GDPR pålegger en personvernkonsekvensvurdering (DPIA) for enhver behandling som kan medføre høy risiko for enkeltpersoners rettigheter og friheter. SYAGA DPIA-Express strukturerer og dokumenterer din DPIA etter metodikken i artikkel 35 og EDPBs retningslinjer, uten improvisasjon og uten fagsjargong.
Avklare om behandlingen deres må underlegges en DPIA, og deretter gjennomføre den etter reglene
Enhver behandling som kan medføre høy risiko for fysiske personers rettigheter og friheter, skal underlegges en personvernkonsekvensvurdering før den settes i verk (GDPR, art. 35).
EDPB (tidligere Artikkel 29-gruppen, retningslinjene WP248 rev.01) har definert 9 kriterier for høy risiko. Så snart en behandling oppfyller minst to av disse kriteriene, skal det i prinsippet gjennomføres en DPIA: én feilaktig vurdert brikke, og dokumentasjonen blir ufullstendig.
CNIL (fransk myndighet) publiserer lister over behandlinger der DPIA kreves eller ikke kreves. Å fastslå nøyaktig hvor deres behandling befinner seg, krever en grundig gjennomgang, ikke et generelt inntrykk.
Å gjennomføre en DPIA for raskt gjør den ufullstendig overfor et tilsynsorgan; å ikke gjennomføre den når den kreves, utsetter virksomheten for et brudd på artikkel 35. CNIL-metoden strukturerer dette valget og dokumenterer det.
Strukturen som pålegges av GDPR artikkel 35.7, anvendt på deres behandling, med en begrunnet konklusjon på hvert trinn
Analyse mot de 3 tilfellene i artikkel 35.3, EDPBs 9-kriterier-mal (WP248 rev.01) og CNIL-listene over påkrevde eller ikke-påkrevde behandlinger. Begrunnet konklusjon, enten DPIA til slutt er obligatorisk eller ikke.
Formål, kategorier av data og berørte personer, mottakere, lagringstid: den fullstendige kartleggingen som kreves etter artikkel 35.7.a, i samsvar med protokollen over behandlingsaktiviteter (art. 30).
Kontroll av at hver innsamlede opplysning er nødvendig for det tilsiktede formålet, at behandlingsgrunnlaget (art. 6) er identifisert for hver behandling, og at prinsippet om dataminimering (art. 5.1.c) overholdes.
For hver identifiserte risiko: alvorlighetsgrad, sannsynlighet, allerede iverksatte tiltak, restrisiko, fremstilt i en tabell som kan brukes direkte av ledelsen eller personvernombudet deres.
Planlagte tekniske og organisatoriske tiltak (art. 32), begrunnet konklusjon og dokumentert begrunnelse i tråd med ansvarlighetsprinsippet (art. 5.2), klar til bruk ved eventuelt tilsyn fra CNIL.
Et strukturert, kildebelagt dokument, ærlig om hva som fortsatt må valideres av deres jurist eller personvernombud
Det fullstendige dokumentet etter artikkel 35.7 (a til d), med en begrunnet konklusjon.
Den innledende analysen som avgjør om behandlingen deres faller inn under plikten.
DPIA-en bygger på samme grunnlag som protokollen over behandlingsaktiviteter.
Hvert usikkerhetspunkt påpekes eksplisitt, aldri avgjort på deres vegne.
Hver juridisk påstand er kildebelagt, ikke gjengitt fra hukommelsen.
Levert i et redigerbart format, gjenbrukbart av deres personvernombud eller jurist.
En metode bygget på lovtekster og myndigheter, ikke egne tolkninger
Personvernkonsekvensvurdering. Konsolidert tekst av forordning (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
EDPBs (tidligere Artikkel 29-gruppens) 9 kriterier for høy risiko, benyttet av CNIL som referansemetode for å fastsette DPIA-plikten.
Lister over behandlinger der DPIA kreves eller ikke kreves, samt CNILs metode for gjennomføring av en konsekvensvurdering.
