RGPD-Express
Struchtúraigh do chomhlíonadh RGPD
Na hairteagail lárnacha den RGPD
Struchtúraíonn an RGPD (Rialachán (AE) 2016/679) an próiseas RGPD-Express
Airt. 30 - Clár na ngníomhaíochtaí próiseála
Oibleagáid clár a choinneáil, ar thaobh an rialaitheora agus ar thaobh an fhochonraitheora. Ní bhaineann an díolúine dá bhforáiltear in 30.5 do struchtúir níos lú ná 250 fostaí ach le próiseálacha ócáideacha.
Airt. 28 - Fochonraitheoir
Rialú conarthach ar gach fochonraitheoir a phróiseálann sonraí ar do shon: ráthaíochtaí leordhóthanacha, clásail éigeantacha, fochonraitheoireacht ina dhiaidh sin údaraithe i scríbhinn roimh ré.
Airt. 32 - Slándáil na próiseála
Bearta teicniúla agus eagraíochtúla oiriúnacha don riosca: pseudanaimniú, criptiú, modhanna a ráthaíonn rúndacht agus infhaighteacht, nós imeachta tástála agus meastóireachta rialta.
Airt. 35 - Measúnú tionchair (AIPD)
Éigeantach amháin nuair is dócha go n-eascróidh ard-riosca ón bpróiseáil: meastóireacht chórasach le héifeacht dhlíthiúil, sonraí íogaire ar mhórscála, nó faireachán córasach ar limistéar inrochtana ag an bpobal.
Faireachas rialála - foinsí oifigiúla
An rud a deir an téacs i ndáiríre, aistrithe i dteanga shimplí. Tagraíonn gach pointe don téacs oifigiúil.
Cad é an RGPD go díreach?
Is é seo an téacs Eorpach a rialaíonn bailiú agus úsáid sonraí pearsanta (cliaint, fostaithe, ionchasaithe...). Glacadh é an 27 Aibreán 2016 agus foilsíodh é in Iris Oifigiúil an Aontais Eorpaigh an 4 Bealtaine 2016.
Ó cén dáta atá sé i bhfeidhm
Tháinig an rialachán i bhfeidhm fiche lá tar éis a fhoilsithe, ach níl sé infheidhme i ndáiríre ach ón 25 Bealtaine 2018. Is é an dáta seo atá tábhachtach do d'oibleagáidí coincréiteacha.
Clár na bpróiseálacha: an bunathiciméad
Ní mór duit an liosta a choinneáil den mhéid a dhéanann tú le sonraí pearsanta: cén fáth, le cé, cá fhad a choinníonn tú iad, conas a chosnaíonn tú iad. Tá eisceacht ann do struchtúir níos lú ná 250 fostaí, ach ní bhaineann sí ach le próiseáil ócáideach; ní bhaineann sí le gníomhaíocht tráchtála rialta.
An gá delegáid um chosaint sonraí (DPO) a ainmniú?
Níl sé éigeantach ach i dtrí chás bheachta: is comhlacht poiblí thú, nó is éard atá i do phríomhghníomhaíocht ná faireachán a dhéanamh ar dhaoine go rialta agus ar mhórscála, nó próiseáil ar mhórscála sonraí íogaire. Lasmuigh de na cásanna seo, fanann ainmniú DPO roghnach.
I gcás sceite sonraí: 72 uair an chloig chun an t-údarás a chur ar an eolas
Má chailltear, má ghoidtear nó má nochtar sonraí pearsanta, ní mór duit an CNIL (nó an t-údarás inniúil) a chur ar an eolas laistigh de 72 uair an chloig ar a dhéanaí tar éis é a bhrath, mura bhfuil an riosca do na daoine fánach. Ní mór duit taifead scríofa de gach teagmhas a choinneáil freisin.
