr vinnsluaðili, breyting á hýsingu, útvíkkun á söfnunarumfangi). Tilboð fyrir endurskoðun er útbúið í hverju tilviki fyrir sig.
Það sem lagatextinn raunverulega segir, á einföldu máli. Hvert atriði heldur tengli sínum við opinbera skjalið.
MÁP er einfaldlega matsvinna: skoðaðar eru þær áhættur sem gagnavinnsla skapar fyrir einstaklinga, áður en hún er sett í framkvæmd. CNIL skilgreinir hana sem „formlegt ferli til að meta áhættu sem tengist vinnslu persónuupplýsinga". Þetta er ekki enn eitt stjórnsýsluformsatriðið, heldur skynsamlegt verkfæri sem GDPR gerir að skyldu í ákveðnum tilvikum. Heimild: CNIL →
Það þarf ekki að vera stórt fyrirtæki til að falla undir þetta. CNIL telur að MÁP sé skylda um leið og vinnsla uppfyllir að minnsta kosti tvö af eftirfarandi níu tilvikum: að meta eða flokka einstaklinga, taka sjálfvirka ákvörðun sem hefur raunveruleg áhrif á þá, hafa kerfisbundið eftirlit með þeim, safna viðkvæmum gögnum (heilsufari, uppruna o.s.frv.), safna í stórum stíl, tengja saman margar gagnagrunna, beinast að viðkvæmum hópum (starfsfólki, sjúklingum, ólögráða einstaklingum...), nota nýja tækni, eða svipta einhvern rétti eða þjónustu. Heimild: CNIL →
Til að forðast ágiskanir hefur CNIL birt tvo opinbera lista: lista yfir 14 tegundir vinnslu þar sem MÁP er skylda (heilsufarsgögn, mannauðssnið, eftirlit með starfsfólki, staðsetningarrakning í stórum stíl...), og lista yfir 12 tegundir þar sem hennar er ekki krafist (launavinnsla og starfsmannastjórnun hjá færri en 250 starfsmönnum án sniðgreiningar, birgjastjórnun, sjúklingaskrá hjá einum sjálfstætt starfandi heilbrigðisstarfsmanni...). Þessir listar ná ekki yfir öll tilvik, en þeir svara þegar mörgum algengum aðstæðum. Heimild: listi CNIL yfir kröfuskyldar vinnslur →
GDPR (35. grein) krefst ekki heillar skáldsögu, heldur fjögurra nákvæmra þátta: að lýsa vinnslunni og tilgangi hennar, sannreyna að hún sé raunverulega nauðsynleg og í réttu hlutfalli, meta áhættu fyrir hlutaðeigandi einstaklinga, og loks telja upp fyrirhugaðar ráðstafanir til að draga úr þeirri áhættu. Skýr niðurstaða í lokin: er vinnslan ásættanleg, og á hvaða forsendum. Heimild: GDPR, 35. grein →
Ef stofnun þín hefur tilnefnt persónuverndarfulltrúa (DPO), krefst GDPR þess að leitað sé ráða hjá honum þegar MÁP er framkvæmt, og að hann fái það hlutverk að sannreyna að greiningin hafi verið rétt unnin. Þetta er öryggisnet, ekki gátreitur til að merkja við: DPO er réttur viðbragðsaðili áður en niðurstaða er staðfest. Heimild: GDPR, 35. og 39. grein →
Ef vinnslan, þrátt fyrir fyrirhugaðar ráðstafanir, felur enn í sér mikla áhættu fyrir einstaklinga, krefst GDPR samráðs við CNIL áður en hafist er handa. CNIL hefur þá átta vikur til að gefa skriflegt álit (framlengjanlegt um sex vikur ef málið er flókið). Til huggunar: þetta tilvik er undantekning, ekki regla. Heimild: GDPR, 36. grein →
CNIL bendir á að GDPR-sektir geti numið allt að 10 milljónum evra eða 2% af árlegri veltu á heimsvísu, hvort sem er hærra. Þetta er lögbundið hámark, ekki óumflýjanleg örlög: vel unnin MÁP er einmitt það sem gerir kleift að sýna, ef til eftirlits kemur, að málið hafi verið tekið alvarlega. Heimild: CNIL →
Evrópska persónuverndarráðið (EDPB) setti, frá 14. apríl til 9. júní 2026, drög að sameiginlegu MÁP-sniðmáti í opið samráð, ætlað til að samræma vinnubrögð milli Evrópulanda. Samráðinu er nú lokið; við fylgjumst með framvindu málsins til að upplýsa viðskiptavini okkar þegar þar að kemur. Heimild: EDPB →
Áður en vitað er hvernig á að gera MÁP þarf að vita hvort maður fellur undir hana. Hér er nákvæmt gildissvið, eins og GDPR og CNIL skilgreina það, án óþarfa spennu.
