Databeskyttelsesforordningens artikel 35 indeholder et krav om, at hvis en behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, skal den dataansvarlige forud for behandlingen foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger. Artikel 35 indeholder endvidere de nærmere krav til en konsekvensanalyse vedrørende databeskyttelse. Pligten til at foretage en konsekvensanalyse gælder alene i særlige tilfælde, hvor der kan konstateres en høj risiko.
Hvis en behandling i henhold til forordningens artikel 6, stk. 1, litra c, (om behandling, som er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige), eller artikel 6, stk. 1, litra e, (om behandling, som er nødvendig af hensyn til udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt), har et retsgrundlag i EU-retten eller i den medlemsstats nationale ret, som den dataansvarlige er underlagt, og denne ret regulerer den eller de pågældende specifikke behandlingsaktiviteter, og der allerede er foretaget en konsekvensanalyse vedrørende databeskyttelse som led i en generel konsekvensanalyse i forbindelse med vedtagelse af dette retsgrundlag, finder artikel 35, stk. 1-7, ikke anvendelse, medmindre medlemsstaterne anser det for nødvendigt at foretage en sådan analyse inden behandlingsaktiviteter, jf. databeskyttelsesforordningens artikel 35, stk. 10. I praksis vil en konsekvensanalyse efter artikel 35, stk. 10, kunne foretages i forbindelse med udformningen af et lovforslag eller en bekendtgørelse. Se eksempelvis pkt. 3.2 i forslag til lov om ændring af lov om tv-overvågning (Styrkelse af trygheden og sikkerheden, herunder udvidelse af adgangen til tv-overvågning for private og offentlige myndigheder samt obligatorisk registrering af tv-overvågning), jf. Folketingstidende 2019-20, tillæg A, L 102 som fremsat. Det bemærkes, at det alene er relevant at overveje undtagelsesmuligheden i forordningens artikel 35, stk. 10, i det omfang, der ellers er pligt til at udarbejde en konsekvensanalyse efter artikel 35, stk. 1.