Má tá an riosca ard, ní mór do chliaint nó d'fhostaithe a chur ar an eolas freisin
Nuair a chruthaíonn sceite sonraí ard-riosca do na daoine lena mbaineann, ní mór duit iad a chur ar an eolas go díreach, i dteanga shoiléir agus shimplí. Féadfar tú a dhíolmhú ón gcumarsáid seo má bhí na sonraí criptithe nó má neodraigh tú an riosca cheana féin.
Na smachtbhannaí go soiléir
I gcás sáraithe, féadfaidh an fhíneáil dul suas le 10 milliún euro (nó 2% de láimhdeachas domhanda na cuideachta) do na sáruithe is coitianta, agus suas le 20 milliún euro (nó 4% den láimhdeachas domhanda) do na sáruithe is tromchúisí ar chearta na ndaoine; is é an méid is airde a roghnaítear i gcónaí. Braitheann an méid fíor ar an déine, ar cé acu d'aon ghnó nó trí fhaillí a rinneadh an sárú, agus an chomhoibriú leis an údarás.
Cé atá i gceist ag an RGPD?
An cheist is coitianta a chuirtear orainn: "An mbaineann sé seo liomsa i ndáiríre, agus mé i mo eagraíocht bheag?" Freagra gairid agus foinsithe: sea, beagnach i gcónaí.
An fíor-thionscnóir: sonraí pearsanta a phróiseáil
Baineann an RGPD feidhm a luaithe a phróiseálann eagraíocht, fiú go páirteach ar bhealach uathoibrithe, nó i gcomhad struchtúrtha, faisnéis a bhaineann le duine sainaitheanta nó insainaitheanta: ainm, ríomhphost, teileafón, seoladh IP, sonraí suímh...
Go praiticiúil, clúdaíonn sé seo comhad custaiméirí, párolla na bhfostaithe, CVanna faighte, ceamara teilifíse cúlfhaireachais, nuachtlitir, córas CRM nó fianáin um thomhas lucht féachana.
Na heisceachtaí annamha
Ní bhaineann an RGPD feidhm i gceithre chás shonracha:
- úsáid atá go hiomlán pearsanta nó tí (do leabhar seoltaí príobháideach, mar shampla)
- gníomhaíochtaí lasmuigh de raon feidhme dhlí an Aontais Eorpaigh
- gníomhaíochtaí na mBallstát a bhaineann leis an mbeartas eachtrach coiteann
- próiseáil ag údaráis chun coireanna a chosc (córas ar leith)
Is cuma cá bhfuil tú lonnaithe
Baineann an RGPD feidhm a luaithe atá bunaíocht ag do chuideachta san Aontas Eorpach, nó a luaithe a dhírítear ar dhaoine atá lonnaithe ann: trí earraí nó seirbhísí a thairiscint dóibh (fiú saor in aisce), nó trí a n-iompar a rianú (próifíliú, fianáin rianaithe).
Luann an CNIL dhá shampla shoiléire: fanann cuideachta Fhrancach a onnmhairíonn go heisiach chuig Maracó faoi réir an RGPD a luaithe a phróiseálann sí sonraí daoine san AE; caithfidh suíomh tráchtála leictreonaí Síneach a sheachadann chun na Fraince é a chomhlíonadh freisin.
Dhá ról féideartha, dhá leibhéal oibleagáide
Rialaitheoir sonraí: an eagraíocht a chinneann cén fáth agus conas a úsáidtear na sonraí (do chuideachta, bardas, cumann). Is tusa go ginearálta é.
Próiseálaí: an soláthraí a phróiseálann na sonraí seo de réir do threoracha (óstach, bogearraí párolla, gníomhaireacht mhargaíochta...). Tá a chuid oibleagáidí féin aige freisin, ar leith óna cuid oibleagáidí atá agatsa.
Cuideachtaí príobháideacha
ón micreaghnó go dtí an mórghrúpa, ón gcéad chomhad custaiméara nó an chéad duillín pá
Earnáil phoiblí
bardais, comhlachtaí áitiúla, riaracháin, institiúidí sláinte
Cumainn, ceardaithe, féinfhostaithe
gairmeacha saora, ceannaithe, gnólachtaí nuathionscanta: níl aon díolúine bunaithe ar stádas
Na ceisteanna a chuireann bainisteoir air féin i ndáiríre
Gan béarlagair dlí: na 7 gceist is coitianta, freagra simplí, agus an téacs oifigiúil taobh thiar de gach freagra.
