U hoeft geen data protection impact assessment (DPIA) uit te voeren wanneer uw gegevensverwerking:
Waarschijnlijk geen hoog privacyrisico oplevert.
Sterk lijkt op een andere gegevensverwerking waarvoor al een DPIA is uitgevoerd.
Wordt geregeld door een andere Europese of nationale wet en er bij de totstandkoming van deze wet al een DPIA is uitgevoerd. Tenzij de privacytoezichthouder oordeelt dat er toch een DPIA nodig is.
Op een lijst staat van verwerkingen waarvoor een DPIA niet verplicht is. De AVG geeft de privacytoezichthouder de mogelijkheid om zo’n lijst op te stellen, maar dit is niet verplicht. De AP heeft geen gebruik gemaakt van de mogelijkheid een dergelijke lijst op te stellen.
