Ak spracovanie osobných údajov spĺňa aspoň dve z nižšie uvedených kritérií, spracovanie je považované za vysoko rizikové a je nevyhnutné vypracovať posúdenie vplyvu. V niektorých prípadoch však môže správca usúdiť, že posúdenie vplyvu by sa malo vypracovať a j v prípade, že spracovanie napĺňa čo i len jedno z kritérií.
Vysoké riziko je hodnotené s prihliadnutím k následujúcim kritériám:
- hodnotenie alebo bodovanie, vrátane profilovania a predpovedania – aspekty súvisiace s pracovným výkonom, ekonomickou situáciou, zdravotným stavom, osobnými preferenciami alebo záujmami, spoľahlivosťou alebo chovaním…
- automatizované rozhodovanie, ktoré má právne alebo podobne závažné dopady – cieľom rozhodovania, ktoré majú len nepatrný alebo žiadny dopad na jednotlivca
- systematické monitorovanie – pozorovanie, monitorovanie alebo kontrola subjektov údajov
- citlivé údaje alebo údaje vysoko osobnej povahy
- rozsiahle merítko spracovaných údajov
- priraďovanie alebo zlučovanie dátových súborov
- údaje týkajúce sa zraniteľných subjektov údajov
- nové použitie alebo využitie nových technológii alebo organizačných riešení
- ak spracovanie bráni subjektom údajov v uplatňovaní niektorých z jeho práv alebo používanie niektorých služieb