GDPR setur engin lágmörk um starfsmannafjölda fyrir MÁP-skylduna. 35. grein þess leggur þessa greiningu á „ábyrgðaraðila vinnslu", hver sem rekstrarform hans er (félagasamtök, iðnaðarmaður, lítið eða meðalstórt fyrirtæki, sveitarfélag, stór samstæða), um leið og vinnsla „getur skapað mikla áhættu fyrir réttindi og frelsi einstaklinga". Algeng gildra sem ber að forðast: 250 starfsmanna mörkin eru sannarlega til í GDPR, en þau varða aðeins hlutabundna undanþágu frá skráningu vinnslu (30. grein), ekki MÁP. Fyrirtæki með 5 starfsmenn getur fallið undir hana; samstæða með 2000 starfsmenn þarf ekki að gera það: allt veltur á vinnslunni sjálfri, aldrei á stærð stofnunarinnar. Heimild: GDPR, 35. grein (endurbirt af CNIL) →
35. grein á við um „ábyrgðaraðila vinnslu" í víðum skilningi: einkarekið fyrirtæki jafnt sem opinbera stjórnsýslu, sveitarfélag, félagasamtök eða heilbrigðisstofnun. Textinn tekur meira að segja beinlínis fram tilvik „kerfisbundins eftirlits í stórum stíl á svæði sem er opið almenningi", sem á dæmigert við um sveitarfélag eða félagslegan leigusala sem setur upp myndavélaeftirlit á almannafæri, ekki bara viðskiptafyrirtæki. Heimild: GDPR, 35. grein, 3. mgr. →
CNIL og fyrrverandi 29. greinar hópurinn (nú Evrópska persónuverndarráðið, EDPB) settu níu viðmið í viðmiðunarleiðbeiningum sínum (WP248). Um leið og vinnsla uppfyllir að minnsta kosti tvö þeirra verður MÁP skylda: að meta eða flokka einstaklinga, taka sjálfvirka ákvörðun sem hefur áhrif á þá, hafa kerfisbundið eftirlit með þeim, vinna með viðkvæm gögn, vinna í stórum stíl, tengja saman gagnaskrár, beinast að viðkvæmum hópum (starfsfólki, sjúklingum, ólögráða einstaklingum), nota nýja tækni, eða svipta einhvern rétti eða samningi. Heimild: CNIL, viðmiðunarleiðbeiningar G29/EDPB (WP248) →
Í reynd tengir CNIL þessi viðmið dæmigert við: læknastofu eða heilsugæslu sem vinnur heilsufarsgögn í stórum stíl, mannauðsdeild sem notar matskerfi eða sniðgreiningu starfsfólks, fyrirtæki með aðgangskortakerfi og kerfisbundnu myndavélaeftirliti í húsnæði sem er opið almenningi, lána- eða innheimtufyrirtæki sem beitir áhættumati (scoring), eða nettengt heilsutæki sem safnar gögnum um lífsvenjur. Heimild: CNIL, listi yfir 14 vinnslur þar sem MÁP er skylda →
CNIL hefur einnig birt lista yfir 12 tegundir vinnslu þar sem MÁP er EKKI krafist: til dæmis launavinnsla og starfsmannastjórnun hjá stofnun með færri en 250 starfsmenn (án sniðgreiningar), sjúklingaskrá hjá einum sjálfstætt starfandi heilbrigðisstarfsmanni, eða hefðbundin birgjastjórnun. Til huggunar fyrir mörg lítil fyrirtæki: það að hafa starfsfólk eða viðskiptavini nægir ekki eitt og sér til að skylda MÁP. Heimild: CNIL, listi yfir 12 vinnslur án MÁP-skyldu →
Ekkert lögfræðimál: einföld svör, hvert og eitt byggt á opinbera lagatextanum sem það hvílir á.
Dagsetningarnar sem raunverulega skipta máli, heimildaskráðar, til að vita hvað er þegar skylda í dag og hvað er á leiðinni.
