Quando un trattamento dei dati può comportare un rischio "elevato" per i diritti e le libertà delle persone interessate il regolamento 2016/679 obbliga i titolari a svolgere una valutazione di impatto sulla privacy prima di darvi inizio, questa valutazione, accanto ad altri adempimenti formali come la tenuta dei registri del trattamento, sostituisce l'obbligo generale di notifica alle autorità di controllo del trattamento dei dati personali.
Individuate dal Garante le operazioni che possono presentare rischi elevati per i diritti e le libertà di cittadini, e quindi  soggette alla valutazione di impatto: ora le Pubbliche Amministrazioni che effettuano trattamenti di dati possono conoscere se sono assoggettate a tale obbligo.
- L'elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35, comma 4, del Regolamento (UE) n. 2016/679 [9058979], pubblicato sulla G.U. Serie Generale n. 269 del 19/11/2018. Fonte: Garante per la protezione dei dati personali