RGPD impune o Evaluare a Impactului asupra Protecției Datelor pentru orice prelucrare susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor. SYAGA DPIA-Express structurează și documentează AIPD-ul dumneavoastră conform metodologiei articolului 35 și liniilor directoare ale CEPD, fără improvizație și fără jargon.
Determinați dacă prelucrarea dumneavoastră trebuie să facă obiectul unei AIPD, apoi conduceți-o conform regulilor
Orice prelucrare susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice trebuie să facă obiectul unei Evaluări a Impactului asupra Protecției Datelor înainte de punerea sa în aplicare (RGPD, art. 35).
CEPD (fost G29, linii directoare WP248 rev.01) a definit 9 criterii de risc ridicat. De îndată ce o prelucrare îndeplinește cel puțin două dintre aceste criterii, o AIPD trebuie în principiu să fie realizată: o singură piesă identificată greșit, și dosarul este incomplet.
CNIL publică liste de prelucrări pentru care AIPD este necesară sau nu este necesară. A determina unde se situează exact prelucrarea dumneavoastră necesită o lectură riguroasă, nu o impresie generală.
A conduce o AIPD prea repede o expune la incompletitudine în fața unei autorități de control; a nu o conduce atunci când este necesară expune organizația unei încălcări a articolului 35. Metoda CNIL structurează această alegere și o documentează.
Structura impusă de articolul 35.7 din RGPD, aplicată prelucrării dumneavoastră, cu o concluzie motivată la fiecare etapă
Analiză în raport cu cele 3 cazuri ale articolului 35.3, grila celor 9 criterii ale CEPD (WP248 rev.01) și listele CNIL ale prelucrărilor necesare sau nu. Concluzie motivată, indiferent dacă AIPD este în final obligatorie sau nu.
Scopuri, categorii de date și de persoane vizate, destinatari, durate de păstrare: cartografierea completă cerută de articolul 35.7.a, coerentă cu registrul dumneavoastră al activităților de prelucrare (art. 30).
Verificarea că fiecare dată colectată este necesară scopului urmărit, că temeiul legal (art. 6) este identificat pentru fiecare prelucrare, și că principiul minimizării (art. 5.1.c) este respectat.
Pentru fiecare risc identificat: gravitate, probabilitate, măsuri deja existente, risc rezidual, prezentate sub formă de tabel utilizabil de către conducerea dumneavoastră sau de responsabilul dumneavoastră cu protecția datelor (DPO).
Măsuri tehnice și organizatorice avute în vedere (art. 32), concluzie motivată și justificare documentată în temeiul responsabilității (accountability, art. 5.2), utilizabilă în caz de control al CNIL.
Un document structurat, cu surse, și onest în privința a ceea ce rămâne de validat de către juristul sau DPO-ul dumneavoastră
Documentul complet conform articolului 35.7 (a-d), cu o concluzie motivată.
Analiza prealabilă care tranșează dacă prelucrarea dumneavoastră intră în domeniul obligației.
AIPD se bazează pe același soclu ca și registrul dumneavoastră al activităților de prelucrare.
Fiecare punct de incertitudine este semnalat explicit, niciodată tranșat în locul dumneavoastră.
Fiecare afirmație juridică are o sursă, nu este afirmată din memorie.
Livrat într-un format editabil, reutilizabil de către DPO-ul sau juristul dumneavoastră.
O metodă care se bazează pe texte și autorități, nu pe interpretări proprii
Evaluarea impactului asupra protecției datelor. Textul consolidat al Regulamentului (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
Cele 9 criterii de risc ridicat ale CEPD (fost G29), preluate de CNIL ca metodă de referință pentru determinarea obligației de AIPD.
Liste ale prelucrărilor pentru care AIPD este necesară sau nu, și metoda CNIL de conducere a unei evaluări de impact.
Registrul activităților de prelucrare: soclul de coerență (scopuri, date, durate) pe care se bazează orice AIPD.
