Lorsque l’autorité est d’avis que le traitement envisagé constituerait une violation du règlement, en particulier lorsque le responsable du traitement n’a pas suffisamment identifié ou atténué le risque, le paragraphe 2 lui impose de fournir un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant, et lui permet de faire usage de l’un quelconque des pouvoirs visés à l’article 58, parmi lesquels la limitation ou l’interdiction du traitement.

Le paragraphe 2 accorde à l’autorité un délai maximum de huit semaines à compter de la réception de la demande, prolongeable de six semaines en fonction de la complexité du traitement envisagé, le responsable du traitement étant informé de toute prolongation et de ses motifs dans un délai d’un mois. Ces délais peuvent être suspendus jusqu’à ce que l’autorité ait obtenu les informations qu’elle a demandées pour les besoins de la consultation.

Le paragraphe 3 exige du responsable du traitement qu’il communique, le cas échéant, les responsabilités respectives du responsable du traitement, des responsables conjoints et des sous-traitants, les finalités et les moyens du traitement envisagé, les mesures et les garanties visant à protéger les droits et libertés des personnes concernées, le cas échéant les coordonnées du délégué à la protection des données, l’analyse d’impact relative à la protection des données elle-même, et toute autre information que l’autorité demande.

Non. Le paragraphe 4 oblige les États membres à consulter l’autorité de contrôle dans le cadre de l’élaboration d’une proposition de mesure législative ou d’une mesure réglementaire se rapportant au traitement, et le paragraphe 5 permet au droit des États membres d’exiger que les responsables du traitement exerçant une mission d’intérêt public, y compris dans le cadre de la protection sociale et de la santé publique, consultent l’autorité et obtiennent son autorisation préalable, nonobstant le paragraphe 1.