Προκειμένου να ενισχυθεί η συμμόρφωση προς τον παρόντα κανονισμό όταν οι πράξεις επεξεργασίας ενδέχεται να έχουν ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο Υπεύθυνος Επεξεργασίας θα πρέπει να ευθύνεται για τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία των δεδομένων, ώστε να αξιολογήσει, ιδίως:

• την προέλευση,
• τη φύση,
• την πιθανότητα
• τη σοβαρότητα του εν λόγω κινδύνου
• τα προβλεπόμενα μέτρα αντιμετώπισης των κινδύνων.

Το αποτέλεσμα της εκτίμησης  πρέπει να λαμβάνεται υπόψη  εφόσον καθορίζονται τα μέτρα που ενδείκνυται να ληφθούν, ώστε να αποδειχθεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα είναι σύμφωνη με τον παρόντα κανονισμό. Εάν η εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων υποδεικνύει ότι οι πράξεις επεξεργασίας συνεπάγονται υψηλό κίνδυνο που ο Υπεύθυνος Επεξεργασίας δεν μπορεί να μετριάσει με τα κατάλληλα μέτρα από άποψη διαθέσιμης τεχνολογίας και κόστους εφαρμογής, θα πρέπει να πραγματοποιείται διαβούλευση με την αρχή ελέγχου πριν από την επεξεργασία. Η διενέργεια εκτίμησης αντικτύπου είναι μία διαρκής διαδικασία που επανεξετάζεται και επικαιροποιείται.Η εκτίμηση αντικτύπου διενεργείται ΙΔΙΩΣ σε περίπτωση:

α) συστηματικής και εκτενούς αξιολόγησης προσωπικών πτυχών σχετικά με φυσικά πρόσωπα, η οποία βασίζεται σε αυτοματοποιημένη επεξεργασία, περιλαμβανομένης της κατάρτισης προφίλ, και στην οποία βασίζονται αποφάσεις που παράγουν έννομα αποτελέσματα σχετικά με το φυσικό πρόσωπο ή ομοίως επηρεάζουν σημαντικά το φυσικό      πρόσωπο,

β) μεγάλης κλίμακας επεξεργασίας ευαίσθητων προσωπικών δεδομένων ή προσωπικών δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα ή

γ) συστηματικής παρακολούθησης δημοσίως προσβάσιμου χώρου σε μεγάλη κλίμακα (π.χ. συστήματα βιντεοεπιτήρησης-CCTV).

Προκειμένου να μπορούν να αποδείξουν συμμόρφωση προς τον παρόντα κανονισμό, ο Υπεύθυνος Επεξεργασίας ή ο Εκτελών την Επεξεργασία θα πρέπει να τηρούν αρχεία δραστηριοτήτων επεξεργασίας που τελούν υπό την ευθύνη τους. Το περιεχόμενο του αρχείου:

-όνομα και στοιχεία επικοινωνίας του υπεύθυνου επεξεργασίας, του από κοινού

-υπεύθυνου επεξεργασίας, του εκπροσώπου του υπεύθυνου επεξεργασίας και του DPO ,

-σκοποί της επεξεργασίας,

-κατηγορίες υποκειμένων των δεδομένων και των προσωπικών δεδομένων,

-κατηγορίες αποδεκτών, περιλαμβανομένων των αποδεκτών σε τρίτες χώρες ή διεθνείς οργανισμούς ,

-διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό,

-προβλεπόμενες προθεσμίες διαγραφής των προσωπικών δεδομένων, όπου είναι δυνατό,-γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφάλειας .

Με την τήρηση του αρχείου δραστηριοτήτων καταργείται η υποχρέωση γνωστοποίησης στην Αρχή. Η τήρηση του αρχείου δραστηριοτήτων επεξεργασίας δεν είναι υποχρεωτική για όλες τις επιχειρήσεις ή οργανισμούς. Οι επιχειρήσεις ή οργανισμοί που απασχολούν λιγότερα από διακόσια πενήντα (250) άτομα ΔΕΝ υποχρεούνται να τηρούν αρχείο, ΕΚΤΟΣ αν:

– η επεξεργασία που διενεργείται ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων,

– η επεξεργασία είναι περιστασιακή ή

– περιλαμβάνει ειδικές κατηγορίες δεδομένων ή επεξεργασία προσωπικών δεδομένων που αφορούν ποινικές καταδίκες και αδικήματα.

Κάθε Υπεύθυνος Επεξεργασίας και κάθε Εκτελών την επεξεργασία θα πρέπει να υποχρεούται να συνεργάζεται με την εποπτική αρχή και να θέτει στη διάθεσή της, κατόπιν αιτήματός της ή ελέγχου της, όλα τα αρχεία συμμόρφωσης, ώστε να μπορεί να τα χρησιμοποιεί για την παρακολούθηση των συγκεκριμένων πράξεων επεξεργασίας (σκέψη 82). Επιπλέον, υποχρεούται να ανακοινώνει αμελλητί στην Αρχή κάθε παραβίαση προσωπικών δεδομένων εντός 72 ωρών.