(1) Когато има вероятност определен вид обработване, по-специално това, при което се използват нови технологии и предвид естеството, обхвата, контекста и целите на обработването, да доведе до висок риск за правата и свободите на субектите на данни, преди да бъде извършено обработването, се извършва оценка на въздействието на предвидените операции по обработването върху защитата на личните данни.
(2) Оценка на въздействието се извършва задължително и във връзка с операциите по обработване, определени с решение на КЗЛД.
(3) При обработването на лични данни за целите по чл. 46, ал. 1, оценката на въздействието съдържа най-малко: общо описание на предвидените операции по обработване, оценка на рисковете за правата и свободите на субектите на данни, мерките, предвидени за справяне с тези рискове, гаранции, мерки за сигурност и механизми за гарантиране на защитата на личните данни и за доказване на съответствие с правилата на тази глава, като се вземат предвид правата и законните интереси на субектите на данни и другите засегнати лица.
(4) Във всички останали случаи, извън ал. 1 и 3, оценката на въздействието съдържа най-малко:
- 1. системен опис на предвидените операции по обработване и целите на обработването;
- 2. оценка на необходимостта и пропорционалността на операциите по обработване по отношение на целите;
- 3. оценка на рисковете за правата и свободите на субектите на данни;
- 4. мерките, предвидени за справяне с рисковете, включително гаранциите, мерките за сигурност и механизмите за осигуряване на защитата на личните данни и за демонстриране на спазването на изискванията за защита на данните.
(5) Извършването на оценка на въздействието се организира от управляващия информационния фонд и резултатът се докладва на министъра на вътрешните работи за утвърждаване.