Av artikel 35.1 i dataskyddsförordningen (GDPR) följer att den personuppgiftsansvarige ska utföra en dataskyddskonsekvensbedömning om en typ av behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter (konsekvensbedömning). Syftet med en konsekvensbedömning är att förebygga risker för registrerades personliga integritet innan de uppkommer.

Det är den personuppgiftsansvarige som ansvarar för att genomföra en konsekvensbedömning. Personuppgiftsansvarig är en juridisk eller fysisk person som ensam eller tillsammans med andra bestämmer ändamålen med eller medlen för en viss behandling av personuppgifter.

En dataskyddskonsekvensbedömning går längre än en riskanalys på så sätt att den, förutom en riskanalys också ska beakta åtgärder för att reducera eller eliminera risker samt en sammantagen bedömning om huruvida hög risk för enskildas fri- och rättigheter vid personuppgiftsbehandling kvarstår. Kvarstår en hög risk, trots tekniska och organisatoriska kompensatoriska åtgärder, kan den personuppgiftsansvarig välja att begära förhandssamråd hos Integritetsskyddsmyndigheten eller avstå från behandlingen.

Det här gäller enligt dataskyddsförordningen, IMY Länk till annan webbplats.