GDPR gildir um sérhverja starfsemi sem safnar persónuupplýsingum, án tillits til stærðar. SYAGA CONSULTING hjálpar þér að formfesta vinnsluskrá, hafa eftirlit með undirvinnsluaðilum þínum, svara GDPR-spurningalistum viðskiptavina þinna og tryggingafélaga, og framkvæma áhrifamat þegar þess er þörf.
GDPR hefur verið í gildi síðan 2018, en er enn að miklu leyti óformfest hjá litlum og meðalstórum fyrirtækjum
Um leið og starfsemi safnar persónuupplýsingum (viðskiptavinir, starfsfólk, hugsanlegir viðskiptavinir) fellur hún undir reglugerðina. Takmörkuð undanþága er fyrir einingar með færri en 250 starfsmenn þar sem vinnslan er tilfallandi, en hún nær ekki yfir reglulega viðskiptastarfsemi.
Mörg lítil og meðalstór fyrirtæki hafa aldrei formfest skrá sína, eða skrifuðu hana einu sinni og hafa aldrei uppfært hana þótt vinnslur þeirra, undirvinnsluaðilar og verkfæri hafi breyst.
Viðskiptavinur, banki eða netöryggistryggingafélag krefst sífellt oftar að birgjar þeirra svari spurningalista um persónuvernd (28. gr.): undirvinnslu, dulkóðun, MFA, öryggisafritun, atvikaskráningu, viðbragðsáætlun.
Að skrifa vinnsluskrá, hafa eftirlit með undirvinnsluaðilum eða vinna áhrifamat krefst blöndu af lögfræðilegri og tæknilegri sérfræðiþekkingu sem fá lítil og meðalstór fyrirtæki hafa innanhúss.
Skipulögð aðferð, sniðin að stærð og raunverulegum aðstæðum starfsemi þinnar
Viðtal við stjórnanda eða GDPR-ábyrgðarmann. Greining á vinnslum persónuupplýsinga (viðskiptavinir, starfsfólk, hugsanlegir viðskiptavinir, birgjar), notuðum verkfærum og núverandi undirvinnsluaðilum.
Ritun vinnsluskrárinnar: tilgangur, lagagrundvöllur, flokkar gagna og hlutaðeigandi einstaklinga, viðtakendur, varðveislutími, öryggisráðstafanir.
Yfirferð eða ritun undirvinnsluákvæða (28. gr.) með þjónustuveitendum þínum, og undirbúningur svara við GDPR-spurningalistum sem viðskiptavinir eða tryggingafélög senda þér (tæknilegar og skipulagslegar ráðstafanir).
Afhending skjala og kynning fyrir stjórnendum. Ef vinnsla þín fellur undir eitt af tilvikum 35. gr. 3. mgr. GDPR (sniðgreining með lagalegum áhrifum, viðkvæm gögn í stórum stíl, kerfisbundið eftirlit á opnu svæði) er áhrifamat (MÁP) framkvæmt eða afmarkað með þér.
Skjöl sniðin að raunverulegri starfsemi þinni, ekki almenn sniðmát
Fullbúin skrá í samræmi við 30. grein GDPR.
Samningsbundið eftirlit með þjónustuveitendum þínum samkvæmt 28. grein.
Framkvæmt aðeins þegar 35. gr. 3. mgr. GDPR krefst þess, eða sem varúðarráðstöfun að beiðni.
Undirbúningur svara við spurningalistum frá viðskiptavinum þínum, bönkum eða netöryggistryggingafélögum.
Staða þeirra ráðstafana sem 32. grein GDPR krefst.
Afurðirnar eru afhentar á sniðum sem hægt er að nota strax.
GDPR (reglugerð (ESB) 2016/679) mótar ferlið RGPD-Express
Skylda til að halda skrá, bæði af hálfu ábyrgðaraðila og undirvinnsluaðila. Undanþágan sem kveðið er á um í 30.5. mgr. fyrir einingar með færri en 250 starfsmenn nær aðeins til tilfallandi vinnslu.
Samningsbundið eftirlit með hverjum undirvinnsluaðila sem vinnur gögn fyrir þína hönd: nægar tryggingar, skyldubundin ákvæði, undir-undirvinnsla háð fyrirfram skriflegu samþykki.
Viðeigandi tæknilegar og skipulagslegar ráðstafanir í samræmi við áhættu: dulkenning, dulkóðun, leiðir til að tryggja trúnað og aðgengi, ferli fyrir reglulega prófun og mat.
