RODO nakłada obowiązek przeprowadzenia Oceny Skutków dla Ochrony Danych dla każdego przetwarzania mogącego powodować wysokie ryzyko dla praw i wolności osób fizycznych. SYAGA DPIA-Express strukturyzuje i dokumentuje Twoją DPIA według metodologii artykułu 35 i wytycznych EROD, bez improwizacji i bez żargonu.
Ustalenie, czy Twoje przetwarzanie wymaga DPIA, a następnie przeprowadzenie jej zgodnie z zasadami
Każde przetwarzanie mogące powodować wysokie ryzyko dla praw i wolności osób fizycznych musi zostać poddane Ocenie Skutków dla Ochrony Danych przed jego wdrożeniem (RODO, art. 35).
EROD (dawniej G29, wytyczne WP248 rev.01) zdefiniowała 9 kryteriów wysokiego ryzyka. Gdy przetwarzanie spełnia co najmniej dwa z tych kryteriów, DPIA co do zasady musi zostać przeprowadzona: jeden źle zidentyfikowany element, a dokumentacja jest niekompletna.
CNIL (francuski organ ds. ochrony danych) publikuje listy przetwarzań, dla których DPIA jest wymagana lub nie jest wymagana. Ustalenie, gdzie dokładnie sytuuje się Twoje przetwarzanie, wymaga rygorystycznej lektury, nie ogólnego wrażenia.
Przeprowadzenie DPIA zbyt pobieżnie naraża na niekompletność wobec organu nadzorczego; nieprzeprowadzenie jej, gdy jest wymagana, naraża organizację na naruszenie artykułu 35. Metoda CNIL strukturyzuje ten wybór i go dokumentuje.
Struktura narzucona przez artykuł 35.7 RODO, zastosowana do Twojego przetwarzania, z uzasadnionym wnioskiem na każdym etapie
Analiza względem 3 przypadków artykułu 35.3, siatki 9 kryteriów EROD (WP248 rev.01) i list CNIL przetwarzań wymaganych lub niewymaganych. Uzasadniony wniosek, niezależnie od tego, czy DPIA jest ostatecznie obowiązkowa czy nie.
Cele, kategorie danych i osób, których dane dotyczą, odbiorcy, okresy przechowywania: kompletne mapowanie wymagane przez artykuł 35.7.a, spójne z Twoim rejestrem czynności przetwarzania (art. 30).
Weryfikacja, że każda zbierana dana jest niezbędna do realizacji celu, że podstawa prawna (art. 6) jest zidentyfikowana dla każdego przetwarzania oraz że zasada minimalizacji (art. 5.1.c) jest przestrzegana.
Dla każdego zidentyfikowanego ryzyka: dotkliwość, prawdopodobieństwo, już wdrożone środki, ryzyko rezydualne, przedstawione w formie tabeli użytecznej dla Twojego kierownictwa lub IOD.
Rozważane środki techniczne i organizacyjne (art. 32), uzasadniony wniosek i udokumentowane uzasadnienie w ramach rozliczalności (art. 5.2), gotowe do wykorzystania w razie kontroli CNIL.
Ustrukturyzowany, opatrzony źródłami dokument, uczciwie wskazujący, co pozostaje do zatwierdzenia przez Twojego prawnika lub IOD
Kompletny dokument zgodny z artykułem 35.7 (a-d), z uzasadnionym wnioskiem.
Wstępna analiza rozstrzygająca, czy Twoje przetwarzanie wchodzi w zakres obowiązku.
DPIA opiera się na tej samej podstawie co Twój rejestr czynności przetwarzania.
Każdy punkt niepewności jest wyraźnie zaznaczony, nigdy nie rozstrzygamy go za Ciebie.
Każde twierdzenie prawne jest opatrzone źródłem, nie podawane z pamięci.
Dostarczony w formacie edytowalnym, wielokrotnego użytku przez Twojego IOD lub prawnika.
Metoda oparta na przepisach i organach, nie na własnych interpretacjach
Ocena skutków dla ochrony danych. Skonsolidowany tekst Rozporządzenia (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
9 kryteriów wysokiego ryzyka EROD (dawniej G29), przyjętych przez CNIL jako metoda referencyjna do ustalenia obowiązku DPIA.
Listy przetwarzań, dla których DPIA jest wymagana lub niewymagana, oraz metoda CNIL prowadzenia oceny skutków.
Rejestr czynności przetwarzania: podstawa spójności (cele, dane, okresy), na której opiera się każda DPIA.
