(1) Pengendali Data Pribadi wajib melakukan penilaian
dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi.

(2) Pemrosesan Data Pribadi memiliki potensi risiko tinggi sebagaimana dimaksud pada ayat (1) meliputi:

a. pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi;

b. pemrosesan atas Data Pribadi yang bersifat spesifik;
c. pemrosesan Data Pribadi dalam skala besar;
d. pemrosesan Data Pribadi untuk kegiatan evaluasi, penskoran, atau pemantauan yang sistematis terhadap Subjek Data Pribadi;
e. pemrosesan Data Pribadi untuk kegiatan pencocokan atau penggabungan sekelompok data;
f.   penggunaan teknologi baru dalam pemrosesan Data Pribadi; dan/atau
g. pemrosesan Data Pribadi yang membatasi pelaksanaan hak Subjek Data Pribadi.

(3) Ketentuan lebih lanjut mengenai penilaian dampak Pelindungan Data Pribadi diatur dalam Peraturan Pemerintah.