Przepisy dotyczące ochrony danych osobowych wskazują, że administrator danych osobowych może prowadzić ocenę skutków, dla ochrony danych. Wynika to bezpośrednio z art. 35 ust 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, z dnia 27 kwietnia 2016 r., w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (t.j. Dz.U. UE L 119 z 4.05.2016 z późn. zm.) – RODO: „Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Dla podobnych operacji przetwarzania danych wiążących się z podobnym wysokim ryzykiem można przeprowadzić pojedynczą ocenę.”

Zgodnie z obowiązującymi przepisami, to ADO decyduje, czy będzie przeprowadzał ocenę skutków dla ochrony danych. Analizując opisywany przypadek, przetwarzanie danych osobowych dotyczyć będzie kart elektronicznych do ewidencjonowania czasu pracy. Przepis określa szczególność użycia nowych technologii. Biorąc pod uwagę powszechność kart elektronicznych w miejscach pracy, nie należy to do rozwiązań innowacyjnych. Zgodnie z przepisami prawa pracy pracodawca ma obowiązek ewidencjowania czasu pracy pracownika. W przypadku ewidencji elektronicznej, nie ma tutaj danych, które można uznać za szczególne wrażliwe. Biorąc powyższe pod uwagę, do decyzji pracodawcy należeć będzie przeprowadzenie oceny skutków dla ochrony danych.