1.   Fejn tip ta' pproċessar, b'mod partikolari bl-użu ta' teknoloġiji ġodda, u waqt li jittieħed kont tan-natura, l-ambitu, il-kuntest u l-finijiet tal-ipproċessar, x'aktarx jirriżulta f'livell għoli ta' riskju għad-drittijiet u l-libertajiet tal-persuni fiżiċi, il-kontrollur għandu, qabel l-ipproċessar, iwettaq valutazzjoni tal-impatt tal-attivitajiet ta' pproċessar previsti fuq il-protezzjoni tad-data personali. Valutazzjoni waħda tista' tindirizza sett ta' operazzjonijiet tal-ipproċessar simili li jippreżentaw riskji għolja simili.

2.   Il-kontrollur għandu jfittex il-parir tal-uffiċjal tal-protezzjoni tad-data, fejn ikun maħtur, meta jwettaq valutazzjoni tal-impatt fuq il-protezzjoni tad-data.

3.   Valutazzjoni tal-impatt fuq il-protezzjoni tad-data msemmija fil-paragrafu 1 għandha b'mod partikolari tkun meħtieġa fil-każ ta':

(a)

evalwazzjoni sistematika u estensiva tal-aspetti personali relatati ma' persuni fiżiċi, li hija bbażata fuq l-ipproċessar awtomatizzat, inkluż it-tfassil tal-profili, u li fuqhom huma bbażati deċiżjonijiet li jipproduċu effetti legali li jikkonċernaw lill-persuna fiżika jew li jaffettwaw b'mod sinifikanti b'mod simili lill-persuna fiżika;

(b)	l-ipproċessar fuq skala kbira ta' kategoriji speċjali ta' data msemmija fl-Artikolu 9(1), jew ta' data personali relatata ma' kundanni kriminali u reati msemmija fl-Artikolu 10; jew

(c)	il-monitoraġġ sistematiku ta' żona aċċessibbli għall-pubbliku fuq skala kbira.

4.   L-awtorità superviżorja għandha tistabbilixxi u tippubblika lista tat-tipi ta' attivitajiet ta' pproċessar li huma soġġetti għat-talba ta' valutazzjoni tal-impatt fuq il-protezzjoni tad-data skont il-paragrafu 1. L-awtorità superviżorja għandha tikkomunika dawk il-listi lill-Bord imsemmi fl-Artikolu 68.

5.   L-awtorità superviżorja tista' wkoll tistabbilixxi u tippubblika lista tat-tipi ta' attivitajiet ta' pproċessar li għalihom ma tkun meħtieġa l-ebda valutazzjoni tal-impatt fuq il-protezzjoni tad-data. L-awtorità superviżorja għandha tikkomunika dawn il-listi lill-Bord.

6.   Qabel l-adozzjoni tal-listi msemmija fil-paragrafi 4 u 5, l-awtorità superviżorja kompetenti għandha tapplika l-mekkaniżmu ta' konsistenza msemmi fl-Artikolu 63 fejn tali listi jinvolvu attivitajiet ta' pproċessar li huma marbuta mal-offerta ta' oġġetti jew servizzi lis-suġġetti tad-data jew għall-monitoraġġ tal-imġiba tagħhom f'diversi Stati Membri, jew li jista' jaffettwa sostanzjalment il-moviment ħieles tad-data personali fl-Unjoni.

7.   Il-valutazzjoni għandha tinkludi minn tal-inqas:

(a)	deskrizzjoni sistematika tal-operazzjonijiet ta' pproċessar previsti u l-iskopijiet tal-ipproċessar, inkluż fejn applikabbli l-interess leġittimu mfittex mill-kontrollur;

(b)	valutazzjoni tal-bżonn u l-proporzjonalità tal-operazzjonijiet ta' pproċessar b'rabta mal-iskopijiet;

(c)	valutazzjoni tar-riskji għad-drittijiet u l-libertajiet tas-suġġetti tad-data msemmija fil-paragrafu 1; u

(d)

il-miżuri previsti biex jindirizzaw ir-riskji, inkluż is-salvagwardji, miżuri ta' sigurtà u mekkaniżmi li jiżguraw il-protezzjoni ta' data personali u li juru l-konformità ma' dan ir-Regolament, filwaqt li jiġu kkunsidrati d-drittijiet u l-interessi leġittimi tas-suġġetti tad-data u persuni oħrajn ikkonċernati.

8.   Il-konformità ma' kodiċi ta' kondotta approvati msemmija fl-Artikolu 40 mill-kontrolluri jew proċessuri rilevanti għandu jittieħed kont tagħhom fil-valutazzjoni tal-impatt tal-attivitajiet ta' pproċessar imwettqa minn tali kontrolluri jew proċessuri, b'mod partikolari għall-finijiet ta' valutazzjoni tal-impatt fuq il-protezzjoni tad-data.

9.   Fejn xieraq, il-kontrollur għandu jfittex il-fehmiet tas-suġġetti tad-data jew tar-rappreżentanti tagħhom dwar l-ipproċessar maħsub, mingħajr preġudizzju għall-protezzjoni ta' interessi kummerċjali jew pubbliċi jew għas-sigurtà tal-attivitajiet ta' pproċessar.

10.   Fejn l-ipproċessar skont il-punt (c) jew (e) tal-Artikolu 6(1) ikollu bażi legali fil-liġi tal-Unjoni jew fil-liġi tal-Istat Membru li l-kontrollur huwa suġġett għaliha, u dik il-liġi tirregola l-operazzjoni jew is-sett ta' operazzjonijiet ta' pproċessar speċifiċi inkwistjoni, u tkun diġà ġiet imwettqa valutazzjoni tal-impatt fuq il-protezzjoni tad-data bħala parti minn valutazzjoni tal-impatt ġenerali fil-kuntest tal-adozzjoni ta' dik il-bażi legali, il-paragrafi 1 sa 3 ma għandhomx japplikaw sakemm l-Istati Membri ma jqisux li jkun meħtieġ li ssir tali valutazzjoni qabel l-attivitajiet tal-ipproċessar.

11.   Fejn meħtieġ, il-kontrollur għandu jwettaq rieżami biex jevalwa jekk l-ipproċessar ikunx qed isir f'konformità mal-valutazzjoni tal-impatt fuq il-protezzjoni tad-data mill-inqas meta jkun hemm bidla fir-riskju mill-operazzjonijiet ta' pproċessar.

1.   Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares.

2.   El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos.

3.   La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:

a)

evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;

b)	tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o

c)	observación sistemática a gran escala de una zona de acceso público.

4.   La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68.

5.   La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité.

6.   Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión.

7.   La evaluación deberá incluir como mínimo:

a)	una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;

b)	una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;

c)	una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y

d)

las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.

8.   El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos.

9.   Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.

10.   Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento.

11.   En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.