L'analyse d'impact relative à la protection des données ne doit pas être effectuée pour le 1er septembre 2023, mais seulement lorsqu'un risque à évaluer apparaît. Celui-ci apparaît, notamment en cas d'utilisation de nouvelles technologies, en relation avec des traitements à grande échelle de données personnelles sensibles, avec une modification importante du traitement de données personnelles, un changement de finalité du traitement ou la collecte de nouvelles données (art. 22, al. 2 nLPD), par exemple en cas d'externalisation de la gestion technique à un tiers, d'introduction d'un portail des assurés ou d'utilisation d'une solution en nuage.