Zakres zależy od liczby przetwarzań, ich złożoności i tego, co jest już udokumentowane u Ciebie. Wycena ustalana po wstępnej rozmowie.
Nie wiesz, czy Twoje przetwarzanie jest objęte obowiązkiem
Przetwarzanie zidentyfikowane jako wysokiego ryzyka
Kilka przetwarzań ryzykownych do objęcia
DPIA nigdy nie jest ustalona raz na zawsze
Artykuł 35.11 RODO nakłada obowiązek ponownego zbadania analizy w przypadku istotnej zmiany przetwarzania (nowy podmiot przetwarzający, zmiana hostingu, rozszerzenie zakresu zbierania danych). Wycena przeglądu jest ustalana indywidualnie.
To, co naprawdę mówi przepis, streszczone prostym językiem. Każdy punkt zachowuje link do dokumentu oficjalnego.
DPIA to po prostu praca oceniająca: patrzymy na ryzyka, jakie przetwarzanie danych stwarza dla osób, zanim je wdrożymy. CNIL definiuje ją jako "formalny proces pozwalający ocenić ryzyka związane z przetwarzaniem danych osobowych". To nie kolejna formalność administracyjna, to narzędzie zdrowego rozsądku, uczynione obowiązkowym przez RODO w niektórych przypadkach. Źródło: CNIL →
Nie trzeba być dużym przedsiębiorstwem, aby być objętym obowiązkiem. CNIL uważa, że DPIA jest obowiązkowa, gdy przetwarzanie spełnia co najmniej dwie z dziewięciu sytuacji: ocenianie lub punktowanie osób, podejmowanie zautomatyzowanej decyzji mającej realny wpływ na nie, systematyczne ich monitorowanie, zbieranie danych wrażliwych (zdrowie, pochodzenie itd.), zbieranie na dużą skalę, krzyżowanie kilku baz danych, dotyczenie osób wrażliwych (pracownicy, pacjenci, małoletni...), wykorzystywanie nowej technologii, lub pozbawianie kogoś prawa lub usługi. Źródło: CNIL →
Aby uniknąć zgadywania, CNIL opublikowała dwie oficjalne listy: listę 14 typów przetwarzań, gdzie DPIA jest obowiązkowa (dane zdrowotne, profilowanie HR, monitorowanie pracowników, geolokalizacja na dużą skalę...), oraz listę 12 typów, gdzie nie jest wymagana (płace i zarządzanie personelem poniżej 250 pracowników bez profilowania, zarządzanie dostawcami, dokumentacja pacjenta pojedynczego pracownika ochrony zdrowia...). Listy te nie obejmują wszystkich przypadków, ale odpowiadają już na wiele typowych sytuacji. Źródło: lista CNIL przetwarzań wymaganych →
RODO (artykuł 35) nie wymaga powieści, lecz czterech precyzyjnych elementów: opisać przetwarzanie i jego cel, sprawdzić, czy jest naprawdę niezbędne i proporcjonalne, ocenić ryzyka dla osób, których dane dotyczą, a następnie wymienić przewidziane środki dla zmniejszenia tych ryzyk. Na końcu jasny wniosek: czy przetwarzanie jest akceptowalne, i na jakich warunkach. Źródło: RODO, artykuł 35 →
Jeśli Twoja organizacja wyznaczyła Inspektora Ochrony Danych, RODO nakazuje zasięgnąć jego opinii przy przeprowadzaniu DPIA i zlecić mu weryfikację, że analiza została rzeczywiście wykonana. To zabezpieczenie, nie pole do odhaczenia: IOD pozostaje właściwym punktem odniesienia przed zatwierdzeniem wniosku. Źródło: RODO, artykuły 35 i 39 →
Jeśli mimo przewidzianych środków przetwarzanie nadal stwarza wysokie ryzyko dla osób, RODO nakazuje skonsultować się z CNIL przed rozpoczęciem. Ma ona wtedy osiem tygodni na wydanie pisemnej opinii (możliwe przedłużenie o sześć tygodni, jeśli sprawa jest złożona). Uspokajający fakt: ten przypadek pozostaje wyjątkiem, nie regułą. Źródło: RODO, artykuł 36 →
CNIL przypomina, że kary RODO mogą sięgać do 10 milionów euro lub 2% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. To pułap prawny, nie fatalizm: dobrze przeprowadzona DPIA jest właśnie tym, co pozwala pokazać, w razie kontroli, że kwestia została potraktowana poważnie. Źródło: CNIL →
Europejska Rada Ochrony Danych (EROD/EDPB) poddała pod konsultacje publiczne, od 14 kwietnia do 9 czerwca 2026, projekt jednolitego wzorca DPIA mającego zharmonizować praktyki między krajami europejskimi. Konsultacje są już zamknięte; śledzimy dalsze losy tego projektu, aby poinformować o nich naszych klientów w odpowiednim czasie. Źródło: EDPB →
Zanim dowiesz się, jak przeprowadzić DPIA, trzeba wiedzieć, czy w ogóle Cię to dotyczy. Oto dokładny zakres, tak jak definiują go RODO i CNIL, bez zbędnego napięcia.