Protokoll over behandlingsaktiviteter: grunnlaget for sammenheng (formål, data, lagringstid) som enhver DPIA bygger på.
Omfanget avhenger av antall behandlinger, hvor kompliserte de er, og hva som allerede er dokumentert hos dere. Tilbud utarbeides etter en innledende samtale.
Dere vet ikke om behandlingen deres er omfattet
Behandling identifisert som høyrisiko
Flere risikobehandlinger som skal dekkes
En DPIA er aldri statisk
Artikkel 35.11 i GDPR pålegger en ny gjennomgang av analysen ved vesentlige endringer i behandlingen (ny databehandler, endret hosting, utvidet innsamlingsomfang). Tilbud for gjennomgang utarbeides fra sak til sak.
Det teksten faktisk sier, tilrettelagt på et enkelt språk. Hvert punkt beholder lenken til det offisielle dokumentet.
En DPIA er ganske enkelt en vurderingsjobb: man ser på risikoene en databehandling utsetter enkeltpersoner for, før den settes i gang. CNIL (fransk myndighet) definerer den som "en formell prosess for å vurdere risikoene knyttet til behandling av personopplysninger". Det er ikke enda et administrativt formalitetskrav, det er et sunn fornuft-verktøy som GDPR gjør obligatorisk i visse tilfeller. Kilde: CNIL →
Man trenger ikke være en stor virksomhet for å være omfattet. CNIL (fransk myndighet) mener en DPIA er obligatorisk så snart en behandling oppfyller minst to av disse ni situasjonene: vurdere eller score enkeltpersoner, treffe en automatisert beslutning som har reell effekt på dem, overvåke dem systematisk, samle inn sensitive opplysninger (helse, opprinnelse osv.), samle inn i stor skala, koble sammen flere databaser, rette seg mot sårbare personer (ansatte, pasienter, mindreårige...), bruke ny teknologi, eller frata noen en rettighet eller en tjeneste. Kilde: CNIL →
For å unngå gjetting har CNIL (fransk myndighet) publisert to offisielle lister: en liste med 14 typer behandlinger der DPIA er obligatorisk (helsedata, HR-profilering, overvåking av ansatte, geolokalisering i stor skala...), og en liste med 12 typer der den ikke kreves (lønn og personaladministrasjon for under 250 ansatte uten profilering, leverandøradministrasjon, pasientjournal hos en enkeltstående helsepersonell...). Disse listene dekker ikke alle tilfeller, men de svarer allerede på mange vanlige situasjoner. Kilde: CNIL-listen over påkrevde behandlinger →
GDPR (artikkel 35) krever ikke en roman, men fire presise bestanddeler: beskrive behandlingen og dens formål, kontrollere at den virkelig er nødvendig og forholdsmessig, vurdere risikoene for de registrerte, og deretter liste opp planlagte tiltak for å redusere disse risikoene. En klar konklusjon til slutt: er behandlingen akseptabel, og på hvilke vilkår. Kilde: GDPR, artikkel 35 →
Dersom organisasjonen deres har utnevnt et personvernombud, pålegger GDPR å be om dets råd når DPIA-en gjennomføres, og å be det kontrollere at analysen faktisk er gjennomført. Det er en sikkerhetsmekanisme, ikke en avkrysningsboks: personvernombudet bør alltid rådspørres før en konklusjon godkjennes. Kilde: GDPR, artikkel 35 og 39 →
Dersom behandlingen, til tross for planlagte tiltak, fortsatt utgjør en høy risiko for de registrerte, pålegger GDPR å rådspørre CNIL (fransk myndighet) før oppstart. Den har da åtte uker til å avgi sin skriftlige uttalelse (kan forlenges med seks uker dersom saken er kompleks). Betryggende å vite: dette tilfellet forblir unntaket, ikke regelen. Kilde: GDPR, artikkel 36 →
CNIL (fransk myndighet) minner om at GDPR-bøter kan nå opp til 10 millioner euro eller 2 % av global årsomsetning, avhengig av hvilket beløp som er høyest. Dette er et lovfestet tak, ikke en uunngåelig skjebne: en godt gjennomført DPIA er nettopp det som gjør det mulig å vise, ved et eventuelt tilsyn, at spørsmålet er tatt på alvor. Kilde: CNIL →
Det europeiske personvernrådet (EDPB) sendte fra 14. april til 9. juni 2026 ut et forslag til en felles DPIA-mal til offentlig høring, med sikte på å harmonisere praksisen mellom europeiske land. Høringen er nå avsluttet; vi følger med på hva som skjer videre med dette prosjektet for å informere kundene våre når tiden er inne. Kilde: EDPB →
Før man finner ut hvordan man gjennomfører en DPIA, må man vite om man er omfattet. Her er det nøyaktige omfanget, slik GDPR og CNIL (fransk myndighet) definerer det, uten unødig spenning.
