Úřad pro ochranu osobních údajů má článkem 35 obecného nařízení povinnost vytvořit seznam operací zpracování, které podléhají posouzení vlivu na ochranu osobních údajů. Zároveň může vytvořit seznam operací zpracování, u nichž není posouzení vlivu nutné.

Taxativní výčet zpracování, která podléhají posouzení vlivu na ochranu osobních údajů, by byl zřejmě v čase proměnlivý. Proto se Úřad rozhodl jít cestou určení rizikovosti zpracování (operací zpracování) osobních údajů, kdy lze jednotlivé zpracování popsat pomocí parametrů a podle hodnot, jichž v rámci parametrů zpracování dosahuje a také určit, zda jde o zpracování vysoce rizikové, rizikové nebo ostatní.

Lze předpokládat, že budou existovat zpracování osobních údajů, která by na základě analýzy mohla být zařazena do skupiny „zpracování s vysokým rizikem pro práva a svobody subjektů údajů“. Na základě empirických poznatků a případně i snahy po minimálním administrativním zatížení některých správců Úřad navrhuje, že posouzení vlivu na ochranu osobních údajů v těchto případech není třeba provádět. Připravil rovněž seznam zpracování osobních údajů, které nepodléhají posouzení vlivu na ochranu osobních údajů.