Cliceáil ar cheist chun an freagra agus a fhoinse a fheiceáil.
Ní gá. Níl sa toiliú ach ceann amháin as sé rogha. Údaraíonn an RGPD (airteagal 6) próiseáil freisin nuair is gá é chun conradh a chomhlíonadh, chun oibleagáid dhlíthiúil a chomhlíonadh, chun leasanna ríthábhachtacha a chosaint, chun tasc ar mhaithe leis an bpobal a chomhlíonadh, nó ar mhaithe le leas dlisteanach do chuideachta (mar shampla an caidreamh le custaiméir atá agat cheana a bhainistiú), fad nach sáraíonn cearta an duine é.
Braitheann sé ar cé leis a bhfuil tú i dteagmháil:
- Daoine aonair (B2C): ceanglaítear toiliú roimh ré (bosca ticeála, riamh réamh-thicéalta), ach amháin chun táirge cosúil a atairiscint do chustaiméir atá agat cheana.
- Gairmithe (B2B): féidir gan toiliú roimh ré má bhaineann an teachtaireacht lena ngníomhaíocht, ar choinníoll go bhfuil siad curtha ar an eolas agus go bhfuil bealach simplí acu chun diúltú.
I ngach cás: seoltóir insainaitheanta agus nasc éasca díliostála.
Go ginearálta sea, go háirithe mura bhfuil aon úsáid eile ag na sonraí, má tharraingíonn an duine a t(h)oiliú siar, nó má chuireann sé/sí ina choinne gan cúis dhlisteanach chontrártha uaitse. Ar an lámh eile, féadfaidh tú diúltú má tá ort na sonraí sin a choinneáil de bharr oibleagáide dlíthiúla, mar shampla sonrasc atá le coinneáil ar feadh 10 mbliana do chuntasaíocht, nó chun tú féin a chosaint os comhair cúirte.
1 mhí ó fuarthas an t-iarratas. Féadfar an tréimhse seo a shíneadh 2 mhí eile má tá an t-iarratas casta nó má fhaigheann tú go leor acu, ach ní mór duit an duine a chur ar an eolas faoin síneadh sin laistigh den chéad mhí.
Is féidir, ach ní gan cúram. Trí chás fhéideartha: tá cinneadh oifigiúil ón gCoimisiún Eorpach ag an tír ag aithint leibhéal leordhóthanach cosanta; mura bhfuil, caithfidh do sholáthraí ráthaíochtaí iomchuí a thairiscint (clásail chonarthacha chaighdeánacha den chuid is mó); nó, i gcásanna aonaracha amháin, baineann díolúine shonrach feidhm (toiliú follasach, comhlíonadh conartha...).
Baineann. Éilíonn formhór na bhfianán (fógraíocht phearsantaithe, cnaipí meáin shóisialta...) toiliú roimh ré ó do chuairteoir, tugtha go saor, chomh héasca a tharraingt siar agus atá sé a thabhairt. Ní chomhaireamh glacadh le téarmaí ginearálta mar thoiliú bailí. Tá roinnt fianán teicniúil (cairt cheannaigh, fíordheimhniú, sainrogha teanga) díolmhaithe ón toiliú seo.
Tosaíonn an CNIL go ginearálta le hiniúchadh (ar an láthair nó ar líne) agus ansin fógra foirmiúil a chur ort tú féin a chur i gcomhréir laistigh de thréimhse ama tugtha. Tá pionóis airgeadais ann ach fanann siad comhréireach le méid na heagraíochta: mar shampla, chuir an CNIL pionóis idir 2 000 agus 20 000 euro ar chuideachtaí beaga as sáruithe ar shlándáil, fianáin nó ceart rochtana, i bhfad ó na huaslimistéir (suas le 20 milliún euro nó 4% den láimhdeachas domhanda do na sáruithe is tromchúisí).
