RGPD-Express
Istruttura l-konformità RGPD tiegħek
L-artikli ewlenin tar-RGPD
Ir-RGPD (Regolament (UE) 2016/679) jistruttura l-proċess RGPD-Express
Art. 30 - Reġistru tal-attivitajiet ta' pproċessar
Obbligu li jinżamm reġistru, min-naħa tal-kontrollur tal-ipproċessar u min-naħa tal-proċessur. L-eżenzjoni prevista fil-30.5 għall-istrutturi ta' anqas minn 250 impjegat tapplika biss għall-ipproċessar okkażjonali.
Art. 28 - Proċessur
Regolazzjoni kuntrattwali ta' kull proċessur li jipproċessa data għan-nom tiegħek: garanziji suffiċjenti, klawżoli obbligatorji, sottokuntrattar sussegwenti awtorizzat b'kitba minn qabel.
Art. 32 - Sigurtà tal-ipproċessar
Miżuri tekniċi u organizzattivi xierqa għar-riskju: pseudonimizzazzjoni, kriptazzjoni, mezzi li jiggarantixxu l-kunfidenzjalità u d-disponibbiltà, proċedura ta' ttestjar u ta' evalwazzjoni regolari.
Art. 35 - Analiżi tal-impatt (AIPD)
Obbligatorja biss meta l-ipproċessar jista' jġib riskju għoli: evalwazzjoni sistematika b'effett ġuridiku, data sensittiva fuq skala kbira, jew sorveljanza sistematika ta' żona aċċessibbli għall-pubbliku.
Sorveljanza regolatorja - sorsi uffiċjali
Dak li verament jgħid it-test, tradott b'lingwaġġ sempliċi. Kull punt jirreferi għat-test uffiċjali.
Ir-RGPD, x'inhu eżattament?
Huwa t-test Ewropew li jirregola l-ġbir u l-użu tad-data personali (klijenti, impjegati, prospetti...). Ġie adottat fis-27 ta' April 2016 u ppubblikat fil-Ġurnal Uffiċjali tal-Unjoni Ewropea fl-4 ta' Mejju 2016.
Minn meta japplika
Ir-regolament daħal fis-seħħ għoxrin jum wara l-pubblikazzjoni tiegħu, imma huwa verament applikabbli biss mill-25 ta' Mejju 2018. Din id-data hija dik li tgħodd għall- obbligi konkreti tiegħek.
Ir-reġistru tal-ipproċessar: id-dokument bażiku
Trid iżżomm il-lista ta' dak li tagħmel bid-data personali: għal xiex, ma' min, kemm żmien iżżommhom, kif tipproteġihom. Eċċezzjoni teżisti għall-istrutturi ta' anqas minn 250 impjegat, imma biss jekk l-ipproċessar huwa okkażjonali, attività kummerċjali regolari ma tibbenefikax minnha.
Għandi bżonn naħtar Delegat għall-Protezzjoni tad-Data (DPO)?
Dan huwa obbligatorju biss f'tliet sitwazzjonijiet preċiżi: int organizzazzjoni pubblika, jew l-attività prinċipali tiegħek tikkonsisti fis-sorveljanza ta' persuni b'mod regolari u fuq skala kbira, jew fl-ipproċessar fuq skala kbira ta' data sensittiva. Barra minn dawn il-każijiet, il-ħatra ta' DPO tibqa' fakultattiva.
F'każ ta' rilaxx ta' data: 72 siegħa biex tavża l-awtorità
Jekk data personali tintilef, tinsteraq jew tiġi esposta, trid tinforma lill- CNIL (jew l-awtorità kompetenti, l-awtorità Franċiża) sa mhux aktar tard minn 72 siegħa wara li tkun saret taf biha, ħlief jekk ir-riskju għall-persuni huwa negliġibbli. Trid ukoll iżżomm traċċa bil-miktub ta' kull inċident.
