1. El responsable consultará a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos en virtud del artículo 35 muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo.
Artículo 36 RGPD - Consulta previa
2. Cuando la autoridad de control considere que el tratamiento previsto a que se refiere el apartado 1 podría infringir el presente Reglamento, en particular cuando el responsable no haya identificado o mitigado suficientemente el riesgo, la autoridad de control deberá, en un plazo de ocho semanas desde la solicitud de la consulta, asesorar por escrito al responsable, y en su caso al encargado, y podrá utilizar cualquiera de sus poderes mencionados en el artículo 58. Dicho plazo podrá prorrogarse seis semanas, en función de la complejidad del tratamiento previsto. La autoridad de control informará al responsable y, en su caso, al encargado de tal prórroga en el plazo de un mes a partir de la recepción de la solicitud de consulta, indicando los motivos de la dilación. Estos plazos podrán suspenderse hasta que la autoridad de control haya obtenido la información solicitada a los fines de la consulta.
3. Cuando consulte a la autoridad de control con arreglo al apartado 1, el responsable del tratamiento le facilitará la información siguiente:
a) en su caso, las responsabilidades respectivas del responsable, los corresponsables y los encargados implicados en el tratamiento, en particular en caso de tratamiento dentro de un grupo empresarial;
b) los fines y medios del tratamiento previsto;
c) las medidas y garantías establecidas para proteger los derechos y libertades de los interesados de conformidad con el presente Reglamento;
d) en su caso, los datos de contacto del delegado de protección de datos;
e) la evaluación de impacto relativa a la protección de datos establecida en el artículo 35, y
f) cualquier otra información que solicite la autoridad de control.
4. Los Estados miembros garantizarán que se consulte a la autoridad de control durante la elaboración de toda propuesta de medida legislativa que haya de adoptar un Parlamento nacional, o de una medida reglamentaria basada en dicha medida legislativa, que se refiera al tratamiento.
5. No obstante lo dispuesto en el apartado 1, el Derecho de los Estados miembros podrá obligar a los responsables del tratamiento a consultar a la autoridad de control y a recabar su autorización previa en relación con el tratamiento por un responsable en el ejercicio de una misión realizada en interés público, en particular el tratamiento en relación con la protección social y la salud pública.
Preguntas frecuentes
Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.
Conforme al apartado 1, la consulta es obligatoria cuando una evaluación de impacto relativa a la protección de datos en virtud del artículo 35 muestre que el tratamiento entrañaría un alto riesgo si el responsable del tratamiento no toma medidas para mitigarlo. La consulta no se activa, por tanto, con cada evaluación, sino únicamente cuando el riesgo residual identificado no puede reducirse mediante las propias medidas del responsable del tratamiento.
Cuando la autoridad considere que el tratamiento previsto podría infringir el Reglamento, en particular porque el responsable del tratamiento no haya identificado o mitigado suficientemente el riesgo, el apartado 2 le exige asesorar por escrito al responsable del tratamiento y, en su caso, al encargado del tratamiento, y le permite utilizar cualquiera de sus poderes mencionados en el artículo 58, entre los que figura la limitación o la prohibición del tratamiento.
El apartado 2 concede a la autoridad un plazo de ocho semanas desde la solicitud de la consulta, prorrogable seis semanas en función de la complejidad del tratamiento previsto, informando al responsable del tratamiento de cualquier prórroga y de sus motivos en el plazo de un mes. Estos plazos podrán suspenderse hasta que la autoridad haya obtenido la información solicitada a los fines de la consulta.
El apartado 3 exige al responsable del tratamiento facilitar, en su caso, las responsabilidades respectivas del responsable del tratamiento, los corresponsables y los encargados del tratamiento, los fines y medios del tratamiento previsto, las medidas y garantías establecidas para proteger los derechos y libertades de los interesados, en su caso los datos de contacto del delegado de protección de datos, la propia evaluación de impacto relativa a la protección de datos y cualquier otra información que solicite la autoridad.
No. El apartado 4 obliga a los Estados miembros a garantizar que se consulte a la autoridad de control durante la elaboración de propuestas de medidas legislativas o de medidas reglamentarias que se refieran al tratamiento, y el apartado 5 permite que el Derecho de los Estados miembros obligue a los responsables del tratamiento que ejerzan una misión realizada en interés público, en particular en relación con la protección social y la salud pública, a consultar a la autoridad y a recabar su autorización previa, no obstante lo dispuesto en el apartado 1.