Aðeins skylda þegar vinnslan gæti skapað mikla áhættu: kerfisbundið mat með lagalegum áhrifum, viðkvæm gögn í stórum stíl, eða kerfisbundið eftirlit á svæði sem almenningur hefur aðgang að.
Hver starfsemi hefur ólíkt umfang vinnslna: verðið er ákveðið eftir afmörkun
Örfyrirtæki/lítið fyrirtæki, einfalt vinnsluumfang
Lítið/meðalstórt fyrirtæki með marga undirvinnsluaðila og endurtekna spurningalista
Starfsemi með viðkvæmar vinnslur eða atvinnugreinabundið regluverk
Það sem lagatextinn raunverulega segir, á einföldu máli. Hvert atriði vísar til opinbera textans.
Þetta er evrópski textinn sem stýrir söfnun og notkun persónuupplýsinga (viðskiptavina, starfsfólks, hugsanlegra viðskiptavina...). Hann var samþykktur 27. apríl 2016 og birtur í Stjórnartíðindum Evrópusambandsins 4. maí 2016.
Reglugerðin tók gildi tuttugu dögum eftir birtingu, en hefur einungis raunverulega gilt frá 25. maí 2018. Það er þessi dagsetning sem skiptir máli fyrir raunverulegar skyldur þínar.
Þú þarft að halda skrá yfir það sem þú gerir við persónuupplýsingar: í hvaða tilgangi, með hverjum, hversu lengi þú geymir þær, hvernig þú verndar þær. Undanþága er fyrir einingar með færri en 250 starfsmenn, en aðeins ef vinnslan er tilfallandi - regluleg viðskiptastarfsemi nýtur hennar ekki.
Það er aðeins skylda í þremur tilteknum tilvikum: þú ert opinber stofnun, eða meginstarfsemi þín felst í reglulegu eftirliti með einstaklingum í stórum stíl, eða vinnslu viðkvæmra gagna í stórum stíl. Utan þessara tilvika er val að tilnefna DPO.
Ef persónuupplýsingar tapast, er stolið eða verða opinberar, þarft þú að tilkynna CNIL (eða bæru yfirvaldi) eigi síðar en 72 klukkustundum eftir að þú fékkst vitneskju um það, nema áhættan fyrir einstaklingana sé hverfandi. Þú þarft einnig að halda skriflega skrá yfir hvert atvik.
Þegar gagnaleki skapar mikla áhættu fyrir hlutaðeigandi einstaklinga þarft þú að upplýsa þá beint, á skýru og einföldu máli. Þú getur verið undanþeginn þessari tilkynningu ef gögnin voru dulkóðuð eða ef þú hefur þegar hlutleyst áhættuna.
Ef um brot er að ræða getur sektin numið allt að 10 milljónum evra (eða 2% af heimsveltu fyrirtækisins) fyrir algengustu brotin, og allt að 20 milljónum evra (eða 4% af heimsveltu) fyrir alvarlegustu brotin á réttindum einstaklinga - alltaf er hærri upphæðin lögð til grundvallar. Raunveruleg upphæð ræðst af alvarleika, góðri trú og samstarfi við yfirvaldið.
Spurningin sem við fáum oftast: „Varðar þetta mig raunverulega, litla fyrirtækið mitt?" Stutt og heimildaskráð svar: já, næstum alltaf.
GDPR gildir um leið og stofnun vinnur, jafnvel að hluta á sjálfvirkan hátt eða í skipulagðri skrá, upplýsingar sem varða auðkenndan eða auðkennanlegan einstakling: nafn, netfang, símanúmer, IP-tölu, staðsetningargögn...
Í raun nær þetta yfir viðskiptavinaskrá, launavinnslu starfsfólks, móttekin ferilskrár, myndavélaeftirlit, fréttabréf, CRM-kerfi eða vafrakökur til vefmælinga.
GDPR gildir ekki í fjórum tilteknum tilvikum:
GDPR gildir um leið og fyrirtæki þitt hefur starfsstöð innan Evrópusambandsins, eða um leið og þú beinir starfsemi þinni að einstaklingum þar: með því að bjóða þeim vörur eða þjónustu (jafnvel ókeypis), eða með því að fylgjast með hegðun þeirra (sniðgreiningu, rakningarvafrakökum).
