Cómo demostrar el cumplimiento del artículo 36 del RGPD

RGPD Artículo 36 describe la obligación de una organización de consultar con una 'autoridad de control' antes de llevar a cabo una EIPD (ver Artículo 35), a fin de proteger aún más los derechos y libertades de los interesados ​​durante toda la operación de procesamiento.

RGPD Artículo 36 Texto Legal

Versión del RGPD de la UE

Consulta Previa

1. El responsable del tratamiento consultará a la autoridad de control antes del tratamiento cuando una evaluación de impacto de la protección de datos conforme al artículo 35 indique que el tratamiento daría lugar a un riesgo elevado en ausencia de medidas adoptadas por el responsable del tratamiento para mitigar el riesgo.
2. Cuando la autoridad de control considere que el tratamiento previsto a que se refiere el apartado 1 infringe el presente Reglamento, en particular cuando el responsable del tratamiento no haya identificado o mitigado suficientemente el riesgo, la autoridad de control, en un plazo de hasta ocho semanas a partir de la recepción de la la solicitud de consulta, proporcionar asesoramiento por escrito al responsable del tratamiento y, en su caso, al encargado del tratamiento, y podrá hacer uso de cualquiera de sus facultades mencionadas en el artículo 58. Dicho plazo podrá ampliarse en seis semanas, teniendo en cuenta la complejidad del tratamiento previsto. . La autoridad de control informará al responsable y, en su caso, al encargado, de dicha prórroga en el plazo de un mes a partir de la recepción de la solicitud de consulta junto con los motivos del retraso. Dichos plazos podrán suspenderse hasta que la autoridad de control haya obtenido la información que haya solicitado a efectos de la consulta.
3. Al consultar a la autoridad de control de conformidad con el apartado 1, el responsable del tratamiento proporcionará a la autoridad de control:
• a) cuando proceda, las responsabilidades respectivas del responsable del tratamiento, de los corresponsables del tratamiento y de los encargados del tratamiento implicados en el tratamiento, en particular para el tratamiento dentro de un grupo de empresas;
• (b) los fines y medios del procesamiento previsto;
• c) las medidas y salvaguardias previstas para proteger los derechos y libertades de los interesados ​​de conformidad con el presente Reglamento;
• d) cuando proceda, los datos de contacto del delegado de protección de datos;
• e) la evaluación de impacto de la protección de datos prevista en el artículo 35; y
• f) cualquier otra información solicitada por la autoridad de control.

4. Los Estados miembros consultarán a la autoridad de control durante la preparación de una propuesta de medida legislativa que deba adoptar un parlamento nacional, o de una medida reglamentaria basada en dicha medida legislativa, que esté relacionada con el tratamiento.
5. Sin perjuicio del apartado 1, la legislación de los Estados miembros podrá exigir a los responsables del tratamiento que consulten con la autoridad de control y obtengan su autorización previa en relación con el tratamiento por parte de un responsable del tratamiento para el desempeño de una tarea llevada a cabo por el responsable en interés público, incluido el tratamiento en relación con a la protección social y la salud pública.

Versión del RGPD del Reino Unido

Consulta Previa

1. El responsable del tratamiento consultará al Comisionado antes del tratamiento cuando una evaluación de impacto de la protección de datos conforme al artículo 35 indique que el tratamiento daría lugar a un riesgo elevado en ausencia de medidas adoptadas por el responsable del tratamiento para mitigar el riesgo.
2. Cuando el Comisario considere que el tratamiento previsto a que se refiere el apartado 1 infringe el presente Reglamento, en particular cuando el responsable del tratamiento no haya identificado o mitigado suficientemente el riesgo, el Comisario, en un plazo de hasta ocho semanas a partir de la recepción de la solicitud, para consultas, proporcionar asesoramiento por escrito al responsable del tratamiento y, en su caso, al encargado del tratamiento, y podrá hacer uso de cualquiera de sus facultades a que se refiere el artículo 58. Dicho plazo podrá ampliarse en seis semanas, teniendo en cuenta la complejidad del tratamiento previsto. El Comisario informará al responsable y, en su caso, al encargado, de dicha prórroga en el plazo de un mes a partir de la recepción de la solicitud de consulta junto con los motivos del retraso. Dichos plazos podrán suspenderse hasta que el Comisionado haya obtenido la información que haya solicitado para los efectos de la consulta.
3. Al consultar al Comisario de conformidad con el apartado 1, el responsable del tratamiento proporcionará a la autoridad de control:
• a) cuando proceda, las responsabilidades respectivas del responsable del tratamiento, de los corresponsables del tratamiento y de los encargados del tratamiento implicados en el tratamiento, en particular para el tratamiento dentro de un grupo de empresas;
• (b) los fines y medios del procesamiento previsto;
• c) las medidas y salvaguardias previstas para proteger los derechos y libertades de los interesados ​​de conformidad con el presente Reglamento;
• d) cuando proceda, los datos de contacto del delegado de protección de datos;
• e) la evaluación de impacto de la protección de datos prevista en el artículo 35; y
• f) cualquier otra información solicitada por la autoridad de control.
4. La autoridad pertinente debe consultar al Comisario durante la preparación de una propuesta de medida legislativa que deberá adoptar el Parlamento, la Asamblea Nacional de Gales, el Parlamento de Escocia o la Asamblea de Irlanda del Norte, o de una medida reglamentaria basada en dicha medida legislativa. que se relaciona con el procesamiento.
   
   4A. En el párrafo 4, “la autoridad pertinente” significa: (a) en relación con una medida legislativa adoptada por el Parlamento, o una medida reglamentaria basada en dicha medida legislativa, el Secretario de Estado; (b) en relación con una medida legislativa adoptada por la Asamblea Nacional de Gales, o una medida reglamentaria basada en dicha medida legislativa, los Ministros de Gales; (c) en relación con una medida legislativa adoptada por el Parlamento escocés, o una medida reglamentaria basada en dicha medida legislativa, los Ministros escoceses; (d) en relación con una medida legislativa adoptada por la Asamblea de Irlanda del Norte, o una medida reglamentaria basada en dicha medida legislativa, el Departamento de Irlanda del Norte correspondiente.
5. Sin perjuicio del apartado 1, la legislación de los Estados miembros podrá exigir a los responsables del tratamiento que consulten con la autoridad de control y obtengan su autorización previa en relación con el tratamiento por parte de un responsable del tratamiento para el desempeño de una tarea llevada a cabo por el responsable en interés público, incluido el tratamiento en relación con a la protección social y la salud pública.