Amlíne an RGPD, go soiléir
Níor rugadh an RGPD in 2018 agus níl sé statach ó shin. Seo, in ord, an méid atá tarlaithe cheana (agus atá fós ina riail an lae inniu) agus an méid atá fós á phlé sa Bhruiséil - agus, do gach céim, an téacs oifigiúil a chruthaíonn é.
Cheana féin i bhfeidhm inniu
- Baineann an RGPD feidhm go hiomlán ón 25 mai 2018 - is í seo AN dáta atá tábhachtach do d'oibleagáidí.
- Nuashonraíodh dlí Francach "Informatique et Libertés" dá réir (2018).
- Tá na clásail chonarthacha chaighdeánacha nua le haghaidh aistrithe lasmuigh den AE i bhfeidhm ó dheireadh 2022.
- Tá creat aistrithe sonraí chuig na Stáit Aontaithe (Data Privacy Framework) i bhfeidhm ó Iúil 2023.
Fós á phlé, gan a bheith éigeantach fós
- Éascaíocht ar an gclár próiseála (airt. 30) le haghaidh eagraíochtaí faoi bhun 750 fostaí, molta ag an gCoimisiún i mBealtaine 2025 - téacs nach bhfuil i bhfeidhm fós.
- Rialachán chun nósanna imeachta idir údaráis mhaoirseachta náisiúnta a chomhchuibhiú i gcásanna imscrúduithe trasteorann - comhaontú polaitiúil i mí an Mheithimh 2025, gan glacadh foirmiúil deimhnithe go dtí seo.
- Ná bíodh muinín agat as na fógraí seo chun do chomhlíonadh a chur siar: fanann bunchloch 2018 mar an riail fad nach bhfuil aon rud foilsithe san Iris Oifigiúil.
Glactar leis an téacs
Glacann Parlaimint na hEorpa agus an Chomhairle leis an Rialachán (AE) 2016/679, an RGPD. foinse EUR-Lex ↗
Foilsiú oifigiúil
Foilsítear an téacs san Iris Oifigiúil de chuid an Aontais Eorpaigh (IO L 119, leathanaigh 1 go 88). foinse EUR-Lex ↗
Teacht i bhfeidhm ó thaobh dlí de
Tagann an rialachán "i bhfeidhm ar an bhfichiú lá tar éis a fhoilsithe" (airt. 99). Tá sé ann ó thaobh dlí de, ach cuirtear a fheidhmiú éifeachtach do chuideachtaí siar dhá bhliain fós - am chun eagrú. foinse CNIL, airt. 99 ↗
Baineann an RGPD feidhm go hiomlán
Ón dáta seo ar aghaidh, ní mór do gach eagraíocht a phróiseálann sonraí pearsanta chónaitheoirí Eorpacha a bheith i gcomhréir fhíor, ní hamháin "ar pháipéar". Is é seo an dáta is gá a chuimhneamh. foinse CNIL, airt. 99 ↗
Nuashonraítear an dlí Francach
Oiriúnaíonn dlí uimh. 2018-493 dlí na Fraince don RGPD agus trasuíonn sé an treoir "póilíní-ceartas" (2016/680), bunaithe ar dhlí Informatique et Libertés ó 1978. foinse Légifrance ↗
Athscríobhtar dlí 1978 go hiomlán
Cuireann ordú uimh. 2018-1125 críoch le comhréireacht dhlí Informatique et Libertés leis an RGPD agus an treoir 2016/680. foinse Légifrance ↗
An chéad tuairisc mheasúnaithe ón gCoimisiún Eorpach
Dhá bhliain tar éis dó teacht i bhfeidhm, foilsíonn an Coimisiún a chéad tuarascáil: baineann an RGPD amach a chuspóirí, ach tá feabhsuithe ag teastáil (comhchuibhiú idir tíortha, comhoibriú idir údaráis). foinse EUR-Lex (COM 2020) ↗
Breithiúnas "Schrems II"
