1.   Tais atvejais, kai dėl duomenų tvarkymo rūšies, visų pirma, kai naudojamos naujos technologijos, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, fizinių asmenų teisėms bei laisvėms gali kilti didelis pavojus, duomenų valdytojas, prieš pradėdamas tvarkyti duomenis, atlieka numatytų duomenų tvarkymo operacijų poveikio asmens duomenų apsaugai vertinimą. Panašius didelius pavojus keliančių duomenų tvarkymo operacijų sekai išnagrinėti galima atlikti vieną vertinimą.

2.   Atlikdamas poveikio duomenų apsaugai vertinimą duomenų valdytojas konsultuojasi su duomenų apsaugos pareigūnu, jei toks yra paskirtas.

3.   1 dalyje nurodytas poveikio duomenų apsaugai vertinimas visų pirma turi būti atliekamas šiuo atveju:

a)

sistemingas ir išsamus su fiziniais asmenimis susijusių asmeninių aspektų vertinimas, kuris yra grindžiamas automatizuotu tvarkymu, įskaitant profiliavimą, ir kuriuo remiantis priimami sprendimai, kuriais padaromas su fiziniu asmeniu susijęs teisinis poveikis arba kurie daro panašų didelį poveikį fiziniam asmeniui;

b)	9 straipsnio 1 dalyje nurodytų specialių kategorijų duomenų arba 10 straipsnyje nurodytų asmens duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas tvarkymas dideliu mastu; arba

c)	sistemingas viešos vietos stebėjimas dideliu mastu.

4.   Priežiūros institucija sudaro ir viešai paskelbia tų rūšių duomenų tvarkymo operacijų, kurioms taikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą pagal 1 dalį, sąrašą. Priežiūros institucija šiuos sąrašus pateikia 68 straipsnyje nurodytai Valdybai.

5.   Priežiūros institucija taip pat gali sudaryti ir viešai paskelbti tų rūšių duomenų tvarkymo operacijų, kurioms netaikomas reikalavimas atlikti poveikio duomenų apsaugai vertinimą, sąrašą. Priežiūros institucija šiuos sąrašus pateikia Valdybai.

6.   Prieš patvirtindama 4 ir 5 dalyse nurodytus sąrašus, kompetentinga priežiūros institucija taiko 63 straipsnyje nurodytą nuoseklumo užtikrinimo mechanizmą, kai tokiuose sąrašuose nurodoma duomenų tvarkymo veikla, kuri yra susijusi su prekių ar paslaugų siūlymu duomenų subjektams arba su duomenų subjektų elgesio stebėjimu keliose valstybėse narėse, arba kurią vykdant gali būti padarytas didelis poveikis laisvam asmens duomenų judėjimui Sąjungoje.

7.   Įvertinime pateikiama bent jau:

a)	sistemingas numatytų duomenų tvarkymo operacijų aprašymas ir duomenų tvarkymo tikslai, įskaitant, kai taikoma, teisėtus interesus, kurių siekia duomenų valdytojas;

b)	duomenų tvarkymo operacijų reikalingumo ir proporcingumo, palyginti su tikslais, vertinimas;

c)	1 dalyje nurodytas duomenų subjektų teisėms ir laisvėms kylančių pavojų vertinimas; ir

d)	pavojams pašalinti numatytos priemonės, įskaitant apsaugos priemones, saugumo priemones ir mechanizmus, kuriais užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi šio reglamento, atsižvelgiant į duomenų subjektų ir kitų susijusių asmenų teises ir teisėtus interesus.

8.   Vertinant duomenų valdytojų ir duomenų tvarkytojų vykdomų duomenų tvarkymo operacijų poveikį, visų pirma atliekant poveikio duomenų apsaugai vertinimą, deramai atsižvelgiama į tai, ar atitinkami duomenų valdytojai ir duomenų tvarkytojai laikosi 40 straipsnyje nurodytų patvirtintų elgesio kodeksų.

9.   Atitinkamais atvejais duomenų valdytojas siekia išsiaiškinti duomenų subjektų ar jų atstovų nuomonę apie numatytą duomenų tvarkymą, nepažeisdamas komercinių ar viešųjų interesų apsaugos arba duomenų tvarkymo operacijų saugumo reikalavimų.

10.   Jeigu duomenų tvarkymas pagal 6 straipsnio 1 dalies c arba e punktą turi teisinį pagrindą Sąjungos arba valstybės narės teisėje, kuri yra taikoma duomenų valdytojui, ir tokia teisė reglamentuoja atitinkamą konkrečią duomenų tvarkymo operaciją ar operacijų seką, o poveikio duomenų apsaugai vertinimas jau buvo atliktas kaip dalis bendro poveikio vertinimo priimant tą teisinį pagrindą, 1–7 dalys netaikomos, išskyrus atvejus, kai valstybės narės mano, kad prieš pradedant duomenų tvarkymo veiklą būtina atlikti tokį vertinimą.

11.   Prireikus duomenų valdytojas atlieka peržiūrą, kad įvertintų, ar duomenys tvarkomi laikantis poveikio duomenų apsaugai vertinimo, bent tais atvejais, kai pakinta tvarkymo operacijų keliamas pavojus.

1.   Fejn tip ta' pproċessar, b'mod partikolari bl-użu ta' teknoloġiji ġodda, u waqt li jittieħed kont tan-natura, l-ambitu, il-kuntest u l-finijiet tal-ipproċessar, x'aktarx jirriżulta f'livell għoli ta' riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu, qabel l-ipproċessar, iwettaq valutazzjoni tal-impatt tal-attivitajiet ta' pproċessar previsti fuq il-protezzjoni tad-data personali. Valutazzjoni waħda tista' tindirizza sett ta' operazzjonijiet tal-ipproċessar simili li jippreżentaw riskji għolja simili.