RODO nie ustala żadnego progu liczby pracowników dla obowiązku DPIA. Jego artykuł 35 nakłada ten obowiązek na "administratora danych", niezależnie od jego formy (stowarzyszenie, rzemieślnik, MŚP, jednostka samorządowa, duża grupa), gdy tylko przetwarzanie "może powodować wysokie ryzyko dla praw i wolności osób fizycznych". Częsta pułapka do uniknięcia: próg 250 pracowników rzeczywiście istnieje w RODO, ale dotyczy częściowego zwolnienia z prowadzenia rejestru czynności przetwarzania (artykuł 30), a nie DPIA. Firma zatrudniająca 5 osób może być objęta obowiązkiem; grupa licząca 2000 pracowników może nim nie być: wszystko zależy od przetwarzania, nigdy od wielkości struktury. Źródło: RODO, artykuł 35 (przytoczony przez CNIL) →
Artykuł 35 dotyczy "administratora danych" w szerokim znaczeniu: zarówno firmy prywatnej, jak i administracji publicznej, jednostki samorządu terytorialnego, stowarzyszenia czy placówki ochrony zdrowia. Tekst przewiduje nawet wprost przypadek "systematycznego monitorowania na dużą skalę obszaru dostępnego publicznie", który typowo dotyczy urzędu miasta lub instytucji społecznego budownictwa mieszkaniowego instalującej monitoring wizyjny w przestrzeni publicznej, a nie tylko przedsiębiorstwa komercyjnego. Źródło: RODO, artykuł 35, ustęp 3 →
CNIL oraz dawna grupa robocza z artykułu 29 (przekształcona w Europejską Radę Ochrony Danych, EDPB) ustaliły dziewięć kryteriów w swoich referencyjnych wytycznych (WP248). Gdy przetwarzanie spełnia co najmniej dwa z nich, DPIA staje się obowiązkowa: ocenianie lub punktowanie osób, podejmowanie zautomatyzowanej decyzji mającej na nie realny wpływ, systematyczne ich monitorowanie, przetwarzanie danych wrażliwych, przetwarzanie na dużą skalę, krzyżowanie zbiorów danych, dotyczenie osób wrażliwych (pracownicy, pacjenci, małoletni), wykorzystywanie nowej technologii lub pozbawianie kogoś prawa bądź umowy. Źródło: CNIL, wytyczne G29/EDPB (WP248) →
W praktyce doktryna CNIL zalicza do tych kryteriów typowo: gabinet lekarski lub klinikę przetwarzającą dane zdrowotne na dużą skalę, dział HR korzystający z narzędzia oceniania lub profilowania pracowników, firmę wyposażoną w system identyfikatorów i systematyczny monitoring wizyjny swoich pomieszczeń dostępnych publicznie, instytucję kredytową lub windykacyjną stosującą scoring, bądź urządzenie zdrowotne typu connected object zbierające dane o nawykach życiowych. Źródło: CNIL, lista 14 przetwarzań z obowiązkową DPIA →
CNIL opublikowała również listę 12 typów przetwarzań, dla których DPIA NIE jest wymagana: na przykład płace i zarządzanie personelem organizacji zatrudniającej mniej niż 250 pracowników (bez profilowania), dokumentacja pacjenta prowadzona przez samodzielnie praktykującego pracownika ochrony zdrowia, czy bieżące zarządzanie dostawcami. Uspokajająca wiadomość dla wielu mikroprzedsiębiorstw: samo posiadanie pracowników lub klientów nie wystarczy, by uruchomić ten obowiązek. Źródło: CNIL, lista 12 przetwarzań bez DPIA →
Bez prawniczego żargonu: proste odpowiedzi, każda oparta na oficjalnym tekście, który ją uzasadnia.
