GDPR kräver en konsekvensbedömning avseende dataskydd för varje behandling som kan medföra en hög risk för fysiska personers rättigheter och friheter. SYAGA DPIA-Express strukturerar och dokumenterar er DPIA enligt metodiken i artikel 35 och EDPB:s riktlinjer, utan improvisation och utan jargong.
Avgör om er behandling måste genomgå en DPIA, och genomför den sedan enligt reglerna
Varje behandling som kan medföra en hög risk för fysiska personers rättigheter och friheter måste genomgå en konsekvensbedömning avseende dataskydd innan den genomförs (GDPR, art. 35).
EDPB (f.d. G29, riktlinjer WP248 rev.01) har definierat 9 kriterier för hög risk. Så snart en behandling uppfyller minst två av dessa kriterier ska i princip en DPIA genomföras: en enda felbedömd punkt gör att underlaget blir ofullständigt.
CNIL publicerar listor över behandlingar där DPIA krävs eller inte krävs. Att avgöra exakt var er behandling hamnar kräver en noggrann genomgång, inte ett allmänt intryck.
Att genomföra en DPIA för snabbt riskerar att göra den ofullständig inför en tillsynsmyndighet; att inte genomföra den när den krävs utsätter organisationen för en överträdelse av artikel 35. CNIL:s metod strukturerar detta val och dokumenterar det.
Strukturen som krävs enligt artikel 35.7 i GDPR, tillämpad på er behandling, med en motiverad slutsats i varje steg
Analys mot de 3 fallen i artikel 35.3, EDPB:s matris med 9 kriterier (WP248 rev.01) och CNIL:s listor över behandlingar som kräver eller inte kräver DPIA. Motiverad slutsats, oavsett om DPIA slutligen är obligatorisk eller inte.
Ändamål, kategorier av uppgifter och registrerade, mottagare, lagringstider: den fullständiga kartläggning som krävs enligt artikel 35.7.a, i linje med ert register över behandlingar (art. 30).
Kontroll av att varje insamlad uppgift är nödvändig för det avsedda ändamålet, att den rättsliga grunden (art. 6) är identifierad för varje behandling, och att principen om uppgiftsminimering (art. 5.1.c) efterlevs.
För varje identifierad risk: allvarlighetsgrad, sannolikhet, befintliga åtgärder, kvarstående risk, presenterat i en tabell som er ledning eller ert dataskyddsombud (DPO) kan använda direkt.
Planerade tekniska och organisatoriska åtgärder (art. 32), motiverad slutsats och dokumenterad motivering enligt principen om ansvarsskyldighet (art. 5.2), användbar vid en eventuell CNIL-kontroll.
Ett strukturerat, källbelagt dokument som ärligt anger vad som återstår för er jurist eller ert dataskyddsombud att godkänna
Det fullständiga dokumentet enligt artikel 35.7 (a-d), med en motiverad slutsats.
Den inledande analysen som avgör om er behandling omfattas av kravet.
DPIA:n bygger på samma underlag som ert register över behandlingar.
Varje osäker punkt flaggas tydligt och avgörs aldrig åt er.
Varje juridiskt påstående är källbelagt, inte hämtat ur minnet.
Levereras i ett redigerbart format som ert dataskyddsombud eller er jurist kan återanvända.
En metod som bygger på lagtexter och myndigheter, inte på egna tolkningar
Konsekvensbedömning avseende dataskydd. Konsoliderad text av förordning (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
EDPB:s (f.d. G29) 9 kriterier för hög risk, som CNIL använder som referensmetod för att fastställa DPIA-skyldigheten.
Listor över behandlingar där DPIA krävs eller inte krävs, samt CNIL:s metod för att genomföra en konsekvensbedömning.
Register över behandlingar: den samstämmiga grund (ändamål, uppgifter, lagringstider) som varje DPIA bygger på.
Omfattningen beror på antalet behandlingar, deras komplexitet och vad som redan är dokumenterat hos er. Offert upprättas efter ett första samtal.
Ni vet inte om er behandling omfattas
Behandling identifierad med hög risk
Flera riskbehandlingar att täcka
En DPIA är aldrig statisk
Artikel 35.11 i GDPR kräver att analysen granskas på nytt vid en betydande förändring av behandlingen (nytt personuppgiftsbiträde, byte av hosting, utökad omfattning av insamlingen). En offert för granskning upprättas från fall till fall.
Vad lagtexten faktiskt säger, sammanfattat i klarspråk. Varje punkt behåller sin länk till det officiella dokumentet.