2.   Il-kontrollur għandu jfittex il-parir tal-uffiċjal tal-protezzjoni tad-data, fejn ikun maħtur, meta jwettaq valutazzjoni tal-impatt fuq il-protezzjoni tad-data.

3.   Valutazzjoni tal-impatt fuq il-protezzjoni tad-data msemmija fil-paragrafu 1 għandha b'mod partikolari tkun meħtieġa fil-każ ta':

(a)

evalwazzjoni sistematika u estensiva tal-aspetti personali relatati ma' persuni fiżiċi, li hija bbażata fuq l-ipproċessar awtomatizzat, inkluż it-tfassil tal-profili, u li fuqhom huma bbażati deċiżjonijiet li jipproduċu effetti legali li jikkonċernaw lill-persuna fiżika jew li jaffettwaw b'mod sinifikanti b'mod simili lill-persuna fiżika;

(b)	l-ipproċessar fuq skala kbira ta' kategoriji speċjali ta' data msemmija fl-Artikolu 9(1), jew ta' data personali relatata ma' kundanni kriminali u reati msemmija fl-Artikolu 10; jew

(c)	il-monitoraġġ sistematiku ta' żona aċċessibbli għall-pubbliku fuq skala kbira.

4.   L-awtorità superviżorja għandha tistabbilixxi u tippubblika lista tat-tipi ta' attivitajiet ta' pproċessar li huma soġġetti għat-talba ta' valutazzjoni tal-impatt fuq il-protezzjoni tad-data skont il-paragrafu 1. L-awtorità superviżorja għandha tikkomunika dawk il-listi lill-Bord imsemmi fl-Artikolu 68.

5.   L-awtorità superviżorja tista' wkoll tistabbilixxi u tippubblika lista tat-tipi ta' attivitajiet ta' pproċessar li għalihom ma tkun meħtieġa l-ebda valutazzjoni tal-impatt fuq il-protezzjoni tad-data. L-awtorità superviżorja għandha tikkomunika dawn il-listi lill-Bord.

6.   Qabel l-adozzjoni tal-listi msemmija fil-paragrafi 4 u 5, l-awtorità superviżorja kompetenti għandha tapplika l-mekkaniżmu ta' konsistenza msemmi fl-Artikolu 63 fejn tali listi jinvolvu attivitajiet ta' pproċessar li huma marbuta mal-offerta ta' oġġetti jew servizzi lis-suġġetti tad-data jew għall-monitoraġġ tal-imġiba tagħhom f'diversi Stati Membri, jew li jista' jaffettwa sostanzjalment il-moviment ħieles tad-data personali fl-Unjoni.

7.   Il-valutazzjoni għandha tinkludi minn tal-inqas:

(a)	deskrizzjoni sistematika tal-operazzjonijiet ta' pproċessar previsti u l-iskopijiet tal-ipproċessar, inkluż fejn applikabbli l-interess leġittimu mfittex mill-kontrollur;

(b)	valutazzjoni tal-bżonn u l-proporzjonalità tal-operazzjonijiet ta' pproċessar b'rabta mal-iskopijiet;

(c)	valutazzjoni tar-riskji għad-drittijiet u l-libertajiet tas-suġġetti tad-data msemmija fil-paragrafu 1; u

(d)

il-miżuri previsti biex jindirizzaw ir-riskji, inkluż is-salvagwardji, miżuri ta' sigurtà u mekkaniżmi li jiżguraw il-protezzjoni ta' data personali u li juru l-konformità ma' dan ir-Regolament, filwaqt li jiġu kkunsidrati d-drittijiet u l-interessi leġittimi tas-suġġetti tad-data u persuni oħrajn ikkonċernati.

8.   Il-konformità ma' kodiċi ta' kondotta approvati msemmija fl-Artikolu 40 mill-kontrolluri jew proċessuri rilevanti għandu jittieħed kont tagħhom fil-valutazzjoni tal-impatt tal-attivitajiet ta' pproċessar imwettqa minn tali kontrolluri jew proċessuri, b'mod partikolari għall-finijiet ta' valutazzjoni tal-impatt fuq il-protezzjoni tad-data.

9.   Fejn xieraq, il-kontrollur għandu jfittex il-fehmiet tas-suġġetti tad-data jew tar-rappreżentanti tagħhom dwar l-ipproċessar maħsub, mingħajr preġudizzju għall-protezzjoni ta' interessi kummerċjali jew pubbliċi jew għas-sigurtà tal-attivitajiet ta' pproċessar.

10.   Fejn l-ipproċessar skont il-punt (c) jew (e) tal-Artikolu 6(1) ikollu bażi legali fil-liġi tal-Unjoni jew fil-liġi tal-Istat Membru li l-kontrollur huwa suġġett għaliha, u dik il-liġi tirregola l-operazzjoni jew is-sett ta' operazzjonijiet ta' pproċessar speċifiċi inkwistjoni, u tkun diġà ġiet imwettqa valutazzjoni tal-impatt fuq il-protezzjoni tad-data bħala parti minn valutazzjoni tal-impatt ġenerali fil-kuntest tal-adozzjoni ta' dik il-bażi legali, il-paragrafi 1 sa 3 ma għandhomx japplikaw sakemm l-Istati Membri ma jqisux li jkun meħtieġ li ssir tali valutazzjoni qabel l-attivitajiet tal-ipproċessar.

11.   Fejn meħtieġ, il-kontrollur għandu jwettaq rieżami biex jevalwa jekk l-ipproċessar ikunx qed isir f'konformità mal-valutazzjoni tal-impatt fuq il-protezzjoni tad-data mill-inqas meta jkun hemm bidla fir-riskju mill-operazzjonijiet ta' pproċessar.