RODO - Rozdział IV - Artykuł 36

ROZDZIAŁ IV  - Administrator i podmiot przetwarzający

Sekcja 3 - Ocena skutków dla ochrony danych i uprzednie konsultacje

Artykuł 36 - Uprzednie konsultacje

1. Jeżeli ocena skutków dla ochrony danych, o której mowa w art. 35, wskaże, że przetwarzanie powodowałoby  wysokie ryzyko, gdyby administrator nie zastosował środków w celu zminimalizowania tego ryzyka, to przed  rozpoczęciem przetwarzania administrator konsultuje się z organem nadzorczym.  

2. Jeżeli organ nadzorczy jest zdania, że zamierzone przetwarzanie, o którym mowa w ust. 1, stanowiłoby  naruszenie niniejszego rozporządzenia – w szczególności gdy administrator niedostatecznie zidentyfikował lub zminimalizował ryzyko – organ nadzorczy w terminie do ośmiu tygodni od wpłynięcia wniosku o konsultacje udziela administratorowi, a gdy ma to zastosowanie także podmiotowi przetwarzającemu pisemnego zalecenia i może skorzystać  z dowolnego ze swoich uprawnień, o których mowa w art. 58. Okres ten można przedłużyć o sześć tygodni ze względu  na złożony charakter zamierzonego przetwarzania. Organ nadzorczy informuje administratora, a gdy ma to  zastosowanie także podmiot przetwarzający, o takim przedłużeniu w terminie miesiąca od wpłynięcia wniosku  o konsultacje, z podaniem przyczyn tego opóźnienia. Bieg tych terminów można zawiesić, do czasu aż organ nadzorczy  uzyska wszelkie informacje, których zażądał do celów konsultacji.  

3. Konsultując się z organem nadzorczym zgodnie z ust. 1, administrator przedstawia mu:  

a) gdy ma to zastosowanie – odpowiednie obowiązki administratora, współadministratorów oraz podmiotów przetwarzających uczestniczących w przetwarzaniu, w szczególności w przypadku przetwarzania w ramach grupy przedsiębiorstw;  

b) cele i sposoby zamierzonego przetwarzania;  

c) środki i zabezpieczenia mające chronić prawa i wolności osób, których dane dotyczą, zgodnie z niniejszym rozporządzeniem;  

d) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;  

e) ocenę skutków dla ochrony danych, o której mowa w art. 35; oraz  

f) wszelkie inne informacje, których żąda organ nadzorczy.  

4. Państwa członkowskie konsultują się z organem nadzorczym, przygotowując projekt aktu prawnego przyjmowanego przez parlament narodowy lub aktu wykonawczego opartego na takim akcie prawnym, jeżeli projekt dotyczy  przetwarzania.  

5. Niezależnie od ust. 1 prawo państwa członkowskiego może wymagać, by administratorzy konsultowali się  z organem nadzorczym i uzyskiwali jego uprzednią zgodę na przetwarzanie danych osobowych przez administratora do  celów wykonania zadania realizowanego przez administratora w interesie publicznym, w tym przetwarzania w związku  z ochroną socjalną i zdrowiem publicznym