GDPR hefur gilt frá 25. maí 2018, alls staðar í Evrópu. Skyldan til að gera MÁP (35. grein), listarnir tveir frá CNIL sem segja til um hvenær hún er skylda eða ekki, og evrópsku viðmiðunarleiðbeiningarnar sem útskýra hvernig á að framkvæma hana: allt þetta er í gildi, stöðugt, og háð engri fyrirhugaðri breytingu. Þetta er grunnurinn sem þú getur byggt á strax núna.
Evrópska persónuverndarráðið (EDPB) vinnur að sameiginlegu MÁP-sniðmáti til að samræma vinnubrögð milli Evrópulanda. Opinbera samráðinu um þetta verkefni lauk 9. júní 2026; engin dagsetning hefur enn verið tilkynnt fyrir birtingu lokasniðmátsins. Ekkert skyldar til að bíða: aðferð CNIL heldur gildi sínu á meðan.
Evrópuþingið og ráðið samþykkja reglugerð 2016/679 þann 27. apríl 2016. Hún er birt í Stjórnartíðindum Evrópusambandsins (JO L119) þann 4. maí 2016, og öðlast síðan gildi tuttugu dögum síðar, þann 24. maí 2016, án þess að vera enn framkvæmanleg. Heimild: EUR-Lex, opinber tilvísun reglugerðarinnar →
Tveimur árum eftir samþykkt hennar tekur reglugerðin loksins gildi í allri Evrópu (99.2. grein). Þennan dag verður MÁP-skyldan samkvæmt 35. grein bindandi, og Evrópska persónuverndarráðið (EDPB) er sett á laggirnar í fyrsta sinn, og tekur við þeim viðmiðunarleiðbeiningum um MÁP sem þegar höfðu verið samdar (WP248 endursk. 01). Heimild: EUR-Lex, skjal reglugerðarinnar (99. grein) → Heimild: EDPB, viðmiðunarleiðbeiningar sem teknar voru upp →
Nokkrum mánuðum eftir að GDPR tók gildi samþykkir CNIL ákvörðun sína nr. 2018-327: áþreifanlegan lista yfir 14 tegundir vinnslu (heilsufarsgögn, mannauðssnið, eftirlit með starfsfólki...) þar sem MÁP verður alltaf að framkvæma. Ekki lengur þörf á að giska frá einu tilviki til annars. Heimild: CNIL →
Ári síðar bætir CNIL við stefnu sína með ákvörðun nr. 2019-118: lista yfir vinnslur þar sem MÁP er EKKI krafist (launavinnsla hjá færri en 250 starfsmönnum án sniðgreiningar, birgjastjórnun, sjúklingaskrá sjálfstætt starfandi fagaðila...). Listarnir tveir frá CNIL svara saman þegar mörgum algengum aðstæðum án þess að þurfa að taka ákvörðun sjálf(ur). Heimild: CNIL →
EDPB setti í opið samráð drög að sameiginlegu MÁP-sniðmáti, ætlað til að samræma vinnubrögð milli Evrópulanda (í dag hefur hvert landsyfirvald sinn eigin ramma að mestu leyti). Samráðinu lauk 9. júní 2026; þetta er enn ekki framkvæmanlegur texti, aðeins verkefni í skoðun. Heimild: EDPB →
EDPB tekur sjálft fram að sniðmátið „verði fullmótað, með fyrirvara um viðeigandi breytingar", en að því loknu munu landsyfirvöld hefja ferlið við að taka það upp sem sameiginlegt sniðmát, eða sem „meta-sniðmát" sem samræmist þeim sniðmátum sem þegar eru til (þar á meðal sniðmáti CNIL). Engin dagsetning hefur enn verið tilkynnt: við fylgjumst með málinu til að láta viðskiptavini okkar vita um leið og eitthvað áþreifanlegt liggur fyrir, án þess að spá fyrir um neitt. Heimild: EDPB →
Hver beitir viðurlögum, hversu miklum, og á hvaða forsendum. Án dramatíkur: langflest mál eiga ekkert skylt við þær upphæðir sem rata í fyrirsagnir.