En DPIA är helt enkelt ett bedömningsarbete: man tittar på de risker en databehandling innebär för de registrerade, innan den sätts i drift. CNIL definierar den som "en formell process för att bedöma riskerna med behandling av personuppgifter". Det är inte ytterligare en administrativ formalitet, utan ett sunt förnuftsverktyg som GDPR gör obligatoriskt i vissa fall. Källa: CNIL →
Man behöver inte vara ett stort företag för att beröras. CNIL anser att en DPIA är obligatorisk så snart en behandling uppfyller minst två av dessa nio situationer: bedöma eller poängsätta personer, fatta ett automatiserat beslut som får verklig effekt för dem, systematiskt övervaka dem, samla in känsliga uppgifter (hälsa, ursprung osv.), samla in i stor skala, korsköra flera databaser, rikta sig mot utsatta personer (anställda, patienter, minderåriga...), använda ny teknik, eller beröva någon en rättighet eller en tjänst. Källa: CNIL →
För att slippa gissa har CNIL publicerat två officiella listor: en lista med 14 typer av behandlingar där DPIA är obligatorisk (hälsodata, HR-profilering, övervakning av anställda, storskalig geolokalisering...), och en lista med 12 typer där den inte krävs (löner och personaladministration för färre än 250 anställda utan profilering, leverantörshantering, patientjournal hos en enskild vårdgivare...). Dessa listor täcker inte alla fall, men de besvarar redan många vanliga situationer. Källa: CNIL:s lista över behandlingar som kräver DPIA →
GDPR (artikel 35) kräver inte en roman, utan fyra precisa byggstenar: beskriva behandlingen och dess syfte, kontrollera att den verkligen är nödvändig och proportionerlig, bedöma riskerna för de registrerade, och sedan lista de planerade åtgärderna för att minska riskerna. En tydlig slutsats i slutet: är behandlingen acceptabel, och på vilka villkor. Källa: GDPR, artikel 35 →
Om er organisation har utsett ett dataskyddsombud kräver GDPR att ni rådfrågar det när DPIA:n genomförs, och att ombudet får i uppgift att kontrollera att analysen verkligen har utförts. Det är ett skyddsnät, inte en bock i en ruta: dataskyddsombudet är rätt instans att vända sig till innan en slutsats fastställs. Källa: GDPR, artiklarna 35 och 39 →
Om behandlingen, trots de planerade åtgärderna, fortfarande innebär en hög risk för de registrerade, kräver GDPR att CNIL rådfrågas innan behandlingen påbörjas. Myndigheten har då åtta veckor på sig att lämna ett skriftligt yttrande (kan förlängas med sex veckor om ärendet är komplext). Betryggande att veta: detta fall förblir undantaget, inte regeln. Källa: GDPR, artikel 36 →
CNIL påminner om att GDPR-böterna kan uppgå till 10 miljoner euro eller 2 % av den globala årsomsättningen, det högsta av de två beloppen. Det är ett juridiskt tak, inte ett oundvikligt öde: en väl genomförd DPIA är just det som gör det möjligt att visa, vid en kontroll, att frågan har tagits på allvar. Källa: CNIL →
Europeiska dataskyddsstyrelsen (EDPB) höll mellan den 14 april och 9 juni 2026 ett offentligt samråd om ett förslag till en gemensam DPIA-mall avsedd att harmonisera praxis mellan europeiska länder. Samrådet är nu avslutat; vi följer utvecklingen av detta förslag för att informera våra kunder när det är dags. Källa: EDPB →
Innan man vet hur man gör en DPIA måste man veta om man berörs. Här är den exakta omfattningen, så som GDPR och CNIL definierar den, utan onödig spänning.