Daty, które naprawdę się liczą, opatrzone źródłami, aby wiedzieć, co jest już dziś obowiązkowe, a co dopiero nadchodzi.
RODO obowiązuje od 25 maja 2018 roku, w całej Europie. Obowiązek przeprowadzenia DPIA (artykuł 35), obie listy CNIL wskazujące, kiedy jest ona obowiązkowa lub nie, oraz europejskie wytyczne wyjaśniające, jak ją przeprowadzić: wszystko to obowiązuje, jest stabilne i nie zależy od żadnej nadchodzącej reformy. To podstawa, na której możesz oprzeć się już teraz.
Europejska Rada Ochrony Danych (EROD) pracuje nad jednolitym wzorcem DPIA, mającym zharmonizować praktyki między krajami europejskimi. Konsultacje publiczne w sprawie tego projektu zakończyły się 9 czerwca 2026 roku; data publikacji ostatecznego wzorca nie została jeszcze podana. Nic nie zmusza do czekania: metoda CNIL pozostaje w tym czasie ważna.
Parlament Europejski i Rada przyjmują rozporządzenie 2016/679 27 kwietnia 2016 roku. Zostaje ono opublikowane w Dzienniku Urzędowym Unii Europejskiej (Dz.U. L119) 4 maja 2016 roku, a następnie wchodzi w życie dwadzieścia dni później, 24 maja 2016 roku, choć nie jest jeszcze stosowane. Źródło: EUR-Lex, oficjalne odniesienie do rozporządzenia →
Dwa lata po jego przyjęciu rozporządzenie zaczyna wreszcie obowiązywać w całej Europie (artykuł 99.2). To właśnie tego dnia obowiązek DPIA z artykułu 35 staje się prawnie wiążący, a Europejska Rada Ochrony Danych (EROD) zostaje po raz pierwszy ustanowiona, przejmując wytyczne dotyczące DPIA opracowane wcześniej (WP248 rev.01). Źródło: EUR-Lex, karta rozporządzenia (artykuł 99) → Źródło: EROD, przejęte wytyczne →
Kilka miesięcy po wejściu w stosowanie RODO, CNIL przyjmuje uchwałę nr 2018-327: konkretną listę 14 typów przetwarzań (dane zdrowotne, profilowanie HR, monitorowanie pracowników...), dla których DPIA musi być systematycznie przeprowadzana. Koniec zgadywania od przypadku do przypadku. Źródło: CNIL →
Rok później CNIL uzupełnia swoją doktrynę uchwałą nr 2019-118: listą przetwarzań, dla których DPIA NIE jest wymagana (płace poniżej 250 pracowników bez profilowania, zarządzanie dostawcami, dokumentacja pacjenta samodzielnie praktykującego specjalisty...). Obie listy CNIL razem odpowiadają już na wiele typowych sytuacji bez konieczności samodzielnego rozstrzygania. Źródło: CNIL →
EROD poddała pod konsultacje publiczne projekt wspólnego wzorca DPIA, mający na celu zharmonizowanie praktyk między krajami europejskimi (dziś każdy organ krajowy ma nieco własną siatkę). Konsultacje są zamknięte od 9 czerwca 2026 roku; to jeszcze nie obowiązujący tekst, a jedynie projekt w trakcie rozpatrywania. Źródło: EROD →
Sama EROD wskazuje, że wzorzec "zostanie sfinalizowany, z zastrzeżeniem odpowiednich zmian", po czym organy krajowe rozpoczną działania mające na celu przyjęcie go jako jednolitego wzorca lub jako "meta-wzorca" zgodnego z już istniejącymi wzorcami (w tym z wzorcem CNIL). Do dziś nie podano żadnej daty: śledzimy tę sprawę, aby poinformować naszych klientów, gdy tylko pojawią się konkrety, bez wyprzedzającego zakładania czegokolwiek. Źródło: EROD →
Kto nakłada sankcje, w jakiej wysokości i na jakich kryteriach. Bez dramatyzowania: zdecydowana większość spraw nie ma nic wspólnego z kwotami trafiającymi na pierwsze strony gazet.
