El RGPD distingue tres niveles de riesgo: riesgo bajo, riesgo ("normal") y riesgo alto. En el caso de riesgo bajo, existen determinadas exenciones de obligaciones. En el caso del riesgo "normal", la gravedad del daño y la probabilidad de que se produzca pueden alcanzar un nivel medio. Un riesgo alto incluye pérdidas cuyo alcance es grave y/o bastante probable. Este nivel de riesgo tiene importantes consecuencias jurídicas y requiere una DPIA.