Jekk ir-riskju huwa għoli, il-klijenti jew l-impjegati tiegħek iridu wkoll jiġu avżati
Meta rilaxx ta' data jġib riskju għoli għall-persuni kkonċernati, trid tinfurmahom direttament, b'lingwaġġ ċar u sempliċi. Tista' tkun eżenti minn din il-komunikazzjoni jekk id-data kienet kriptata jew jekk diġà nnewtralizzajt ir- riskju.
Is-sanzjonijiet fi kliem sempliċi
F'każ ta' ksur, il-multa tista' tasal sa 10 miljun euro (jew 2% tal-fatturat dinji tal-kumpanija) għall-ksur l-aktar komuni, u sa 20 miljun euro (jew 4% tal-fatturat dinji) għall-ksur l-aktar gravi tad-drittijiet tal-persuni, dejjem l-ammont l-ogħla huwa dak li jittieħed. L- ammont reali jiddependi mill-gravità, min-natura intenzjonali jew negliġenti tal-ksur u mill-koperazzjoni mal-awtorità.
Min hu kkonċernat mir-RGPD?
Il-mistoqsija li ssirilna l-aktar spiss: "Verament din tikkonċernani, jien, struttura żgħira?" Tweġiba qasira u b'sors: iva, kważi dejjem.
L-attivatur veru: l-ipproċessar ta' data personali
Ir-RGPD japplika hekk kif organizzazzjoni tipproċessa, anke parzjalment b'mod awtomatizzat, jew f'fajl strutturat, informazzjoni li tirrigwarda persuna identifikata jew identifikabbli: isem, email, telefon, indirizz IP, data ta' lokalizzazzjoni...
F'termini konkreti, dan ikopri fajl ta' klijenti, il-paga tal-impjegati, is-CVs riċevuti, kamera ta' vidjosorveljanza, newsletter, CRM jew cookies ta' kejl tal-udjenza.
L-eċċezzjonijiet rari
Ir-RGPD ma japplikax f'erba' każijiet preċiżi:
- użu strettament personali jew domestiku (pereżempju, il-ktieb tal-indirizzi privat tiegħek)
- attivitajiet barra mill-kamp ta' applikazzjoni tad-dritt tal-Unjoni Ewropea
- attivitajiet tal-Istati Membri li jaqgħu taħt il-politika barranija komuni
- l-ipproċessar mill-awtoritajiet għall-prevenzjoni ta' reati kriminali (reġim separat)
Ftit jimporta fejn int stabbilit
Ir-RGPD japplika hekk kif l-intrapriża tiegħek għandha stabbiliment fl-Unjoni Ewropea, jew hekk kif timmira persuni li jinsabu fiha: billi toffrilhom oġġetti jew servizzi (anke b'xejn), jew billi ssegwi l-imġieba tagħhom (profiling, cookies ta' traċċar).
Is-CNIL issemmi żewġ eżempji ċari: intrapriża Franċiża li tesporta biss lejn il-Marokk tibqa' suġġetta għar-RGPD hekk kif tipproċessa data ta' persuni fl-UE; sit tal-kummerċ elettroniku Ċiniż li jikkonsenja fi Franza jrid ukoll jirrispettah.
Żewġ irwoli possibbli, żewġ livelli ta' obbligi
Kontrollur tal-ipproċessar: l-entità li tiddeċiedi għaliex u kif tintuża d-data (l-intrapriża tiegħek, kunsill lokali, assoċjazzjoni). Ġeneralment inti stess.
Proċessur: il-fornitur li jipproċessa din id-data skont l-istruzzjonijiet tiegħek (hosting, softwer tal-paga, aġenzija tal-marketing...). Huwa wkoll għandu l-obbligi tiegħu stess, distinti minn tiegħek.
Intrapriżi privati
mill-SME żgħira sal-grupp kbir, mill-ewwel fajl ta' klijent jew l-ewwel karta tal-paga
Settur pubbliku
kunsilli lokali, awtoritajiet lokali, amministrazzjonijiet, stabbilimenti tas-saħħa
Assoċjazzjonijiet, artiġjani, ħaddiema għal rashom
professjonijiet liberali, kummerċjanti, startups: l-ebda eżenzjoni marbuta mal-istatus
Il-mistoqsijiet li diriġent verament jistaqsi
Mingħajr ġargun legali: is-7 mistoqsijiet l-aktar komuni, tweġiba sempliċi, u t-test uffiċjali wara kull tweġiba.