To wyspecjalizowany organ CNIL, odrębny od kolegium, które na co dzień kontroluje i doradza, wydaje sankcje. Dysponuje kilkoma stopniowanymi narzędziami, nie tylko karą pieniężną: upomnienie, ostrzeżenie, wezwanie do usunięcia naruszeń (z okresową karą finansową lub bez), nakaz, czasowe lub trwałe ograniczenie przetwarzania. Kara pieniężna to jedynie ostatni szczebel tej drabiny. Źródło: CNIL, wydane sankcje →
RODO (artykuł 83) ustala dwa pułapy, przy czym stosuje się ten wyższy: do 10 milionów euro lub 2% światowego obrotu z poprzedniego roku obrotowego za naruszenia obowiązków organizacyjnych (bezpieczeństwo, rejestr, IOD, ocena skutków...); do 20 milionów euro lub 4% za naruszenia zasad merytorycznych (podstawa prawna, zgoda, prawa osób, transfery poza UE). To pułapy, nie automatyczne kwoty. Źródło: RODO, artykuł 83 →
Artykuł 83.2 nakłada na organ obowiązek uwzględnienia: wagi i czasu trwania naruszenia, umyślnego charakteru lub zwykłego zaniedbania, środków już podjętych w celu ograniczenia szkody, stopnia odpowiedzialności, wcześniejszych naruszeń, współpracy z organem oraz wrażliwości danych, których dotyczy sprawa. Konkretnie: organizacja, która udokumentowała swoje działania (rejestr, DPIA, środki bezpieczeństwa) i współpracuje, jest oceniana inaczej niż ta, która nic nie zrobiła. Źródło: RODO, artykuł 83.2 →
10 listopada 2022 roku izba orzekająca CNIL nałożyła karę w wysokości 800 000 euro na Discord. Wśród stwierdzonych naruszeń: nadmierny okres przechowywania danych, brak zabezpieczeń, a także naruszenie artykułu 35 RODO, czyli brak oceny skutków, mimo że przetwarzanie, prowadzone na dużą skalę i dotyczące małoletnich, jej wymagało. To najbardziej bezpośredni przykład związku między "brakiem udokumentowanej DPIA" a nałożoną sankcją. Źródło: uchwała SAN-2022-020, Légifrance →
Criteo zostało ukarane kwotą 40 milionów euro 15 czerwca 2023 roku, ponieważ nie zdołało wykazać ważnej zgody na umieszczanie reklamowych plików cookie. Clearview AI zostało ukarane kwotą 20 milionów euro 17 października 2022 roku za masowe zbieranie zdjęć bez podstawy prawnej. Te kwoty dotyczą międzynarodowych przetwarzań na bardzo dużą skalę, a nie przypadku MŚP, które dokumentuje swoje działania. Źródło: uchwała SAN-2023-009, Légifrance →
Na tej samej oficjalnej stronie CNIL zawierającej listę uchwał, znaczna część publikowanych sankcji liczona jest w tysiącach euro, a nie w milionach: agencja reklamowa ukarana kwotą 3 000 euro, dwóch lekarzy odpowiednio kwotami 3 000 i 6 000 euro, serwis dostawy posiłków kwotą 20 000 euro. Sankcja jest proporcjonalna do wielkości i wagi naruszenia, a nie jednolitym cięciem topora. Źródło: CNIL, wydane sankcje →
Co warto zapamiętać
Dobrze przeprowadzona DPIA nie czyni organizacji nietykalną: stanowi dowód, w razie kontroli, że temat został potraktowany poważnie. To dokładnie to, co artykuł 83.2 RODO nakazuje uwzględnić przy ustalaniu (lub nieustalaniu) kary.
W Europie każdy kraj ma własne organy. Poniżej, dla 30 krajów Europejskiego Obszaru Gospodarczego, znajdziesz organ ochrony danych (Twój punkt kontaktowy w sprawach RODO) oraz krajowy organ ds. cyberbezpieczeństwa. Każda nazwa prowadzi do strony oficjalnej.
Źródła: oficjalne strony organów oraz lista członków EDPB (edpb.europa.eu), sprawdzone 18 lipca 2026 roku. Potwierdzone organy ochrony danych: 30/30. Potwierdzone organy ds. cyberbezpieczeństwa: 28/30. Oznaczenia „do potwierdzenia" wskazują na źródło oficjalne, które na dziś nie jest ustabilizowane.
Opisz nam swoje przetwarzanie, wrócimy do Ciebie ze spersonalizowaną wyceną.
Bezpłatnie: Państwa wynik i odstępstwa. Szczegółowy raport i poświadczenie: 499 € netto, wyłącznie jeśli Państwo o tym zdecydują.
contact@syaga.eu Wróć do metody CNIL