CNIL nefnir tvö skýr dæmi: franskt fyrirtæki sem flytur eingöngu út til Marokkó fellur samt undir GDPR um leið og það vinnur gögn einstaklinga innan ESB; kínversk netverslun sem sendir vörur til Frakklands þarf einnig að virða reglugerðina.
Ábyrgðaraðili: sú stofnun sem ákveður hvers vegna og hvernig gögnin eru notuð (fyrirtækið þitt, sveitarfélag, félagasamtök). Það ert yfirleitt þú.
Undirvinnsluaðili: þjónustuveitandinn sem vinnur þessi gögn samkvæmt fyrirmælum þínum (hýsingaraðili, launahugbúnaður, markaðsstofa...). Hann hefur einnig sínar eigin skyldur, aðgreindar frá þínum.
Einkafyrirtæki
frá örfyrirtæki til stórfyrirtækis, frá fyrstu viðskiptavinaskrá eða fyrsta launaseðli
Opinber geiri
sveitarfélög, stofnanir, stjórnsýsla, heilbrigðisstofnanir
Félagasamtök, iðnaðarmenn, sjálfstætt starfandi
frjálsar starfsgreinar, kaupmenn, sprotafyrirtæki: engin undanþága tengd rekstrarformi
Ekkert lögfræðilegt hrognamál: 7 algengustu spurningarnar, einfalt svar og opinberi textinn á bak við hvert svar.
Smelltu á spurningu til að sjá svarið og heimild þess.
Nei. Samþykki er aðeins einn valkostur af sex. GDPR (6. gr.) heimilar einnig vinnslu þegar hún er nauðsynleg til að efna samning, til að fara að lagalegri skyldu, til að vernda brýna hagsmuni, vegna verkefnis í almannaþágu, eða vegna lögmætra hagsmuna fyrirtækis þíns (til dæmis að halda utan um samband við núverandi viðskiptavin), svo lengi sem réttindi einstaklingsins vega ekki þyngra.
Það fer eftir því hvern þú hefur samband við:
Í öllum tilvikum: sendandi verður að vera auðkennanlegur og afskráningarhlekkur einfaldur.
Almennt séð já, sérstaklega ef gögnin þjóna ekki lengur tilgangi, ef einstaklingurinn afturkallar samþykki sitt, eða ef hann mótmælir án þess að þú hafir lögmæta gagnstæða ástæðu. Þú getur hins vegar hafnað ef þú þarft að varðveita gögnin vegna lagalegrar skyldu, til dæmis reikning sem þarf að geyma í 10 ár vegna bókhalds, eða til að verja þig fyrir dómstólum.
1 mánuð frá móttöku beiðninnar. Þennan frest má framlengja um 2 mánuði ef beiðnin er flókin eða ef þú færð margar slíkar beiðnir, en þú verður að tilkynna einstaklingnum um framlenginguna innan upphaflega mánaðarins.
Já, en ekki án varúðar. Þrír möguleikar eru fyrir hendi: landið nýtur opinberrar ákvörðunar framkvæmdastjórnar Evrópusambandsins um fullnægjandi verndarstig; ef ekki, verður þjónustuaðilinn að bjóða viðeigandi tryggingar (oftast staðlaða samningsskilmála); eða, aðeins í afmörkuðum tilvikum, gildir tiltekin undanþága (skýrt samþykki, efndir samnings...).
Já. Flestar vafrakökur (persónusniðin auglýsingaskilaboð, samfélagsmiðlahnappar...) krefjast fyrirfram samþykkis gestsins, gefið frjálst og jafn auðvelt að afturkalla og að veita. Að samþykkja almenna skilmála telst ekki gilt samþykki. Sumar tæknilegar vafrakökur (innkaupakarfa, auðkenning, tungumálastillingar) eru undanþegnar þessu samþykki.
CNIL byrjar yfirleitt á eftirliti (á staðnum eða á netinu) og síðan formlegri áminningu um að koma málum í samræmi innan tiltekins frests. Fjársektir eru til staðar en eru í hlutfalli við stærð einingarinnar: CNIL hefur til dæmis sektað lítil fyrirtæki um 2.000 til 20.000 evrur fyrir brot á öryggi, vafrakökum eða aðgangsrétti, langt frá hámarksþökunum (allt að 20 milljónum evra eða 4% af heimsveltu fyrir alvarlegustu brotin).
