Члан 54.

Ако је вероватно да ће нека врста обраде, посебно употребом нових технологија и узимајући у обзир природу, обим, околности и сврху обраде, проузроковати висок ризик за права и слободе физичких лица, руковалац је дужан да пре него што започне са обрадом изврши процену утицаја предвиђених радњи обраде на заштиту података о личности.

Ако више сличних радњи обраде могу проузроковати сличне високе ризике за заштиту података о личности, може се извршити заједничка процена.

Приликом процене утицаја руковалац је дужан да затражи мишљење лица за заштиту података о личности, ако је оно одређено.

Процена утицаја из става 1. овог члана обавезно се врши у случају:

1. 1) систематске и свеобухватне процене стања и особина физичког лица која се врши помоћу аутоматизоване обраде података о личности, укључујући и профилисање, на основу које се доносе одлуке од значаја за правни положај појединца или на сличан начин значајно утичу на њега;
2. 2) обраде посебних врста података о личности из члана 17. став 1. и члана 18. став 1. или података о личности у вези са кривичним пресудама и кажњивим делима из члана 19. овог закона, у великом обиму;
3. 3) систематског надзора над јавно доступним површинама у великој мери.

Повереник је дужан да сачини и јавно објави на својој интернет страници листу врста радњи обраде за које се мора извршити процена утицаја из става 1. овог члана, а може да сачини и објави и листу врста радњи обраде за које процена није потребна.

Процена утицаја најмање мора да садржи:

1. 1) свеобухватан опис предвиђених радњи обраде и сврху обраде, укључујући и опис легитимног интереса руковаоца, ако он постоји;
2. 2) процену неопходности и сразмерности вршења радњи обраде у односу на сврхе обраде;
3. 3) процену ризика за права и слободе лица на које се подаци односе из става 1. овог члана;
4. 4) опис мера које се намеравају предузети у односу на постојање ризика, укључујући механизме заштите, као и техничке, организационе и кадровске мере у циљу заштите податка о личности и обезбеђивања доказа о поштовању одредби овог закона, узимајући у обзир права и легитимне интересе лица на које се подаци односе и других лица.

Став 6. овог члана не примењује се на процену утицаја обраде коју врше надлежни органи у посебне сврхе.

Процена утицаја обраде коју врше надлежни органи у посебне сврхе најмање мора да садржи свеобухватан опис предвиђених радњи обраде, процену ризика по права и слободе лица на које се подаци односе, опис мера које се намеравају предузети у односу на постојање ризика, укључујући механизме заштите, као и техничке, организационе и кадровске мере у циљу заштите податка о личности и обезбеђивања доказа о поштовању одредби овог закона, узимајући у обзир права и легитимне интересе лица на које се подаци односе и других лица.

Примена одобреног кодекса поступања из члана 59. овог закона од стране руковаоца или обрађивача мора се узети у обзир приликом процене утицаја радњи обраде на заштиту података о личности.

Став 9. овог члана не примењује се на обраду коју врше надлежни органи у посебне сврхе.

Према потреби, руковалац од лица на које се подаци односе или њихових представника тражи мишљење о радњама обраде које намерава да врши, не доводећи у питање заштиту пословних или јавних интереса или безбедност радњи обраде.

Ако се посебним законом прописују поједине радње обраде, односно групе радњи обраде, а обрада се врши у складу са чланом 12. став 1. тачка 3) или тачка 5) овог закона, па је процена утицаја на заштиту података о личности већ извршена у оквиру опште процене утицаја приликом доношења закона, ст. 1. до 9. овог члана се не примењује, осим ако се утврди да је неопходно извршити нову процену.

Према потреби, а најмање у случају кад је дошло до промене нивоа ризика у вези са радњама обраде, руковалац је дужан да преиспита да ли се радње обрада врше у складу са извршеном проценом утицаја на заштиту података о личности.