Voor sommigen soorten verwerkingen van persoonsgegevens moet voordat je start met gegevensverwerking een Data Protection Impact Assessment (DPIA) worden gemaakt. Het gaat dan bijvoorbeeld om gezondheidsgegevens, communicatiegegevens herleidbaar tot natuurlijke personen of locatiegegevens. De Autoriteit Persoonsgegevens heeft een lijst van 17 voorbeelden van soorten verwerkingen opgesteld waarvoor een DPIA noodzakelijk is. Dit is geen uitputtende lijst. Organisaties moeten zelf bij nieuwe of gewijzigde verwerkingen onderzoeken of een DPIA noodzakelijk is, ook als deze niet op de lijst staan.