Ikklikkja fuq mistoqsija biex tara t-tweġiba u s-sors tagħha.
Le. Il-kunsens hu biss waħda minn sitt għażliet. Ir-RGPD (artiklu 6) jawtorizza wkoll l-ipproċessar meta jkun meħtieġ għall-eżekuzzjoni ta' kuntratt, għar-rispett ta' obbligu legali, għas-salvagwardja ta' interessi vitali, għal missjoni ta' interess pubbliku, jew għall-interess leġittimu tal-intrapriża tiegħek (pereżempju l-ġestjoni tar-relazzjoni ma' klijent eżistenti), sakemm id-drittijiet tal-persuna ma jipprevalux.
Jiddependi minn min tikkuntattja:
- Individwi (B2C): qbil minn qabel obbligatorju (kaxxa tal-ivverifikar, qatt ippre-ivverifikata), ħlief biex terġa' toffri prodott simili lil klijent diġà eżistenti.
- Professjonisti (B2B): possibbli mingħajr qbil minn qabel jekk il-messaġġ jikkonċerna l-attività tagħhom, bil-kundizzjoni li tkun infurmajthom u ħallejtilhom mod sempliċi biex jirrifjutaw.
Fil-każijiet kollha: mibgħut identifikabbli u link ta' unsubscribe faċli.
Ġeneralment iva, speċjalment jekk id-data ma tibqax tiswa xejn, jekk il-persuna tirtira l-kunsens tagħha, jew jekk topponi mingħajr raġuni leġittima kuntrarja min-naħa tiegħek. Madankollu tista' tirrifjuta jekk trid iżżomm din id-data għal obbligu legali, pereżempju fattura li trid tinżamm 10 snin għall-kontabilità, jew biex tiddefendi ruħek fil-qorti.
Xahar wieħed mid-data tal-wasla tat-talba. Dan it-terminu jista' jiġi estiż b'xahrejn jekk it-talba tkun kumplessa jew jekk tirċievi ħafna minnhom, iżda trid tavża lill-persuna b'din l-estensjoni fix-xahar inizjali.
Iva, iżda mhux mingħajr prekawzjoni. Tliet każijiet possibbli: il-pajjiż jibbenefika minn deċiżjoni uffiċjali tal-Commission européenne li tirrikonoxxi livell adegwat ta' protezzjoni; jekk le, il-fornitur tiegħek irid joffri garanziji xierqa (klawżoli kuntrattwali standard fil-parti l-kbira tal-każijiet); jew, biss għal każijiet punt għal punt, tapplika deroga preċiża (kunsens espliċitu, eżekuzzjoni ta' kuntratt...).
Iva. Il-biċċa l-kbira tal-cookies (reklamar personalizzat, buttuni tan-networks soċjali...) jeħtieġu qbil minn qabel mill-viżitatur tiegħek, mogħti liberament, faċli daqs kemm biex jingħata kif biex jiġi rtirat. L-aċċettazzjoni tat-termini u kundizzjonijiet ġenerali ma tgħoddx bħala qbil validu. Ftit cookies tekniċi (basket tax-xiri, awtentikazzjoni, preferenza tal-lingwa) huma eżenti minn dan il-qbil.
Is-CNIL ġeneralment tibda b'kontroll (fuq il-post jew online) u mbagħad avviż formali biex issir konformi f'terminu partikolari. Is-sanzjonijiet finanzjarji jeżistu iżda jibqgħu proporzjonati mad-daqs tal-istruttura: is-CNIL pereżempju sanzjonat intrapriżi żgħar bejn 2 000 u 20 000 euros għal nuqqasijiet fuq is-sigurtà, il-cookies jew id-dritt ta' aċċess, ferm 'il bogħod mil-limiti massimi (sa 20 millions d'euros jew 4% tal-fatturat dinji għan-nuqqasijiet l-aktar serji).