GDPR fastsetter ingen grense for antall ansatte for DPIA-plikten. Artikkel 35 pålegger denne analysen for "den behandlingsansvarlige", uansett organisasjonsform (forening, enkeltpersonforetak, SMB, offentlig etat, stort konsern), så snart en behandling "sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter". Vanlig fallgruve: grensen på 250 ansatte finnes riktignok i GDPR, men den gjelder et delvis unntak fra behandlingsprotokollen (artikkel 30), ikke DPIA-en. En bedrift med 5 ansatte kan være omfattet; et konsern med 2000 ansatte trenger ikke å være det: alt avhenger av behandlingen, aldri av organisasjonens størrelse. Kilde: GDPR, artikkel 35 (gjengitt av CNIL) →
Artikkel 35 gjelder "den behandlingsansvarlige" i vid forstand: et privat foretak like mye som en offentlig etat, en kommune, en forening eller en helseinstitusjon. Teksten nevner til og med uttrykkelig "systematisk overvåking i stor skala av et offentlig tilgjengelig område", som typisk gjelder en kommune eller en boligforvalter som setter opp kameraovervåking på offentlig grunn, ikke bare et kommersielt foretak. Kilde: GDPR, artikkel 35, nr. 3 →
CNIL og den tidligere artikkel 29-gruppen (nå Det europeiske personvernrådet, EDPB) har fastsatt ni kriterier i sine retningslinjer (WP248). Så snart en behandling oppfyller minst to av dem, blir DPIA-en obligatorisk: vurdere eller score enkeltpersoner, treffe en automatisert beslutning som påvirker dem, overvåke dem systematisk, behandle sensitive opplysninger, behandle i stor skala, koble sammen registre, rette seg mot sårbare personer (ansatte, pasienter, mindreårige), bruke ny teknologi, eller frata noen en rettighet eller en avtale. Kilde: CNIL, retningslinjer fra artikkel 29-gruppen/EDPB (WP248) →
I praksis knytter CNILs doktrine typisk disse kriteriene til: en legepraksis eller klinikk som behandler helsedata i stor skala, en HR-avdeling som bruker et verktøy for scoring eller profilering av ansatte, en bedrift utstyrt med adgangskort og systematisk kameraovervåking av lokaler åpne for publikum, et kreditt- eller inkassoforetak som driver med scoring, eller en tilkoblet helseenhet som samler inn data om livsstilsvaner. Kilde: CNIL, listen over de 14 behandlingene med obligatorisk DPIA →
CNIL har også publisert en liste med 12 typer behandlinger der DPIA IKKE kreves: for eksempel lønn og personaladministrasjon i en virksomhet med under 250 ansatte (uten profilering), pasientjournalen til en enkeltstående helsepersonell, eller ordinær leverandøradministrasjon. Betryggende for mange småbedrifter: det å ha ansatte eller kunder er ikke alene nok til å utløse plikten. Kilde: CNIL, listen over de 12 behandlingene uten DPIA-krav →
Ingen juristsjargong: enkle svar, hver av dem forankret i den offisielle teksten som begrunner den.
