Privacywetgeving vereist in bepaalde gevallen een voorafgaand onderzoek naar de privacy impact van een verwerking van persoonsgegevens, een zogenaamde data protection impact assessment (DPIA). Organisaties moeten zelf bepalen of een dergelijke verplichting bestaat, op basis van negen criteria die, wanneer aan twee wordt voldaan, leiden tot de conclusie dat een DPIA moet worden uitgevoerd.
https://www.recht.nl/art/169193
