DPIA (Data Protection Impact Assessment), согласно статье 35 GDPR, должен проводиться если какой-либо вид обработки, в особенности с использованием новых технологий, с точки зрения своей природы, масштаба, контекста и цели, ожидаемо приведет к высокому риску для прав и свобод физических лиц. Процедура должна гарантировать, что обработка данных «необходима и соразмерна» и что организация приняла все меры предосторожности.