Neamhbhailíonn Cúirt Bhreithiúnais an Aontais Eorpaigh an "Privacy Shield" a rialaigh aistrithe sonraí chuig na Stáit Aontaithe: ní mheastar go bhfuil ráthaíochtaí Mheiriceá maidir le rochtain údarás poiblí ar shonraí leordhóthanach. foinse EUR-Lex ↗
Clásail chonarthacha chaighdeánacha nua
Tagann múnlaí nua clásal chun aistrithe sonraí lasmuigh den AE a rialú i bhfeidhm, le tréimhse aistrithe 15 mhí chun na seanchonarthaí a bhí sínithe cheana a athsholáthar. foinse EUR-Lex (2021/914) ↗
Creat nua AE - Stáit Aontaithe
Glacann an Coimisiún leis an gcinneadh leordhóthanachta "EU-US Data Privacy Framework", a chuireann in ionad an Privacy Shield a neamhbhailíodh in 2020 agus a dhaingníonn arís aistrithe chuig cuideachtaí Meiriceánacha. foinse EUR-Lex (2023/1795) ↗
An dara tuairisc mheasúnaithe ón gCoimisiún Eorpach
Méadú suntasach ar phionóis i gcoinne mórchuideachtaí teicneolaíochta, ach maireann difríochtaí idir údaráis náisiúnta. Molann an Coimisiún tacaíocht níos fearr do FBManna. foinse EUR-Lex (COM 2024) ↗
Togra maidir le héascaíocht do FBManna
Molann an Coimisiún, ina phaicéad simpliúcháin don mhargadh aonair, an díolúine ó chlár iomlán próiseála a choinneáil (airt. 30) a leathnú go 750 fostaí (in ionad 250), teoranta do phróiseáil "ardriosca". Is togra é seo, ní téacs i bhfeidhm fós. foinse an Choimisiúin Eorpaigh ↗
Comhaontú ar rialacha nós imeachta comhchoiteanna
Aontaíonn an Chomhairle agus Parlaimint na hEorpa go polaitiúil ar rialacha nós imeachta breise chun an bealach a chomhoibríonn údaráis mhaoirseachta náisiúnta le linn imscrúduithe trasteorann a chomhchuibhiú. Tá glacadh foirmiúil agus foilsiú san Iris Oifigiúil fós le deimhniú. foinse an Choimisiúin Eorpaigh ↗
Amlíne bunaithe ar fhoinsí oifigiúla (EUR-Lex, CNIL, Légifrance, an Coimisiún Eorpach) a ndeachthas i gcomhairle leo an 18 iúil 2026. Is tograí nó comhaontuithe polaitiúla atá fós ar siúl iad an dá chéim dheireanacha. Is achoimre oideachasúil é seo agus ní comhairle dhlíthiúil í.
Pionóis an RGPD, go soiléir
Bíonn an figiúr a chuireann eagla ar dhaoine - « 20 milliún euro » - le feiceáil i ngach áit, ach ní insíonn sé conas a oibríonn sé i ndáiríre. Seo, le foinsí oifigiúla mar thaca, cé a chuireann pionóis i bhfeidhm, conas, agus cé na méideanna fíor.
nó suas le 2% de láimhdeachas bliantúil domhanda na cuideachta (roghnaítear an méid is airde den dá cheann).
Leibhéal is infheidhme maidir le sáruithe "coitianta": clár próiseála, slándáil sonraí, oibleagáidí an phróiseálaí, easpa measúnú tionchair...
nó suas le 4% de láimhdeachas bliantúil domhanda (mar an gcéanna, roghnaítear an méid is airde den dá cheann).
Leibhéal is infheidhme maidir leis na sáruithe is tromchúisí: easpa bunúis dhlíthiúil, sárú ar chearta daoine, aistrithe neamhdhleathacha lasmuigh den AE...