Il-kalendarju tar-RGPD, b'mod ċar
Ir-RGPD ma twelidx fl-2018 u ma baqax iffriżat minn dakinhar. Hawnhekk, skont l-ordni, dak li diġà ġara (u li jibqa' r-regola tal-logħba llum) u dak li għadu taħt diskussjoni fi Brussell - b'test uffiċjali għal kull stadju li jipprovah.
Diġà fis-seħħ illum
- Ir-RGPD japplika bis-sħiħ mill-25 mai 2018 - din hija D-DATA li tgħodd għall-obbligi tiegħek.
- Il-liġi Franċiża "Informatique et Libertés" ġiet aġġornata b'konsegwenza (2018).
- Il-klawżoli kuntrattwali standard il-ġodda għat-trasferimenti barra mill-UE ilhom fis-seħħ minn tmiem 2022.
- Il-qafas ta' trasferiment tad-data lejn l-Istati Uniti (Data Privacy Framework) ilu fis-seħħ minn juillet 2023.
Għadha taħt diskussjoni, għadha mhix obbligatorja
- Tnaqqis fir-rekwiżiti tar-reġistru tal-ipproċessar (art. 30) għall-istrutturi ta' anqas minn 750 impjegat, propost mill-Commission f'mai 2025 - għadu mhux test fis-seħħ.
- Regolament biex jarmonizza l-proċeduri bejn l-awtoritajiet superviżorji nazzjonali waqt investigazzjonijiet transkonfinali - ftehim politiku f'juin 2025, adozzjoni formali mhux ikkonfermata s'issa.
- Tafdax f'dawn l-avviżi biex tipposponi l-konformità tiegħek: il-bażi tal-2018 tibqa' r-regola sakemm xejn ma jkun ippubblikat fil-Journal officiel.
It-test huwa adottat
Il-Parlament Ewropew u l-Kunsill jadottaw ir-Regolament (UE) 2016/679, ir-RGPD. sors EUR-Lex ↗
Pubblikazzjoni uffiċjali
It-test huwa ppubblikat fil-Journal officiel de l'Union européenne (JO L 119, paġni 1 sa 88). sors EUR-Lex ↗
Dħul fis-seħħ ġuridiku
Ir-regolament "jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu" (art. 99). Jeżisti ġuridikament, iżda l-applikazzjoni effettiva tiegħu fuq l-intrapriżi għadha differita b'sentejn - iż-żmien biex torganizza ruħek. sors CNIL (l-awtorità Franċiża), art. 99 ↗
Ir-RGPD japplika bis-sħiħ
Minn din id-data, l-organizzazzjonijiet kollha li jipproċessaw data personali ta' residenti Ewropej għandhom ikunu f'konformità reali, mhux biss "fuq il-karta". Din hija d-data li trid tiġi mfakkra. sors CNIL (l-awtorità Franċiża), art. 99 ↗
Il-liġi Franċiża hija aġġornata
Il-liġi nru 2018-493 tadatta d-dritt Franċiż mar-RGPD u tittrasponi d-direttiva "police-justice" (2016/680), billi tibbaża fuq il-liġi Informatique et Libertés tal-1978. sors Légifrance ↗
Il-liġi tal-1978 hija miktuba mill-ġdid kompletament
L-ordinanza nru 2018-1125 tlesti l-allinjament tal-liġi Informatique et Libertés mar-RGPD u d-direttiva 2016/680. sors Légifrance ↗
L-ewwel evalwazzjoni tal-Commission européenne
Sentejn wara d-dħul fl-applikazzjoni tiegħu, il-Commission tippubblika l-ewwel rapport tagħha: ir-RGPD jilħaq l-objettivi tiegħu, iżda titjib huwa meħtieġ (armonizzazzjoni bejn il-pajjiżi, kooperazzjoni bejn l-awtoritajiet). sors EUR-Lex (COM 2020) ↗
