Ett företag kan behöva genomföra en konsekvensbedömning i olika situationer, bland annat i följande fall:

– innan en behandling blir påbörjad,

– om risken med en pågående behandling blir förändrad, och

– för pågående behandlingar om en konsekvensbedömning inte har blivit utförd.

Genom en konsekvensbedömning kan företaget analysera vilka risker som behandlingen innebär. Därefter kan företaget veta vilka åtgärder företaget bör vidta och vilka rutiner som behöver bli implementerade, för att minimera riskerna med behandlingen. Bedömningen ska vara skriftlig för att den personuppgiftsansvarige ska kunna visa att företaget följer kraven i GDPR.

När ett företag gör en konsekvensbedömning, ska företaget utgå från en riskanalys. Med andra ord ska företaget analysera vilka risker som den planerade behandlingen av personuppgifterna innebär.

Om företaget efter konsekvensbedömningen anser att det finns en hög risk med behandlingen, måste företaget samråda med tillsynsmyndigheten innan behandlingen får bli påbörjad. Detta förfarande är kallat för förhandssamråd. Innan företaget begär ett förhandssamråd med tillsynsmyndigheten, måste företaget ha genomfört en omfattande konsekvensbedömning som är väl dokumenterad.