Perimetrul depinde de numărul de prelucrări, de complexitatea lor și de ceea ce este deja documentat la dumneavoastră. Ofertă stabilită după un prim schimb de informații.
Nu știți dacă prelucrarea dumneavoastră este vizată
Prelucrare identificată cu risc ridicat
Mai multe prelucrări cu risc de acoperit
O AIPD nu este niciodată fixă definitiv
Articolul 35.11 din RGPD impune reexaminarea analizei în caz de evoluție semnificativă a prelucrării (nou împuternicit, schimbare de găzduire, extinderea perimetrului de colectare). O ofertă de reexaminare se stabilește de la caz la caz.
Ce spune cu adevărat textul, digerat în limbaj simplu. Fiecare punct își păstrează legătura către documentul oficial.
O AIPD este pur și simplu o lucrare de evaluare: se analizează riscurile pe care o prelucrare de date le prezintă pentru persoane, înainte de a o pune în aplicare. CNIL o definește ca „un proces formal care permite evaluarea riscurilor legate de prelucrarea datelor cu caracter personal”. Nu este o formalitate administrativă în plus, este un instrument de bun-simț devenit obligatoriu prin RGPD în anumite cazuri. Sursă: CNIL (autoritate franceză) →
Nu este nevoie să fii o companie mare pentru a fi vizat. CNIL consideră că o AIPD este obligatorie de îndată ce o prelucrare îndeplinește cel puțin două dintre aceste nouă situații: a nota sau evalua persoane, a lua o decizie automatizată care are un efect real asupra acestora, a le supraveghea în mod sistematic, a colecta date sensibile (sănătate, origine etc.), a colecta la scară largă, a încrucișa mai multe baze de date, a viza persoane vulnerabile (angajați, pacienți, minori...), a utiliza o tehnologie nouă, sau a priva pe cineva de un drept sau de un serviciu. Sursă: CNIL (autoritate franceză) →
Pentru a evita ghicitul, CNIL a publicat două liste oficiale: o listă de 14 tipuri de prelucrări unde AIPD este obligatorie (date de sănătate, profilare HR, supravegherea angajaților, geolocalizare la scară largă...), și o listă de 12 tipuri unde nu este necesară (salarizare și gestiunea personalului sub 250 de angajați fără profilare, gestiunea furnizorilor, dosarul pacientului al unui profesionist din sănătate izolat...). Aceste liste nu acoperă toate cazurile, dar răspund deja la multe situații curente. Sursă: lista CNIL a prelucrărilor necesare (autoritate franceză) →
RGPD (articolul 35) nu cere un roman, ci patru elemente precise: descrierea prelucrării și a obiectivului său, verificarea că este cu adevărat necesară și proporțională, evaluarea riscurilor pentru persoanele vizate, apoi listarea măsurilor prevăzute pentru a reduce aceste riscuri. O concluzie clară la final: prelucrarea este acceptabilă, și în ce condiții. Sursă: RGPD, articolul 35 →
Dacă organizația dumneavoastră a desemnat un Responsabil cu Protecția Datelor, RGPD impune să i se ceară acestuia sfatul în momentul conducerii AIPD, și să fie însărcinat să verifice că analiza a fost într-adevăr realizată. Este o măsură de siguranță, nu o căsuță de bifat: DPO-ul rămâne reflexul corect înainte de a valida o concluzie. Sursă: RGPD, articolele 35 și 39 →
Dacă, în ciuda măsurilor prevăzute, prelucrarea prezintă în continuare un risc ridicat pentru persoane, RGPD impune consultarea CNIL înainte de a începe. Aceasta dispune atunci de opt săptămâni pentru a-și da avizul scris (prelungibil cu șase săptămâni dacă dosarul este complex). Liniștitor de știut: acest caz rămâne excepția, nu regula. Sursă: RGPD, articolul 36 →
CNIL reamintește că amenzile RGPD pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri anuală mondială, în funcție de suma cea mai mare. Este un plafon legal, nu o fatalitate: o AIPD bine condusă este tocmai ceea ce permite să se arate, în caz de control, că problema a fost tratată cu seriozitate. Sursă: CNIL (autoritate franceză) →
Comitetul European pentru Protecția Datelor (CEPD/EDPB) a supus consultării publice, din 14 aprilie până la 9 iunie 2026, un proiect de model unic de AIPD destinat să armonizeze practicile între țările europene. Consultarea este acum închisă; urmărim continuarea dată acestui proiect pentru a informa clienții noștri la momentul potrivit. Sursă: EDPB →
Înainte de a ști cum se face o AIPD, trebuie să știți dacă sunteți vizat. Iată perimetrul exact, așa cum îl definesc RGPD și CNIL, fără suspans inutil.
