La Evaluación de Impacto de Protección de Datos (Veri Koruma Etki Değerlendirmesi - DPIA) es obligatoria cuando el procesamiento presenta alto riesgo para los derechos y libertades de las personas. Según las Directrices de la Autoridad, esto incluye: procesamiento a gran escala de datos sensibles, decisiones automatizadas con efectos legales significativos, monitoreo sistemático de áreas accesibles públicamente, y uso de nuevas tecnologías.
La DPIA debe contener: descripción sistemática de las operaciones de procesamiento, evaluación de necesidad y proporcionalidad, análisis de riesgos para los titulares, y medidas de mitigación propuestas. El proceso debe involucrar consulta con el Delegado de Protección de Datos si existe, y considerar opiniones de titulares o sus representantes cuando sea apropiado.
Si la evaluación revela que el procesamiento resultaría en alto riesgo residual incluso después de medidas de mitigación, debe consultarse a la Autoridad de Protección de Datos antes de proceder. La DPIA debe revisarse periódicamente, especialmente cuando cambian las circunstancias del procesamiento. La documentación de la DPIA debe conservarse como evidencia de cumplimiento regulatorio.