GDPR fastställer ingen personalgräns för DPIA-skyldigheten. Artikel 35 ålägger denna analys "den personuppgiftsansvarige", oavsett organisationsform (förening, hantverkare, SME, kommun, storföretag), så snart en behandling "sannolikt leder till en hög risk för fysiska personers rättigheter och friheter". Vanlig fälla att undvika: gränsen på 250 anställda finns visserligen i GDPR, men den gäller ett delvis undantag från registret över behandlingar (artikel 30), inte DPIA:n. Ett företag med 5 anställda kan beröras; en koncern med 2000 anställda kan slippa: allt beror på behandlingen, aldrig på organisationens storlek. Källa: GDPR, artikel 35 (återgiven av CNIL) →
Artikel 35 avser "den personuppgiftsansvarige" i vid mening: ett privat företag likaväl som en myndighet, en kommun, en förening eller en vårdinrättning. Texten nämner till och med uttryckligen fallet med "systematisk övervakning i stor omfattning av en allmänt tillgänglig plats", vilket typiskt gäller en kommun eller ett allmännyttigt bostadsbolag som installerar kameraövervakning på allmän plats, inte bara ett kommersiellt företag. Källa: GDPR, artikel 35, punkt 3 →
CNIL och den tidigare artikel 29-gruppen (numera EDPB) har fastställt nio kriterier i sina vägledande riktlinjer (WP248). Så snart en behandling uppfyller minst två av dem blir DPIA:n obligatorisk: att betygsätta eller bedöma personer, fatta automatiska beslut som påverkar dem, övervaka dem systematiskt, behandla känsliga uppgifter, behandla i stor omfattning, korsköra register, rikta sig till sårbara personer (anställda, patienter, minderåriga), använda ny teknik, eller frånta någon en rättighet eller ett avtal. Källa: CNIL, riktlinjer från G29/EDPB (WP248) →
I praktiken kopplar CNIL:s doktrin typiskt dessa kriterier till: en läkarmottagning eller klinik som behandlar hälsouppgifter i stor omfattning, en HR-avdelning som använder ett verktyg för betygsättning eller profilering av anställda, ett företag utrustat med passersystem och systematisk kameraövervakning av lokaler öppna för allmänheten, ett kredit- eller inkassobolag som utövar scoring, eller en uppkopplad hälsoprodukt som samlar in data om levnadsvanor. Källa: CNIL, förteckning över de 14 behandlingar som kräver DPIA →
CNIL har också publicerat en förteckning över 12 typer av behandlingar för vilka DPIA INTE krävs: till exempel löneadministration och personalhantering hos en organisation med färre än 250 anställda (utan profilering), patientjournalen hos en ensam yrkesverksam vårdgivare, eller löpande leverantörshantering. Lugnande för många småföretag: att ha anställda eller kunder räcker inte i sig för att utlösa skyldigheten. Källa: CNIL, förteckning över de 12 behandlingar utan DPIA →
Ingen advokatjargong: enkla svar, vart och ett grundat på den officiella text som ligger till grund för det.
De datum som verkligen betyder något, källbelagda, för att veta vad som redan är obligatoriskt idag och vad som är på väg.
GDPR har tillämpats sedan 25 maj 2018, i hela Europa. Skyldigheten att göra en DPIA (artikel 35), CNIL:s två förteckningar som anger när den är obligatorisk eller inte, samt de europeiska riktlinjer som förklarar hur den ska genomföras: allt detta gäller, är stabilt och beror inte på någon kommande reform. Det är grunden ni kan luta er mot redan nu.
Europeiska dataskyddsstyrelsen (EDPB) arbetar med en gemensam DPIA-mall för att harmonisera praxis mellan europeiska länder. Det offentliga samrådet om detta förslag avslutades den 9 juni 2026; inget datum för publicering av den slutliga mallen har ännu meddelats. Inget hindrar er från att agera under tiden: CNIL:s metod förblir giltig.
Europaparlamentet och rådet antar förordning 2016/679 den 27 april 2016. Den publiceras i Europeiska unionens officiella tidning (EUT L119) den 4 maj 2016, och träder sedan i kraft tjugo dagar senare, den 24 maj 2016, utan att ännu vara tillämplig. Källa: EUR-Lex, officiell referens för förordningen →
Två år efter antagandet börjar förordningen äntligen tillämpas i hela Europa (artikel 99.2). Det är den dagen som DPIA-skyldigheten i artikel 35 blir bindande, och Europeiska dataskyddsstyrelsen (EDPB) inrättas för första gången och övertar de riktlinjer om DPIA som redan utarbetats (WP248 rev.01). Källa: EUR-Lex, förordningens sammanfattning (artikel 99) → Källa: EDPB, övertagna riktlinjer →
Några månader efter att GDPR börjat tillämpas antar CNIL sitt beslut nr 2018-327: en konkret förteckning över 14 typer av behandlingar (hälsouppgifter, HR-profilering, övervakning av anställda...) för vilka DPIA:n systematiskt måste genomföras. Slut på att gissa från fall till fall. Källa: CNIL →
Ett år senare kompletterar CNIL sin doktrin med beslut nr 2019-118: en förteckning över behandlingar för vilka en DPIA INTE krävs (löneadministration för färre än 250 anställda utan profilering, leverantörshantering, patientjournal hos en ensam yrkesverksam...). CNIL:s två förteckningar besvarar tillsammans redan många vanliga situationer utan att man behöver avgöra det själv. Källa: CNIL →
EDPB har genomfört ett offentligt samråd om ett förslag till en gemensam DPIA-mall, avsedd att harmonisera praxis mellan europeiska länder (idag har varje nationell myndighet sin egen variant). Samrådet har varit avslutat sedan 9 juni 2026; det är ännu inte en tillämplig text, bara ett förslag under granskning. Källa: EDPB →
EDPB anger själv att mallen "kommer att slutföras, med förbehåll för lämpliga ändringar", varefter de nationella myndigheterna inleder processen att anta den som gemensam mall, eller som en "metamodell" som är kompatibel med redan existerande mallar (däribland CNIL:s). Inget datum har meddelats hittills: vi följer detta ärende för att informera våra kunder så snart det finns något konkret, utan att förutspå något. Källa: EDPB →
Vem som sanktionerar, hur mycket, och enligt vilka kriterier. Utan att dramatisera: de allra flesta ärenden har inget att göra med de belopp som blir stora rubriker.
