Organisaation on tehtävä ja dokumentoitava tietosuojaa koskeva vaikutustenarviointi (DPIA) ennen kuin se aloittaa käsittelyn, joka voi vaikuttaa yksilöiden yksityisyyteen tai tietosuojaan liittyviin oikeuksiin. Arvioinnissa on arvioitava käsittelyn luonne, laajuus, tarkoitus ja riskit sen varmistamiseksi, että henkilötietoja käsitellään laillisesti ja vastuullisesti.

Arvioinnissa on määriteltävä:

• Käsittelyn tarkoitus ja oikeusperusta.
• Henkilötietojen tyypit, lähteet ja laajuus, mukaan lukien aiotut luovutukset.
• käsittelyn konteksti, jossa määritellään rekisterinpitäjän, henkilötietojen käsittelijöiden ja rekisteröityjen väliset roolit ja suhteet.
• tarpeellisuuden ja oikeasuhteisuuden arviointi sen varmistamiseksi, että vain olennaisia tietoja käsitellään.
• Mahdolliset vaikutukset yksilöihin ja vahingon todennäköisyys.
• lieventämistoimenpiteet ja niiden tehokkuus.

Valmiit arvioinnit on tarkistettava, hyväksyttävä ja säilytettävä todisteena vaatimustenmukaisuudesta. Kun henkilötietojen käsittelijä suorittaa käsittelyä, hänelle on toimitettava kopio asiaankuuluvasta tietosuojaa koskevasta vaikutustenarvioinnista sen varmistamiseksi, että hän on tietoinen riskeistä ja vaadittavista suojatoimista.

Organisaation olisi dokumentoitava oikeusperusta ja erityiset lailliset tarkoitukset kaikille palveluissaan käsiteltäville henkilötiedoille. Asiakirjoista olisi käytävä selvästi ilmi sekä tietojen keräämisen että myöhempien henkilötietojen siirtojen laillisuus, ja niissä olisi varmistettava, että ne ovat sovellettavien tietosuojasäännösten mukaisia. Asiakirjojen olisi katettava kaikki olennaiset henkilötietojen osat ja virrat palvelussa.

Organisaatio on tunnistanut mahdolliset lainkäyttöalueiden väliset henkilötietojen siirrot.

Henkilötietojen siirroille lainkäyttöalueiden välillä on tunnistetut ja dokumentoidut oikeusperusteet.

Organisaation tulisi tallentaa henkilötietojen siirrot kolmanislle osapuolille ja kolmansilta osapuolilta. Organisaation olisi myös varmistettava asiaan kuuluvien tahojen yhteistyö myös tulevaisuudessa rekisteröityihin liittyvien velvotteita koskevien pyyntöjen toteuttamisen mahdollistamiseksi.

Siirtoja koskevissa tallenteissa on huomioitava tietojen minimoinnin periaate ja säilytettävä vain varsinaisesti tarvittu tieto.

Kun henkilötietoja siirretään verkon kautta, organisaatiolla on oltava asianmukaiset valvontatoimenpiteet sen varmistamiseksi, että tiedot saapuvat aiottuun määränpäähänsä.