GDPR varð ekki til árið 2018 og hefur ekki staðið í stað síðan. Hér er, í réttri röð, það sem þegar hefur gerst (og er enn í gildi í dag) og það sem enn er til umræðu í Brussel - með opinberum texta sem staðfestir hvert skref.
Evrópuþingið og ráðið samþykkja reglugerð (ESB) 2016/679, GDPR. heimild EUR-Lex ↗
Textinn er birtur í Stjórnartíðindum Evrópusambandsins (JO L 119, bls. 1-88). heimild EUR-Lex ↗
Reglugerðin "tekur gildi á tuttugasta degi eftir birtingu" (99. gr.). Hún er þar með lagalega til, en raunveruleg beiting hennar gagnvart fyrirtækjum er enn frestað um tvö ár - til að gefa svigrúm til undirbúnings. heimild CNIL, 99. gr. ↗
Frá og með þessari dagsetningu verða allar stofnanir sem vinna með persónuupplýsingar íbúa í Evrópu að vera í raunverulegu samræmi, ekki bara „á pappír“. Þetta er dagsetningin sem ber að muna. heimild CNIL, 99. gr. ↗
Lög nr. 2018-493 aðlaga frönsk lög að GDPR og innleiða tilskipun um "lögreglu og réttarkerfi" (2016/680), byggt á lögunum "Informatique et Libertés" frá 1978. heimild Légifrance ↗
Tilskipun nr. 2018-1125 lýkur samræmingu laganna "Informatique et Libertés" við GDPR og tilskipun 2016/680. heimild Légifrance ↗
Tveimur árum eftir að reglugerðin tók gildi birtir framkvæmdastjórnin fyrstu skýrslu sína: GDPR nær markmiðum sínum, en úrbóta er þörf (samræming milli landa, samstarf milli yfirvalda). heimild EUR-Lex (COM 2020) ↗
Dómstóll Evrópusambandsins ógildir „Privacy Shield“ samkomulagið sem stýrði gagnaflutningi til Bandaríkjanna: tryggingar Bandaríkjanna varðandi aðgang opinberra yfirvalda að gögnum eru ekki taldar fullnægjandi. heimild EUR-Lex ↗
Nýjar staðlaðar samningsskilmálafyrirmyndir til að stýra gagnaflutningi utan ESB taka gildi, með 15 mánaða aðlögunartíma til að skipta út eldri samningum sem þegar hafa verið undirritaðir. heimild EUR-Lex (2021/914) ↗
Framkvæmdastjórnin samþykkir fullnægjandi-ákvörðunina „EU-US Data Privacy Framework“, sem kemur í stað Privacy Shield-samkomulagsins sem var ógilt 2020, og tryggir á ný gagnaflutning til vottaðra bandarískra fyrirtækja. heimild EUR-Lex (2023/1795) ↗
Veruleg aukning í viðurlögum gagnvart stórum tæknifyrirtækjum, en ágreiningur er enn til staðar milli innlendra yfirvalda. Framkvæmdastjórnin mælir með betri stuðningi við lítil og meðalstór fyrirtæki. heimild EUR-Lex (COM 2024) ↗
Framkvæmdastjórnin leggur til, í einföldunarpakka sínum fyrir innri markaðinn, að útvíkka til 750 starfsmanna (í stað 250) undanþáguna frá fullri vinnsluskrá (30. gr.), takmarkað við vinnslu „í mikilli áhættu“. Þetta er tillaga, ekki enn gildandi texti. heimild framkvæmdastjórn Evrópusambandsins ↗
Ráðið og Evrópuþingið ná pólitísku samkomulagi um viðbótarmálsmeðferðarreglur til að samræma hvernig innlend eftirlitsyfirvöld starfa saman við rannsóknir yfir landamæri. Formleg samþykkt og birting í Stjórnartíðindum eru enn óstaðfestar. heimild framkvæmdastjórn Evrópusambandsins ↗
Dagatalið er byggt á opinberum heimildum (EUR-Lex, CNIL, Légifrance, framkvæmdastjórn Evrópusambandsins) sem voru skoðaðar 18. júlí 2026. Síðustu tvö skrefin eru tillögur eða pólitísk samkomulög sem enn eru í vinnslu - við munum uppfæra þau um leið og formleg samþykkt og birting í Stjórnartíðindum liggja fyrir. Þetta er kennslufræðileg samantekt og telst ekki lögfræðileg ráðgjöf.