Sentenza "Schrems II"
Il-Qorti tal-Ġustizzja tal-Unjoni Ewropea tinvalida l-"Privacy Shield" li kien jirregola t-trasferimenti ta' data lejn l-Istati Uniti: il-garanziji Amerikani dwar l-aċċess tal-awtoritajiet pubbliċi għad-data ma jitqisux bħala biżżejjed. sors EUR-Lex ↗
Klawżoli kuntrattwali standard ġodda
Mudelli ġodda ta' klawżoli biex jirregolaw it-trasferimenti ta' data barra mill-UE jidħlu fis-seħħ, b'perjodu ta' tranżizzjoni ta' 15-il xahar biex jinbidlu l-kuntratti l-qodma diġà ffirmati. sors EUR-Lex (2021/914) ↗
Qafas ġdid UE - Stati Uniti
Il-Commission tadotta d-deċiżjoni ta' adegwatezza "EU-US Data Privacy Framework", li tissostitwixxi l-Privacy Shield invalidat fl-2020 u tissigura mill-ġdid it-trasferimenti lejn l-intrapriżi Amerikani. sors EUR-Lex (2023/1795) ↗
It-tieni evalwazzjoni tal-Commission européenne
Żieda ċara fis-sanzjonijiet kontra l-intrapriżi teknoloġiċi kbar, iżda d-diverġenzi jibqgħu bejn l-awtoritajiet nazzjonali. Il-Commission tirrakkomanda li l-SMEs jiġu megħjuna aħjar. sors EUR-Lex (COM 2024) ↗
Proposta ta' tnaqqis għall-SMEs
Il-Commission tipproponi, fil-pakkett tagħha ta' simplifikazzjoni tas-suq uniku, li testendi għal 750 impjegat (minflok 250) id-deroga mit-tmexxija sħiħa tar-reġistru tal-ipproċessar (art. 30), limitata għall-ipproċessar "ta' riskju għoli". Din hija proposta, għadha mhix test fis-seħħ. sors Commission européenne ↗
Ftehim dwar regoli proċedurali komuni
Il-Kunsill u l-Parlament Ewropew jaqblu politikament fuq regoli proċedurali addizzjonali biex jarmonizzaw il-mod kif l-awtoritajiet superviżorji nazzjonali jikkooperaw waqt investigazzjonijiet transkonfinali. L-adozzjoni formali u l-pubblikazzjoni fil-Journal officiel għad iridu jiġu kkonfermati. sors Commission européenne ↗
Kalendarju stabbilit minn sorsi uffiċjali (EUR-Lex, CNIL, Légifrance, Commission européenne) ikkonsultati fit-18 juillet 2026. L-aħħar żewġ stadji huma proposti jew ftehimiet politiċi għaddejjin. Dan huwa sommarju pedagoġiku u ma jikkostitwixxix parir legali.
Is-sanzjonijiet tar-RGPD, b'mod ċar
In-numru li jbeżża' - « 20 millions d'euros » - jiċċirkola kullimkien, iżda ma jgħidx kif verament jaħdem. Hawnhekk, b'sorsi uffiċjali b'appoġġ, min jissanzjona, kif, u għal liema ammonti reali.
jew sa 2 % tal-fatturat annwali dinji tal-intrapriża (jintgħażel l-ogħla ammont bejn it-tnejn).
Livell applikabbli għan-nuqqasijiet "komuni": reġistru tal-ipproċessar, sigurtà tad-data, obbligi tal-proċessur, nuqqas ta' analiżi tal-impatt...
jew sa 4 % tal-fatturat annwali dinji (l-istess, jintgħażel l-ogħla ammont bejn it-tnejn).
Livell applikabbli għan-nuqqasijiet l-aktar serji: nuqqas ta' bażi legali, ksur tad-drittijiet tal-persuni, trasferimenti illegali barra mill-UE...