Datoene som virkelig teller, kildebelagt, for å vite hva som allerede er obligatorisk i dag og hva som er på vei.
GDPR har vært gjeldende siden 25. mai 2018, i hele Europa. Plikten til å gjennomføre en DPIA (artikkel 35), de to CNIL-listene som sier når den er obligatorisk eller ikke, og de europeiske retningslinjene som forklarer hvordan den skal gjennomføres: alt dette er gjeldende, stabilt, og avhenger ikke av noen kommende reform. Det er grunnlaget dere kan bygge på allerede nå.
Det europeiske personvernrådet (EDPB) arbeider med en felles DPIA-mal for å harmonisere praksisen mellom europeiske land. Den offentlige høringen om dette prosjektet ble avsluttet 9. juni 2026; ingen dato for publisering av den endelige malen er ennå kunngjort. Ingenting tvinger dere til å vente: CNILs metode forblir gyldig i mellomtiden.
Europaparlamentet og Rådet vedtar forordning 2016/679 den 27. april 2016. Den kunngjøres i Den europeiske unions tidende (EUT L119) den 4. mai 2016, og trer deretter i kraft tjue dager senere, 24. mai 2016, uten å ennå være gjeldende. Kilde: EUR-Lex, offisiell referanse til forordningen →
To år etter vedtakelsen får forordningen endelig virkning i hele Europa (artikkel 99.2). Det er denne dagen DPIA-plikten i artikkel 35 blir håndhevbar, og Det europeiske personvernrådet (EDPB) etableres for første gang, og tar over de allerede utarbeidede retningslinjene om DPIA (WP248 rev.01). Kilde: EUR-Lex, oversikt over forordningen (artikkel 99) → Kilde: EDPB, videreførte retningslinjer →
Noen måneder etter at GDPR ble gjeldende, vedtar CNIL sin avgjørelse nr. 2018-327: en konkret liste over 14 typer behandlinger (helsedata, HR-profilering, overvåking av ansatte...) der DPIA systematisk skal gjennomføres. Slutt på å gjette fra sak til sak. Kilde: CNIL →
Et år senere utfyller CNIL sin doktrine med avgjørelse nr. 2019-118: en liste over behandlinger der en DPIA IKKE kreves (lønn for under 250 ansatte uten profilering, leverandøradministrasjon, pasientjournal hos en enkeltstående helsepersonell...). De to CNIL-listene besvarer til sammen allerede mange vanlige situasjoner uten at man trenger å avgjøre det selv. Kilde: CNIL →
EDPB har sendt et forslag til felles DPIA-mal på offentlig høring, med sikte på å harmonisere praksisen mellom europeiske land (i dag har hver nasjonale myndighet i stor grad sin egen mal). Høringen har vært avsluttet siden 9. juni 2026; det er ennå ikke en gjeldende tekst, kun et forslag under vurdering. Kilde: EDPB →
EDPB angir selv at malen "vil bli ferdigstilt, med forbehold om nødvendige endringer", hvoretter de nasjonale myndighetene vil starte prosessen med å vedta den som felles mal, eller som en "metamal" forenlig med eksisterende maler (deriblant CNILs). Ingen dato er kunngjort per i dag: vi følger denne saken for å informere kundene våre så snart det foreligger noe konkret, uten å foregripe noe. Kilde: EDPB →
Hvem sanksjonerer, hvor mye, og etter hvilke kriterier. Uten å dramatisere: de aller fleste sakene har ingenting å gjøre med beløpene som havner i overskriftene.
