1. Il titolare del trattamento, prima di procedere al trattamento, consulta l’autorità di controllo qualora la valutazione d’impatto sulla protezione dei dati a norma dell’articolo 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio.
Articolo 36 GDPR - Consultazione preventiva
2. Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, l’autorità di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e può avvalersi dei poteri di cui all’articolo 58. Tale periodo può essere prorogato di sei settimane, tenendo conto della complessità del trattamento previsto. L’autorità di controllo informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini può essere sospesa fino all’ottenimento da parte dell’autorità di controllo delle informazioni richieste ai fini della consultazione.
3. Al momento di consultare l’autorità di controllo ai sensi del paragrafo 1, il titolare del trattamento comunica all’autorità di controllo:
a) ove applicabile, le rispettive responsabilità del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nell’ambito di un gruppo imprenditoriale;
b) le finalità e i mezzi del trattamento previsto;
c) le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati a norma del presente regolamento;
d) ove applicabile, i dati di contatto del responsabile della protezione dei dati;
e) la valutazione d’impatto sulla protezione dei dati di cui all’articolo 35; e
f) ogni altra informazione richiesta dall’autorità di controllo.
4. Gli Stati membri consultano l’autorità di controllo durante l’elaborazione di una proposta di atto legislativo che deve essere adottato dai parlamenti nazionali o di misura regolamentare basata su detto atto legislativo relativamente al trattamento.
5. Nonostante il paragrafo 1, il diritto degli Stati membri può prescrivere che i titolari del trattamento consultino l’autorità di controllo, e ne ottengano l’autorizzazione preliminare, in relazione al trattamento da parte di un titolare del trattamento per l’esecuzione, da parte di questi, di un compito di interesse pubblico, tra cui il trattamento con riguardo alla protezione sociale e alla sanità pubblica.
Domande frequenti
Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.
In base al paragrafo 1, la consultazione è richiesta qualora la valutazione d’impatto sulla protezione dei dati a norma dell’articolo 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio. La consultazione non è quindi innescata da ogni valutazione, ma solo quando il rischio residuo individuato non può essere ridotto dalle misure proprie del titolare del trattamento.
Quando l’autorità ritiene che il trattamento previsto violi il regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, il paragrafo 2 le impone di fornire un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento, e le consente di avvalersi di uno qualsiasi dei poteri di cui all’articolo 58, tra cui la limitazione o il divieto del trattamento.
Il paragrafo 2 concede all’autorità un termine di otto settimane dal ricevimento della richiesta, prorogabile di sei settimane tenendo conto della complessità del trattamento previsto, con l’obbligo di informare il titolare del trattamento della proroga e dei relativi motivi entro un mese. La decorrenza di tali termini può essere sospesa fino all’ottenimento da parte dell’autorità delle informazioni richieste ai fini della consultazione.
Il paragrafo 3 richiede al titolare del trattamento di comunicare, ove applicabile, le rispettive responsabilità del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, le finalità e i mezzi del trattamento previsto, le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati, ove applicabile i dati di contatto del responsabile della protezione dei dati, la valutazione d’impatto sulla protezione dei dati stessa e ogni altra informazione richiesta dall’autorità.
No. Il paragrafo 4 obbliga gli Stati membri a consultare l’autorità di controllo durante l’elaborazione di proposte di atti legislativi o di misure regolamentari relative al trattamento, e il paragrafo 5 consente al diritto degli Stati membri di prescrivere che i titolari del trattamento che eseguono compiti di interesse pubblico, tra cui la protezione sociale e la sanità pubblica, consultino l’autorità e ne ottengano l’autorizzazione preliminare, nonostante il paragrafo 1.