DPIA (vurdering av personvernkonsekvenser)

En vurdering av personvernkonsekvenser som artikkel 35 i GDPR krever når en behandling sannsynligvis innebærer høy risiko for de registrerte – for eksempel systematisk overvåking, omfattende behandling av sensitive opplysninger eller ny teknologi som ansiktsgjenkjenning. Vurderingen skal beskrive behandlingen, vurdere nødvendighet og forholdsmessighet, kartlegge risikoene og fastsette avbøtende tiltak. Kan risikoen ikke reduseres, skal tilsynsmyndigheten konsulteres før behandlingen starter. Det danske Datatilsynet har offentliggjort en liste over behandlinger som alltid krever en DPIA.