Það er sérhæfð eining innan CNIL, aðgreind frá nefndinni sem hefur eftirlit og veitir ráðgjöf dags daglega, sem kveður upp viðurlög. Hún hefur yfir að ráða nokkrum stigskiptum úrræðum, ekki bara sekt: áminningu, viðvörun, formlega tilkynningu (með eða án fjárþvingunar), fyrirmæli, tímabundna eða varanlega takmörkun vinnslu. Sektin er aðeins síðasta þrepið á stiganum. Heimild: CNIL, kveðin viðurlög →
GDPR (83. grein) setur tvö hámörk, og hærri talan gildir: allt að 10 milljónum evra eða 2% af árlegri veltu á heimsvísu á fyrra reikningsári fyrir brot á skipulagslegum skyldum (öryggi, skráningu, DPO, áhrifamati...); allt að 20 milljónum evra eða 4% fyrir brot gegn grundvallarreglum (lagagrundvelli, samþykki, réttindum einstaklinga, flutningi gagna út fyrir ESB). Þetta eru hámörk, ekki sjálfvirkar upphæðir. Heimild: GDPR, 83. grein →
83.2. grein skyldar yfirvaldið til að taka tillit til: alvarleika og tímalengdar brotsins, hvort um ásetning eða einfalt gáleysi er að ræða, þegar gerðra ráðstafana til að takmarka tjónið, ábyrgðarstigsins, fyrri brota, samvinnu við yfirvaldið, og viðkvæmni gagnanna sem um ræðir. Í reynd: stofnun sem hefur skjalfest vinnu sína (skráningu, MÁP, öryggisráðstafanir) og sýnir samvinnu er metin öðruvísi en sú sem ekkert hefur gert. Heimild: GDPR, 83.2. grein →
Þann 10. nóvember 2022 kvað takmörkuð nefnd CNIL upp sekt að fjárhæð 800.000 evrur á hendur Discord. Meðal brota sem talin voru upp: of langur varðveislutími, öryggisbrestur, og brot á 35. grein GDPR - skortur á áhrifamati þrátt fyrir að vinnslan, sem var í stórum stíl og náði til ólögráða einstaklinga, hafi krafist þess. Þetta er beinasta dæmið um tengslin milli „engin skjalfest MÁP" og kveðins viðurlags. Heimild: ákvörðun SAN-2022-020, Légifrance →
Criteo var beitt sekt að fjárhæð 40 milljónir evra þann 15. júní 2023, fyrir að hafa ekki getað sýnt fram á gilt samþykki fyrir birtingu auglýsingavafrakaka. Clearview AI var beitt sekt að fjárhæð 20 milljónir evra þann 17. október 2022, fyrir umfangsmikla söfnun ljósmynda án lagagrundvallar. Þessar upphæðir varða alþjóðlegar vinnslur í mjög stórum stíl, ekki tilvik lítils eða meðalstórs fyrirtækis sem skjalfestir vinnu sína. Heimild: ákvörðun SAN-2023-009, Légifrance →
Á sömu opinberu síðu CNIL þar sem ákvarðanir eru skráðar, eru stór hluti birtra viðurlaga upp á þúsundir evra, ekki milljónir: auglýsingastofa sekt um 3.000 evrur, tveir læknar um 3.000 og 6.000 evrur, matarsendingarþjónusta um 20.000 evrur. Viðurlögin eru í hlutfalli við stærð og alvarleika, ekki einsleit refsing. Heimild: CNIL, kveðin viðurlög →
Það sem ber að muna
Vel unnin MÁP gerir stofnun ekki ósnertanlega: hún er sönnun þess, ef til eftirlits kemur, að málið hafi verið tekið alvarlega. Þetta er einmitt það sem 83.2. grein GDPR krefst að tekið sé tillit til við ákvörðun um hvort sekt sé lögð á eða ekki.
Í Evrópu hefur hvert land sín eigin yfirvöld. Hér má finna, fyrir öll 30 lönd Evrópska efnahagssvæðisins, persónuverndaryfirvaldið (viðmælanda þinn í GDPR-málum) og landsbundið netöryggisyfirvald. Hvert nafn tengist á opinberu vefsíðuna.
Heimildir: opinberar vefsíður yfirvaldanna og félagalisti EDPB (edpb.europa.eu), skoðaðar 18. júlí 2026. Staðfest persónuverndaryfirvöld: 30/30. Staðfest netöryggisyfirvöld: 28/30. Merkingin „à confirmer" gefur til kynna opinbera heimild sem enn hefur ekki verið staðfest.
Lýstu vinnslu þinni fyrir okkur, við sendum þér sérsniðið tilboð.
Ókeypis: einkunnin þín + frávikin þín. Ítarlega skýrslan og staðfestingin: 499 € án vsk, aðeins ef þú ákveður það.
contact@syaga.eu Skoða aðferð CNIL aftur