L’art. 35 del GDPR (C84, C89-C93, C95) prescrive – quando sia probabile che un tipo di trattamento possa creare un elevato rischio per i diritti e le libertà delle persone fisiche, ivi compreso il trattamento su larga scala di dati particolari – che il titolare del trattamento debba effettuare una preliminare valutazione d’impatto (DPIA).
Per quanto possano essere considerate un onere aggiuntivo, le valutazioni d’impatto consentono ai titolari ed ai responsabili del trattamento di identificare e trattare rischi che non sarebbero stati altrimenti rilevati e per prevenire violazioni che diversamente si sarebbero verificate. Consentono all’avvocato o il professionista di prendere coscienza di trattare dati personali e sensibili del cliente, e di prevedere per essi l’adozione di misure di sicurezza adeguate.