Člankom 35. Opće uredbe o zaštiti podataka (dalje u tekstu: GDPR) propisano je da voditelj obrade prije obrade provodi procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca.
Formulacija „prava i slobode” pojedinca odnosi se prvenstveno na prava na zaštitu podataka i privatnosti, ali može obuhvaćati i druga temeljna prava poput slobode govora, slobode mišljenja, slobode kretanja, zabrane diskriminacije te prava na slobodu savjesti i vjeroispovijesti.
Jednostavnije rečeno, radi se o postupku za uspostavu i dokazivanje usklađenosti s GDPR jer neusklađenost sa zahtjevima procjene učinka na zaštitu podataka može rezultirati novčanim kaznama.
Procjenu učinka na zaštitu podataka treba provesti prije obrade, jer ona pomaže prilikom donošenja odluke o obradi. Provodi je voditelj obrade sa službenikom za zaštitu podataka i izvršiteljima obrade.
Jedna procjena može se odnositi na jedan postupak obrade ili na niz sličnih postupaka obrade koji predstavljaju slične visoke rizike.
Procjena učinka na zaštitu podataka može biti korisna i u procjeni učinka nekog tehnološkog proizvoda na zaštitu podataka, primjerice neke opreme ili nekog računalnog programa, koje će različiti voditelji obrade podataka vjerojatno upotrebljavati za provođenje različitih postupaka obrade.
Od strane voditelja obrade mora se kontinuirano vršiti procjena rizika nastalih njihovim aktivnostima obrade kako bi utvrdili kada će neka vrsta obrade „vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca”.
Procjena učinka na zaštitu podataka obvezna je osobito u slučaju (članak 35. stavak 3. GDPR):
- sustavne i opsežne procjene osobnih aspekata u vezi s pojedincima koja se temelji na automatiziranoj obradi, uključujući izradu profila, i na temelju koje se donose odluke koje proizvode pravne učinke koji se odnose na pojedinca ili na sličan način značajno utječu na pojedinca;
- opsežne obrade posebnih kategorija osobnih podataka iz članka 9. stavka 1. GDPR ili podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10. GDPR; ili
