The organization must perform and document a Data Protection Impact Assessment (DPIA) before starting any processing that may affect individuals’ privacy or data protection rights. The assessment must evaluate the nature, scope, purpose, and risks of the processing to ensure personal data is handled lawfully and responsibly.

The assessment must define:

• The purpose and legal basis of processing.
• The types, sources, and scope of personal data, including any intended disclosures.
• The context of processing, defining roles and relationships between the controller, processors, and data subjects.
• An evaluation of necessity and proportionality to ensure only essential data is processed.
• The potential impacts on individuals and the likelihood of harm.
• Mitigation measures and their effectiveness.

Completed assessments must be reviewed, approved, and retained as evidence of compliance. When processing is carried out by a processor, a copy of the relevant DPIA must be provided to them to ensure awareness of risks and required safeguards.

Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä. Vaikutustenarviointi on tehtävä, kun henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Riskiä nostavat esimerkiksi uuden teknologian käyttö, arkaluontoisten henkilötietojen käsittely, henkilökohtaisiin ominaisuuksiin kohdistuva automatisointi tai käsittelyn laajamittaisuus yleisesti.

Tietosuojan vastuuhenkilöt arvioivat säännöllisesti organisaation henkilötietojen käsittelyä, erityisesti esimerkiksi tietovarantojen ja niihin liittyviä käyttötarkoituksia sekä käytettyjä tietojärjestelmiä, määritelläkseen vaikutustenarviointien tarpeellisuuden. Tietosuojan vastuuhenkilöt myös vastaavat vaikutustenarviointien toteuttamisesta ja dokumentoinnista.