RGPD nu stabilește niciun prag de efectiv pentru obligația de AIPD. Articolul său 35 impune această analiză „operatorului de date”, indiferent de forma sa (asociație, meșteșugar, IMM, colectivitate, grup mare), de îndată ce o prelucrare „este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice”. Capcană frecventă de evitat: pragul de 250 de salariați există într-adevăr în RGPD, dar privește o scutire parțială de la registrul prelucrărilor (articolul 30), nu AIPD. O companie cu 5 salariați poate fi vizată; un grup cu 2000 de salariați poate să nu fie: totul depinde de prelucrare, niciodată de mărimea structurii. Sursă: RGPD, articolul 35 (reprodus de CNIL, autoritate franceză) →
Articolul 35 vizează „operatorul de date” în sens larg: o companie privată, la fel ca o administrație, o colectivitate teritorială, o asociație sau o unitate sanitară. Textul prevede chiar explicit cazul unei „supravegheri sistematice la scară largă a unei zone accesibile publicului”, care vizează tipic o primărie sau un furnizor de locuințe sociale care instalează videoprotecție pe domeniul public, nu doar o companie comercială. Sursă: RGPD, articolul 35, paragraful 3 →
CNIL și fostul grup de lucru al articolului 29 (devenit Comitetul European, EDPB) au stabilit nouă criterii în liniile lor directoare de referință (WP248). De îndată ce o prelucrare întrunește cel puțin două dintre acestea, AIPD devine obligatorie: a nota sau evalua persoane, a decide automat ceva care le afectează, a le supraveghea sistematic, a prelucra date sensibile, a prelucra la scară largă, a încrucișa fișiere, a viza persoane vulnerabile (salariați, pacienți, minori), a utiliza o tehnologie nouă sau a priva pe cineva de un drept sau de un contract. Sursă: CNIL (autoritate franceză), liniile directoare G29/EDPB (WP248) →
În practică, doctrina CNIL asociază tipic acestor criterii: un cabinet medical sau o clinică ce prelucrează date de sănătate la scară largă, un serviciu de resurse umane care utilizează un instrument de notare sau de profilare a salariaților, o companie echipată cu ecusoane și cu videosupraveghere sistematică a spațiilor sale deschise publicului, un organism de credit sau de recuperare a creanțelor care practică scoringul, sau un obiect conectat de sănătate care colectează date privind obiceiurile de viață. Sursă: CNIL (autoritate franceză), lista celor 14 prelucrări cu AIPD obligatorie →
CNIL a publicat de asemenea o listă cu 12 tipuri de prelucrări pentru care AIPD NU este necesară: de exemplu salarizarea și gestiunea personalului unui organism cu mai puțin de 250 de salariați (fără profilare), dosarul de pacient al unui profesionist din sănătate care practică individual, sau gestiunea curentă a furnizorilor. Liniștitor pentru multe microîntreprinderi: a avea salariați sau clienți nu este suficient, prin el însuși, pentru a declanșa obligația. Sursă: CNIL (autoritate franceză), lista celor 12 prelucrări fără AIPD →
Fără jargon avocățesc: răspunsuri simple, fiecare bazată pe textul oficial care o fundamentează.
