Ako je verovatno da će neka vrsta obrade, posebno upotrebom novih tehnologija i uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, prouzrokovati visok rizik za prava i slobode fizičkih lica, rukovalac je dužan da pre nego što započne sa obradom izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti.
Ako više sličnih radnji obrade mogu prouzrokovati slične visoke rizike za zaštitu podataka o ličnosti, može se izvršiti zajednička procena.
Prilikom procene uticaja rukovalac je dužan da zatraži mišljenje lica za zaštitu podataka o ličnosti, ako je ono određeno.
sistematske i sveobuhvatne procene stanja i osobina fizičkog lica koja se vrši pomoću automatizovane obrade podataka o ličnosti, uključujući i profilisanje, na osnovu koje se donose odluke od značaja za pravni položaj pojedinca ili na sličan način značajno utiču na njega;
opis mera koje se nameravaju preduzeti u odnosu na postojanje rizika, uključujući mehanizme zaštite, kao i tehničke, organizacione i kadrovske mere u cilju zaštite podatka o ličnosti i obezbeđivanja dokaza o poštovanju odredbi ovog zakona, uzimajući u obzir prava i legitimne interese lica na koje se podaci odnose i drugih lica.
ovog člana ne primenjuje se na procenu uticaja obrade koju vrše nadležni organi u posebne svrhe.
Procena uticaja obrade koju vrše nadležni organi u posebne svrhe najmanje mora da sadrži sveobuhvatan opis predviđenih radnji obrade, procenu rizika po prava i slobode lica na koje se podaci odnose, opis mera koje se nameravaju preduzeti u odnosu na postojanje rizika, uključujući mehanizme zaštite, kao i tehničke, organizacione i kadrovske mere u cilju zaštite podatka o ličnosti i obezbeđivanja dokaza o poštovanju odredbi ovog zakona, uzimajući u obzir prava i legitimne interese lica na koje se podaci odnose i drugih lica.
ovog člana ne primenjuju se na obradu koju vrše nadležni organi u posebne svrhe.
Prema potrebi, rukovalac od lica na koje se podaci odnose ili njihovih predstavnika traži mišljenje o radnjama obrade koje namerava da vrši, ne dovodeći u pitanje zaštitu poslovnih ili javnih interesa ili bezbednost radnji obrade.
Ako se posebnim zakonom propisuju pojedine radnje obrade, odnosno grupe radnji obrade, a obrada se vrši u skladu sa
ovog zakona, pa je procena uticaja na zaštitu podataka o ličnosti već izvršena u okviru opšte procene uticaja prilikom donošenja zakona, ovog člana se ne primenjuje, osim ako se utvrdi da je neophodno izvršiti novu procenu.
Prema potrebi, a najmanje u slučaju kad je došlo do promene nivoa rizika u vezi sa radnjama obrade, rukovalac je dužan da preispita da li se radnje obrada vrše u skladu sa izvršenom procenom uticaja na zaštitu podataka o ličnosti.
ovog zakona, ukazuje da će nameravane radnje obrade proizvesti visok rizik ako se ne preduzmu mere za umanjenje rizika, rukovalac je dužan da zatraži mišljenje Poverenika pre započinjanja radnje obrade.
ovog člana ne primenjuje se na obradu koju vrše nadležni organi u posebne svrhe.
Ako obradu vrši nadležni organ u posebne svrhe, rukovalac, odnosno obrađivač je dužan da zatraži mišljenje Poverenika pre započinjanja radnji obrade koje će dovesti do stvaranja nove zbirke podataka u slučaju da:
1)
procena uticaja na zaštitu podataka o ličnosti, koja je izvršena u skladu sa
ovog zakona, ukazuje da će nameravane radnje obrade proizvesti visok rizik ako se ne preduzmu mere za umanjenje rizika;
2)
vrsta obrade, a posebno ako se koriste nove tehnologije, mehanizmi zaštite ili postupci, predstavljaju visok rizik za prava i slobode lica na koje se podaci odnose.
Ako Poverenik smatra da bi nameravane radnje obrade iz ovog člana mogle da povrede odredbe ovog zakona, a posebno ako rukovalac nije na odgovarajući način procenio ili umanjio rizik, Poverenik je dužan da u roku od 60 dana od dana prijema zahteva dostavi pismeno mišljenje rukovaocu ili obrađivaču, ako je on podneo zahtev, kao i da po potrebi iskoristi ovlašćenja iz
ovog člana može se produžiti za 45 dana uzimajući u obzir složenost nameravanih radnji obrade, a Poverenik je dužan da o odlaganju i razlozima za odlaganje davanja mišljenja upozna rukovaoca ili obrađivača, ako je on podneo zahtev, u roku od 30 dana od prijema zahteva za mišljenje.
Rokovi iz ovog člana ne teku dok Poverenik ne dobije sve tražene informacije koje su neophodne za davanje mišljenja.
Uz zahtev za mišljenje, rukovalac je dužan da Povereniku dostavi podatke o:
1)
dužnostima rukovaoca, i, ako postoje, zajedničkih rukovaoca i obrađivača koji učestvuju u obradi, posebno ako se radi o obradi koja se vrši unutar grupe privrednih subjekata;
2)
svrhama i načinima nameravane obrade;
3)
tehničkim, organizacionim i kadrovskim merama, kao i mehanizmima zaštite prava i sloboda lica na koje se podaci odnose u skladu sa ovim zakonom;
4)
kontakt podacima lica za zaštitu podataka, ako je ono određeno;
ovog zakona, a na zahtev Poverenika i druge informacije koje su od značaja za njegovo mišljenje o radnjama obrade, a posebno riziku po zaštitu podataka o ličnosti lica na koje se podaci odnose i mehanizmima zaštite njegovih prava.
Poverenik može da sastavi i javno objavi na svojoj internet prezentaciji listu vrsti radnji obrade u vezi sa kojima se mora tražiti njegovo mišljenje.
Organi vlasti koji predlažu usvajanje zakona i drugih propisa zasnovanih na zakonima, a koji sadrže odredbe o obradi podataka o ličnosti, dužni su da u toku njihove pripreme zatraže mišljenje Poverenika.