Άρθρο 39 Εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων

1.   Όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση του αντικτύπου των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία των δεδομένων προσωπικού χαρακτήρα. Σε μία εκτίμηση μπορεί να εξετάζεται ένα σύνολο παρόμοιων πράξεων επεξεργασίας οι οποίες ενέχουν παρόμοιους υψηλούς κινδύνους.

2.   Ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη του υπευθύνου προστασίας δεδομένων κατά τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων.

3.   Η αναφερόμενη στην παράγραφο 1 εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων απαιτείται ιδίως στην περίπτωση:

4.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων καταρτίζει και δημοσιοποιεί κατάλογο με τα είδη των πράξεων επεξεργασίας που υπόκεινται στην απαίτηση για διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων δυνάμει της παραγράφου 1.

5.   Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων δύναται επίσης να καταρτίζει και να δημοσιοποιεί κατάλογο με τα είδη των πράξεων επεξεργασίας για τα οποία δεν απαιτείται εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων.

6.   Πριν από την έγκριση των καταλόγων που αναφέρονται στις παραγράφους 4 και 5 του παρόντος άρθρου, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων ζητά από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων που έχει συσταθεί με το άρθρο 68 του κανονισμού (ΕΕ) 2016/679 να εξετάσει τους καταλόγους αυτούς σύμφωνα με το άρθρο 70 παράγραφος 1 στοιχείο ε) του εν λόγω κανονισμού, όταν αναφέρονται σε πράξεις επεξεργασίας από υπεύθυνο επεξεργασίας που ενεργεί από κοινού με έναν ή περισσότερους υπεύθυνους επεξεργασίας που δεν είναι όργανα και οργανισμοί της Ένωσης.

7.   Η εκτίμηση περιέχει τουλάχιστον:

8.   Η συμμόρφωση με εγκεκριμένους κώδικες δεοντολογίας που αναφέρονται στο άρθρο 40 του κανονισμού (ΕΕ) 2016/679 από τους σχετικούς εκτελούντες την επεξεργασία, εκτός των οργάνων και οργανισμών της Ένωσης, λαμβάνεται δεόντως υπόψη κατά την εκτίμηση του αντικτύπου των πράξεων επεξεργασίας που εκτελούνται από τους εν λόγω εκτελούντες την επεξεργασία, ιδίως για τους σκοπούς εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων.

9.   Όπου ενδείκνυται, ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη των υποκειμένων των δεδομένων ή των εκπροσώπων τους για τη σχεδιαζόμενη επεξεργασία, με την επιφύλαξη της προστασίας δημόσιων συμφερόντων ή της ασφάλειας των πράξεων επεξεργασίας.

10.   Όταν η επεξεργασία βάσει του άρθρου 5 παράγραφος 1 στοιχείο α) ή β) έχει νομική βάση σε νομική πράξη που έχει εκδοθεί βάσει των Συνθηκών, η εν λόγω πράξη ρυθμίζει την εκάστοτε συγκεκριμένη πράξη επεξεργασίας ή σειρά πράξεων και έχει διενεργηθεί ήδη εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων ως μέρος γενικής εκτίμησης αντικτύπου πριν από την έγκριση της εν λόγω νομικής πράξης, οι παράγραφοι 1 έως 6 του παρόντος άρθρου δεν εφαρμόζονται, εκτός εάν προβλέπεται διαφορετικά στην εν λόγω νομική πράξη.

11.   Όπου απαιτείται, ο υπεύθυνος επεξεργασίας προβαίνει σε επανεξέταση για να εκτιμήσει εάν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα διενεργείται σύμφωνα με την εκτίμηση αντικτύπου στην προστασία δεδομένων τουλάχιστον όταν μεταβάλλεται ο κίνδυνος που θέτουν οι πράξεις επεξεργασίας.