Det är ett specialiserat organ inom CNIL, skilt från den styrelse som kontrollerar och ger råd i det dagliga arbetet, som utfärdar sanktioner. Den förfogar över flera gradvisa verktyg, inte bara böter: tillsägelse, varning, föreläggande (med eller utan vite), åläggande, tillfällig eller permanent begränsning av behandlingen. Böterna är bara det sista steget på stegen. Källa: CNIL, utfärdade sanktioner →
GDPR (artikel 83) fastställer två tak, det högsta av de två gäller: upp till 10 miljoner euro eller 2 % av den globala omsättningen för föregående räkenskapsår för överträdelser av organisatoriska skyldigheter (säkerhet, register, dataskyddsombud, konsekvensbedömning...); upp till 20 miljoner euro eller 4 % för överträdelser av grundläggande principer (rättslig grund, samtycke, registrerades rättigheter, överföringar utanför EU). Dessa är tak, inte automatiska belopp. Källa: GDPR, artikel 83 →
Artikel 83.2 ålägger myndigheten att beakta: överträdelsens allvar och varaktighet, om den var avsiktlig eller berodde på ren oaktsamhet, de åtgärder som redan vidtagits för att begränsa skadan, ansvarsgraden, tidigare överträdelser, samarbetet med myndigheten, och känsligheten hos de berörda uppgifterna. Konkret: en organisation som har dokumenterat sitt arbete (register, DPIA, säkerhetsåtgärder) och samarbetar bedöms annorlunda än en som inte gjort någonting. Källa: GDPR, artikel 83.2 →
Den 10 november 2022 utfärdade CNIL:s sanktionsnämnd böter på 800 000 euro mot Discord. Bland de överträdelser som fastställdes: alltför lång lagringstid, bristande säkerhet, samt artikel 35 i GDPR - avsaknaden av en konsekvensbedömning trots att behandlingen, i stor omfattning och riktad mot minderåriga, krävde en sådan. Det är det mest direkta exemplet på kopplingen mellan "ingen dokumenterad DPIA" och en utfärdad sanktion. Källa: beslut SAN-2022-020, Légifrance →
Criteo sanktionerades med 40 miljoner euro den 15 juni 2023, eftersom bolaget inte kunde visa ett giltigt samtycke till att sätta ut reklamcookies. Clearview AI sanktionerades med 20 miljoner euro den 17 oktober 2022, för en massiv insamling av foton utan rättslig grund. Dessa belopp gäller internationella behandlingar i mycket stor omfattning, inte fallet med ett SME som dokumenterar sitt arbete. Källa: beslut SAN-2023-009, Légifrance →
På CNIL:s egen officiella sida som listar besluten uppgår en stor del av de publicerade sanktionerna till tusentals euro, inte miljoner: en reklambyrå sanktionerad med 3 000 euro, två läkare med 3 000 respektive 6 000 euro, en matleveranstjänst med 20 000 euro. Sanktionen står i proportion till storlek och allvar, inte en enhetlig yxa. Källa: CNIL, utfärdade sanktioner →
Vad man bör komma ihåg
En väl genomförd DPIA gör inte en organisation orörbar: den utgör beviset, vid en kontroll, att frågan har tagits på allvar. Det är precis vad artikel 83.2 i GDPR kräver ska beaktas för att fastställa, eller inte fastställa, böter.
I Europa har varje land sina egna myndigheter. Här är, för de 30 länderna i Europeiska ekonomiska samarbetsområdet, dataskyddsmyndigheten (er GDPR-kontakt) och den nationella cybersäkerhetsmyndigheten. Varje namn länkar till den officiella webbplatsen.
Källor: myndigheternas officiella webbplatser och EDPB:s medlemsförteckning (edpb.europa.eu), hämtade den 18 juli 2026. Bekräftade dataskyddsmyndigheter: 30/30. Bekräftade cybersäkerhetsmyndigheter: 28/30. Anmärkningen "att bekräfta" anger en officiell källa som ännu inte är fastställd.
Beskriv er behandling för oss, så återkommer vi med en personlig offert.
Gratis: din poäng + dina avvikelser. Den detaljerade rapporten och intyget: 499 EUR exkl. moms, enbart om du bestämmer dig för det.
contact@syaga.eu Se metoden igen