מומלץ לבצע תסקיר לפני כל שימוש במידע אישי העלול לגרום לסיכון מהותי לפרטיות נושאי המידע, או לשינוי מהותי בזכויותיהם. במיוחד יש לעשות כן בעת הטמעת טכנולוגיות מידע חדשות, או עיבוד של מידע אישי בהיקף גדול או של מידע בעל רגישות מיוחדת. כך ממליצה הרשות להגנת הפרטיות בגרסה הסופית של מדריך עזר מתודולוגי לעריכת תסקיר כזה, שהיא מפרסמת. הרשות מבהירה עם זאת ש"באין חובה כללית כיום בדין הישראלי לעריכת תסקיר השפעה על הפרטיות, גם מדריך זה אינו יוצר חובה לעריכתו".

תסקיר השפעה על הפרטיות הוא תהליך שמטרתו לסייע באיתור, הערכה וניהול של סיכונים לפרטיות בפרויקטים או פעילויות עסקיות וארגוניות אחרות הכוללות עיבוד של מידע אישי. לדברי הרשות, רצוי לבצע את התסקיר בשלבים המוקדמים של הנעת פרויקט הכרוך באיסוף או עיבוד של מידע, ולפני שהחלו פעולות העיבוד. התסקיר אינו פרוצדורה חד-פעמית, אלא תהליך מתמשך. יש לעדכן ולתקף אותו מחדש על בסיס קבוע, או בעת ביצוע שינויים מהותיים בפרויקט או במערכות התומכות בו ואת תוצאותיו היא קוראת להביא לאישור ההנהלה הבכירה או הדירקטוריון בארגון.

שלבי התסקיר, לפי הרשות להגנת הפרטיות –

• תיאור כללי של פעולות עיבוד המידע - יש לתאר כיצד מתוכנן להתבצע השימוש במידע האישי ומדוע מתוכנן שימוש כאמור. על התיאור לכלול פרטים על אופי עיבוד המידע, היקף עיבוד המידע, הקשר עיבוד המידע, ומטרות העיבוד.
• היוועצות עם נושאי המידע - כשהפרויקט מתוכנן בידי רשות ציבורית, "רצוי" לפרסם שימוע פומבי שיאפשר לציבור המושפע מהפרויקט להביע את עמדתו, ממליצה הרשות להגנת הפרטיות (כן, מעיר co.il באירוניה, זה קדם כמובן להתקנת מערכת המצלמות הכלל ארצית "עין הנץ", להתקנת אמצעי מעקב במרחב הציבורי בכל רשות ציבורית, לצילומים הביומטרים במשרד התחבורה ובתחנות הגבול בישראל ועוד... במילים אחרות, לא בוצע ואין סיכוי אמיתי שיבוצע). לכל הפחות, ממשיכה הרשות, מומלץ לפנות לנושאי מידע כגון לקוחות או עובדים, או לנציגיהם, על מנת לאפשר להם לחוות את דעתם בנוגע לעיבוד המידע המתוכנן וכן לתעד את תגובתם, אלא אם לארגון ישנם טעמים כבדי משקל שלא לבצע את הליך ההיוועצות.
• הערכת החוקיות והמידתיות באיסוף – מה הבסיס החוקי לאיסוף המידע (הסכמה או הסמכה בחוק), כיצד ימנע הארגון משימוש במידע שלא למטרה שלשמה נאסף וכיצד יימסר המידע לנושאי המידע. (co.il מעיר בתסכול שהבסיסים החוקיים המצומצמים לאיסוף מידע בדין הישראלי משתקפים באמירה זו, אבל המסמך עצמו חושף במשתמע את הבנת הרשות כי לא תמיד אפשר להסתמך על אחד מאלה. כך לדוגמה אומרת הרשות כי " אם התסקיר מתייחס לתכנית לאסוף מידע אישי על אנשים אשר טרם זוהו או שטרם נוצר איתם קשר, ניתן לקיים הליך התייעצות בעל אופי יותר כללי-ציבורי, או מחקר ממוקד, לדוגמה באמצעות מחקר-שוק בעל מאפיינים דמוגרפיים מסוימים, או לחלופין פנייה לקבוצות צרכנים לקבלת דעותיהם.")
• זיהוי והערכת סיכונים - יש לבחון את ההשפעה הפוטנציאלית על נושאי המידע וכל פגיעה או נזק שעלולים להיגרם להם כתוצאה מעיבוד המידע על ידי הארגון – בין אם גופני, נפשי או חומרי.
• הפחתת סיכונים - לגבי כל אחד מהסיכונים שאותרו, יש לזהות ולתעד את מקורו, ולשקול חלופות לאמצעים לצמצום הסיכון והפחתתו, כגון הגבלת היקף המידע שנאסף, החזקתו לזמן מוגבל ועוד.
• תיקוף ואישור הממצאים -האם כל סיכון וסיכון שאותר הוסר, צומצם או הוגדר כלגיטימי; מהם האמצעים והבקרות הנוספים לצמצום סיכוני הפרטיות, בהם מתכוון הארגון לנקוט ורמת הסיכון השיורי שנותר. לאחר מכן יש להביא את הדברים לאישור הגורם המאשר בארגון.