L'analisi dei rischi circa i trattamenti eseguiti da un'organizzazione andrebbe eseguita dal titolare e/o dai responsabili del trattamento ovviamente coadiuvati da un eventuale consulente tecnico esterno o dal DPO.