(40b) A data protection impact assessment should be carried out by the controller or processor, where the processing operations are likely to present specific risks to the rights and freedoms of data subjects by virtue of their nature, their scope or their purposes, which should include in particular the envisaged measures, safeguards and mechanisms to ensure the protection of personal data and for demonstrating compliance with this Directive. Impact assessments should concern relevant systems and processes of personal data processing operations, but not individual cases.
(40 ter) Lorsqu'un traitement est, du fait de sa nature, de sa portée ou de ses finalités, susceptible de présenter des risques particuliers pour les droits et les libertés des personnes concernées, le responsable du traitement ou les sous-traitants devraient effectuer une analyse d'impact relative à la protection des données portant notamment sur les mesures envisagées, les garanties et les mécanismes visant à assurer la protection des données à caractère personnel et à apporter la preuve de la conformité avec la présente directive. Les analyses d'impact devraient porter sur les systèmes et processus pertinents des opérations de traitement de données à caractère personnel et no
...[+++]n sur des cas individuels. 
