Valutazione d'impatto: obbligatoria se il rischio per la persona è elevato

L'articolo 22 LPD impone una valutazione d'impatto quando il trattamento previsto può comportare un rischio elevato per la personalità o i diritti fondamentali. È il caso in particolare di un trattamento esteso di dati sensibili o di una profilazione a rischio elevato. La valutazione descrive il trattamento, i rischi e le misure. Se il rischio resta elevato, il responsabile consulta l'IFPDT prima di cominciare. Una PMI che tiene solo un elenco clienti ordinario non ha automaticamente questo obbligo.