Benchè il testo della normativa non faccia ma riferimento al termine “Analisi dei rischi“, è evidente che la valutazione di quali siano le misure tecniche ed organizzative adeguate da adottare, non può prescindere da una valutazione di quali siano i rischi, secondo un approccio basato sulla loro probabilità ed impatto, cioè secondo – appunto –  un’analisi dei rischi. L’obiettivo di questa analisi è valutare i rischi al fine di mettere in atto misure adeguate al rispetto dell’intera normativa. Questa valutazione del rischio dovrebbe portare alla stesura di un documento utile per definire successivamente le misure per ridurli, ove possibile e necessario ma, soprattutto, all’identificazione di quei trattamenti che dovranno, poi, essere sottoposti a successiva valutazione di impatto (o DPIA).