Min jiddeċiedi? Il-"formation restreinte" tas-CNIL
Mhix is-CNIL "ġenerali" li tissanzjona, iżda korp distint u indipendenti: il- formation restreinte, magħmula minn 5 membri u president differenti mill-president tas-CNIL. Hija biss dik li tinvestiga l-fajls u tipproklama s-sanzjonijiet. Id-deċiżjonijiet l-aktar importanti jsiru pubbliċi.
X'jibdel l-ammont reali
L-artiklu 83 tar-RGPD jimponi fuq is-CNIL li tikkunsidra diversi kriterji qabel tistabbilixxi multa, b'mod partikolari:
- il-gravità, in-natura u t-tul tan-nuqqas
- il-karattru intenzjonali jew sempliċi negliġenza
- il-miżuri diġà meħuda biex jitnaqqas il-ħsara
- il-kooperazzjoni mas-CNIL u n-nuqqasijiet preċedenti
- il-kategoriji ta' data kkonċernati
Qabel il-multa: tweġiba gradwata (artiklu 58 tar-RGPD)
- Twissija
- Tfakkira formali
- Avviż formali
- Ordni ta' konformità
- Multa amministrattiva (art. 83)
| Data | Organizzazzjoni | Ammont | Raġuni |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Nuqqas ta' trasparenza, nuqqas ta' kunsens validu għar-reklamar personalizzat |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookies imqiegħda mingħajr kunsens minn qabel |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Ir-rifjut tal-cookies aktar ikkumplikat mill-aċċettazzjoni tagħhom |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | L-istess raġuni: ir-rifjut tal-cookies sar wisq diffiċli |
| 17/10/2022 | Clearview AI | 20 M € | Rikonoxximent tal-wiċċ mingħajr bażi legali, rifjut li tikkoopera |
| 10/11/2022 | Discord Inc. | 800 000 € | Żamma eċċessiva tad-data, sigurtà u informazzjoni insuffiċjenti |
| 15/06/2023 | Criteo | 40 M € | Nuqqasijiet fil-kunsens tal-cookies u fid-drittijiet tal-persuni |
U għal struttura aktar modesta? Ammonti proporzjonati
Is-CNIL tissanzjona wkoll strutturi żgħar u medji, iżda b'ammonti li ma jistgħux jitqabblu mal-gruppi internazzjonali. Fid-deliberazzjonijiet biss ta' décembre 2025, insibu pereżempju: 5 000 € għal kumpanija ta' ġestjoni ta' lukandi (vidjoprotezzjoni mhux konformi), 7 000 € u 5 000 € għal żewġ kumpaniji ta' pubblikazzjoni ta' gazzetti (cookies mhux validi), 10 000 € għal kumpanija ta' merkanzija tal-ajruport (vidjoprotezzjoni illeċita), jew inkella 20 000 € għal università (finijiet mhux rispettati). Fin-naħa l-oħra tal-iskala, kumpanija tas-settur terzjarju ġiet sanzjonata b'3,5 M € fl-istess xahar għal akkumulu ta' nuqqasijiet serji (sigurtà, trasparenza, cookies). L-ammont isegwi l-gravità u d-daqs, mhux bil-maqlub.
L-awtorità superviżorja tiegħek, skont il-pajjiż tiegħek
Fl-Ewropa, kull pajjiż għandu l-awtoritajiet tiegħu stess. Hawnhekk, għat-30 pajjiż taż-Żona Ekonomika Ewropea, l-awtorità tal-protezzjoni tad-data (l-interlokutur RGPD tiegħek) u l-awtorità nazzjonali taċ-ċibersigurtà. Kull isem jgħaddi għas-sit uffiċjali.
Sorsi: siti uffiċjali tal-awtoritajiet u lista tal-membri tal-EDPB (edpb.europa.eu), ikkonsultati fit-18 juillet 2026. Awtoritajiet tal-protezzjoni tad-data kkonfermati: 30/30. Awtoritajiet taċ-ċibersigurtà kkonfermati: 28/30. Il-manifestazzjonijiet « à confirmer » jindikaw sors uffiċjali mhux stabbilizzat s'issa.