Neni 35. Vlerësimi i ndikimit mbi mbrojtjen e të dhënave

1. Nëse një tip i përpunimit, veçanërisht përdorimi i teknologjisë së re dhe duke marrë parasysh natyrën, objektin, kontekstin dhe qëllimet e përpunimit, mund të rezultojë në një rrezik të lartë për të drejtat dhe liritë e personave fizikë, kontrolluesi, para përpunimit, kryhen një vlerësim të ndikimit të operacioneve të parashikuara të përpunimit mbi përpunimin e të dhënave personale. Një vlerësim i vetëm mund të trajtojë një sërë veprimesh të ngjashme përpunimi që paraqesin rreziqe të larta të ngjashme.

2. Kontrolluesi kërkon këshillën e zyrtarit të mbrojtjes së të dhënave, nëse është caktuar, në kryerjen e vlerësimit të ndikimit mbi mbrojtjen e të dhënave.

3. Një vlerësim i ndikimit mbi mbrojtjen e të dhënave, i përmendur në paragrafin 1. të këtij neni, veçanërisht kërkohet në rastin e:

3.1. një vlerësimi sistematik dhe të zgjatur të aspekteve personale, në lidhje me personat fizikë, i cili bazohet në përpunimin automatik, duke përfshirë profilizimin dhe në të cilin bazohen vendimet që prodhojnë efekte ligjore në lidhje me personat fizikë ose ndikojnë në masë të ngjashme personin fizik;

3.2. përpunimit në shkallë të gjerë të kategorive të veçanta të të dhënave të përmendura në nenin 8, paragrafi 1. të këtij ligji, ose të të dhënave personale në lidhje me dënimet dhe veprat penale të përmendura në nenin 9 të këtij ligji, ose;

3.3. një monitorimi sistematik të një zone me qasje publike në një shkallë të gjerë.

4. Agjencia përpilon dhe bënë publike një listë për llojin e veprimeve të përpunimit që i nënshtrohen kërkesës së një vlerësimi të ndikimit të mbrojtjes së të dhënave në pajtim me paragrafin 1. të këtij neni.

5. Agjencia mund të përpilojë dhe bëjë publike një listë me llojin e veprimeve të përpunimit, për të cilat nuk kërkohet vlerësimi i ndikimit të mbrojtjes së të dhënave.

6. Vlerësimi, të paktën, përmban:

6.1. një përshkrim sistematik të veprimeve të përpunimit të parashikuar dhe qëllimet e përpunimit, duke përfshirë, sipas rastit, interesin legjitim të ndjekur nga kontrolluesi;

6.2. një vlerësim të domosdoshmërisë dhe proporcionalitetit të operacioneve të përpunimit në lidhje me qëllimet;

6.3. një vlerësim të rreziqeve për të drejtat dhe liritë e subjekteve të të dhënave, të referuara në paragrafin 1. të këtij neni, dhe;

6.4. masat e parashikuara për të trajtuar rreziqet, duke përfshirë garancitë, masat e sigurisë dhe mekanizmat për të siguruar mbrojtjen e të dhënave personale dhe për të demonstruar përputhshmëri me këtë ligj, duke marrë parasysh të drejtat dhe interesat legjitime të subjekteve të të dhënave dhe personave të tjerë të interesuar.

7. Respektimi i kodeve të aprovuara të sjelljes, të referuar në nenin 41 të këtij ligji nga kontrolluesit ose përpunuesit, merren parasysh në vlerësimin e ndikimit të veprimeve të përpunimit, të kryera nga këta kontrollues ose përpunues, veçanërisht për qëllimet e vlerësimit të ndikimit të mbrojtjes së të dhënave.

8. Sipas rastit, kontrolluesi kërkon mendimet e subjekteve të të dhënave ose përfaqësuesve të tyre mbi përpunimin e synuar, pa cenuar mbrojtjen e interesave tregtare ose publike ose sigurinë e veprimeve të përpunimit.

9. Nëse përpunimi, në pajtim me nenin 5, paragrafi 1., nën-paragrafi 1.3. ose 1.5. të këtij ligji ka një bazë ligjore në ndonjë ligj specifik, të cilit i nënshtrohet kontrolluesi, kjo e drejtë rregullon operacionet specifike të përpunimit ose kompletin e operacioneve në fjalë dhe një vlerësim i ndikimit mbi mbrojtjen e të dhënave është kryer si pjesë e një vlerësimi të përgjithshëm të ndikimit në kontekstin e miratimit të asaj baze ligjore, paragrafët 1. deri 6. të këtij neni nuk aplikohen, përveç në rastet kur Agjencia e konsideron të nevojshme për të kryer një vlerësim të tillë para aktiviteteve përpunuese.

10. Sipas rastit, kontrolluesi kryen një rishikim për të vlerësuar nëse përpunimi kryhet në pajtim me vlerësimin e ndikimit mbi mbrojtjen e të dhënave, të paktën kur ka një ndryshim të rrezikut të përfaqësuar nga veprimet e përpunimit.