Datele care contează cu adevărat, sursate, pentru a ști ce este deja obligatoriu astăzi și ce urmează.
RGPD este aplicabil din 25 mai 2018, în toată Europa. Obligația de a realiza o AIPD (articolul 35), cele două liste CNIL care indică atunci când este obligatorie sau nu, și liniile directoare europene care explică modul de realizare: toate acestea sunt în vigoare, stabile, și nu depind de nicio reformă viitoare. Aceasta este baza pe care vă puteți sprijini chiar de acum.
Comitetul European pentru Protecția Datelor (CEPD) lucrează la un model unic de AIPD pentru a armoniza practicile între țările europene. Consultarea publică pe acest proiect s-a încheiat la 9 iunie 2026; nicio dată de publicare a modelului final nu a fost încă comunicată. Nimic nu obligă să așteptați: metoda CNIL rămâne valabilă pe parcursul acestei perioade.
Parlamentul European și Consiliul adoptă regulamentul 2016/679 la 27 aprilie 2016. Acesta este publicat în Jurnalul Oficial al Uniunii Europene (JO L119) la 4 mai 2016, apoi intră în vigoare douăzeci de zile mai târziu, la 24 mai 2016, fără a fi încă aplicabil. Sursă: EUR-Lex, referința oficială a regulamentului →
La doi ani după adoptare, regulamentul se aplică în sfârșit în toată Europa (articolul 99.2). În această zi obligația de AIPD din articolul 35 devine opozabilă, iar Comitetul European pentru Protecția Datelor (CEPD) este instituit pentru prima dată, preluând liniile directoare privind AIPD deja redactate (WP248 rev.01). Sursă: EUR-Lex, fișa regulamentului (articolul 99) → Sursă: CEPD, liniile directoare preluate →
La câteva luni după intrarea în aplicare a RGPD, CNIL adoptă deliberarea sa nr. 2018-327: o listă concretă de 14 tipuri de prelucrări (date de sănătate, profilare RU, supravegherea salariaților...) pentru care AIPD trebuie realizată sistematic. Gata cu ghicitul de la caz la caz. Sursă: CNIL (autoritate franceză) →
Un an mai târziu, CNIL completează doctrina sa cu deliberarea nr. 2019-118: o listă de prelucrări pentru care o AIPD NU este necesară (salarizare pentru mai puțin de 250 de salariați fără profilare, gestiunea furnizorilor, dosarul de pacient al unui profesionist care lucrează individual...). Cele două liste CNIL, împreună, răspund deja la multe situații curente fără a fi nevoie să decideți singuri. Sursă: CNIL (autoritate franceză) →
CEPD a supus consultării publice un proiect de model comun de AIPD, destinat să armonizeze practicile între țările europene (astăzi, fiecare autoritate națională are într-o oarecare măsură propria grilă). Consultarea este închisă din 9 iunie 2026; nu este încă un text aplicabil, ci doar un proiect în curs de examinare. Sursă: CEPD →
CEPD indică el însuși că modelul „va fi finalizat, sub rezerva unor modificări adecvate”, după care autoritățile naționale vor începe demersurile pentru a-l adopta ca model unic, sau ca „meta-model” compatibil cu modelele deja existente (printre care cel al CNIL). Nicio dată nu este comunicată până în prezent: urmărim acest dosar pentru a ne informa clienții de îndată ce apare ceva concret, fără a anticipa nimic. Sursă: CEPD →
Cine sancționează, cât, și pe baza căror criterii. Fără dramatizare: marea majoritate a dosarelor nu au nicio legătură cu sumele care fac titluri de presă.