Talan sem vekur ótta - „20 milljónir evra“ - er alls staðar nefnd, en hún segir ekki hvernig þetta virkar í raun. Hér er, með stuðningi opinberra heimilda, hver beitir viðurlögum, hvernig, og fyrir hvaða raunverulegu upphæðir.
eða allt að 2% af árlegri heimsveltu fyrirtækisins (hærri upphæðin af þessum tveimur er lögð til grundvallar).
Þrep sem á við um „algeng“ brot: vinnsluskrá, öryggi gagna, skyldur vinnsluaðila, skortur á áhrifamati...
eða allt að 4% af árlegri heimsveltu (sama regla, hærri upphæðin af þessum tveimur er lögð til grundvallar).
Þrep sem á við um alvarlegustu brotin: skortur á lagagrundvelli, brot á réttindum einstaklinga, ólöglegur gagnaflutningur utan ESB...
Það er ekki CNIL í heild sem beitir viðurlögum, heldur sjálfstæð og aðskilin nefnd: formation restreinte (takmarkaða nefndin), skipuð 5 fulltrúum og formanni sem er ekki sá sami og formaður CNIL. Aðeins hún rannsakar málin og kveður upp viðurlög. Mikilvægustu ákvarðanirnar eru gerðar opinberar.
83. gr. GDPR skyldar CNIL til að taka tillit til nokkurra þátta áður en sekt er ákveðin, þar á meðal:
| Dagsetning | Fyrirtæki | Upphæð | Ástæða |
|---|---|---|---|
| 21.01.2019 | Google LLC | 50 M € | Skortur á gagnsæi, ekkert gilt samþykki fyrir persónusniðnum auglýsingum |
| 07.12.2020 | Amazon Europe Core | 35 M € | Vafrakökur settar án fyrirfram samþykkis |
| 31.12.2021 | Google LLC / Google Ireland | 150 M € | Erfiðara að hafna vafrakökum en að samþykkja þær |
| 31.12.2021 | Facebook Ireland (Meta) | 60 M € | Sama ástæða: of erfitt gert að hafna vafrakökum |
| 17.10.2022 | Clearview AI | 20 M € | Andlitsgreining án lagagrundvallar, neitun um samstarf |
| 10.11.2022 | Discord Inc. | 800.000 € | Óhófleg varðveisla gagna, ófullnægjandi öryggi og upplýsingagjöf |
| 15.06.2023 | Criteo | 40 M € | Brot á samþykki vafrakaka og réttindum einstaklinga |
CNIL beitir einnig lítil og meðalstór fyrirtæki viðurlögum, en með upphæðum sem eru í engum samanburði við alþjóðlegar samsteypur. Aðeins í úrskurðum frá desember 2025 má til dæmis finna: 5.000 € fyrir hótelrekstrarfyrirtæki (ólögmæt myndeftirlit), 7.000 € og 5.000 € fyrir tvö dagblaðaútgáfufyrirtæki (ógildar vafrakökur), 10.000 € fyrir flugfraktfyrirtæki (ólögmæt myndeftirlit), eða 20.000 € fyrir háskóla (tilgangur ekki virtur). Í hinum enda skalans var þjónustufyrirtæki sektað um 3,5 M € sama mánuð fyrir samansafn alvarlegra brota (öryggi, gagnsæi, vafrakökur). Upphæðin fer eftir alvarleika og stærð, ekki öfugt.
Í Evrópu hefur hvert land sín eigin yfirvöld. Hér má finna, fyrir 30 lönd Evrópska efnahagssvæðisins, persónuverndaryfirvaldið (viðmælanda þinn í GDPR-málum) og innlent netöryggisyfirvald. Hvert nafn tengist opinberu vefsíðunni.
Heimildir: opinberar vefsíður yfirvalda og félagalisti EDPB (edpb.europa.eu), skoðaðar 18. júlí 2026. Persónuverndaryfirvöld staðfest: 30/30. Netöryggisyfirvöld staðfest: 28/30. Merkingin „à confirmer“ (á enn eftir að staðfesta) á við um opinbera heimild sem er ekki enn stöðug.
Skrifaðu okkur til að fá upphaflega afmörkun og sérsniðið tilboð, án skuldbindingar.
Ókeypis: einkunnin þín + frávikin þín. Ítarlega skýrslan og staðfestingin: 499 € án vsk, aðeins ef þú ákveður það.
contact@syaga.eu