1. O responsável pelo tratamento consulta a autoridade de controlo antes de proceder ao tratamento quando a avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas pelo responsável pelo tratamento para atenuar o risco.
Artigo 36.º RGPD - Consulta prévia
2. Sempre que considerar que o tratamento previsto referido no n.º 1 violaria o disposto no presente regulamento, nomeadamente se o responsável pelo tratamento não tiver identificado ou atenuado suficientemente os riscos, a autoridade de controlo, no prazo máximo de oito semanas a contar da receção do pedido de consulta, dá orientações, por escrito, ao responsável pelo tratamento e, se o houver, ao subcontratante e pode recorrer a todos os seus poderes referidos no artigo 58.º. Esse prazo pode ser prorrogado até seis semanas, tendo em conta a complexidade do tratamento previsto. A autoridade de controlo informa da prorrogação o responsável pelo tratamento ou, se o houver, o subcontratante no prazo de um mês a contar da data de receção do pedido de consulta, juntamente com os motivos do atraso. Esses prazos podem ser suspensos até que a autoridade de controlo tenha obtido as informações que tenha solicitado para efeitos da consulta.
3. Quando consultar a autoridade de controlo nos termos do n.º 1, o responsável pelo tratamento comunica-lhe os seguintes elementos:
a) Se for aplicável, a repartição de responsabilidades entre o responsável pelo tratamento, os responsáveis conjuntos pelo tratamento e os subcontratantes envolvidos no tratamento, nomeadamente no caso de um tratamento dentro de um grupo empresarial;
b) As finalidades e os meios do tratamento previsto;
c) As medidas e garantias previstas para defesa dos direitos e liberdades dos titulares dos dados nos termos do presente regulamento;
d) Se for aplicável, os contactos do encarregado da proteção de dados;
e) A avaliação de impacto sobre a proteção de dados prevista no artigo 35.º; e
f) Quaisquer outras informações solicitadas pela autoridade de controlo.
4. Os Estados-Membros consultam a autoridade de controlo durante a preparação de uma proposta de medida legislativa a adotar por um parlamento nacional ou de uma medida regulamentar baseada nessa medida legislativa, que esteja relacionada com o tratamento de dados.
5. Não obstante o n.º 1, o direito dos Estados-Membros pode exigir que os responsáveis pelo tratamento consultem a autoridade de controlo e dela obtenham uma autorização prévia em relação ao tratamento por um responsável no exercício de uma missão de interesse público, incluindo o tratamento por motivos de proteção social e de saúde pública.
Perguntas frequentes
Respostas breves a perguntas frequentes sobre esta disposição. Constituem informação geral e não aconselhamento jurídico.
Nos termos do n.º 1, a consulta é exigida quando a avaliação de impacto sobre a proteção de dados prevista no artigo 35.º indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas pelo responsável pelo tratamento para atenuar o risco. A consulta não é, pois, desencadeada por todas as avaliações, mas apenas quando o risco residual identificado não puder ser reduzido pelas medidas do próprio responsável pelo tratamento.
Sempre que considerar que o tratamento previsto violaria o regulamento, nomeadamente se o responsável pelo tratamento não tiver identificado ou atenuado suficientemente os riscos, o n.º 2 exige que dê orientações, por escrito, ao responsável pelo tratamento e, se o houver, ao subcontratante, e permite-lhe recorrer a todos os seus poderes referidos no artigo 58.º, que incluem a limitação ou a proibição do tratamento.
O n.º 2 concede à autoridade um prazo máximo de oito semanas a contar da receção do pedido, prorrogável até seis semanas tendo em conta a complexidade do tratamento previsto, devendo o responsável pelo tratamento ser informado de qualquer prorrogação e dos respetivos motivos no prazo de um mês. Esses prazos podem ser suspensos até que a autoridade tenha obtido as informações que solicitou para efeitos da consulta.
O n.º 3 exige que o responsável pelo tratamento comunique, se for aplicável, a repartição de responsabilidades entre o responsável pelo tratamento, os responsáveis conjuntos pelo tratamento e os subcontratantes, as finalidades e os meios do tratamento previsto, as medidas e garantias previstas para defesa dos direitos e liberdades dos titulares dos dados, os contactos do encarregado da proteção de dados se for aplicável, a própria avaliação de impacto sobre a proteção de dados e quaisquer outras informações solicitadas pela autoridade.
Não. O n.º 4 obriga os Estados-Membros a consultar a autoridade de controlo durante a preparação de propostas de medidas legislativas ou de medidas regulamentares relacionadas com o tratamento, e o n.º 5 permite que o direito dos Estados-Membros exija que os responsáveis pelo tratamento no exercício de uma missão de interesse público, incluindo o tratamento por motivos de proteção social e de saúde pública, consultem a autoridade e dela obtenham uma autorização prévia, não obstante o n.º 1.