Este un organism specializat al CNIL, distinct de colegiul care controlează și consiliază zilnic, cel care pronunță sancțiunile. Aceasta dispune de mai multe instrumente gradate, nu doar amenda: avertisment, somație (cu sau fără penalitate financiară), somație formală, injoncțiune, limitare temporară sau definitivă a prelucrării. Amenda este doar ultima treaptă a scării. Sursă: CNIL (autoritate franceză), sancțiunile pronunțate →
RGPD (articolul 83) stabilește două plafoane, fiind reținut cel mai ridicat dintre cele două: până la 10 milioane de euro sau 2% din cifra de afaceri mondială a exercițiului precedent pentru încălcările obligațiilor organizatorice (securitate, registru, DPO, analiză de impact...); până la 20 milioane de euro sau 4% pentru atingerile aduse principiilor de fond (temei legal, consimțământ, drepturile persoanelor, transferuri în afara UE). Acestea sunt plafoane, nu sume automate. Sursă: RGPD, articolul 83 →
Articolul 83.2 impune autorității să ia în considerare: gravitatea și durata încălcării, caracterul intenționat sau simpla neglijență, măsurile deja luate pentru limitarea prejudiciului, gradul de răspundere, antecedentele, cooperarea cu autoritatea, și sensibilitatea datelor vizate. Concret: o organizație care și-a documentat demersul (registru, AIPD, măsuri de securitate) și cooperează este judecată diferit față de una care nu a făcut nimic. Sursă: RGPD, articolul 83.2 →
La 10 noiembrie 2022, formația restrânsă a CNIL a pronunțat o amendă de 800 000 euro împotriva Discord. Printre încălcările reținute: o durată de păstrare excesivă, o deficiență de securitate, și articolul 35 din RGPD, absența analizei de impact în condițiile în care prelucrarea, la scară largă și vizând minori, necesita una. Este exemplul cel mai direct al legăturii dintre „lipsa unei AIPD documentate” și sancțiunea pronunțată. Sursă: deliberarea SAN-2022-020, Légifrance →
Criteo a fost sancționat cu 40 de milioane de euro la 15 iunie 2023, pentru că nu a putut demonstra un consimțământ valabil pentru plasarea cookie-urilor publicitare. Clearview AI a fost sancționat cu 20 de milioane de euro la 17 octombrie 2022, pentru o colectare masivă de fotografii fără temei legal. Aceste sume privesc prelucrări internaționale la scară foarte largă, nu cazul unui IMM care își documentează demersul. Sursă: deliberarea SAN-2023-009, Légifrance →
Pe aceeași pagină oficială a CNIL care listează deliberările, o parte importantă a sancțiunilor publicate se numără în mii de euro, nu în milioane: o agenție de publicitate sancționată cu 3 000 de euro, doi medici cu 3 000 și respectiv 6 000 de euro, un serviciu de livrare a mesei cu 20 000 de euro. Sancțiunea este proporțională cu mărimea și gravitatea, nu o pedeapsă uniformă. Sursă: CNIL (autoritate franceză), sancțiunile pronunțate →
Ce trebuie reținut
O AIPD bine realizată nu face o organizație intangibilă: ea constituie dovada, în caz de control, că subiectul a fost tratat cu seriozitate. Este exact ceea ce articolul 83.2 din RGPD cere să se ia în considerare pentru a stabili, sau nu, o amendă.
În Europa, fiecare țară are propriile autorități. Iată, pentru cele 30 de țări ale Spațiului Economic European, autoritatea de protecție a datelor (interlocutorul dumneavoastră RGPD) și autoritatea națională de securitate cibernetică. Fiecare nume trimite la site-ul oficial.
Surse: site-urile oficiale ale autorităților și lista membrilor EDPB (edpb.europa.eu), consultate la 18 iulie 2026. Autorități de protecție a datelor confirmate: 30/30. Autorități de securitate cibernetică confirmate: 28/30. Mențiunile „à confirmer” (de confirmat) semnalează o sursă oficială nestabilizată până în prezent.
Descrieți-ne prelucrarea dumneavoastră, revenim către dumneavoastră cu o ofertă personalizată.
Gratuit: scorul dumneavoastră + abaterile dumneavoastră. Raportul detaliat și atestarea: 499 € fără TVA, doar dacă decideți.
contact@syaga.eu Revedeți metoda CNIL