Cé a chinneann? An "formation restreinte" (coiste teoranta) den CNIL
Ní í an CNIL "ghinearálta" a chuireann pionóis i bhfeidhm, ach comhlacht ar leith agus neamhspleách: an formation restreinte, comhdhéanta de 5 chomhalta agus cathaoirleach difriúil ón gcathaoirleach ginearálta. Is í seo amháin a dhéanann imscrúdú ar chásanna agus a fhógraíonn pionóis. Foilsítear na cinntí is tábhachtaí go poiblí.
An méid a athraíonn an fíormhéid
Éilíonn airteagal 83 den RGPD go gcuireann an CNIL roinnt critéar san áireamh sula socraíonn sí fíneáil, go háirithe:
- déine, cineál agus fad an tsáraithe
- cibé an bhfuil sé beartaithe nó mar gheall ar fhaillí shimplí
- na bearta atá glactha cheana chun an damáiste a laghdú
- an comhoibriú leis an CNIL agus sáruithe roimhe seo
- na catagóirí sonraí atá i gceist
Sula dtagann an fíneáil: freagra céimnithe (airteagal 58 den RGPD)
- Rabhadh
- Meabhrúchán oifigiúil
- Fógra foirmiúil
- Ordú comhlíonta
- Fíneáil riaracháin (airt. 83)
| Dáta | Eagraíocht | Méid | Cúis |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Easpa trédhearcachta, easpa toilithe bhailí don fhógraíocht phearsantaithe |
| 07/12/2020 | Amazon Europe Core | 35 M € | Fianáin curtha síos gan toiliú roimh ré |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Diúltú d'fhianáin níos casta ná glacadh leo |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | An chúis chéanna: diúltú d'fhianáin déanta ródheacair |
| 17/10/2022 | Clearview AI | 20 M € | Aitheantas aghaidhe gan bunús dlíthiúil, diúltú comhoibriú |
| 10/11/2022 | Discord Inc. | 800 000 € | Coinneáil iomarcach sonraí, slándáil agus faisnéis neamhleor |
| 15/06/2023 | Criteo | 40 M € | Sáruithe ar thoiliú fianán agus ar chearta daoine |
Agus do struchtúr níos measartha? Méideanna comhréireacha
Cuireann an CNIL pionóis freisin ar struchtúir bheaga agus mheánmhéide, ach le méideanna nach bhfuil inchomparáide leis na mórghrúpaí idirnáisiúnta. Sna cinntí ó mhí na Nollag 2025 amháin, faightear mar shampla: 5 000 € do chuideachta bainistíochta óstáin (fís-chosaint neamhchomhlíontach), 7 000 € agus 5 000 € do dhá chuideachta foilsitheoireachta nuachtán (fianáin neamhbhailí), 10 000 € do chuideachta lasta aerfoirt (fís-chosaint neamhdhleathach), nó fiú 20 000 € d'ollscoil (críocha neamhchomhlíonta). Ag an gceann eile den scála, cuireadh pionós ar chuideachta san earnáil seirbhísí ar mhéid 3,5 M € an mhí chéanna as carnadh sáruithe tromchúiseacha (slándáil, trédhearcacht, fianáin). Leanann an méid an déine agus an méid, ní a mhalairt.
D'údarás maoirseachta, de réir do thíre
San Eoraip, tá a húdaráis féin ag gach tír. Seo, do na 30 tír sa Limistéar Eorpach Eacnamaíoch, an t-údarás cosanta sonraí (do theagmhálaí RGPD) agus an t-údarás náisiúnta cibearshlándála. Nascann gach ainm leis an suíomh oifigiúil.
Foinsí: suímh oifigiúla na n-údarás agus liosta bhaill an EDPB (edpb.europa.eu), a ndeachthas i gcomhairle leo an 18 iúil 2026. Údaráis cosanta sonraí deimhnithe: 30/30. Údaráis chibearshlándála deimhnithe: 28/30. Léiríonn na tagairtí « le deimhniú » foinse oifigiúil nach bhfuil cobhsaithe go dtí seo.