Art. 36 — Consultazione preventiva

Il titolare del trattamento, prima di procedere al trattamento, consulta l'autorità di controllo qualora la valutazione d'impatto sulla protezione dei dati a norma dell'articolo 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio.

Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, l'autorità di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e può avvalersi dei poteri di cui all'articolo 58. Tale periodo può essere prorogato di sei settimane, tenendo conto della complessità del trattamento previsto. L'autorità di controllo informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini può essere sospesa fino all'ottenimento da parte dell'autorità di controllo delle informazioni richieste ai fini della consultazione.

Al momento di consultare l'autorità di controllo ai sensi del paragrafo 1, il titolare del trattamento comunica all'autorità di controllo: a) ove applicabile, le rispettive responsabilità del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nell'ambito di un gruppo imprenditoriale; b) le finalità e i mezzi del trattamento previsto; c) le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati a norma del presente regolamento; d) ove applicabile, i dati di contatto del responsabile della protezione dei dati; e) la valutazione d'impatto sulla protezione dei dati di cui all'articolo 35; e f) ogni altra informazione richiesta dall'autorità di controllo.

Gli Stati membri consultano l'autorità di controllo durante l'elaborazione di una proposta di atto legislativo che deve essere adottato dai parlamenti nazionali o di misura regolamentare basata su detto atto legislativo relativamente al trattamento.

Nonostante il paragrafo 1, il diritto degli Stati membri può prescrivere che i titolari del trattamento consultino l'autorità di controllo, e ne ottengano l'autorizzazione preliminare, in relazione al trattamento da parte di un titolare del trattamento per l'esecuzione, da parte di questi, di un compito di interesse pubblico, tra cui il trattamento con riguardo alla protezione sociale e alla sanità pubblica.

Testo vigente al 4 maggio 2016. Fonte: EUR-Lex, © Unione europea, dati aperti con licenza CC BY 4.0. Solo il testo pubblicato nella Gazzetta ufficiale dell’Unione europea ha carattere di ufficialità. Fonti e licenze →

Spiegazione

Prima di avviare un trattamento, il titolare deve consultare l’autorità di controllo se la valutazione d’impatto segnala un rischio elevato che le misure previste non eliminano. L’autorità può dare un parere scritto entro otto settimane dalla richiesta; per trattamenti complessi può aggiungere sei settimane, comunicando la proroga e i motivi entro un mese. Il termine può restare sospeso finché non riceve le informazioni richieste. La richiesta deve descrivere il trattamento, le responsabilità coinvolte, le garanzie previste e la valutazione d’impatto.

Perché esiste questa norma

La consultazione serve a prevenire trattamenti che, pur dopo le misure di attenuazione, potrebbero compromettere seriamente i diritti e le libertà delle persone. Permette all’autorità di individuare per tempo i problemi e, se necessario, intervenire.

Domande frequenti

Devo consultare l’autorità prima di ogni trattamento di dati?

No. La consultazione preventiva è richiesta quando la valutazione d’impatto indica un rischio elevato in assenza di misure per attenuarlo.

Quanto tempo ha l’autorità per rispondere?

Di norma, otto settimane dal ricevimento della richiesta. Per la complessità del trattamento il termine può essere prorogato di sei settimane; la proroga e i suoi motivi devono essere comunicati entro un mese. Il termine può essere sospeso in attesa delle informazioni richieste.

Che cosa devo inviare con la richiesta di consultazione?

Occorre fornire, tra l’altro, finalità e mezzi del trattamento, responsabilità dei soggetti coinvolti, misure di tutela e valutazione d’impatto. Vanno indicati anche i dati di contatto del responsabile della protezione dei dati, se applicabile, e le altre informazioni richieste dall’autorità.

Il parere dell’autorità è sempre un’autorizzazione a procedere?

La norma prevede un parere scritto e consente all’autorità di esercitare i propri poteri se ritiene che il trattamento violi il regolamento. Non stabilisce che ogni consultazione si concluda con un’autorizzazione.

Un ente pubblico deve sempre chiedere un’autorizzazione preventiva?

Non necessariamente. La legge nazionale può prevedere consultazione e autorizzazione preliminare per trattamenti svolti nell’esecuzione di compiti di interesse pubblico, compresi quelli relativi alla protezione sociale e alla sanità pubblica.

Richiamato da

Sezione 3 — Valutazione d'impatto sulla protezione dei dati e consultazione preventiva