Det er et spesialisert organ i CNIL, adskilt fra styret som fører løpende tilsyn og gir råd, som ilegger sanksjoner. Det har flere gradvise virkemidler, ikke bare bøter: påminnelse, advarsel, pålegg (med eller uten løpende tvangsbot), foreleggelse, midlertidig eller permanent begrensning av behandlingen. Boten er bare det siste trinnet på stigen. Kilde: CNIL, ilagte sanksjoner →
GDPR (artikkel 83) fastsetter to tak, hvorav det høyeste av de to gjelder: opptil 10 millioner euro eller 2 % av den globale omsetningen for foregående regnskapsår, for brudd på organisatoriske plikter (sikkerhet, protokoll, personvernombud, konsekvensanalyse...); opptil 20 millioner euro eller 4 % for brudd på de grunnleggende prinsippene (rettslig grunnlag, samtykke, registrertes rettigheter, overføringer utenfor EU). Dette er tak, ikke automatiske beløp. Kilde: GDPR, artikkel 83 →
Artikkel 83.2 pålegger myndigheten å ta hensyn til: bruddets alvor og varighet, om det er forsettlig eller uaktsomt, tiltak som allerede er iverksatt for å begrense skaden, ansvarsgraden, tidligere forhold, samarbeidet med myndigheten, og hvor sensitive de berørte opplysningene er. Konkret: en organisasjon som har dokumentert sin fremgangsmåte (protokoll, DPIA, sikkerhetstiltak) og samarbeider, vurderes annerledes enn en som ikke har gjort noe. Kilde: GDPR, artikkel 83.2 →
Den 10. november 2022 ila CNILs sanksjonsavdeling Discord en bot på 800 000 euro. Blant bruddene som ble lagt til grunn: for lang lagringstid, sikkerhetsmangler, og manglende samsvar med GDPR artikkel 35: fravær av en konsekvensanalyse selv om behandlingen, i stor skala og med berøring av mindreårige, krevde en. Det er det mest direkte eksempelet på sammenhengen mellom "ingen dokumentert DPIA" og en ilagt sanksjon. Kilde: avgjørelse SAN-2022-020, Légifrance →
Criteo ble sanksjonert med 40 millioner euro den 15. juni 2023, fordi selskapet ikke kunne dokumentere gyldig samtykke til plassering av reklameinformasjonskapsler. Clearview AI ble sanksjonert med 20 millioner euro den 17. oktober 2022, for masseinnsamling av bilder uten rettslig grunnlag. Disse beløpene gjelder internasjonale behandlinger i svært stor skala, ikke tilfellet til en SMB som dokumenterer sin fremgangsmåte. Kilde: avgjørelse SAN-2023-009, Légifrance →
På den samme offisielle CNIL-siden som lister opp avgjørelsene, ligger en betydelig andel av de publiserte sanksjonene i tusener av euro, ikke millioner: et reklamebyrå sanksjonert med 3 000 euro, to leger med henholdsvis 3 000 og 6 000 euro, en matleveringstjeneste med 20 000 euro. Sanksjonen er tilpasset størrelse og alvorlighetsgrad, ikke en ensartet fallhøvel. Kilde: CNIL, ilagte sanksjoner →
Det viktigste å huske
En godt gjennomført DPIA gjør ikke en organisasjon urørlig: den utgjør beviset, ved et eventuelt tilsyn, på at temaet er tatt på alvor. Det er nettopp dette artikkel 83.2 i GDPR ber om å ta hensyn til ved fastsettelse - eller ikke-fastsettelse - av en bot.
I Europa har hvert land sine egne myndigheter. Her er, for de 30 landene i Det europeiske økonomiske samarbeidsområdet, personvernmyndigheten (deres GDPR-kontaktpunkt) og den nasjonale cybersikkerhetsmyndigheten. Hvert navn lenker til det offisielle nettstedet.
Kilder: offisielle nettsteder til myndighetene og listen over EDPB-medlemmer (edpb.europa.eu), konsultert 18. juli 2026. Bekreftede personvernmyndigheter: 30/30. Bekreftede cybersikkerhetsmyndigheter: 28/30. Merknaden «à confirmer» angir en offisiell kilde som ennå ikke er stabilisert.
Beskriv behandlingen deres for oss, så kommer vi tilbake med et skreddersydd tilbud.
Gratis: din score + dine avvik. Den detaljerte rapporten og attesten: 499 EUR eks. mva, kun hvis du selv velger det.
contact@syaga.eu Se gjennom CNIL-metoden på nytt